Treffen der Datenschutzaufsichtsbehörden der G7-Mitgliedsstaaten

Am 7. und 8. September 2021 fand ein Treffen der Datenschutzaufsichtsbehörden der G7-Mitgliedsstaaten statt. Für Deutschland nahm der Bundesdatenschutzbeauftragte Prof. Kelber teil. Den englischen Bericht zu diesem Treffen können Interessenten gern über einen Link auf der Webseite des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit abrufen (Link). Die britische Datenschutzbeauftragte Elizabeth Denham lud die Datenschutzaufsichtsbehörden mit dem anfänglichen Gesprächsziel, eine zukünftige Zusammenarbeit unter den Aufsichtsbehörden zu planen, ein. Dabei griffen die Behörden im Wesentlichen die sieben aktuell brennende Themen zum Datenschutz auf: Datenschutz vs. Wettbewerb, Online-Tracking, künstliche Intelligenz, technische Innovationen als Reaktion auf eine Pandemie, grenzüberschreitende Übermittlung personenbezogener Daten u. m.  In diesem Beitrag gehen wir näher darauf ein. Diese Hintergrundinformationen ermöglichen es bei der (Weiter-)Entwicklung und Anpassung eigener Produkte oder Innovationen bereits die sich abzeichnenden datenschutzrechtlichen Entwicklungen zu berücksichtigen, um letzten Endes Zeit und Kosten durch Fehlentwicklungen zu sparen.

Wir möchten betonen, dass es sich bei den Aussagen in diesem Beitrag um Ansichten, Pläne und Meinungen der Datenschutzaufsichtsbehörden währen des Gipfels handelt.

Thema 1: Zusammentreffen von Datenschutz und Wettbewerb

Im Zuge der Digitalisierung gebe es ein hohes Verlangen von Unternehmen, personenbezogene Daten zu sammeln. Die sogenannte Datensammelwut der Unternehmen schreite oftmals so stark voran, dass ein starker Eingriff in die Privatsphäre Betroffener eine ernst zu nehmende Gefahr sei. Wer keine personenbezogenen Daten bis zum Maximalmöglichen sammele, riskiere gegebenenfalls einen wettbewerblichen Nachteil.

Das Ziel der Datenschutzaufsichtsbehörden der G7-Mitgliedsstaaten sei es, eine Zusammenarbeit zwischen dem Markt und den Datenschutzaufsichtsbehörden zu schaffen, um den Wettbewerb insofern zu regulieren, dass er die Rechte und Freiheiten von Konsumenten (den betroffenen Personen) trotz Digitalisierung und dem Wirtschaftswandel nicht beeinträchtige. Betroffene seien in der Wahrnehmung ihrer Rechte zu stärken. Dabei sei auch zu vermeiden, dass Unternehmen einen wirtschaftlichen Nachteil erlitten, wenn sie die Privatsphäre betroffener Personen respektierten und den Datenschutz und die Datensicherheit gewährleisteten. Gleichzeitig wollten sie vermeiden, die Digitalisierung zu bremsen.

Thema 2: Online-Tracking

Noch immer versuchten Webseitenbetreiber mit allen Mitteln, Besucher ihrer Webseite dazu zu bringen, dem Einsatz jeglicher Cookies zuzustimmen. Dabei setzten die Webseitenbetreiber unterschiedliche Methoden ein. Diese reichten von Cookie-Fenstern, die sich öffneten, sobald ein Besucher auf eine Webseite zugreife bis zu Versuchen der Webseitenbetreiber, den Nutzern Einwilligungen zum Einsatz aller Cookies abzuringen. Dabei würden oftmals fragwürdige Mittel eingesetzt: Die Gestaltung des Cookie-Fensters wäre gegebenenfalls irreführend und unübersichtlich („Dark Patterns“); es wäre leichter, die Einwilligung zum Cookie-Einsatz zu erteilen als ihn abzulehnen. Falls sich Nutzer dafür entschied, den Einsatz von optionalen Cookies abzulehnen, könne er gegebenenfalls die Webseite nicht besuchen oder müsse dafür monetär aufkommen („Pay Walls“). Viele Nutzer resignierten und stimmten dem Einsatz von Cookies letztendlich – eigentlich ungewollt – zu. Dann bestehen aufgrund der fehlenden Freiwilligkeit Zweifel an der Rechtswirksamkeit der Einwilligung und damit an der Zulässigkeit der Datenverarbeitung.

Die Datenschutzaufsichtsbehörden hätten beschlossen, dass sich dies für die Zukunft ändern und verbessern müsse. Sie wollten eine Praxis fördern, in der Webseitenbesucher aktiv und freiwillig entscheiden könnten, welche Cookies eingesetzt werden dürfen, während sie im Internet unterwegs wären. Der Grad des Datenschutzes auf Webseiten solle angehoben werden. Fragwürdige Praktiken vonseiten der Webseitenbetreiber sollen bekämpft werden. Es sei das Ziel, Webseitenbetreiber dazu anzuhalten, die Einstellungen zur Wahrung der Privatsphäre von Nutzern zu respektieren.

Thema 3: Kreation künstlicher Intelligenz in Harmonie mit dem Datenschutz

Künstliche Intelligenz stelle sich in zahlreichen Situationen als großartige Hilfe heraus. Ärzten etwa helfe sie bei der Diagnose von Krankheiten und bei der Entdeckung neuer therapeutischer Wege. Bei der Entwicklung künstlicher Intelligenz dürften das Recht der Menschen auf Privatsphäre, das Recht auf Selbstbestimmung und andere Rechte nicht kompromittiert werden. Um zum Schutz dieser (Grund-)Rechte beizutragen, müssten der Datenschutz und die Aufsichtsbehörden als Organe zum Vollzug dessen bei der Regulierung künstlicher Intelligenz eine führende Rolle einnehmen. Sie müssten bei der Entwicklung konstruktiv mitwirken. Des Weiteren müssten sie auch Voraussetzungen schaffen, die die Rechte, Freiheiten und die Würde der Menschen und die Demokratie schützten. Aber auch hier dürften weder die Innovation noch der Fortschritt behindert werden. Gleichzeitig müsse es Grenzen geben, die von künstlicher Intelligenz nicht überschritten werden dürfen. Insbesondere die Grundsätze der Datenminimierung und der Zweckmäßigkeit müssten bei der Entwicklung künstlicher Intelligenz umgesetzt werden.

Um dies wirksam umzusetzen, benötigten die Datenschutzaufsichtsbehörden allerdings auch genügend Ressourcen sowohl personeller als auch materieller Art.

Thema 4: Neugestaltung der Rechtsbehelfe im digitalen Zeitalter

Die Datenschutzaufsichtsbehörden müssten ihre Rechtsbehelfe dem Fortschritt der digitalen Wirtschaft anpassen und Schritt halten. Sanktionen müssten dem Zweck angemessen sein. Die Reaktion der Datenschutzaufsichtsbehörden in Form von Bußgeldern müssten für Verantwortliche, die personenbezogene Daten rechtswidrig verarbeiten, abstoßend sein. Bei all dem müssten die betroffenen Personen und die Gefahren für ihre Rechte und Freiheiten im Zentrum der Aufmerksamkeit stehen.

Thema 5: Technische Innovation als Folge einer Pandemie als Stresstest für den Datenschutz

Der Ausbruch der Covid-19-Pandemie erforderte besondere Maßnahmen, um die Infektionsketten zu unterbrechen. Dabei machen Regierungen von unterschiedlichen Mitteln Gebrauch, um dieses Ziel zu erreichen. Damit einherginge – u. a. aufgrund des rapiden Nutzungsanstiegs digitaler Dienstleistungen – eine Verarbeitung von Unmengen personenbezogener Daten. Während die Regierungen sich eine Lösung des Pandemieproblems mithilfe der Auswertung von personenbezogenen Daten erhofften – u. a. Gesundheitsdaten – drohten sie oft, Grenzen zu überschreiten. Dies insofern, als eine Gefahr für einige der Grundlagen der Demokratie zu entstehen drohte. So befürchteten Datenschutzbeauftragte oft Druck auf das Recht auf Privatsphäre.

Einerseits seien die Datenschutzaufsichtsbehörden der Meinung, dass Datenschutz und die Gesetze bei solchen Ereignissen eine gewisse Flexibilität zeigen, allerdings auch innerhalb eines bestimmten Rahmens und den Umständen entsprechend angemessen sein müssten. Aber genau dabei müssten die Datenschutzaufsichtsbehörden einbezogen werden, um einerseits sicherstellen zu können, dass die Rechte der Bürger respektiert würden, aber andererseits auch um eine Lösung des jeweiligen Problems, bei dem die Verarbeitung personenbezogener Daten Bestandteil sei, innerhalb eines zumutbaren Rahmes aus Datenschutzsicht unterstützen zu können.

Thema 6: Übermittlung von und Zugang zu personenbezogenen Daten durch Regierungen auf internationaler Ebene

In der Vergangenheit habe es Ereignisse gegeben, bei denen das Interesse von Regierungen und Geheimdiensten an personenbezogenen Daten auf die Rechte Betroffener stießen. Dabei habe es nicht selten Missverständnisse und Unsicherheiten bezüglich der im jeweiligen Land geltenden Gesetz, Regelungen und Praktiken gegeben.

Die Datenschutzaufsichtsbehörden der G7-Mitgliedsstaaten hätten ein Interesse daran, Lösungen zu diesen Problemen zu finden und umzusetzen. Ziel sei es auch, Garantien für die Übermittlung personenbezogener Daten zu implementieren, um die Rechte der Betroffenen zu schützen und Vertrauen zu schaffen. Dazu brauche es hohe gesetzlich Standards um die Rechte auf Privatsphäre der Bürger weltweit zu schützen.

Thema 7: Entwicklung eines Rahmenwerks für die grenzüberschreitende Übermittlung personenbezogener Daten und Zusammenarbeit der Datenschutzaufsichtsbehörden der G7-Mitgliedsstaaten

Mit einer hohen Geschwindigkeit innovativer und technischer Entwicklungen und einer damit zunehmenden globalen Digitalisierung mit einer schier unendlich großen Anzahl von Übermittlungen personenbezogener über Ländergrenzen und politische Systeme hinweg gingen datenschutzrechtliche Herausforderungen für die Datenschutzaufsichtsbehörden einher.

Die Datenschutzaufsichtsbehörden sähen eine Zusammenarbeit als notwendig an. Erfahrungen und Handlungsweisen sollten ausgetauscht werden. Sie wollten Rahmenbedingungen schaffen, um eine grenzübergreifende Zusammenarbeit bei Zuständigkeiten zu fördern.

Fazit

Die Pläne der Datenschutzaufsichtsbehörden klingen vielversprechend. Es bleibt abzuwarten, was sie davon in welchem Ausmaß verwirklichen können und werden. Aber egal, wie sich diese Vorhaben und Pläne entwickeln, Verantwortliche stehen dennoch in der Pflicht, selbst aktiv daran zu arbeiten, den Datenschutz und die -sicherheit in ihrer Einrichtung umzusetzen. Sofern dies bisher noch nicht geschah oder sich dabei Fragen entwickeln, kontaktieren Sie uns gern. Wir können Sie dabei unterstützen.