Sammlung privater Daten durch Wirtschaftsunternehmen

Innenminister Uwe Schünemann beantwortet die Kleine Anfrage der Abgeordneten Angelika Jahns und Rudof Götz (CDU); es gilt das gesprochene Wort!

Die Abgeordneten hatten gefragt: Immer mehr persönliche Daten jedes Einzelnen werden durch das Internet gesammelt und von Unternehmen wie Google oder Facebook zu Persönlichkeitsprofilen zusammengestellt. Diese Profile können z. B. Auskunft geben über Wohnort, Kaufgewohnheiten, Interessengebiete, veröffentlichte private Bilder sowie die Onlinekommunikation der Internetnutzer. Wahrscheinlichkeiten zu Charaktereigenschaften und Verhaltensweisen von Personengruppen werden daraus abgeleitet.

Das Unternehmen Google schätze anhand der gesammelten Daten seiner Mitarbeiter bereits deren Kündigungswahrscheinlichkeit ab, so die Frankfurter Allgemeine Zeitung vom 15. Januar 2010. Schlüsselbegriffe zu Jobsuche und Bewerbungsratgebern in Onlinesuchmaschinen in Kombination mit häufigen Krankschreibungen spiegelten demnach den Grad der individuellen Unzufriedenheit des Mitarbeiters wider.

Die zunehmende allgemeine Digitalisierung persönlicher Daten erleichtert Informationen sammelnden Unternehmen die Erstellung von Persönlichkeitsprofilen. Besonders weitreichende Konsequenzen für den Einzelnen könnten aus einer Verknüpfung der im Internet zusammengestellten Daten und der im Verwaltungsalltag gespeicherten personenbezogenen An-gaben entstehen. So könnte beispielsweise ein Gastronomiebetrieb statt aufgrund des Zufallsprinzips durch den Kauf von Mausefallen im Ver-sandhandel überproportional häufig Überprüfungsmaßnahmen wie Hygienekontrollen ausgesetzt sein. Das aus der Wohngegend mit geringen Mietpreisen und der Kaufvorliebe für günstige Fertiggerichte ermittelte Persönlichkeitsmuster könnte eine über diese Daten verfügende Bank bei ihrer Kreditvergabe beeinflussen. Ursprünglich freiwillig preisgegebene Informationen der Menschen könnten ihnen im Falle uneingeschränkter Sammlung und unwissentlicher Weitergabe durch Wirtschaftsunternehmen zum Nachteil werden.

Wir fragen die Landesregierung:

1. Welche Maßnahmen zur Förderung eines bewussten Umgangs von Verbrauchern mit ihren persönlichen Daten gibt es in Niedersachsen?
2. Welche Auskunftspflicht über gespeicherte Informationen haben Daten sammelnde Unternehmen gegenüber ihren Nutzern?
3. Hält die Landesregierung zur Gewährleistung eines wirksamen Datenschutzes in Unternehmen die rechtlichen Vorgaben hinsichtlich der Rechte und Pflichten der betrieblichen Datenschutzbeauftragten für ausreichend, oder sieht sie Verbesserungsbedarf?

Innenminister Uwe Schünemann beantwortete namens der Landesregierung die Kleine Anfrage wie folgt:

Es ist in der Tat festzustellen, dass in den vergangenen Jahren private Stellen in steigendem Maße die tägliche Arbeit der Datenschutz- und Aufsichtsbehörden bestimmt haben und zwar auch aus den in der Anfrage dargestellten Gründen.

Vor dem Hintergrund einer schnell voranschreitenden Digitalisierung der Gesellschaft ergibt sich eine deutliche Tendenz zur Verlagerung der Datenschutzanforderungen vom öffentli¬chen auf den nicht-öffentlichen Bereich.

Dies belegen auch die in den letzten Jahren dokumentierten Datenschutzskandale, über die ausführlich in den Medien berichtet wurde.

Treffend brachte Prof. Dr. Papier, der scheidende Präsident des BVerfG, diese Entwicklung aus Anlass der Festveranstaltung des 25. Jahrestages des Volkszählungsurteils zum Ausdruck, in dem er erklärte: " Mittlerweile haben sich die technischen Möglichkeiten der Datenverarbeitung so sehr revolutioniert, dass der "große Bruder" George Orwells aus heutiger Sicht über die damals, gewissermaßen in der informationstechnischen Steinzeit bestehenden Möglichkeiten der Überwachung nur noch mitleidig lächeln könnte. Die technischen Möglichkeiten von heute befinden sich allerdings nicht mehr in den Händen weniger Einzelner oder gar nur von Staaten. Die Privatisierung der Informationstechnologie hat im Zusammenhang mit der Globalisierung die Zahl potentieller "Big Brother" so unübersichtlich werden lassen, dass aus datenschutzrechtlicher Sicht anarchische Zustände eher zu drohen scheinen als ein totalitärer Überwachungsstaat."

Gerade die zunehmende Kommunikation über das Internet in vielen Lebensbereichen sowohl zu Freizeitzwecken als auch für die Abwicklung von Geschäften bringt einen immensen Austausch personenbezogener Daten mit sich. Dies birgt aus datenschutzrechtlicher Sicht viele Risiken und Gefahren, die Menschen – vor allem Jugendliche - oft nicht hinterfragen oder in ihrer Tragweite nicht richtig einschätzen.

Die Online-Preisgabe persönlicher Daten kann Persönlichkeitsverletzungen, aber auch unsachgemäße und sogar kriminelle Datennutzung mit sich ziehen. Diesem Umstand gilt es durch konkrete rechtliche Vorgaben, eine effektive Infrastruktur im Datenschutz und durch die Stärkung des Selbstdatenschutzes der Betroffenen zu begegnen.

Stand früher die reine Informationsbeschaffung im Vordergrund, bestimmen mittlerweile zunehmend interaktive Angebote das Feld. Online - Banking, Internet-Shopping, die Teilnahme an Chats, Newsgroups und Gesprächsforen, E-Mail-Nutzung und zahllose weitere Dienste und Angebote werden für viele Menschen immer selbstverständlicher und vor allem – wohl auch unverzichtbarer.

Gerade im Wirtschaftsbereich werden die persönlichen Daten von potentiellen Geschäftspartnern, Arbeitsplatzbewerbern und Vertragspartnern (z. B. Kreditinstitute oder Vermietern) aus unterschiedlichen Quellen herangezogen, zusammengeführt und ausgewertet. Diese Möglichkeiten machen sich immer mehr Firmen zueigen, indem sie sich an Auskunfteien wenden, die diese Daten geschäftsmäßig erheben, verarbeiten und anbieten.

Das Problem ist dabei nicht so sehr, dass Auskunfteien dadurch immer mehr an Bedeutung gewinnen, sondern dass die Verfahrensweisen vieler Auskunfteien häufig völlig intransparent für die Betroffenen sind, d.h. sie können die Entscheidungen ihrer potentiellen Geschäftspartner, wie z. B. Kreditinstitute, Versandhandelsunternehmen, Vermieter etc., die die Bewertung der Auskunfteien nutzen, überhaupt nicht nachvollziehen, in Frage stellen und schon gar nicht korrigieren.

Viele Auskünfte beruhten in der Vergangenheit dabei einzig und allein auf sogenannten Scoringverfahren, d. h. mathematisch-statistischen Verfahren zur Berechnung der Wahrscheinlichkeit, mit der eine bestimmte Person ein bestimmtes Verhalten zeigen wird. Eine solche Ausgestaltung des Scoringverfahrens war datenschutzrechtlich nicht hinzunehmen. Umso erfreulicher ist die Tatsache, dass im kommenden Monat – also am 01.04.2010 - durch eine Gesetzesänderung in § 28 b Bundesdatenschutzgesetz klare Vorgaben für die Zulässigkeit von Scoringverfahren gemacht werden. So wird Rechtssicherheit für die Bürgerinnen und Bürger geschaffen, die Transparenz der Verfahren verbessert und den Betroffenen mehr Informations- und Auskunftsrechte gewährt werden.

Dies vorausgeschickt, beantworte ich die Fragen im Namen der Landesregierung wie folgt:

Zu 1.:

Die Landesregierung sieht es als ihre Aufgabe an, Bürgerinnen und Bürger für einen sorgsamen und verantwortungsbewussten Umgang mit den eigenen Daten und den Daten anderer zu sensibilisieren und ihr Datenschutzbewusstsein zu stärken. Sie legt dabei den Schwerpunkt auf die Information und Beratung der Bürgerinnen und Bürger, die Aufklärung über die Gefahren bei der Datenpreisgabe, die insbesondere durch die neuen Medien stark zugenommen haben und auf die Stärkung des Selbstdatenschutzes.

Deshalb hat die Landesregierung mit Beschluss vom 03. März 2009 auch den Bereich des nicht-öffentlichen Datenschutzes beim Landesbeauftragten für den Datenschutz Niedersachsen sowohl personell als auch organisatorisch ausgebaut. Ein Teil dieser Verstärkung soll der Sensibilisierung der Bevölkerung im Umgang mit personenbezogenen Daten zugute kommen. Der LfD leistet dabei insbesondere in Zusammenarbeit mit Schulen, Volkshochschulen, Verbraucherzentralen und anderen Einrichtungen Aufklärungs- und Beratungsarbeit, vor allem durch Medienpräsenz, Vorträge, aktuelle Internetinformationen und Broschüren.

Er wirkt auf diesem Weg maßgeblich darauf hin, dass den Menschen die Bedeutung des Schutzes ihrer personenbezogenen Daten bewusst wird und sie verantwortungsvoll mit diesen Daten umgehen.

Darüber hinaus finanziert z.B. das Nds. Ministerium für Wirtschaft, Arbeit und Verkehr für das lfd. Jahr 2010 das Projekt der Verbraucherzentrale Niedersachsen "Fahrgastrechte, Datenschutz, Finanzmarktkrise" mit einem Betrag i.H.v. insgesamt ca. 211.500 €.

Ein Schwerpunkt dieses Projekts ist u. a., die Verbraucher – insbesondere junge Menschen – in persönlichen Beratungen und öffentlichen Veranstaltungen darauf hinzuweisen, dass sie als Nutzer Sozialer Netzwerke auch höchstpersönlichste Daten preisgeben. Für viele Kinder und Jugendliche sind Soziale Netzwerke wie Facebook, MySpace, SchülerVZ, StudiVZ, MeinVZ, Wer-kennt-wen.de, Xing, usw. inzwischen ihr Hauptkommunikationsmittel. Aber auch immer mehr Erwachsene werden Mitglied in internetbasierten sozialen Netzwerken. Alleine SchülerVZ, StudiVZ und MeinVZ erreichten im Jahre 2009 nach Betreiberangabe mehr als 75 Prozent aller Deutschen in der Altersgruppe zwischen 12 und 29 Jahren.

Hier gilt es zum Einen, die Verbraucher – insbesondere Schüler und junge Erwachsene – zu sensibilisieren, mit der Preisgabe persönlicher Daten äußerst sparsam umzugehen.

Zum Zweiten steht die Verhinderung der Datenweitergabe auf rechtlicher Ebene z. B. in Form des Widerspruchs bei Datenverwendungsklauseln im Fokus.

Zu 2.:

Den Betroffenen steht gemäß § 34 Bundesdatenschutzgesetz, im nicht öffentlichen Bereich das Recht zu, Auskunft zu verlangen über die zu ihrer Person gespeicherten Daten sowie deren Herkunft, Empfänger oder Kategorien von Empfängern, an die Daten weitergegeben werden, und den Zweck der Speicherung.

Im Falle der sogenannten Auskunfteien ist bei einem Auskunftsverlangen hinsichtlich Herkunft und Empfänger der Daten zwischen den Interessen des Betroffenen und dem Geschäftsgeheimnis abzuwägen. Falsche Daten hat das Unternehmen zu berichtigen. Nicht mehr erforderliche Daten sind zu löschen bzw. zu sperren. Bestrittene Daten sind bis zur Klärung zu sperren. Der Datennutzung für Zwecke der Werbung oder der Markt- oder Meinungsforschung können Kunden jederzeit widersprechen, sodass die Datennutzung für diese Zwecke unzulässig wird.

Die Regelung des § 34 BDSG zur Auskunftspflicht wurde im vergangenen Sommer ergänzt um Auskunftsansprüche der Betroffenen zum bereits erwähnten Scoringverfahren. Unternehmen müssen hiernach ab 1. April 2010 als verantwortliche Stellen den Betroffenen auf Verlangen die Scorewerte, die genutzten Daten und das Zustandekommen des Wertes nachvollziehbar darlegen. Den Betroffenen wird dadurch die Möglichkeit gegeben, die Berechnungen und Rückschlüsse zu überprüfen und ggf. zu korrigieren.

Darüber hinaus besteht nach § 42a BDSG seit dem 1. September 2009 eine Informationspflicht für Unternehmen bei unrechtmäßiger Kenntniserlangung von Daten. Danach haben Unternehmen eine Informationspflicht gegenüber den zuständigen Aufsichtsbehörden und den Betroffenen, wenn ihnen gespeicherte, besonders sensible Daten wie z. B. Gesundheitsdaten oder Bank- oder Kreditkartenkontodaten unrechtmäßig übermittelt oder auf sonstige Weise unrechtmäßig zur Kenntnis gelangt sind und schwerwiegende Beeinträchtigungen für die Rechte oder schutzwürdige Interessen der Betroffenen drohen. Eine solche Verpflichtung ist insbesondere anzunehmen, wenn anhand von tatsächlichen Anhaltspunkten, z. B. aus dem eigenen Sicherheitsmanagement oder durch den eigenen Beauftragten für den Datenschutz die ge¬nannten Missstände festgestellt werden.

Zu 3.:

Jedes Unternehmen, das personenbezogene Daten automatisiert erhebt, verarbeitet oder nutzt, hat gem. § 4 f BDSG eine Beauftragte oder eine Beauftragten für den Datenschutz zu bestellen, wenn bei der automatisierten Datenverarbeitung mindestens 10 Personen oder bei Verarbeitung auf andere Weise mindestens 20 Personen beschäftigt sind. Der oder die Datenschutzbeauftragte ist Organ der Selbstkontrolle und unterstützt und berät das Unternehmen.

Die betrieblichen Datenschutzbeauftragten haben auf die Einhaltung des BDSG und anderer Vorschriften über den Datenschutz hinzuwirken, die ordnungsgemäße Anwendung der Datenverarbeitungsprogramme, mit deren Hilfe personenbezogene Daten verarbeitet werden, zu überwachen, und die bei der Verarbeitung personenbezogener Daten tätigen Personen zu schulen. Darüber hinaus haben sie jedermann auf Antrag die Angaben über Verfahren automatisierter Verarbeitungen in geeigneter Weise zur Verfügung zu stellen und führen Vorabkontrollen nach dem BDSG bei besonderen Datenverarbeitungen durch.

Mit Änderung des BDSG im Jahr 2009 wurde die Position der betrieblichen Datenschutzbeauftragten gestärkt.

Der Kündigungsschutz der Beauftragten für den Datenschutz wurde erweitert, dem Schutz vergleichbarer Funktionsträger angepasst und auf ein Jahr nach Beendigung der Funktion ausgedehnt. Der Anspruch auf Fort- und Weiterbildung auf Kosten des Unternehmens wurde gesetzlich festgeschrieben. Hierdurch ist es gelungen, die fachliche Eignung des DSB zu gewährleisten.

Soweit Unternehmen betriebliche Datenschutzbeauftragte nicht in der vorgegebenen Weise bestellen, kann dies mit einem Bußgeld bis zu 50.000 Euro belegt werden. Die rechtlichen Vorgaben für einen wirksamen Datenschutz werden seitens der Landesregierung insoweit als ausreichend betrachtet.

Die Vorteile einer effektiven Selbstkontrolle durch betriebliche Datenschutzbeauftragte durch präventive Maßnahmen datenschutzrechtliche Mängel erst gar nicht entstehen zu lassen, Abhilfe von Defiziten durch internes Beschwerdemanagement anstelle von Eingaben Betroffener an den LfD zu schaffen und Datenschutz als Qualitätskriterium im Rahmen des wirtschaftlichen Wettbewerb anzusehen, liegen dabei auf der Hand. Gleichwohl gilt es auch weiterhin, in der Praxis diese Vorgaben in den Unternehmen wirksam umzusetzen und zu kontrollieren.