Die Socialbar Bonn bringt die vielfältigen digitalen Initiativen und Aktivitäten in und um Bonn sichtbar(er) zusammen und vernetzt so die Akteur*innen miteinander. Am Montag ging es um die Datenschutzsszene in Bonn. Auf dem Programm: Vorträge aus dem Haus der Bundesdatenschutzbeauftragten, der Deutschen Vereinigung für Datenschutz und von mir zu kirchlichem Datenschutz.

Die drei Vorträge von Aline Sylla, Achim Klabunde und mir haben unterschiedliche Aspekte des Datenschutzes betont. Das Gemeinsame: alle drei sind mit Bonn verbunden, und alle drei machen Datenschutz als Grundrechtsschutz stark. Hier fasse ich die Vorträge zusammen.

Darf ich einmal Ihren Ausweis sehen? Altersprüfungen im Netz datenschutzkonform gestalten

»Datenschutz schützt keine Daten, sondern Menschen«, betonte Aline Sylla, technische Referentin im Referat 23 – Digitale Dienste und Messengerdienste der BfDI. Dass die Bundesdatenschutzbeauftragte überhaupt schon länger mit dem Thema Altersverifikation im Netz zu tun hat, liegt weniger an den beaufsichtigten Institutionen (Bundesbehörden und wenige Sektoren der Privatwirtschaft) als an der anderen großen Aufgabe der BfDI: der Beratung des Gesetzgebers. Dazu kommen neuerdings noch Zuständigkeiten aus dem Digital Services Act bei Onlinewerbung (Art. 26 Abs. 3 DSA) und Jugendschutz (Art. 28 Abs. 2 DSA).

Sylla nannte mehrere Risiken, die mit Altersverifikation im Netz einhergehen: allgemein den Verlust von Teilhabe durch neue Hürden, Chilling effects durch Überwachungsdruck, Biases und Diskriminierung. Spezifische Risiken sind der Verlust von Identitätsdaten, die Weiterverwertung von bei der Verifikation anfallendungen Biometriedaten, Profiling, der Verlust von Anonymität oder Pseudonymität und die Gefahr, dass Minderjährige online identifiziert und damit als Ziele ausgemacht werden können.

Altersverifikation befinde sich so immer einem einem Spannungsfeld zwischen dem (intendierten) Schutz von Minderjährigen vor Gefahren, dem inhärenten Risiko der Verifikation und dem Recht auf Teilhabe und Befähigung, das die UN-Kinderrechtskonvention für Kinder und Jugendliche festschreibt. Diesem Spannungsfeld gelte es sich mit Fingerspitzengefühl zu nähern.

Sylla betonte, dass Altersverifikationssysteme datenschutzkonform ausgestaltet sein müssen – und dass das auch möglich ist. Die klare Präferenz seien dabei Systeme, die auf dem Zero-Knowledge-Prinzip basieren, so dass personenbezogene Daten erst gar nicht zweckentfremdet oder offengelegt werden können – also privacy und safety by design. Nicht geeignet seien KI-basierte Technologien, die etwa auf der Grundlage von Verhalten oder Biometrie das Alter schätzen.

In der Diskussion wies Sylla darauf hin, dass mit der Einführung von Verifikationssystemen eine schleichende Gewöhnung an Identifizierung eintreten könne. Es sei kaum nachzuvollziehen, ob wirklich nur eine Altersprüfung vorgenommen wird oder noch mehr Daten abgefragt und verwendet werden. Ihr Plädoyer: Der Prozess der Altersverifikation muss sich anders »anfühlen« als der einer Identitätsfeststellung, um Gewöhnungseffekte und Phishing zu verhindern. Persönlich skeptisch zeigte sie sich, ob Altersverifikationen und Social-Media-Verbote wirklich die beabsichtigten Ziele des Jugendschutzes erreichen können. Stattdessen sprach sie sich dafür aus, das Recht, einschließlich des Datenschutzrechts, für alle konsequent durchzusetzen. Schon das würde das Schutzniveau – und zwar für alle – deutlich erhöhen.

Einen Vortrag zum Thema hat Aline Sylla bereits beim 38C3 gehalten – der Vortrag kann online nachgehört werden.

Wunderwelt kirchlicher Datenschutz

Ich habe Artikel91.eu als Bonner Blog zur wunderlichen Welt des kirchlichen Datenschutzes vorgestellt. Vieles dazu stand bereits im Artikel zum fünfjährigen Jubiläum im vergangenen Sommer.

Zu Beginn habe ich abgefragt, wer vor der Socialbar schon wusste, dass es so etwas wie einen eigenen kirchlichen Datenschutz gibt. Etwa die Hälfte der Teilnehmenden hat sich gemeldet – etwas verzerrt wurden die Zahlen wohl dadurch, dass einige Leser*innen auch dabei waren, die sonst nicht zur Socialbar kommen und über den Artikel91-Newsletter von der Veranstaltung erfahren haben. Die nächste Abfrage zeigte dann aber, dass quasi alle schon mal in Berührung mit Verantwortlichen gekommen sind, die kirchliche Datenschutzgesetze anwenden: Auf die datensparsam gestellten Fragen, wer jemanden kennt, der*die Mitglied einer Kirche ist oder war, bei einer kirchlichen Einrichtung arbeitet oder mit kirchlichen Kitas, Schulen, Vereinen, Verbänden und sozialen Einrichtungen von Caritas und Diakonie in Kontakt gekommen ist, meldeten sich alle.

Inhaltlich ging es vor allem darum, wie die Kirchen überhaupt zu ihrem eigenen Datenschutzrecht gekommen sind: Beginnend mit den ersten staatlichen Datenschutzgesetzen, die auch privatrechtliche Verantwortliche im Blick hatten, wurde der Anwendungsbereich des Datenschutzrechts definiert für öffentliche Stellen des Bundes oder des jeweiligen Landes und nicht-öffentliche Stellen. Die Kirchen als Körperschaften des öffentlichen Rechts passten da in keine Schublade: Weder sind sie öffentliche Stellen des Bundes oder eines Landes, noch sind sie nicht-öffentliche Stellen.

Aber anstatt die Lücke als Versäumnis der Gesetzgebe zu erkennen und auf eine Korrektur der Gesetze hinzuwirken, entdeckte man im »beredten Schweigen« der Datenschutzgesetze eine bewusste Öffnung für eigenen kirchlichen Datenschutz. Und wenn Kirchen Möglichkeiten zur Selbstbestimmung sehen, dann nehmen sie sich die und geben sie nicht mehr her – auch, als die DSGVO eine andere Systematik ohne beredtes Schweigen sich anzunehmen schickte. Die Konsequenz: Die Kirchen lobbyierten mit Hilfe der damaligen CDU-Bundesregierung den heutigen Art. 91 in die DSGVO, um ihren Selbstbestimmnugsraum zu erhalten.

So haben die großen Kirchen (und viele kleine) heute noch eigenes Datenschutzrecht mit diversen Institutionen, insbesondere kirchlichen Datenschutzaufsichten, die damit verbunden sind.

Die Folien des Vortrags stelle ich online zur Verfügung.

Datenschutz ist Menschenrecht

Achim Klabunde ist Informatiker und macht schon seit 55 Jahren Datenschutz, zuletzt beim Europäischen Datenschutzbeauftragten. Heute ist er im Vorstand der Deutschen Vereinigung für Datenschutz (DVD). Die traditionsreiche Bürgerrechtsorganisation wurde 1977 in Bonn gegründet. Kein Zufall, betonte Klabunde: Bonn als damalige Bundeshauptstadt war der Ort der Gesetzgebung, viele, die das Datenschutzrecht in Deutschland mitgestaltet haben, wirkten in Bonn. Und 1977 ist das Jahr, in dem das erste Bundesdatenschutzgesetz in Kraft getreten ist.

Dass 1977 Deutschland sein Datenschutzgesetz bekam, müsse man besonders wertschätzen, betonte Klabunde: Während Horst Herold als BKA-Präsident die Rasterfahndung erfand und die Ermordung von Generalbundesanwalt Siegfried Buback durch die RAF den Deutschen Herbst einleitete, sei es keinesfalls selbstverständlich gewesen, dass die Bundesregierung Bürgerrechte stärkt. Klabunde erinnerte an den damaligen Bundesinnenminister Werner Maihofer, der in der Mitte einer Reihe im besten Sinne liberaler Innenminister stand – Hans-Dietrich Genscher von 1969 bis 1974, Maihofer von 1974 bis 1978 und Gerhart Baum von 1978 bis 1982, alle FDP.

Klabunde zeichnete die Geschichte des Datenschutzes nach: Vom ersten Datenschutzgesetz in Hessen 1970 über das Bundesdatenschutzgesetz 1977 und die daraufhin entstehende Bewegung hin zu Datenschutzgesetzen in vielen insbesondere europäischen Ländern. Schon früh war damit klar, dass Datenschutz international werden muss: Typisch für Datenschutzgesetze ist und war, dass sie die Problematik der Datenübertragung an Drittländer im Blick hatten. »Europa muss ran«, betonte Klabunde. Eine jeweils unilaterale Feststellung, ob das Datenschutzniveau eines Landes akzeptabel ist, wäre nicht praktikabel. Die erste Internationalisierung erfolgte dann bereits 1981 mit der Konvention 108 des Europarats, 1995 folgte die EU-Datenschutzrichtlinie. Dass aus der Richtlinie eine Verordnung, die DSGVO wurde, war nicht ausgemacht – erst der Schock der Snowden-Enthüllungen hat für das politische Momentum gesorgt, die den politischen Willen zur DSGVO ermöglichten.

Datenschutz ist eine Grundrechtsfrage, nicht einfach nur Compliance. Das wird daran deutlich, dass zur Geschichte des Datenschutzes nicht nur Datenschutzgesetze gehören, sondern auch die Entwicklung des Datenschutzes als Grundrecht: 1983 das Volkszählungsurteil des Bundesverfassungsgerichts, 2000 die EU-Grundrechtecharta mit seinen Rechten auf Privatheit und Datenschutz, und 2009 der Lissabon-Vertrag, der die Grundrechtecharta rechtsverbindlich machte.

All diese Entwicklungen hat die DVD als Bürgerrechtsorganisation mit dem Motto »Datenschutz ist Menschenrecht« begleitet. Zur eigenen Rolle äußerten sich Klabunde und sein ebenfalls anwesender Vorstandskollege Reinhard Linz bescheiden: Vor allem in der Vernetzung und in der Bildungsarbeit habe die DVD gewirkt. Aktuell sei man stolz darauf, dass das Engagement der DVD für mehr Datenschutz im Handelsregister erfolgreich war und nicht mehr alle Daten über ehemalige Organmitglieder etwa von Vereinen auf ewig offen verfügbar sind – die DVD hatte das auch mit Blick auf den eigenen Registereintrag eng begleitet.

Aktuell sieht Klabunde viele Herausforderungen für den Datenschutz: das immer noch fehlende Beschäftigtendatenschutzgesetz in Deutschland, Überwachungsphantasien in der EU von Vorratsdatenspeicherung bis Chatkontrolle und die geplante Aushöhlung des Datenschutzes im Namen des »Bürokratieabbaus«. Allzu optimistisch zeigte er sich nicht angesichts der politischen Positionen von EU-Kommissionspräsidentin Ursula von der Leyen (CDU), des EVP-Fraktionsvorsitzenden Manfred Webers (CSU) und der CDU-geführten Bundesregierung. Es gibt also viel zu tun für die Deutsche Vereinigung für Datenschutz im fünfzigsten Jahr ihres Bestehens.

Weitere Berichte

• Stephanie hat auf Mastodon live mitgetröötet.
• Rainer Meyer auf train-und-coach.de: »Trotz der unterschiedlichen Themen verband die Vorträge ein gemeinsamer Kern. Alle drei Beiträge zeigten, dass Datenschutz nicht als Hindernis, sondern als Rahmen für verantwortliches Handeln verstanden werden kann. Ob bei Altersprüfungen, in kirchlichen Strukturen oder im menschenrechtlichen Grundsatzdiskurs: Immer geht es darum, Macht über Daten zu begrenzen und Teilhabe zu ermöglichen.«