Partei: FDP
Die EU hat sich ein großes Ziel gesetzt: ein moderner und europaweit verlässlicher Datenschutz. Für über 500 Millionen Menschen in 27 Staaten und knapp 20 Millionen Unternehmen sollen künftig ein und dieselben Regelungen für den Umgang mit personenbezogenen Daten gelten, egal, ob die Daten im eigenen Land oder beispielsweise im E-Commerce über Staatengrenzen hinweg verarbeitet werden. Dabei macht die rasante technische Entwicklung der vergangenen Jahrzehnte eine Modernisierung des Datenschutzes erforderlich. Der Datenschutz steht vor Zu Protokoll gegebene Reden neuen Herausforderungen, weil die digitale Datenverarbeitung neben neuen Chancen auch neue Risiken mit sich bringt. Die falsche Herangehensweise wäre, die Digitalisierung und das Internet als Büchse der Pandora zu betrachten und zu versuchen, deren Deckel wieder zu schließen. Nicht nur war das schon bei Pandora ein hoffnungsloses Unterfangen und wäre es erst recht in Bezug auf Internet und neue Medien, die schon längst zum Alltag gehören und daraus auch nicht wegzudenken oder zu verdrängen sind, sondern es wäre auch ein gedanklich falscher Ansatz. Der richtige Ansatz ist, ein Datenschutzrecht zu schaffen, das den mündigen Bürger als Herrn über seine Daten begreift und auch so behandelt. Der Ausgangspunkt muss daher sein, dass alle personenbezogenen Daten privat, das heißt in der freien Verfügungsgewalt des Betroffenen, sein müssen – und es für ihre Verarbeitung stets besonderer Voraussetzungen bedarf. „Datenautonomie“ ist das Prinzip unseres Datenschutzverständnisses. Datenautonomie bedeutet, dass jeder für sich entscheiden kann, ob oder ob nicht er seine Daten zur Verfügung stellt. Damit es eine wirklich autonome Entscheidung ist, bedarf es des mündigen Entscheiders, der seine Entscheidung auf ausreichende Information stützt. Datenautonomie heißt aber gerade nicht, die Entscheidung nur dann zuzulassen, wenn es um die Zurückhaltung von Daten geht, sondern auch, wenn es um die Preisgabe von Daten geht. Datenschutz darf man nicht als Schutz des Menschen vor sich selbst missverstehen. Das wäre eben gerade keine selbstbestimmte, mündige Entscheidung. Das wäre Datentotalitarismus. Es muss also darum gehen, einen Rahmen zu setzen, in dem nicht die Verarbeitung personenbezogener Daten verboten oder bis an den Rande eines Verbots eingeschränkt wird, sondern in dem die Eigenverantwortung des Einzelnen das tragende Element ist. Dazu bedarf es klarer Vorgaben, wer die Daten des Einzelnen haben darf, nutzen darf und vor allem, unter welchen Voraussetzungen das geschehen darf. Von dieser Überzeugung lassen wir uns leiten in unserer Stellungnahme nach Art. 23 Grundgesetz, mit der wir der Bundesregierung die Marschrichtung vorgeben, wie sie für Deutschland, für die Menschen in unserem Land, in Brüssel votieren soll. Darin unterscheidet sich unsere Stellungnahme auch ganz wesentlich von derjenigen, die die Sozialdemokraten hier letzte Woche vorgelegt haben: Wir trauen den Menschen zu, dass sie selbst entscheiden können. Wir vertrauen der Klugheit und dem Selbstbewusstsein der Menschen, wenn es darum geht, ob sie ihrem Arbeitgeber durch Einwilligung erlauben, Daten zu erheben für die freiwillige betriebliche Altersvorsorge oder den Platz im Betriebskindergarten. Die Sozialdemokraten hingegen wollen das verbieten. Sie meinen, dass der Gesetzgeber den Menschen die Entscheidung abnehmen und den Arbeitgebern eine gesetzliche Ermächtigung geben sollte, aber natürlich nur für die Fälle, die die Sozialdemokraten für gut halten. Aber wenn dann ein Angebot kommt, was zwar ohne Zweifel für den Arbeitnehmer vorteilhaft wäre, aber der SPD heute nicht eingefallen ist oder nicht bekannt war, weil es in der rasanten technischen Entwicklung erst entsteht, dann ist es halt verboten. Das ist Politik nach Gutsherrenart – und lässt jeden Respekt für den mündigen Bürger vermissen. Wir wollen zudem, dass neben Einwilligung und gesetzlicher Ermächtigung auch Betriebsvereinbarungen und Tarifverträge in der EU-Verordnung als Rechtfertigungsgrundlagen für Datenerhebungen einbezogen werden. Schleierhaft bleibt mir an dieser Stelle die Verweigerungshaltung der Gewerkschaften selbst, denn in beiden Fällen sitzen sie doch regelmäßig mit am Tisch und stimmen den Vereinbarungen zu. Nicht nur den Bürgerinnen und Bürgern trauen wir zu, selbst zu entscheiden. Wir setzen auch auf Selbstregulierung in der Wirtschaft. Datenschutz ist in der Informationsgesellschaft ein Wettbewerbsmerkmal – und guter Datenschutz ein Wettbewerbsvorteil. Alle Unternehmen, die von Datenschutzskandalen betroffen waren, haben das erlebt: Kundenvertrauen basiert auch darauf, dass mit den Kundendaten sorgsam umgegangen wird. Deshalb ist es falsch, funktionierende Selbstregulierung durch staatliche Allzuständigkeit zu ersetzen. Dazu gehört einmal der Punkt, dass der Erhalt unseres bewährten Systems der betrieblichen Datenschutzbeauftragten unbedingt erforderlich ist. Die Vorschläge der Kommission würden durch den viel zu hohen Schwellenwert von 250 Mitarbeitern den betrieblichen Datenschutz völlig aushöhlen. Dazu gehört aber auch, dass Instrumente des Selbst- und Systemdatenschutzes, etwa ein Datenschutzgütesiegel, in das neue Recht Eingang finden. Das Bundesverfassungsgericht hat in seiner Volkszählungsentscheidung, in der Geburtsstunde unseres Grundrechts auf informationelle Selbstbestimmung, gesagt, dass es kein belangloses Datum mehr geben könne. Das gilt in der Informationsgesellschaft umso mehr. In einer Zeit, in der alles mit allem verknüpft werden kann, in der schon ein einfaches Handy mit früher nicht vorstellbaren Rechenkapazitäten ausgestattet ist, kann ein Datum durch die Verknüpfung auf einmal viel mehr aussagen, als es allein und nur für sich ausgesagt hätte. Denkt man hier konsequent weiter, kommt man schnell zu dem Ergebnis, dass eigentlich alle Daten, von Atlanten bis Zuschauerquoten, mit anderen Daten verknüpft und letztendlich auch mit einer Person in Verbindung gebracht werden könnten. Dass darin Gefahren für die Persönlichkeitsrechte liegen, wird niemand ernsthaft bestreiten wollen. Dass aber umgekehrt auch nicht jedem, der Faltstraßenkarten erstellt, zugerechnet werden kann, dass womöglich seine Karte mit anderen Daten zusammengewürfelt werden, liegt auch auf der Hand. Hier einen fairen Ausgleich zu finden, der berücksichtigt, wie Daten verwendet werden können, aber zugleich berücksichtigt, wie weit jeder, der Daten, die zunächst für sich allein stehen, verarbeitet, verantwortlich gemacht werden kann für das, was womöglich ein Dritter damit machen könnte, ist wohl die härteste Herausforderung für ein modernes Datenschutzrecht. Herr Dix, der Berliner Landesdatenschutzbeauftragte, sagte letztens bei dem vom Bundesinnenministerium veranstalteten Kongress zum geplanten EU-Datenschutzrecht, dass Zu Protokoll gegebene Reden man über eine Differenzierung durchaus nachdenken könne, solange das nicht dazu führe, dass durch schlichte Festlegung Teile der personenbezogenen Daten schlichtweg vom Schutz ausgenommen würden. Dem folgend setzen wir uns dafür ein, dahin gehend zu differenzieren, wie streng das Schutzniveau im Einzelnen ist, und zwar danach, welches Gefährdungspotential in einer Datenverarbeitung liegt. Eine Datenverarbeitung, beispielsweise für die Rechnungserstellung des Klempners, birgt deutlich weniger Gefahren für die Persönlichkeitsrechte des Betroffenen als eine Datenverarbeitung durch eine Freunde-Finde-App auf dem Smartphone. Dass hier also an den Klempner als Datenverarbeiter andere Anforderungen zu stellen sind als an den Hersteller einer App, die in Echtzeit Standortdaten übermittelt, liegt für uns auf der Hand. Ganz anders denken hier aber wieder die Sozialdemokraten. In deren Antrag wollen sie die Bundesregierung verpflichten, sich in Brüssel dafür einzusetzen, dass zum Beispiel jegliche Datenübertragung personenbezogener Daten auf elektronischem Wege nach dem Stand der Technik gesichert sein müsse. Jede Datenübertragung – das ist dann auch das Einstellen eines Photos auf Flickr durch den Betroffenen selbst. Jede Datenübertragung – das ist jede personalisierte E-Mail. Das ist also ganz offensichtlich völlig an der Sache vorbei. Mit solchen Vorschlägen schüttet man das Kind mit dem Bade aus und bringt den einfachen, schnellen und unkomplizierten Datenaustausch zum Erliegen. Ganz offensichtlich ist es zwingend, dass die elektronische Übermittlung von Datensätzen, beispielsweise von Mitarbeiterdaten oder Versicherungsdaten oder auch Behördendatensätzen, so gesichert sein muss, dass der unberechtigte Zugriff Dritter ausgeschlossen ist. Aber für den Abruf von Daten, die im Telefonbuch mit Einwilligung des Betroffenen veröffentlicht sind, eine gesicherte Übertragung vorzuschreiben, ist ebenso offensichtlicher Unsinn. Damit wird aber ein Kernproblem offenbar, das die Datenschutzregulierung im Informationszeitalter mit sich bringt: Wir brauchen Regelungen, die anwendbar und praktikabel sind für ganz unterschiedliche Sachverhalte. Es geht nicht an, dass – aus ja durchaus auch berechtigten Gründen – schweres Geschütz aufgefahren wird, um manch einem US-amerikanischen Internetdatenkraken die Grenze aufzuzeigen, aber dann auch die Spatzen mit Kanonen beschossen werden. Ein Recht, das dieser Prämisse folgt, kann nur ungenaue Streutreffer verursachen und damit zu Kollateralschäden führen, die niemand wollen kann. Deshalb haben wir in unserer Stellungnahme Wert darauf gelegt, dass die Bundesregierung ihr besonderes Augenmerk darauf richtet, dass hier nicht im Versuch, Facebook, Google und Co. zu treffen, ein Lex Internet geschaffen wird, das dann aber den Handwerksbetrieb um die Ecke trifft. Einige Punkte, die wir in unserer Stellungnahme einfordern, sind auch schon von vielen anderen kritisiert worden – und wir haben hier nicht einfach die Stellungnahme der Gewerkschaften übernommen und schließen uns dieser an. Ebenso wenig übernehmen wir die Stellungnahme von Arbeitgebern oder Wirtschaftsverbänden einfach eins zu eins, auch das unterscheidet uns von den Sozialdemokraten. Datenschutz macht eben auch Mühe, Herr Reichenbach! Zu den Punkten, auf die ich hier auch nicht in aller Breite eingehen will, weil sie schon von vielen anderen zu Recht vorgetragen wurden, gehören: differenzierte Regelungen für den öffentlichen und den nichtöffentlichen Bereich, weil man das Standesamt nicht gleichbehandeln kann mit Facebook; klare, unmissverständliche und praktikable Vorgaben zum Schutz von besonders sensiblen Daten, insbesondere Gesundheits- oder Sozialdaten; die Eindämmung der unerträglich vielen delegierten Rechtsakte, die sich derzeit mitnichten am Wesentlichkeitsprinzip orientieren, das in Art. 290 AEUV verankert ist; die Wahrung der Unabhängigkeit der Datenschutzaufsichtsbehörden, die nach dem von der Kommission vorgeschlagenen Verfahren am Ende ihre Unabhängigkeit eben gerade bei der Kommission abgeben und sich deren Diktat unterwerfen müssen; Profilbildung nur mit Einwilligung, um den besonderen Gefahren einer umfassenden Verknüpfung zahlreicher Einzeldaten ein starkes Recht des Betroffenen entgegenzu-stellen; effektive Rechtschutzmöglichkeiten für die Bürgerinnen und Bürger, die sich trotz gebündelter Zuständigkeit der Datenschutzaufsicht am Sitzland des Unternehmens an „ihren“ nationalen bzw. lokal zuständigen Datenschutzbeauftragten wenden können müssen; die Einbeziehung der EU-Institutionen in die Verordnung, weil es nicht sein kann, dass sich in der EU alle daran halten müssen, außer die EU selbst. Die EU-Datenschutz-Verordnung wird unser Bundesdatenschutzgesetz ablösen; sicher nicht ganz so schnell, wie sich die Kommission das wünscht. Aber ich habe keinen Zweifel, dass die Verordnung kommen wird – und auch kommen soll. Dem muss aber eine breite und vor allem gründliche Diskussion vorangehen, denn vieles, was von der Kommission vorgeschlagen wurde, muss doch noch deutlich verändert und verbessert werden. Es ist gut, dass sich der Bundestag an dieser Debatte beteiligt – und von seinen Rechten nach Art. 23 Grundgesetz Gebrauch macht, um der Bundesregierung eine klare und bindende Weisung mit auf den Weg zu geben. Von den eingangs erwähnten über 500 Millionen Menschen vertritt der Bundestag 80 Millionen, die natürlich von einer Verordnung der EU unmittelbar betroffen sind und für die wir uns für einen modernen, effektiven und zukunftsfähigen Datenschutz einsetzen.