Welche Art Datenschutz will die Europäische Kommission? Welche Ziele verfolgen die verschiedenen politischen Gruppierungen im Europäischen Parlament? Vor welchen Herausforderungen steht der Datenschutz in Europa? Beitrag von Dr. Cornelia Ernst im Rahmen des Medienseminars der Rosa-Luxemburg-Stiftung an der TU Dresden am 15.10.2011
Momentan überschlagen sich Meldungen: „Big Brother kommt als Computerwanze“, Bundestrojaner befallen Festplatten, Spionage-Software kam in Bayern zum Einsatz, Profiling spürt Privatsphäre aus. Davor hatte die Botschaft von der pauschalen Überwachung von Handykontakten die Runde gemacht, Stichwort Funkzellenabfrage, übrigens werden auch meine Handydaten überprüft, weil ich im Februar gegen Nazis demonstrierte. Danach ging es munter weiter mit dem Integrierten Vorgangsbearbeitungssystem, IVO, das in Sachsen querbeet mal 7,2 Mio Personendatensätze polizeilich erfasst.
Und überall die gleichen Reaktionen: Erst wird abgestritten, dann tief gestapelt und später auf das Vergessen der Leute gesetzt.
Und all das geschieht im einstigen Vorzeigeland des Datenschutzes, in der BRD. Aus Hessen kam der Anstoß für den Schutz personenbezogener Daten, wo 1970 ein eigenes Datenschutzgesetz verabschiedet wurde, 7 Jahre später folgte der Bund, 1983 wurde der Grundstein des Datenschutzes gelegt, beispielgebend für ganz Europa.
Was geschieht auf europäischer Ebene?
Der starke Druck besonders aus der bundesdeutschen Datenschutzszene, aber auch aus Staaten wie Österreich, Niederlande hatte dazu geführt, dass die EU 1995 mit ihrer Richtlinie 95/46 EG Mindeststandards für den Datenschutz der Mitgliedsstaaten festlegte, die zwar noch nicht für die justizielle und polizeiliche Zusammenarbeit galten, aber dafür sorgten, dass Datenschutz überhaupt ein Thema in der EU wurde. Diese Richtlinie wurde ergänzt für elektronische Kommunikation und für die EU selbst.
Gegenwärtig entsteht ein Gesamtkonzept für den europäischen Datenschutz, das personenbezogene Daten besser schützen soll. In einem dazu vorliegenden Bericht vom Juni 2011 spricht sich das EP fraktionsübergreifend dafür aus, dass das Grundrecht auf Privatsphäre und Datenschutz vor Datenmissbrauch gewahrt werden muss. Strenge einheitliche Datenschutzregeln auf EU-Ebene werden gefordert, einklagbare Rechte auf Zugang der Betroffenen zu den Daten, auf Löschung oder Sperrung, einklagbarer Rechtsschutz, das Recht auf Vergessen, Gebührenfreiheit bei der Wahrung des Datenschutzes, klare Regelungen in Bezug auf die Verwendung der Daten, die Stärkung der Datenschutzbeauftragten, Anzeigepflicht bei Verletzungen des Datenschutzes, Anwendung der Grundsätze der Datensparsamkeit, der Verhältnismäßigkeit und Zweckbestimmtheit sowie Stärkung der globalen Dimension des Datenschutzes.
Diese klare Positionierung des EP trifft zunehmend auf eine völlig andere europäische Praxis, die mit der EU-Richtlinie zur Vorratsdatenspeicherung aus 2005, die übrigens zurzeit vor dem EUGH verhandelt wird, faktisch und symbolisch eingeleitet wurde. U.a. mit dieser Richtlinie wurde der Weg frei für ungestüme Sammelwut auf europäischer Ebene. Mit dem Stockholmer Programm wurde politisch das Tor aufgestoßen für neue eine Sicherheitsarchitektur, die auf Kosten von Bürger- und Freiheitsrechten konstituiert werden soll.
Dafür sprechen folgende Beispiele:
Beispiel Eins: Das so genannte SWIFT-Abkommen zwischen EU und den USA
Swift regelt, dass sämtliche Bankdaten europäischer Bankkunden, betreffend Überweisungen in das nichteuropäische Ausland, zur so genannten Terrorfahndung an die USA weiterzuleiten sind. Täglich werden 15 Mio Banktransaktionen von 8300 Banken observiert. Jeder kann observiert werden, der eine Überweisung über das Swiftsystem vornimmt. Die Prüfung der Daten erfolgt durch das US-Finanzministerium, die Kontrolle obliegt EUROPOL, womit der Bock zum Gärtner wird. Es gibt keinen realen Auskunftsanspruch der Betroffenen, nicht einmal an US-Gerichte kann man sich wenden.
Beispiel Zwei: PNR: Fluggastdaten
Gegenwärtig wird mit Australien über ein Abkommen verhandelt, das Fluggesellschaften verpflichtet, Flugpassagierdaten von allen Reisenden, die die EU-Grenzen überqueren, an Australien zu übermitteln. Diese Daten umfassen 34 Abfragen, sie sollen 5,5 Jahre gespeichert werden. Ein solches Abkommen soll auch mit den USA, die gegenwärtig ohne Abkommen fleißig Daten sammeln, abgeschlossen werden. In den USA gibt es übrigens keine gesetzlichen Regelungen zum Datenschutz, noch nicht mal gesetzliche Regeln zur Speicherzeit, lediglich das freiwillige Safe - Harbor Verfahren, das US-Unternehmen auffordert, im Umgang mit europäischen Geschäftspartnern die EU- Datenschutzrichtlinie einzuhalten. Bei dieser Rechtslage verwundert es nicht, wenn es zu so genannten Kollateralschäden, wie z. B. folgendem, kommt.
2009 wurde ein Flugzeug, welches nach einer Reise des Europäischen Parlaments zurück nach Europa fliegen wollte, über Kanada umgeleitet, weil es den US-Luftraum nicht überfliegen durfte. Erst Tage später kam dieses Flugzeug am Zielflughafen in Europa an. Grund war: Ein Passagier, übrigens ein Mitarbeiter der Vereinigten Linksfraktion in Brüssel, sei terrorverdächtig, auf Grund seiner Daten wurde Terroralarm ausgelöst. Unser Kollege wurde polizeilich befragt, seine Konten überprüft, das Europäische Parlament als sein Arbeitgeber informiert. Ihm wurde die Kündigung angedroht, ohne dass ihm etwas nachgewiesen werden konnte.
Nach Protesten unserer Fraktion entfiel die Kündigung, doch seither sind ihm Reisen auf den amerikanischen Kontinent verboten. Pech gehabt.
Ein drittes Beispiel sind Body Scanner,
die ich persönlich unter der Rubrik Placebos einordne. Seit 2010 ist der Body Scanner in GB Pflicht. Als sich zwei Frauen aus religiösen und gesundheitlichen Gründen weigerten, sich von einem Körperscanner durchleuchten zu lassen, wurde beiden der Flug verwehrt.
Allen Zweifeln zum Trotz hat der Verkehrsausschuss des EP am 31.8.2011 mehrheitlich beschlossen, dass Body Scanner in der EU eingesetzt werden dürfen, auch solche, die Rückschlüsse auf den Körper der gescannten Personen ermöglichen.
Ein viertes Beispiel: INDECT - Intelligentes Informationssystem zur Unterstützung von Überwachung, Suche und Erfassung für die Sicherheit von Bürgern in städtischer Umgebung.
Hierbei handelt es sich um ein EU-Projekt im Rahmen des 7.Forschungsrahmenprogramms, das alle Überwachungstechnologien zu einem universellen Überwachungsinstrument einer erkenntnisgestützten, proaktiven Polizeiarbeit bündeln soll.
Dazu erfolgt die Überwachung des Internets mit Hilfe von Suchmaschinen zum schnellen Auffinden von Bildern und Videos mithilfe von digitalen Wasserzeichen sowie automatisierte Suchroutinen zur Aufspürung von beispielsweise Gewalt oder „abnormalem Verhaltens“ von Bürgern. Die Polizei soll mit Hilfe von INDECT verdächtige bewegliche Objekte orten und verfolgen. Als verdächtig könnte damit bereits ein Rennen oder Flüchten auf öffentlichen Straßen bewertet werden.
So können Menschen, die einmal durch ihr Verhalten auffallen, lückenlos überwacht und verfolgt werden. Am INDECT-Projekt arbeiten mehrere Universitäten sowie private Unternehmen aus verschiedenen EU-Ländern, auch aus Deutschland, wie die Bergische Universität Wuppertal.
Den vier Beispielen ist gemeinsam:
dass sie anlasslos Daten nach dem Prinzip der Ratserfahndung und Vorratsdatenspeicherung erfassen, was z.B. nach deutschem Recht verboten ist;
dass die Betroffenen keinerlei Einfluss auf Erfassung, Verwendung und Speicherdauer ihrer Daten haben, Ihr Recht auf informationelle Selbstbestimmung wird außer Kraft gesetzt;
dass es keine Beweise für den Nutzen dieser Instrumente gibt. Hören wir Fachexperten: Zum SWIFT-Abkommen sagt der Bundesdatenschutzbeauftragte Schaar:“ „Die vorgesehene Weitergabe der Bankdaten aus Europa haben überwiegend keinen Bezug zu den USA. Es handelt sich nicht um Daten von US-Bürgern und auch nicht um Transaktionen in die und aus den Vereinigten Staaten. Betroffen wären rein innereuropäische oder sogar innerstaatliche Überweisungen“.
Zu PNR die europäische Initiative NoPNR:“ Man kann keine Terroristen damit fangen, es gibt keine Beweise für den Nutzen.“
Zum Nutzen von Body Scannern verweise ich auf das Ergebnis der in Deutschland durchgeführten Tests an ausgewählten Flughäfen: Die Fehlerquote von Body Scannern lag bei 75%. Es wurde festgestellt, dass herkömmliche Sicherheitskontrollen an Flughäfen sicherer sind als Body Scanner.
Und zu INDECT stellt der österreichische Datenschützer Hans Gerhard Zeger fest, dies würde „den Heuhaufen an Datenschrott vergrößern“ und man „würde die Nadel, also den gefährlichen Verbrecher nämlich, immer schwerer finden.“
Fazit: Einerseits hält die EU die Frage von Grund- und Freiheitsrechten höher als jedes nationale Parlament in Europa, so gibt es dafür im EP fraktionsübergreifend Mehrheiten.
Andererseits forciert die EU unter dem Mantel der Terror- und O.K.- Bekämpfung die Aushebelung eben derselben Individualrechte.
Wie ist diese Schizophrenie zu bewerten?
Das Kernproblem ist, dass die Kommission die Unbedingtheit und Universalität von bürgerlichen Freiheitsrechten dem staatlichen Sicherheitsbedürfnis unterordnet. Das heißt, dass Sicherheit die Einschränkung von Freiheitsrechten notwendig voraussetzt.
Keine Sicherheit ohne Einschränkung von Freiheitsrechten, keine Freiheitsrechte ohne Sicherheit. Freiheit durch Sicherheit. Damit wird der Bürger dem Staat gegenübergestellt und das Prinzip, so wenig Staat wie möglich, aufgehoben. Das ist keine akademische Debatte, sondern hat zur Folge, dass Freiheitsrechte je nach Grundbedürfnis des Staates in Frage gestellt werden. Dahinter verbirgt sich letztlich die Furcht der Staaten vor ihren Bürgern, die pauschal als Verdachtsobjekte eingestuft werden und nach dem Rasterprinzip ent- oder belastet werden können. Das ist keine einsame Erfindung der Kommission, sondern wird gestützt von den Mitgliedsstaaten. Dass aus Deutschland dennoch häufig gegensteuernde Positionen zu hören sind, hat nichts mit der Regierung zutun, als vielmehr mit Verfassungsrecht und BVG-Urteilen. So fällt es leicht, innerhalb der EU am Datenschutz zu sägen, auch weil die neuen Mitgliedsstaaten (nach 2004) haben keine Datenschutztradition haben. Der Innenminister des Internetvorzeigelandes Estland erklärte mir 2009, dass Datenschutz nicht so wichtig sei, alle Estländer seien dieser Auffassung. Ähnliches spürt man auch im Europäischen Parlament, wo Abgeordnete aus 27 Staaten, unterschiedlichster Herkünfte miteinander umgehen und Datenschutzdebatten noch zu häufig zwischen den Abgeordneten aus dem deutschsprachigen Raum ausgetragen werden. Die EVP-Fraktion, teilweise auch die S&D-Fraktion entziehen sich oftmals der Sicherheitslogik ihrer Regierungen nicht. Speziell Grüne, die Vereinigte Linke, teilweise auch die ALDE (Liberale) gehören zu den Gegenpolen, häufig hängen grundsätzliche Entscheidungen von den Liberalen ab. Beim gegenwärtigen EU-Australien Abkommen zu Fluggastdaten gibt es jedoch klare Mehrheiten zur Unterstützung dieses Abkommens, nur Grüne und Linke werden gemeinsam ein Minderheitenvotum gegen dieses Abkommen abgeben.
Schaut man sich die Gemengelage europäisch und international an, dann zeigt sich, wir stehen vor folgenden Herausforderungen für den Datenschutz:
1. Das Recht auf informationelle Selbstbestimmung muss wieder vom Kopf auf die Füße gestellt werden. Freiheit ist nicht die Dienstmagd einer imaginären Sicherheit. Natürlich müssen die Bürger sicher leben, aber dazu sollen bitteschön solche Instrumente genutzt werden, die dafür geeignet sind (Verstärkung der Ermittlungsarbeit der Polizei, Harmonisierung der polizeilichen und justiziellen Zusammenarbeit).
2. Wir brauchen einen vereinheitlichten Datenschutz in der EU und zwar auf höchstem Niveau. Trotz der 95er RL gibt es noch immer große Unterschiede in der EU. Wie lange bleiben meine Daten aufbewahrt und wer kann da ran, wenn ich in Tschechien mit der EC-Karte an der Tankstelle bezahle? Darf meine belgische Telefongesellschaft mein Geburtsdatum verlangen? Klare Regelungen sind notwendig, am besten löst sich das mit einer für alle MS verbindlichen Verordnung. Dafür benötigen wir ein Gesamtkonzept für den Datenschutz: derzeit gelten in der EU vier Richtlinien und Verordnungen zum Datenschutz, mit unterschiedlichem Schutzniveau. In allen Bereichen muss dasselbe hohe Niveau gelten.
3. Folgende Prinzipien des Datenschutzes sollen europaweit gelten: Datensparsamkeit und –vermeidung, Erforderlichkeit, Zweckbindung, Verhältnismäßigkeit, Transparenz, individuelle Mitsprache und Zugriffsrecht und Rechtsschutz der Betroffenen, Prinzip der Nichtdiskriminierung, der wirksamen und unabhängigen Kontrolle der Einhaltung des Datenschutzes, des angemessenen Schutzniveaus außerdem der EU.
4. Wir brauchen ein neues Verständnis für die Territorialität: durch den länderübergreifenden Charakter des Internets kann ein effektiver Datenschutz heute nicht mehr an den Staatsgrenzen halt machen. Ein effektives Datenschutzrecht muss also für alle in der EU gelten, unabhängig davon, wer wo die Daten verarbeitet. Der künftige Datenschutzrahmen der EU muss ortsunabhängig formuliert werden und gelten, solange dass Datensubjekt in der EU ist. Für andere Fälle wird man internationale Abkommen schließen müssen, die jedoch den Datenschutz nicht unterhöhlt dürfen.
5. Technikneutralität: muss sein, weil sonst die Regeln nach kurzer Zeit veralten, nicht mehr anwendbar sind oder durch neue Entwicklungen Löcher in den Datenschutz gerissen werden.
Lassen Sie mich mit dem Bundesdatenschutzbeauftragten schließen, der auf dem 5. Bundesdatenschutztag im Januar 2011 sagte:
„Der Datenschutz muss europaweit gestärkt werden. Die Debatte über den Datenschutz im Internet zeigt, dass nationale Regelungen allein nicht ausreichen. So vertreten globale Internetunternehmen wie Google und Facebook die Auffassung, nicht an das europäische Recht oder die Datenschutzgesetze der Mitgliedsstaaten gebunden zu sein. Die anstehenden Änderungen des europäischen Rechtsrahmens müssen gewährleisten, dass sich alle in Europa aktiven Unternehmen an die gleichen Standards zu halten haben.“
VIELEN DANK
ANHANG
Die RL und VO sind: RL 95/46/EG “zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr”, die eigentliche DS-RL, dann VO (EG) 45/2001, DS bei Verarbeitung durch Organe der EU, der Rahmenbeschluss 2008/977/JI des Rates zum Datenschutz im Rahmen der Justiz- und Polizeikooperation und die e-Privacy-RL 2002/58/EG, DS in der elektronischen Kommunikation.
Zu Google hinzufügen
