DE Amtsblatt der Europäischen Union C 463/10

Zusammenfassung der Stellungnahme des Europäischen Datenschutzbeauftragten zu Systemen für das Personal Information Management (PIM)

(Der vollständige Text dieser Stellungnahme ist in deutscher, englischer und französischer Sprache auf der Internetpräsenz des EDSB unter www.edps.europa.eu erhältlich)

(2016/C 463/10)

Diese Stellungnahme untersucht das Konzept, das hinter Technologien und Ökosystemen steht, mit denen Menschen in die Lage versetzt werden sollen, die Weitergabe ihrer personenbezogenen Daten zu kontrollieren („Personal Information Management-Systeme“ oder kurz „PIMS“).

Uns schwebt die Schaffung einer neuen Realität vor, in der Menschen ihre Online-Identität managen und kontrollieren können. Unser Ziel ist es, das derzeitige anbieterzentrierte System in ein menschenzentriertes System umzuwandeln, in dem natürliche Personen vor der unrechtmäßigen Verarbeitung ihrer Daten und vor in ihre Privatsphäre eindringenden Techniken des Nachverfolgens von Verhalten und der Profilerstellung (Tracking and Profiling) geschützt werden, mit denen zentrale Grundsätze des Datenschutzes umgangen werden sollen.

Unterstützt wird diese neue Realität durch den modernisierten EU-Regelungsrahmen und die Möglichkeiten, die sich aus entschlossener, gemeinschaftlicher Durchsetzung durch alle einschlägigen Aufsichts-und Regulierungsbehörden ergeben.

Die vor kurzem verabschiedete Datenschutz-Grundverordnung (DSGV) stärkt und modernisiert den rechtlichen Rahmen, damit er im Zeitalter von Big Data wirksam bleibt; hierzu muss das Vertrauen des Einzelnen in Online-Aktivitäten und in den digitalen Binnenmarkt gestärkt werden. Die neuen Vorschriften, unter anderem zu mehr Transparenz und starken Rechten auf Auskunft und Datenübertragbarkeit, können als Voraussetzung dafür dienen, dass Benutzer mehr Kontrolle über ihre Daten haben, und sie können ferner zur Entwicklung effizienterer Märkte für personenbezogene Daten zugunsten von Verbrauchern und Unternehmen beitragen.

Erst unlängst haben wir eine Stellungnahme zur wirksamen Durchsetzung von Grundrechten im Zeitalter von Big Data herausgegeben. Darin werden die bestehenden Marktbedingungen und Geschäftspraktiken hervorgehoben, die einer wirksamen Ausübung der Rechte natürlicher Personen auf den Schutz ihrer personenbezogenen Daten und anderer Grundrechte im Wege stehen, und wird gefordert, die abgestimmte und kohärente Durchsetzung von Wettbewerbs-, Verbraucherschutz- und Datenschutzrecht zu intensivieren. Wir hoffen, dass sich mit einer solchen intensiveren Durchsetzung Marktbedingungen herstellen lassen, in denen datenschutzfreundliche Dienste gedeihen können. Der in dieser Stellungnahme verfolgte Ansatz zielt auf die Stärkung von Grundrechten in unserer digitalen Welt und gleichzeitig auf die Eröffnung neuer Chancen für Unternehmen ab, auf gegenseitigem Vertrauen beruhende innovative, auf personenbezogenen Daten fußende Dienste zu entwickeln. PIMS versprechen, nicht nur ein neue technische Architektur und Organisation für das Datenmanagement zu bieten, sondern auch Rahmen, in denen Vertrauen entstehen kann und daraus wiederum alternative Geschäftsmodelle für die Erhebung und Verarbeitung personenbezogener Daten im Zeitalter von Big Data auf eine Weise werden können, die dem europäischen Datenschutzrecht besser Rechnung tragen.

In dieser Stellungnahme beschreiben wir kurz, was PIMS sind, welche Probleme sie lösen sollen und wie das geschehen soll. Im Anschluss daran gehen wir der Frage nach, wie sie zu einem besseren Schutz personenbezogener Daten beitragen können und vor welchen Herausforderungen sie dabei stehen. Abschließend befassen wir uns mit künftigen Möglichkeiten, die von ihnen gebotenen Chancen sinnvoll zu nutzen. Damit neue Geschäftsmodelle für den Datenschutz Erfolg haben, sind möglicherweise weitere Anreize für die Dienstanbieter erforderlich, die diese anbieten. So sollte insbesondere in Erfahrung gebracht werden, welche politischen Initiativen Verantwortliche dazu motivieren könnten, diese Art der Datenbereitstellung zu akzeptieren. Ferner könnte eine Initiative öffentlicher Dienststellen, PIMS als Datenquelle an Stelle einer direkten Datenerhebung zu akzeptieren, die kritische Masse für eine Akzeptanz von PIMS vergrößern.

Die neu entstehende Landschaft von PIMS, mit denen natürlichen Personen und Verbrauchern die Kontrolle über ihre personenbezogenen Daten zurückgegeben werden soll, verdient Betrachtung, Unterstützung und weitere Erforschung im Hinblick darauf, dass sie einen Beitrag zu einer nachhaltigen und ethisch verantwortlichen Verwendung von Big Data und zu einer wirksamen Umsetzung der Grundsätze des kürzlich verabschiedeten DSGV leisten kann.

I. PIMS: IST DIE WEITERGABE VON DATEN MIT DER WEITERGABE VON VORTEILEN GLEICHZUSETZEN?

1. Die derzeitigen Bedingungen für die Verarbeitung personenbezogener Daten sind häufig den Personen gegenüber unfair, deren Daten verarbeitet werden. Rechtliche Lage und technische Instrumente erschweren natürlichen Personen die Ausübung ihrer Rechte und erlauben den Verantwortlichen, ihre Haftung zu beschränken. Informationsbroker, Werbenetzwerke, Anbieter von sozialen Netzwerken und andere Akteure in Gestalt von Unternehmen verfügen mehr denn je über vollständige Dossiers über Menschen, die an der heutigen digitalen Gesellschaft teilnehmen, und die Menschen verlieren die Kontrolle über den digitalen Fußabdruck, den sie hinterlassen. Menschen, die von Akteuren, über die sie keine Kontrolle haben oder von denen sie meist gar nichts wissen, gezielt beobachtet werden, Gegenstand einer Profilerstellung und Bewertung durch sie sind, fühlen sich hilflos und müssen in die Lage versetzt werden, Kontrolle über ihre Identität zu gewinnen. Auch wenn die Menschen formal eine Art „Hinweis“ oder die Möglichkeit erhalten haben, ihre „Einwilligung“ zu allgemeinen Geschäftsbedingungen zu geben, finden sie sich häufig in einem System wieder, das darauf angelegt ist, aus personenbezogenen Daten möglichst großen Profit zu schlagen, womit den Menschen keine echte Wahl oder Kontrolle bleibt.

2. In ihrer Mitteilung zu Big Data (1) legt die Europäische Kommission einen Aktionsplan vor, der sowohl auf den Schutz personenbezogener Daten als auch auf den Verbraucherschutz abhebt. Darin wird insbesondere dazu aufgefordert, „persönliche Datenräume“ als nutzerzentrierte, sichere und gesicherte Orte für die Speicherung personenbezogener Daten zu verwenden, an denen möglicherweise auch andere Zugriff auf diese personenbezogenen Daten erhalten können. Wir teilen die Ansicht, dass innovative digitale Instrumente und Geschäftsmodelle auf der Grundlage gestärkter Rechte natürlicher Personen gefördert werden sollten. Sie könnten natürlichen Personen gestatten, von diesem Datenaustausch zu profitieren, also an der Verwendung und Verbreitung ihrer personenbezogenen Informationen mitzuwirken.

3. In unserer Stellungnahme „Bewältigung der Herausforderungen in Verbindung mit Big Data“ (2) haben wir dafür plädiert, die gesetzliche Verpflichtung einer wirksamen Einwilligung durch eine echte, praktische Kontrolle über personenbezogene Informationen zu ergänzen. So heißt es dort: „…statt einem Verwaltungsaufwand gleichzukommen, könnte die Gewährung von Auskunftsrechten ein Merkmal der Dienstleistung für den Kunden werden“, und weiter heißt es, dass Organisationen, die Big Data verwenden, „auch bereit sein sollten, das durch die Verarbeitung personenbezogener Daten geschaffene Vermögen mit denjenigen zu teilen, deren Daten sie verarbeiten“. In diesem Zusammenhang stellten wir fest: „Mithilfe von persönlichen Datenbeständen könnten einige der Bedenken bezüglich des Verlustes der persönlichen Kontrolle über personenbezogene Daten … ausgeräumt werden“. In der kürzlich verabschiedeten Datenschutz-Grundverordnung (DSGV) (3) wurden die rechtlichen Anforderungen an die Einwilligung verschärft (4) und wurden die wirksamen, modernen Grundsätze des Datenschutzes durch Technik und des Datenschutzes durch datenschutzfreundliche Voreinstellungen (5) sowie das neue Recht auf Datenübertragbarkeit (6) eingeführt. Damit das neue Regelwerk für den Datenschutz den hohen Erwartungen gerecht werden kann, brauchen wir praxisnahe Instrumente, die Menschen dabei helfen, ihre Rechte auf unproblematische, benutzerfreundliche Weise wahrzunehmen.

4. In dieser Stellungnahme geht es um neue Technologien und Ökosysteme, mit denen Menschen in die Lage versetzt werden sollen, über die Erhebung und Weitergabe ihrer personenbezogenen Daten Kontrolle auszuüben. Dieses Konzept wird von uns als „Personal Information Management-System“ („PIMS“) bezeichnet (7). Das PIMS-Konzept eröffnet einen neuen Ansatz, dem zufolge Menschen Besitzer ihrer eigenen personenbezogenen Daten sind. Denkbar ist, dass es zu einem Paradigmenwechsel beim Management und der Verarbeitung personenbezogener Daten mit den entsprechenden sozialen und wirtschaftlichen Konsequenzen kommt. Die derzeitige Landschaft von Online-Diensten ist hingegen von einer kleinen Zahl von Dienstanbietern gekennzeichnet, die den Markt beherrschen und die personenbezogenen Daten von Nutzern als Gegenleistung für „kostenlose“ Dienste zu Geld machen. Häufig geht dies mit einem Machtungleichgewicht einher, bei dem der Kunde vor der Wahl steht „Friss oder stirb“, sowie mit einer Informationsasymmetrie zwischen Dienstanbietern und Nutzern, bei der nur wenig oder gar keine Transparenz für die Menschen darüber gegeben ist, was mit ihren personenbezogenen Daten eigentlich geschieht.

5. Der hinter dem PIMS-Konzept stehende Kerngedanke besteht darin, das derzeitige anbieterzentrierte System in ein System umzuwandeln, dass voll darauf abgestellt ist, Menschen zum Management und zur Kontrolle ihrer Online-Identität zu befähigen (8). Grundsätzlich sollten Menschen in der Lage sein, darüber zu entscheiden, ob und mit wem, zu welchem Zweck und für welchen Zeitraum sie ihre personenbezogenen Informationen teilen möchten, und sie sollten sie im Auge behalten und gegebenenfalls entscheiden können, sie wieder zurückzunehmen. Es lohnt sich, der Frage nachzugehen, wie PIMS helfen könnten, einige der Bedenken bezüglich des Verlustes der persönlichen Kontrolle über personenbezogene Daten auszuräumen, der als eines der zentralen Anliegen bezüglich von Big Data häufig genannt wird (9).

6. Dieser Ansatz zielt auf die Stärkung von Grundrechten in unserer digitalen Welt und gleichzeitig auf die Eröffnung neuer Chancen für Unternehmen ab, auf gegenseitigem Vertrauen beruhende innovative, auf personenbezogenen Daten fußende Dienste zu entwickeln. PIMS versprechen, eine neue technische Architektur und Organisation für das Datenmanagement zu bieten, aus denen „Vertrauensrahmen“ erwachsen sollen. Sie hoffen, für die Erfassung und Verarbeitung personenbezogener Daten im Zeitalter von Big Data alternative Geschäftsmodelle zu ermöglichen, die in stärkerem Maße dem europäischen Datenschutzrecht entsprechen.

7. In dieser Stellungnahme beschreiben wir kurz, was PIMS sind, welche Probleme sie lösen sollen und wie das geschehen soll (10). Wir gehen der Frage nach, wie sie zu einem besseren Schutz personenbezogener Daten beitragen können und vor welchen Herausforderungen sie dabei stehen. Abschließend befassen wir uns mit künftigen Möglichkeiten, die von ihnen gebotenen Chancen sinnvoll zu nutzen.

IV. SCHLUSSFOLGERUNGEN UND NÄCHSTE SCHRITTE

4.1. Hin zu einer vollständigen Anwendung der DSGV

54. Wie bereits erwähnt, hat der EU-Gesetzgeber vor kurzem ein Datenschutzreformpaket verabschiedet, mit dem der Regelungsrahmen gestärkt und modernisiert wird, damit er auch im Zeitalter von Big Data greift.

55. Die neue DSGV mit Vorschriften zur Verbesserung der Transparenz und wirkungsvollen Rechten auf Auskunft und Datenübertragbarkeit sollte natürlichen Personen nicht nur mehr Kontrolle über ihre Daten verleihen, sondern auch zu effizienteren Märkten für personenbezogene Daten beitragen, zugunsten sowohl von Verbrauchern als auch von Unternehmen.

56. Verhaltenskodizes und Zertifizierungsregelungen, wie sie in der DSGV vorgesehen sind, sind bevorzugte Instrumente, mit denen Technologien und Produkten besondere Sichtbarkeit und Funktion verliehen werden kann, die — wie PIMS — dazu dienen können, das Datenschutzrecht in der Praxis wirksamer umzusetzen.

57. PIMS stehen jedoch vor der großen Schwierigkeit, dass sie sich auf einem Markt durchsetzen müssen, der von Online-Diensten beherrscht wird, die sich auf Geschäftsmodelle und technische Architekturen stützen, bei denen Menschen keine Kontrolle über ihre Daten haben, wie in Abschnitt 3.9 ausgeführt. Der Umstieg auf eine Situation, in der natürliche Personen tatsächlich die Möglichkeit haben, einem Dienstanbieter Zugriff auf einige ihrer Daten in einem PIMS zu gewähren und ihm nicht direkt die Daten einzureichen, wird zusätzliche Anreize für die Dienstanbieter erfordern. Die Kommission könnte die von ihr angekündigten Initiativen zu Datenflüssen und Eigentumsrechten an Daten (11) zur Klärung der Frage heranziehen, welche weiteren politischen Initiativen Verantwortliche motivieren könnten, diese Art der Datenbereitstellung zu akzeptieren. Ferner könnte eine Initiative öffentlicher eGovernment-Dienste, PIMS als Datenquelle an Stelle einer direkten Datenerhebung zu akzeptieren, die kritische Masse für eine Akzeptanz von PIMS vergrößern.

58. Diese Analyse könnte mit Maßnahmen ergänzt werden, mit denen das technische, gesellschaftliche und wirtschaftliche Fundament gelegt wird, einschließlich Normungsbemühungen, wirtschaftlicher Anreize und Förderung von Forschung und Pilotprojekten.

59. Die Verwaltungen der Europäischen Union und der Mitgliedstaaten und von ihnen gemeinsam finanzierte Projekte sind die ersten Stellen, an denen dieser Perspektivenwechsel getestet, gefördert und hoffentlich realisiert werden sollte.

4.2. Unterstützung von PIMS und der ihnen zugrunde liegenden Technologie für wirksamen Datenschutz

60. Gute Vorschriften sind zwar unerlässlich, reichen allein aber nicht aus. Wie wir bereits in unserer Stellungnahme „Bewältigung der Herausforderungen in Verbindung mit Big Data“ (12) ausgeführt haben, sollten Unternehmen und andere Organisationen, die viel Zeit und Mühe in innovative Möglichkeiten für die Nutzung personenbezogener Daten investieren, bei der Umsetzung von Datenschutzgrundsätzen das gleiche innovative Denken an den Tag legen.

61. Die Technologie leistet einen grundlegenden Beitrag zum PIMS-Modell. PIMS können dazu dienen, Konzepte des Datenschutzes durch Technik und die sie tragenden Technologien zu testen. Nachstehend einige relevante Forschungsthemen, für die Unterstützung und Investitionen benötigt werden: interoperables und datenschutzfreundliches Identitätsmanagement; Authorisierungsmechanismen; Dateninteroperabilität; Datensicherheit; Mechanismen für die automatische Durchsetzung von „Verträgen“ zwischen natürlichen Personen und anderen Parteien. All dies erfährt seinen Durchbruch durch Kryptographie und Verschlüsselung und wird durch die billige Verfügbarkeit von Rechenleistung angeregt. Damit die derzeit bestehenden Chancen nicht ungenutzt verstreichen, ist in dieser Anfangsphase in entscheidendem Umfang Unterstützung durch politische Entscheidungsträger wie die Kommission für die Grundlagenforschung und die angewandte Forschung in diesen Technologiebereichen erforderlich.

62. Zur Förderung von Forschung und Entwicklung im Bereich der PIMS und ihres Einsatzes auf dem Markt empfehlen wir der Kommission, nach möglichen Synergien mit anderen Bereichen der Strategie für den digitalen Binnenmarkt wie Cloud Computing und Internet der Dinge zu suchen. Auf diese Weise könnten Pilotprojekte zur Gestaltung und zum Testen der Interaktion von Cloud-Diensten und dem Internet der Dinge mit PIMS durchgeführt werden.

4.3. Wie bringt der EDSB diese Debatte voran?

63. Ziel des EDSB ist es, private und öffentliche Anstrengungen, die in die vorstehend aufgezeigte Richtung gehen, mit zu unterstützen. Wir werden auch weiterhin die Debatte fördern, auch durch Veranstaltungen/Workshops, auf denen es beispielsweise darum gehen könnte, gute Vorgehensweisen zu ermitteln, zu ermutigen und zu fördern, um größere Transparenz und Nutzerkontrolle herzustellen und die von PIMS gebotenen Möglichkeiten zu erkunden. Wir werden ferner auch in Zukunft die Arbeit des Internet Privacy Engineering Network (IPEN) als eines interdisziplinären Wissenszentrums für Ingenieure und Datenschutzexperten fördern. In diesem Zusammenhang werden wir weiterhin eine Plattform für Entwickler und Träger von PIMS bereitstellen, auf der sie sich mit Spezialisten für andere Technologien und Datenschutz austauschen können.

Marrakesch, den 20. Oktober 2016 Giovanni BUTTARELLI Europäischer Datenschutzbeauftragter

(1) Mitteilung COM(2014) 442 Für eine florierende datengesteuerte Wirtschaft: https://ec.europa.eu/digital-single-market/en/news/communication-data-driven-economy.

(2) Stellungnahme 7/2015 des EDSB: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-11-19_Big_Data_DE.pdf. Siehe insbesondere Abschnitt 3.

(3) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) (ABl. L 119 vom 4.5.2016, S. 1).

(4) Siehe unter anderem Artikel 6 Absatz 1 Buchstabe a, Artikel 7, Artikel 8 und Erwägungsgründe 42f. DSGV.

(5) Artikel 25 DSGV.

(6) Artikel 20 DSGV.

(7) „Persönliche Datenbestände“, „persönliche Datenräume“ und „persönliche Datendepots“ sind verwandte Konzepte. In dieser Stellungnahme verwenden wir den Begriff „PIMS“, da er nach unserer Ansicht das Konzept allgemein und leicht verständlich beschreibt. Die in dieser Stellungnahme verwendete Abkürzung „PIMS“ kann entweder als Singular oder als Plural verstanden werden, also als Personal Information Management-System oder als Personal Information Management-Systeme.

(8) Siehe Erwägungsgrund 7 der DSGV: „Natürliche Personen sollten die Kontrolle über ihre eigenen Daten besitzen“. Siehe ferner beispielsweise Doc Searls, The Intention Economy: When Customers Take Charge (Boston: Harvard Business Review Press, 2012).

(9) Siehe zum Beispiel Ira S. Rubinstein, Big Data: The End of Privacy or a New Beginning? International Data Privacy Law, 2013, Vol 3, No 2.

(10) Siehe beispielsweise den Bericht über Persönliche Datenbestände, den die University of Cambridge für die Europäische Kommission abgefasst hat: https://ec.europa.eu/digital-single-market/en/news/study-personal-data-stores-conducted-cambridge-university-judge-business-school.

(11) Mitteilung: Digitalisierung der europäischen Industrie — Die Chancen des digitalen Binnenmarkts in vollem Umfang nutzen http://europa.eu/rapid/press-release_MEMO-16-1409_de.htm.

(12) Bereits zitierte Stellungnahme 7/2015 des EDSB.