Leitfaden der Kommission zur Anwendung des EU-Datenschutzrechts im Zusammenhang mit Wahlen Ein Beitrag der Europäischen Kommission zum Treffen der Führungsspitzen in Salzburg am 19./20. September 2018

Leitfaden der Kommission zur Anwendung des EU-Datenschutzrechts im Zusammenhang mit Wahlen

Die Kommunikation mit der Wählerschaft ist die Grundlage jedes demokratischen Prozesses. Für politische Parteien ist es gängige Praxis, ihre Kommunikation auf die spezifischen Interessen der Wähler zuzuschneiden. Es ist daher nur logisch, dass an Wahlen beteiligte Akteure ausloten, inwieweit sie zugängliche Daten nutzbar machen können, um neue Stimmen zu gewinnen. Der Durchbruch der digitalen Tools und Online-Plattformen hat viele neue Möglichkeiten eröffnet, politische Debatten mit den Bürgerinnen und Bürgern zu führen.

Wie der Fall Cambridge Analytica unlängst gezeigt hat, ist es jedoch etwas ganz anderes, wenn auf der Grundlage der unrechtmäßigen Verarbeitung personenbezogener Daten Mikrotargeting-Techniken für Wahlzwecke entwickelt werden. Der Fall macht deutlich, welche Herausforderungen mit modernen Technologien verbunden sind, und zeigt auch, dass der Datenschutz im Wahlkontext von besonderer Bedeutung ist. Mikrotargeting-Techniken sind zu einem ernstzunehmenden Anliegen geworden, nicht nur für den Einzelnen, sondern auch für das Funktionieren unserer Demokratien, da sie eine ernsthafte Bedrohung für ein faires, demokratisches Wahlverfahren darstellen und das Potenzial haben, die Führung offener Debatten, Fairness und Transparenz zu untergraben, die in einer Demokratie unerlässlich sind. Die Kommission ist der Auffassung, dass dieses Anliegen dringend angegangen werden muss, um das Vertrauen der Öffentlichkeit in die Fairness der Wahlverfahren wiederherzustellen.

Die ersten Berichte der britischen Datenschutzbehörde (Information Commissioner’s Office) über die Verwendung von Datenanalysen in politischen Kampagnen und die Stellungnahme des Europäischen Datenschutzbeauftragten zu Online-Manipulation und personenbezogenen Daten haben bestätigt, dass das ursprünglich für kommerzielle Zwecke entwickelte Mikrotargeting zunehmend auch das Wahlverhalten beeinflusst.

In Bezug auf die allgemeinere Frage des Datenschutzes im Zusammenhang mit Wahlen sind mehrere Datenschutzbehörden tätig geworden.

Seit dem 25. Mai 2018 gilt die Verordnung (EU) Nr. 2016/679 des Europäischen Parlaments und des Rates (Datenschutz-Grundverordnung) unmittelbar in der gesamten Europäischen Union. Sie stellt der Union die Instrumente bereit, die für den Umgang mit Fällen von widerrechtlicher Nutzung personenbezogener Daten im Wahlkontext erforderlich sind. Um die Integrität der demokratischen Ordnung aber tatsächlich schützen zu können, bedarf es der konsequenten und einheitlichen Anwendung dieser Vorschriften. Da die Verordnung anlässlich der bevorstehenden Wahl zum Europäischen Parlament zum ersten Mal auf europäischer Ebene zur Anwendung kommen wird, ist es wichtig, für sämtliche an der Wahl beteiligten Akteure – d. h. für nationale Wahlbehörden, politische Parteien, Informationsbroker und Datenanalysten, Social-Media-Plattformen und Online-Werbenetzwerke – einen klaren Rahmen vorzugeben. Ziel dieses Leitfadens ist es daher, die für Wahlen relevanten Datenschutzverpflichtungen hervorzuheben. Die nationalen Datenschutzbehörden, deren Aufgabe die Durchsetzung der Datenschutz-Grundverordnung ist, müssen ihre erweiterten Befugnisse in vollem Maße nutzen, um mögliche Verstöße, insbesondere beim Mikrotargeting von Wählerinnen und Wählern, zu ahnden.

1.Der Datenschutzrahmen der Europäischen Union

Der Schutz personenbezogener Daten ist ein Grundrecht, das in der Charta der Grundrechte der Europäischen Union (Artikel 8) und in den Verträgen (Artikel 16 AEUV) verankert ist. Die Datenschutz-Grundverordnung baut darauf auf und bietet einen starken Datenschutzrahmen, der der Union bei Fällen von Missbrauch personenbezogener Daten künftig eine bessere Handhabe bietet und alle Akteure in Bezug auf die Verarbeitung personenbezogener Daten stärker in die Verantwortung nimmt.

Die Verordnung garantiert den Bürgerinnen und Bürgern in der Union zusätzliche und stärkere Rechte, die in Bezug auf Wahlen besonders wichtig sind. Die in den letzten 20 Jahren in der Union geltende Datenschutzregelung litt insbesondere unter der uneinheitlichen Anwendung der Vorschriften in den Mitgliedstaaten, dem Fehlen jeglicher formeller Mechanismen für die Zusammenarbeit zwischen den nationalen Datenschutzbehörden und deren eingeschränkten Durchsetzungsbefugnissen. Mit der Datenschutz-Grundverordnung wurden diese Mängel behoben: Ausgehend von den bewährten Datenschutzgrundsätzen wurden Schlüsselbegriffe – wie der Begriff der Einwilligung – vereinheitlicht, das Recht der Bürgerinnen und Bürger, über die Verarbeitung ihrer Daten informiert zu werden, gestärkt, die Bedingungen festgelegt, unter denen personenbezogene Daten übermittelt werden dürfen, Vorschriften für Fälle von Datenschutzverletzungen eingeführt, ein Mechanismus für die Zusammenarbeit zwischen den Datenschutzbehörden in grenzüberschreitenden Fällen geschaffen und die Durchsetzungsbefugnisse der Datenschutzbehörden ausgebaut. Bei Verstößen gegen die EU-Datenschutzvorschriften sind die Datenschutzbehörden befugt, diese Fälle zu untersuchen (z. B. durch Anforderung von Auskünften, Durchführung von Vor-Ort-Prüfungen in den Geschäftsräumen der Verantwortlichen und Auftragsverarbeitern) und eine Änderung der Vorgehensweisen zu verlangen (z. B. durch das Aussprechen von Verwarnungen und Verweisen oder die Anordnung einer befristeten oder endgültigen Aussetzung der Verarbeitung). Sie sind ferner befugt, Geldbußen in Höhe von bis zu 20 Mio. EUR oder – im Falle von Unternehmen – von bis zu 4 % des weltweiten Umsatzes zu verhängen. Bei der Entscheidung über die Verhängung von Geldbußen und deren Betrag haben die Datenschutzbehörden die Umstände des Einzelfalls und Faktoren wie Art, Umfang oder Zweck der Verarbeitung, Zahl der betroffenen Personen und Ausmaß des von ihnen erlittenen Schadens zu berücksichtigen. Im Wahlkontext ist es wahrscheinlich, dass die Verstöße beträchtlich und die betroffenen Personen sehr zahlreich sind. Daher könnten insbesondere angesichts der Bedeutung des Vertrauens der Bürger in die demokratischen Prozesse sehr hohe Geldbußen verhängt werden.

Der neu eingerichtete Europäische Datenschutzausschuss, in dem alle nationalen Datenschutzbehörden sowie der Europäische Datenschutzbeauftragte vertreten sind, spielt eine Schlüsselrolle bei der Anwendung der Datenschutz-Grundverordnung, indem er Leitlinien, Empfehlungen und Dokumente zu bewährten Verfahren veröffentlicht. Als mit der Durchsetzung der Datenschutz-Grundverordnung betraute Instanzen und direkte Ansprechpartner für alle Beteiligten obliegt es den nationalen Datenschutzbehörden, zusätzliche Rechtssicherheit bezüglich der Auslegung der Verordnung zu schaffen. Die Kommission unterstützt diese Arbeit nach Kräften.

Die Richtlinie über den Schutz der Privatsphäre in der elektronischen Kommunikation (Datenschutzrichtlinie für elektronische Kommunikation) (Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates) ergänzt den Datenschutzrahmen der Union und ist im Zusammenhang mit Wahlen von Bedeutung, da sie Bestimmungen über die elektronische Übermittlung unerbetener Nachrichten, auch zum Zwecke der Direktwerbung, enthält. Die Datenschutzrichtlinie für elektronische Kommunikation enthält auch Vorschriften über die Speicherung von Informationen auf Endgeräten wie Smartphones oder Computern und über den Zugang zu bereits gespeicherten Informationen, z. B. Cookies, mit denen das Online-Verhalten eines Nutzers verfolgt werden kann. Der Vorschlag der Kommission für eine Verordnung über Privatsphäre und elektronische Kommunikation‚ über den derzeit verhandelt wird, beruht auf denselben Grundsätzen wie die Datenschutzrichtlinie für elektronische Kommunikation. Mit der neuen Verordnung soll der Anwendungsbereich über die herkömmlichen Telekommunikationsbetreiber hinaus auf internetgestützte elektronische Kommunikationsdienste ausgeweitet werden.

2.Wichtigste Pflichten der einzelnen Akteure

Die Datenschutz-Grundverordnung betrifft alle Akteure, die im Zusammenhang mit Wahlen aktiv sind, wie europäische und nationale politische Parteien (im Folgenden: „politische Parteien“), europäische und nationale politische Stiftungen (im Folgenden: „Stiftungen“), Plattformen, Anbieter von Datenanalysen und die für Wahlverfahren zuständigen Behörden. Diese dürfen personenbezogene Daten (z. B. Namen und Adressen) nur auf rechtmäßige Weise, nach Treu und Glauben und in nachvollziehbarer Weise für ganz bestimmte Zwecke verarbeiten. Sie können diese Daten nicht in einer Weise weiterverwenden, die mit den Zwecken, für die die Daten ursprünglich erhoben wurden, nicht vereinbar ist. Die Verarbeitung zu journalistischen Zwecken fällt prinzipiell ebenfalls in den Anwendungsbereich der Datenschutz-Grundverordnung, für sie können jedoch aufgrund der Bedeutung der Freiheit der Meinungsäußerung und der Informationsfreiheit in einer demokratischen Gesellschaft gemäß den nationalen Rechtsvorschriften Abweichungen oder Ausnahmen vorgesehen werden.

Der Begriff der personenbezogenen Daten ist umfassend auszulegen. Personenbezogene Daten sind alle Informationen, die eine bestimmte oder bestimmbare natürliche Person betreffen. Daten, die im Rahmen einer Wahl verarbeitet werden, umfassen häufig besondere Kategorien personenbezogener Daten („sensible Daten“), wie politische Meinungen, Gewerkschaftszugehörigkeit, ethnische Herkunft, Sexualleben usw., für die strengere Schutzvorschriften gelten. Darüber hinaus können Datenanalysen aus Datensätzen mit nichtsensiblen Daten „sensible Daten“ (z. B. politische Meinungen, aber auch religiöse Überzeugungen oder die sexuelle Ausrichtung) ableiten. Die Verarbeitung dieser abgeleiteten Daten fällt ebenfalls in den Anwendungsbereich der Datenschutz-Grundverordnung und sollte daher im Einklang mit allen Datenschutzbestimmungen erfolgen.

Zusammenfassend ist festzustellen, dass praktisch alle wahlbezogenen Datenverarbeitungsvorgänge unter die Datenschutz-Grundverordnung fallen.

Um den an den Wahlen beteiligten Akteuren ein klares Bild zu verschaffen, werden in den folgenden Abschnitten unter Berücksichtigung der ersten Erkenntnisse aus dem Fall „Cambridge Analytica“ die Datenschutzverpflichtungen hervorgehoben‚ die im Zusammenhang mit Wahlen von besonderer Bedeutung sind. Sie sind im Anhang zusammengefasst.

2.1Verantwortliche und Auftragsverarbeiter

Der Begriff der Rechenschaftspflicht der für die Datenverarbeitung Verantwortlichen sowie der gemeinsam für die Datenverarbeitung Verantwortlichen ist eine zentrale Komponente der Datenschutz-Grundverordnung. Für die Datenverarbeitung verantwortlich ist die Organisation, die allein oder in Zusammenarbeit mit anderen entscheidet, warum und wie die personenbezogenen Daten verarbeitet werden. Auftragsverarbeiter verarbeiten personenbezogene Daten nur im Auftrag und auf Anweisung des Verantwortlichen (wobei ihr Arbeitsverhältnis in einem Vertrag oder einem anderen verbindlichen Rechtsakt festgelegt ist). Die Verantwortlichen müssen von Anfang an den Risiken angemessene Maßnahmen treffen, den Datenschutz durch geeignete Technikgestaltung umsetzen und nachweisen können, dass sie die Bestimmungen der Datenschutz-Grundverordnung (Grundsatz der Rechenschaftspflicht) einhalten.