Source: https://www.weka.ch/themen/it-technik/it-sicherheit-und-recht/datenschutz/article/big-data-der-datenschutz-als-auslaufmodell/
Timestamp: 2019-03-21 22:24:20
Document Index: 80849677

Matched Legal Cases: ['Art. 4', 'Art. 5', 'Art. 5', 'Art. 3', 'Art 13', 'Art. 4', 'Art. 13']

Während die Chancen von Big Data ausser Frage stehen, herrscht bei den Risiken noch weitgehend Uneinigkeit. Der Datenschutz wird durch Big Data wie kaum zuvor herausgefordert. Konventionelle Lösungsmodelle versagen, und innovative Ansätze sind gefragt.
Dieses Zitat aus dem Jahre 1999 (!) von Scott McNealy, dem damaligen CEO von Sun Microsystems, scheint im Zeitalter von Big Data aktueller denn je. Hat der Datenschutz ausgedient? Oder muss er revidiert werden? In diesem Beitrag werden die datenschutzrechtlichen Herausforderungen von Big Data aufgezeigt. Es wird dargelegt, weshalb traditionelle Lösungsmuster an Grenzen stossen und wie den Herausforderungen mit neuartigen Ansätzen begegnet werden kann.
Big Data: Herausforderungen an den Datenschutz
Die Datenbearbeitung im Zusammenhang mit Big Data steht im offenen Konflikt zu einer Reihe von Grundsätzen des Datenschutzrechts, wobei die Prinzipien der Verhältnismässigkeit, Zweckbindung und Transparenz (Art. 4 Abs. 2-4 Datenschutzgesetz; DSG) und der Datenrichtigkeit (Art. 5 DSG) im Vordergrund stehen:
Big Data dreht sich praktisch immer um Personendaten; ein Personenbezug besteht gemäss bundesgerichtlicher Rechtsprechung beispielsweise bereits bei einer IP-Adresse. Diese Daten werden in grosser Zahl gesammelt, was dem Grundsatz der Datenminimierung als Ausfluss des Verhältnismässigkeitsprinzips entgegen läuft. Zudem geht es oft um besonders sensible Daten (z.B. aus dem Gesundheitsbereich) oder um Persönlichkeitsprofile, wo jeweils erhöhte Datenschutzvorschriften gelten (z.B. betreffend Zustimmung oder Weitergabe an Dritte).
Die Datenbeschaffung erfolgt meist nicht auf einen bestimmten Zweck hin, sondern auf Vorrat, was dem Grundsatz der Zweckbindung widerspricht. Die Daten werden aus unterschiedlichen Quellen zusammengetragen und oft beiläufig als Nebenprodukt und für den Einzelnen kaum erkennbar gesammelt (z.B. Fitness-Tracker, Geolokalisierung). Damit wird gegen den Transparenzgrundsatz bei der Datenbeschaffung verstossen.
Die Datenanalyse und -auswertung erfolgt durch Kombination von Datenbeständen und Suche nach Gesetzmässigkeiten mittels ausgefeilter Algorithmen. Korrelation tritt anstelle von Kausalität, und Fehlinterpretationen werden im Einzelfall hingenommen. Für den Einzelnen ist kaum nachvollziehbar, welche Rückschlüsse aufgrund welcher Daten und Methoden hergeleitet werden, was wiederum den Transparenzgrundsatz strapaziert. Wo falsche Schlüsse gezogen werden, ist zudem der Grundsatz der Datenrichtigkeit verletzt.
Sowohl Rohdaten als auch Auswertungen werden regelmässig an Dritte bekannt gegeben und kaum je entsorgt, was auch wieder gegen das Verhältnismässigkeitsprinzip verstösst.
Der Datenschutz wird durch Big Data somit ernsthaft auf die Probe gestellt. Es fragt sich, ob und wie das Gleichgewicht wiederhergestellt werden kann.
Scheitern herkömmlicher Konzepte
Das Datenschutzrecht bietet verschiedene Möglichkeiten, dem zuvor geschilderten Spannungsverhältnis entgegenzuwirken:
Zur Herstellung von Transparenz und Datenrichtigkeit steht dem Einzelnen ein Auskunfts- und Korrekturrecht (Art. 5 und 8 DSG) gegenüber jedem Inhaber einer Datensammlung zu. In der Praxis scheitert dieser Behelf jedoch oft schon deswegen, weil dem Individuum gar nicht bewusst ist, dass und durch wen Daten beschafft wurden. Bei einem ausländischen Inhaber der Datensammlung wird die Durchsetzung des Anspruchs zusätzlich erschwert.
Oft wird argumentiert, ein Verstoss gegen das Datenschutzrecht liege nicht vor, da die Personendaten vor deren Analyse und Auswertung anonymisiert würden. Zwar trifft zu, dass vollständig und irreversibel anonymisierte Daten mangels Personenbezug nicht unter das Datenschutzrecht fallen (vgl. Art. 3 Bst. a DSG); jedoch gelingt eine vollständige Anonymisierung bei gewissen Daten (z.B. im medizinischen Bereich) kaum je. Zudem besteht bei Big Data die latente Gefahr der späteren Re-Identifikation, insbesondere wenn anonymisierte Daten verschiedener Quellen kombiniert und abgeglichen werden.
Jede an sich unzulässige Datenbearbeitung kann durch Einwilligung der betroffenen Person gerechtfertigt werden (Art 13 Abs. 1 DSG). Eine gültige Einwilligung kann jedoch nur nach angemessener Information und freiwillig (sowie bei sensiblen Daten und Persönlichkeitsprofilen ausdrücklich) erteilt werden (Art. 4 Abs. 5 DSG). An diesen Anforderungen fehlt es bei der Sammlung und Auswertung von Big Data in aller Regel, weil der Einzelne schon gar keine Kenntnis von der Datenbeschaffung und den Bearbeitungszwecken hat. Zudem kann nicht von echter Freiwilligkeit gesprochen werden, wenn dem Einzelnen lediglich die Wahl offen steht, seine Zustimmung zu erteilen oder einen Dienst (z.B. eine App) überhaupt nicht zu nutzen.
Auch andere Rechtfertigungsgründe wie ein überwiegendes öffentliches oder privates Interesse (Art. 13 DSG) dürften nur bei besonderen Konstellationen (z.B. Terrorismusbekämpfung, Katastrophenvorsorge) geltend gemacht werden können.
Die konventionellen Lösungsmodelle stossen bei Big Data somit an ihre Grenzen und vermögen nicht zu befriedigen.
Vor allem von Seiten der Big Data Industrie wird propagiert, die Balance zwischen Datenschutz und Nutzen von Big Data neu auszutarieren, beispielsweise indem der Begriff der Personendaten enger gefasst wird als bisher oder es jedem Einzelnen freigestellt wird, auf den Datenschutz zu Gunsten der Vorteile von Big Data zu verzichten. Erste Gesetzesentwürfe und jüngere Gerichtsentscheide tendieren in diese Richtung. Gegen einen Verzicht des Einzelnen auf Privacy (oder einen Teil davon) ist solange nichts einzuwenden, als dieser Entscheid bewusst in Kenntnis aller Vor- und Nachteile (und nicht bloss beiläufig) und freiwillig (d.h. nicht aus einer Notsituation heraus und mit echten Alternativen) getroffen wird.