Gisela Piltz (NA), 2012-11-08:
Die EU hat sich ein großes Ziel gesetzt: ein moderner und europaweit verlässlicher Datenschutz. Für
über 500 Millionen Menschen in 27 Staaten und knapp
20 Millionen Unternehmen sollen künftig ein und dieselben Regelungen für den Umgang mit personenbezogenen Daten gelten, egal, ob die Daten im eigenen Land
oder beispielsweise im E-Commerce über Staatengrenzen hinweg verarbeitet werden.

Dabei macht die rasante technische Entwicklung der
vergangenen Jahrzehnte eine Modernisierung des Datenschutzes erforderlich. Der Datenschutz steht vor

Zu Protokoll gegebene Reden




neuen Herausforderungen, weil die digitale Datenverarbeitung neben neuen Chancen auch neue Risiken mit
sich bringt. Die falsche Herangehensweise wäre, die Digitalisierung und das Internet als Büchse der Pandora
zu betrachten und zu versuchen, deren Deckel wieder zu
schließen. Nicht nur war das schon bei Pandora ein
hoffnungsloses Unterfangen und wäre es erst recht in
Bezug auf Internet und neue Medien, die schon längst
zum Alltag gehören und daraus auch nicht wegzudenken
oder zu verdrängen sind, sondern es wäre auch ein gedanklich falscher Ansatz. Der richtige Ansatz ist, ein
Datenschutzrecht zu schaffen, das den mündigen Bürger
als Herrn über seine Daten begreift und auch so behandelt.

Der Ausgangspunkt muss daher sein, dass alle personenbezogenen Daten privat, das heißt in der freien Verfügungsgewalt des Betroffenen, sein müssen - und es für
ihre Verarbeitung stets besonderer Voraussetzungen bedarf. „Datenautonomie“ ist das Prinzip unseres Datenschutzverständnisses. Datenautonomie bedeutet, dass
jeder für sich entscheiden kann, ob oder ob nicht er
seine Daten zur Verfügung stellt. Damit es eine wirklich
autonome Entscheidung ist, bedarf es des mündigen Entscheiders, der seine Entscheidung auf ausreichende Information stützt. Datenautonomie heißt aber gerade
nicht, die Entscheidung nur dann zuzulassen, wenn es
um die Zurückhaltung von Daten geht, sondern auch,
wenn es um die Preisgabe von Daten geht. Datenschutz
darf man nicht als Schutz des Menschen vor sich selbst
missverstehen. Das wäre eben gerade keine selbstbestimmte, mündige Entscheidung. Das wäre Datentotalitarismus.

Es muss also darum gehen, einen Rahmen zu setzen,
in dem nicht die Verarbeitung personenbezogener Daten
verboten oder bis an den Rande eines Verbots eingeschränkt wird, sondern in dem die Eigenverantwortung
des Einzelnen das tragende Element ist. Dazu bedarf es
klarer Vorgaben, wer die Daten des Einzelnen haben
darf, nutzen darf und vor allem, unter welchen Voraussetzungen das geschehen darf. Von dieser Überzeugung
lassen wir uns leiten in unserer Stellungnahme nach
Art. 23 Grundgesetz, mit der wir der Bundesregierung
die Marschrichtung vorgeben, wie sie für Deutschland,
für die Menschen in unserem Land, in Brüssel votieren
soll.

Darin unterscheidet sich unsere Stellungnahme auch
ganz wesentlich von derjenigen, die die Sozialdemokraten hier letzte Woche vorgelegt haben: Wir trauen den
Menschen zu, dass sie selbst entscheiden können. Wir
vertrauen der Klugheit und dem Selbstbewusstsein der
Menschen, wenn es darum geht, ob sie ihrem Arbeitgeber durch Einwilligung erlauben, Daten zu erheben für
die freiwillige betriebliche Altersvorsorge oder den
Platz im Betriebskindergarten. Die Sozialdemokraten
hingegen wollen das verbieten. Sie meinen, dass der Gesetzgeber den Menschen die Entscheidung abnehmen
und den Arbeitgebern eine gesetzliche Ermächtigung
geben sollte, aber natürlich nur für die Fälle, die die Sozialdemokraten für gut halten. Aber wenn dann ein Angebot kommt, was zwar ohne Zweifel für den Arbeitnehmer vorteilhaft wäre, aber der SPD heute nicht eingefallen ist oder nicht bekannt war, weil es in der rasanten
technischen Entwicklung erst entsteht, dann ist es halt
verboten. Das ist Politik nach Gutsherrenart - und lässt
jeden Respekt für den mündigen Bürger vermissen.

Wir wollen zudem, dass neben Einwilligung und gesetzlicher Ermächtigung auch Betriebsvereinbarungen
und Tarifverträge in der EU-Verordnung als Rechtfertigungsgrundlagen für Datenerhebungen einbezogen werden. Schleierhaft bleibt mir an dieser Stelle die Verweigerungshaltung der Gewerkschaften selbst, denn in
beiden Fällen sitzen sie doch regelmäßig mit am Tisch
und stimmen den Vereinbarungen zu.

Nicht nur den Bürgerinnen und Bürgern trauen wir
zu, selbst zu entscheiden. Wir setzen auch auf Selbstregulierung in der Wirtschaft. Datenschutz ist in der Informationsgesellschaft ein Wettbewerbsmerkmal - und guter Datenschutz ein Wettbewerbsvorteil. Alle Unternehmen, die von Datenschutzskandalen betroffen waren,
haben das erlebt: Kundenvertrauen basiert auch darauf,
dass mit den Kundendaten sorgsam umgegangen wird.
Deshalb ist es falsch, funktionierende Selbstregulierung
durch staatliche Allzuständigkeit zu ersetzen. Dazu gehört einmal der Punkt, dass der Erhalt unseres bewährten Systems der betrieblichen Datenschutzbeauftragten
unbedingt erforderlich ist. Die Vorschläge der Kommission würden durch den viel zu hohen Schwellenwert von
250 Mitarbeitern den betrieblichen Datenschutz völlig
aushöhlen. Dazu gehört aber auch, dass Instrumente des
Selbst- und Systemdatenschutzes, etwa ein Datenschutzgütesiegel, in das neue Recht Eingang finden.

Das Bundesverfassungsgericht hat in seiner Volkszählungsentscheidung, in der Geburtsstunde unseres
Grundrechts auf informationelle Selbstbestimmung, gesagt, dass es kein belangloses Datum mehr geben könne.
Das gilt in der Informationsgesellschaft umso mehr. In
einer Zeit, in der alles mit allem verknüpft werden kann,
in der schon ein einfaches Handy mit früher nicht vorstellbaren Rechenkapazitäten ausgestattet ist, kann ein
Datum durch die Verknüpfung auf einmal viel mehr aussagen, als es allein und nur für sich ausgesagt hätte.

Denkt man hier konsequent weiter, kommt man
schnell zu dem Ergebnis, dass eigentlich alle Daten, von
Atlanten bis Zuschauerquoten, mit anderen Daten verknüpft und letztendlich auch mit einer Person in Verbindung gebracht werden könnten. Dass darin Gefahren für
die Persönlichkeitsrechte liegen, wird niemand ernsthaft
bestreiten wollen. Dass aber umgekehrt auch nicht jedem, der Faltstraßenkarten erstellt, zugerechnet werden
kann, dass womöglich seine Karte mit anderen Daten
zusammengewürfelt werden, liegt auch auf der Hand.
Hier einen fairen Ausgleich zu finden, der berücksichtigt, wie Daten verwendet werden können, aber zugleich
berücksichtigt, wie weit jeder, der Daten, die zunächst
für sich allein stehen, verarbeitet, verantwortlich gemacht werden kann für das, was womöglich ein Dritter
damit machen könnte, ist wohl die härteste Herausforderung für ein modernes Datenschutzrecht. Herr Dix, der
Berliner Landesdatenschutzbeauftragte, sagte letztens
bei dem vom Bundesinnenministerium veranstalteten
Kongress zum geplanten EU-Datenschutzrecht, dass

Zu Protokoll gegebene Reden



man über eine Differenzierung durchaus nachdenken
könne, solange das nicht dazu führe, dass durch
schlichte Festlegung Teile der personenbezogenen Daten schlichtweg vom Schutz ausgenommen würden.

Dem folgend setzen wir uns dafür ein, dahin gehend
zu differenzieren, wie streng das Schutzniveau im Einzelnen ist, und zwar danach, welches Gefährdungspotential
in einer Datenverarbeitung liegt. Eine Datenverarbeitung, beispielsweise für die Rechnungserstellung des
Klempners, birgt deutlich weniger Gefahren für die Persönlichkeitsrechte des Betroffenen als eine Datenverarbeitung durch eine Freunde-Finde-App auf dem Smartphone. Dass hier also an den Klempner als Datenverarbeiter andere Anforderungen zu stellen sind als an
den Hersteller einer App, die in Echtzeit Standortdaten
übermittelt, liegt für uns auf der Hand.

Ganz anders denken hier aber wieder die Sozialdemokraten. In deren Antrag wollen sie die Bundesregierung verpflichten, sich in Brüssel dafür einzusetzen,
dass zum Beispiel jegliche Datenübertragung personenbezogener Daten auf elektronischem Wege nach dem
Stand der Technik gesichert sein müsse. Jede Datenübertragung - das ist dann auch das Einstellen eines
Photos auf Flickr durch den Betroffenen selbst. Jede Datenübertragung - das ist jede personalisierte E-Mail.
Das ist also ganz offensichtlich völlig an der Sache vorbei. Mit solchen Vorschlägen schüttet man das Kind mit
dem Bade aus und bringt den einfachen, schnellen und
unkomplizierten Datenaustausch zum Erliegen. Ganz offensichtlich ist es zwingend, dass die elektronische
Übermittlung von Datensätzen, beispielsweise von Mitarbeiterdaten oder Versicherungsdaten oder auch Behördendatensätzen, so gesichert sein muss, dass der unberechtigte Zugriff Dritter ausgeschlossen ist. Aber für
den Abruf von Daten, die im Telefonbuch mit Einwilligung des Betroffenen veröffentlicht sind, eine gesicherte
Übertragung vorzuschreiben, ist ebenso offensichtlicher
Unsinn.

Damit wird aber ein Kernproblem offenbar, das die
Datenschutzregulierung im Informationszeitalter mit
sich bringt: Wir brauchen Regelungen, die anwendbar
und praktikabel sind für ganz unterschiedliche Sachverhalte. Es geht nicht an, dass - aus ja durchaus auch berechtigten Gründen - schweres Geschütz aufgefahren
wird, um manch einem US-amerikanischen Internetdatenkraken die Grenze aufzuzeigen, aber dann auch die
Spatzen mit Kanonen beschossen werden. Ein Recht, das
dieser Prämisse folgt, kann nur ungenaue Streutreffer
verursachen und damit zu Kollateralschäden führen, die
niemand wollen kann. Deshalb haben wir in unserer
Stellungnahme Wert darauf gelegt, dass die Bundesregierung ihr besonderes Augenmerk darauf richtet, dass
hier nicht im Versuch, Facebook, Google und Co. zu
treffen, ein Lex Internet geschaffen wird, das dann aber
den Handwerksbetrieb um die Ecke trifft.

Einige Punkte, die wir in unserer Stellungnahme einfordern, sind auch schon von vielen anderen kritisiert
worden - und wir haben hier nicht einfach die Stellungnahme der Gewerkschaften übernommen und schließen
uns dieser an. Ebenso wenig übernehmen wir die Stellungnahme von Arbeitgebern oder Wirtschaftsverbänden einfach eins zu eins, auch das unterscheidet uns von
den Sozialdemokraten. Datenschutz macht eben auch
Mühe, Herr Reichenbach!

Zu den Punkten, auf die ich hier auch nicht in aller
Breite eingehen will, weil sie schon von vielen anderen
zu Recht vorgetragen wurden, gehören: differenzierte
Regelungen für den öffentlichen und den nichtöffentlichen Bereich, weil man das Standesamt nicht gleichbehandeln kann mit Facebook; klare, unmissverständliche
und praktikable Vorgaben zum Schutz von besonders
sensiblen Daten, insbesondere Gesundheits- oder Sozialdaten; die Eindämmung der unerträglich vielen delegierten Rechtsakte, die sich derzeit mitnichten am Wesentlichkeitsprinzip orientieren, das in Art. 290 AEUV
verankert ist; die Wahrung der Unabhängigkeit der
Datenschutzaufsichtsbehörden, die nach dem von der
Kommission vorgeschlagenen Verfahren am Ende ihre
Unabhängigkeit eben gerade bei der Kommission abgeben und sich deren Diktat unterwerfen müssen; Profilbildung nur mit Einwilligung, um den besonderen Gefahren einer umfassenden Verknüpfung zahlreicher
Einzeldaten ein starkes Recht des Betroffenen entgegenzu-stellen; effektive Rechtschutzmöglichkeiten für
die Bürgerinnen und Bürger, die sich trotz gebündelter
Zuständigkeit der Datenschutzaufsicht am Sitzland des
Unternehmens an „ihren“ nationalen bzw. lokal zuständigen Datenschutzbeauftragten wenden können müssen;
die Einbeziehung der EU-Institutionen in die Verordnung, weil es nicht sein kann, dass sich in der EU alle
daran halten müssen, außer die EU selbst.

Die EU-Datenschutz-Verordnung wird unser Bundesdatenschutzgesetz ablösen; sicher nicht ganz so schnell,
wie sich die Kommission das wünscht. Aber ich habe
keinen Zweifel, dass die Verordnung kommen wird - und
auch kommen soll. Dem muss aber eine breite und vor
allem gründliche Diskussion vorangehen, denn vieles,
was von der Kommission vorgeschlagen wurde, muss
doch noch deutlich verändert und verbessert werden.

Es ist gut, dass sich der Bundestag an dieser Debatte
beteiligt - und von seinen Rechten nach Art. 23 Grundgesetz Gebrauch macht, um der Bundesregierung eine
klare und bindende Weisung mit auf den Weg zu geben.
Von den eingangs erwähnten über 500 Millionen Menschen vertritt der Bundestag 80 Millionen, die natürlich
von einer Verordnung der EU unmittelbar betroffen sind
und für die wir uns für einen modernen, effektiven und
zukunftsfähigen Datenschutz einsetzen.