Schnell unterschreiben, einfach anklicken? So schützen Sie Ihre Daten - Chronik

Datenschutz kann für jede und jeden konkrete Vorteile bringen, erklärt der Rechtsanwalt. Die Belästigung durch ständig neue Formulare führt Notdurfter auch auf eine zu bürokratische und oft fehlerhafte Umsetzung der Verordnung zurück. 5 Jahre Datenschutz-Grundverordnung in der EU: Was hat das für jede und jeden von uns gebracht? Christian Notdurfter: Die DSGVO hat das Bewusstsein für Datenschutz geschärft und viele Unternehmen und Behörden dazu veranlasst, sich mit dem Thema auseinanderzusetzen. Sie hat ähnliche Gesetze in der ganzen Welt inspiriert und damit das Datenschutzniveau weltweit angehoben. In einer zunehmend digitalisierten und vernetzten Welt, die uns einerseits eine Fülle von Möglichkeiten bietet, andererseits aber auch ein großes Überwachungs- und Missbrauchspotenzial in sich birgt, kommt der Trend zur langsamen, aber stetigen Verbesserung des Datenschutzes und der Datensicherheit uns allen kollektiv zugute, ohne dass wir uns aktiv darum kümmern müssen. Individuell bietet die DSGVO verschiedene Möglichkeiten, mehr Kontrolle über unsere Daten zu haben. Was bedeutet &bdquo;Kontrolle über unsere Daten“? Notdurfter: Das bedeutet, dass wir jederzeit in der Lage sein müssen, zu wissen und gegebenenfalls auch zu steuern, was mit unseren personenbezogenen Daten passiert. Zu diesem Zweck hat die DSGVO die Datenschutzrechte von Einzelpersonen gestärkt. So haben wir beispielsweise das Recht, von einem Unternehmen oder einer Behörde Auskunft über die über uns gespeicherten Daten und eine Kopie dieser Daten zu verlangen. Mit dem Auskunftsrecht können wir überprüfen, ob eine bestimmte Verarbeitung korrekt erfolgt ist. Und was soll das bringen? Notdurfter: Denken Sie etwa an eine Bank, die uns einen Kredit verweigert. Durch die Auskunft erfahren wir möglicherweise, dass die Ablehnung aufgrund unrichtiger Daten erfolgt ist. Dadurch können wir die Kontrolle über unsere Daten zurückgewinnen und in diesem Beispiel die Berichtigung derselben verlangen und so gegebenenfalls einen wirtschaftlichen Nachteil abwenden. In anderen Fällen können uns die Betroffenenrechte helfen, uns etwa vor Diskriminierung oder Identitätsbetrug zu schützen oder uns dagegen zu wehren. Was, wenn ein Unternehmen oder eine Behörde unserer Anfrage nicht nachkommt? Notdurfter: Wir haben jederzeit das Recht, uns bei einer Datenschutzbehörde zu beschweren. Nicht wenige Bußgelder haben ihren Ursprung in einer Nichtbeantwortung eines solchen Antrags auf Auskunft und Kopie. Schließlich können wir gegebenenfalls auch noch Schadenersatz verlangen – dieser Möglichkeit wird in den kommenden Jahren voraussichtlich durch Verbandsklagen mehr Bedeutung zukommen, die besonders bei gesellschaftlich relevanten Streuschäden interessant sein können. Die DSGVO hat auch dafür gesorgt, dass die Datenschutzbehörden mit wirksameren Sanktionsmöglichkeiten ausgestattet wurden, sodass der Datenschutz nun auch gegenüber mächtigen Internetkonzernen durchgesetzt werden kann, auch wenn es in der Praxis gerade auch hier leider noch Herausforderungen gibt. Wir haben also vom Ganzen einen Nutzen. Trotzdem geht Datenschutz vielen eher auf die Nerven: Ständig müssen wir Formulare ausfüllen und unterschreiben oder anklicken. Notdurfter:: Das liegt nicht selten an einer bürokratischen oder fehlerhaften Umsetzung der DSGVO. So wird von uns oftmals eine Einwilligung erbeten, obwohl gar keine Einwilligung notwendig ist. Die DSGVO verlangt nämlich nur dann eine Einwilligung, wenn es keine andere vernünftige Grundlage für die Datenverarbeitung gibt. Wenn man nicht in die Lage versetzt wird, zu verstehen, warum und wofür man denn nun eigentlich einwilligen soll, führt das natürlich zu Unverständnis, Unsicherheit und Frustration. So etwas ärgert mich auch sehr, wo doch die DSGVO selbst vorschreibt, dass ein Ersuchen um Einwilligung kurz, klar, einfach und verständlich sein muss. Können Sie Beispiele nennen, wo es auch einfacher geht? Notdurfter: Wenn Sie sich für eine Stelle bewerben, werden Sie auch heute noch häufig aufgefordert, in die Verarbeitung Ihrer Daten einzuwilligen, damit das Bewerbungsverfahren fortgesetzt werden kann. Tatsächlich verlangt die DSGVO in diesem Fall aber gar keine Einwilligung. Denn: Wenn Sie sich freiwillig bewerben, darf der potenzielle Arbeitgeber Ihren Lebenslauf und andere Informationen selbstverständlich und ohne Einwilligung nutzen, um das Bewerbungsverfahren durchzuführen – alles andere wäre ja auch absurd. Oder nehmen wir das Beispiel der Cookie-Banner. Leider verbinden viele von uns die DSGVO mit lästigen Cookie-Bannern. Dabei haben Cookie-Banner ihren Ursprung nicht einmal in der DSGVO. Sondern? Notdurfter: Cookie-Banner sind in erster Linie eine Folge der europäischen ePrivacy- Richtlinie. Diese hätte eigentlich zusammen mit der DSGVO reformiert werden sollen; die Reform scheitert bis heute an politischem Widerstand. In der ePrivacy-Richtlinie heißt es hierzu mehr oder weniger sinngemäß: &bdquo;Wer meine Internetnutzung verfolgen (tracken) will, muss mich vorher fragen und mir sagen, warum er oder sie das tun will.“ Cookie-Banner gibt es also, damit der Betreiber einer Website unsere Einwilligung einholen kann, um uns bzw. unsere Geräte – meist für Werbezwecke – nachverfolgen zu dürfen. Manchmal sind diese Cookie-Banner absichtlich so kompliziert gestaltet, dass man kaum eine andere Wahl hat, als die nicht erforderliche Tracking-Cookies zu akzeptieren. Derartige Cookie-Banner sind vom Datenschutz aber gerade nicht gewollt; im Gegenteil, je &bdquo;nervtötender“ sie gestaltet sind und je schwieriger es ist, die Einwilligung abzulehnen, desto wahrscheinlicher verstoßen sie gegen das Datenschutzrecht. Für eine solche manipulative Gestaltung der Cookie-Banner gibt es übrigens sogar einen eigenen Begriff: &bdquo;Dark Patterns“. Der Europäische Datenschutzausschuss (EDSA) hat hierzu im Jahr 2022 eine eigene Leitlinie zur Erkennung und Vermeidung von Dark Patterns herausgegeben. Die italienische Datenschutzbehörde hat bereits gehandelt: Im Februar dieses Jahres verhängte sie nämlich – in einem besonders schweren Fall – gegen ein großes italienisches Unternehmen im Bereich des digitalen Marketings ein Bußgeld von 300.000 Euro, was 2% des Umsatzes des Unternehmens entsprach. Wenn und sobald hier die Durchsetzung durch die Datenschutzbehörden weiter intensiviert wird oder die Reform der ePrivacy-Richtlinie endlich gelingt, ist auch hier mit einer grundsätzlichen Verbesserung zu rechnen. Viele lesen sich die Formulare für die Einwilligung zur Datenverarbeitung gar nicht durch. Sollten wir das trotzdem? Notdurfter: Niemand liest immer alles durch. Es ist die Pflicht von Unternehmen und Behörden, uns kurz, klar, einfach und verständlich zu erklären, wie sie mit unseren Daten umgehen. Wir haben das Recht, informiert zu werden, aber nicht die Pflicht, uns dafür zu interessieren. Spätestens wenn etwas schief läuft oder etwas Unerwartetes passiert, kann es durchaus sinnvoll sein, doch noch nachzulesen, was das Unternehmen oder die Behörde ursprünglich eigentlich erklärt hat. Frei nach Edward Snowden verhält es sich ähnlich wie bei der Meinungsfreiheit: Es ist gut, dass es Meinungsfreiheit gibt, auch wenn wir gerade nichts zu sagen haben. Wo sollten wir bei der Einwilligung also aufpassen? Notdurfter: Wir sollten genauer hinschauen, wenn wir um unsere Einwilligung gebeten werden. Das bedeutet nicht, dass wir nie einwilligen sollten, aber wir sollten versuchen zu verstehen, wofür wir eigentlich einwilligen sollen, um überhaupt eine selbstbestimmte Entscheidung treffen zu können. Wenn ein Unternehmen oder eine Behörde nicht in der Lage ist, uns das möglichst kurz, klar, einfach und verständlich zu erklären, sollten wir die Einwilligung einfach verweigern. Wenn wir es nicht verstehen, ist es jedenfalls sogar wahrscheinlich, dass die Information nicht transparent genug ist und somit eine Datenschutzverletzung vorliegt. Außerdem sollten wir nicht vergessen, dass wir besondere Datenschutzrechte haben, die wir im Zweifelsfall gerade auch immer dann wahrnehmen können, wenn wir etwas nicht verstehen oder nicht verstanden haben.