Datensouveränität im Zeitalter des "Internet der Dinge"

Die Richtlinie 95/46/EG der EU (Datenschutzrichtlinie) definiert den Begriff der personenbezogenen Daten für die Mitgliedstaaten der Europäischen Union in Artikel 2 lit. a folgendermaßen: "alle Informationen über eine bestimmte oder bestimmbare natürliche Person ("betroffene Person"); als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennnummer oder zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind."

Das deutsche Bundesrecht definiert in §3 Abs. 1 Bundesdatenschutzgesetz (BDSG) personenbezogene Daten als "Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person". Solche Daten können freiwillig oder unfreiwillig, sie können über Aktionen, Standorte oder aus abgeleiteten Informationen entstehen. Unter "Personal Data" werden hier nachfolgend personenbezogene Daten im vorgenannten Sinne verstanden.

Welche Rechte an welchen Daten?

Die Antwort auf die Frage, wer welche Rechte an den eigenen personenbezogenen Daten hat, scheint - auch manchem Juristen - einfach und profan. Die meisten Menschen gehen davon aus, dass sie selbst Eigentümer ihrer Daten sind und damit auch allein über sie bestimmen dürfen. Klar ist jedoch schnell, dass es auch Daten gibt, die zwar personenbezogen sind, die aber nicht unter dieses Bestimmungsrecht fallen - wie beispielsweise das Strafregister, die Daten beim Finanzamt oder bei den Krankenkassen. Die Souveränität des Individuums, über seine Daten frei zu verfügen, ist somit zumindest nur eingeschränkt vorhanden. Das heute existierende Bundesdatenschutzgesetz ist ein Verbotsgesetz mit Erlaubnisvorbehalt - es ist also alles verboten, was nicht ausdrücklich erlaubt ist. Es geht in seiner Anwendung soweit, dass sich mancher mündige Bürger überreguliert fühlt.

Die geplante europäische Datenschutzgrundverordnung (DS-GVO) gibt Hoffnung auf einen neuen, angemesseneren Ansatz - Stichwort "Personal Data Economy". Um von einer solchen sprechen zu können, müssen die Daten zunächst einmal einen Wert haben. Doch wie ermittelt man diesen? Pekuniäre Werte personenbezogener Daten beispielsweise hängen von verschiedenen Faktoren ab. Dazu zählen unter anderem die zugrunde liegenden rechtlichen, geschäftlichen und technologischen Gegebenheiten. Hinzu kommt, dass diese einem ständigen Wandel unterliegen. Es steht seit Facebook und Co. außer Frage, dass personenbezogene Daten einen mikro- und makroökonomischen Treibstoff für die Wirtschaft darstellen. Dass dabei die datenschutzrechtlichen Vorschriften zu beachten sind, sollte zumindest für Europa selbstverständlich sein.

Mögliche und wahrscheinliche Missbräuche sollten nicht davon abhalten, die enormen Möglichkeiten, die eine Personal Data Economy - immer unter Einbeziehung der europäischen Datenschutzgrundsätze - für Europa bieten kann, zu beleuchten. Eine Personal Data Economy verfolgt den Ansatz, jeden Menschen in die Lage zu versetzen, selbstbestimmt mit seinen personenbezogenen Daten umzugehen.

Jeder Mensch soll seine Daten veräußern dürfen

Die Entwicklung der Diskussion über die Verwertung von personenbezogenen Daten, ausgehend von User Analytics über Big Data hin zur "Persönlichen Digitalen Datenwirtschaft" zeigt, dass eine ausschließlich "klassisch-datenschutzrechtlichen Strategie", Personen durch die Anonymisierung ihrer Daten zu schützen, in Zukunft nicht mehr greifen wird. Die Menschen werden an ihren Werten partizipieren wollen.

Den Weg in die richtige Richtung gibt der "Erwägungsgrund Nr. 2" der neuen europäischen Datenschutz-Grundverordnung vor: "Die Verarbeitung personenbezogener Daten steht im Dienste des Menschen; die Grundsätze und Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten sollten gewährleisten, dass ungeachtet der Staatsangehörigkeit oder des gewöhnlichen Aufenthaltsorts der natürlichen Personen deren Grundrechte und Grundfreiheiten und insbesondere deren Recht auf Schutz personenbezogener Daten gewahrt bleiben. Die Datenverarbeitung sollte zur Vollendung eines Raums der Freiheit, der Sicherheit und des Rechts und einer Wirtschaftsunion, zum wirtschaftlichen und sozialen Fortschritt, zur Stärkung und zum Zusammenwachsen der Volkswirtschaften innerhalb des Binnenmarktes sowie zum Wohlergehen der Menschen beitragen."

Das Wohlergehen des Menschen dürfte auch eine Personal Data Economy umfassen. Der Wandel dahin mit freiem Verfügungsrecht an den eigenen Daten wird von Experten bis zum Jahr 2020 auf einen Wert von etwa acht Prozent des Bruttoinlandsprodukts geschätzt. Das wird schon an einfachen Beispielen deutlich, die auf der folgenden Seite erläutert werden sollen.

Automobilwirtschaft

Ende Januar 2014 diskutierten Experten auf dem 52. Deutschen Verkehrsgerichtstag in Goslar die Frage, wem denn die Fahrzeugdaten gehören. Der ADAC wies sofort auf die Gefahr der ungeschützten Datennutzung hin - darauf, dass der Verbraucher am Ende nicht mehr selbst bestimmen könne, wie und mit wem das Auto kommuniziert. Da Fahrzeugdaten heiß begehrte Informationen für verschiedenste Interessengruppen darstellten, sei es erforderlich, den Zugriff im Sinne des Verbrauchers und des freien Wettbewerbs zu regulieren. Diese Forderung ist plausibel und richtig, wenn sie die Rechte des Einzelnen in den Mittelpunkt stellt.

Es gibt im Sinne einer Personal Data Economy aber noch weitere, teils gegenteilige Faktoren zu berücksichtigen. Dazu ein mögliches Szenario: Ein Gewerbetreibender least ein Auto der neuesten Oberklassegeneration, fährt es alleine, gibt es nach drei Jahren zurück und möchte das Folgemodell leasen. Hier ergeben sich eine Menge offener Fragen: Welche Informationen über das Fahrverhalten von Auto (und Fahrer) wurden gespeichert? Denkbar sind beispielsweise Längsbeschleunigung, Querbeschleunigung, Richtungsänderung, Positionen, Licht ein- oder ausgeschaltet, Bremsenbetätigung, Blinker gesetzt oder nicht, Verbrauch, Sicherheitsgurt angelegt oder nicht… Viele Autos speichern all diese Infos meist automatisch - mit Datum und Uhrzeit. Sie dienen den Autobauern nach Ablauf des Leasingvertrags beispielsweise als wertvolle Informationsquelle für die Weiterentwicklung der Fahrzeuge - zumindest ist das anzunehmen. Datenschützer mutmaßen das ebenfalls und warnen vor dem "Big-Brother-Effekt".

Das Thema lässt sich aber auch noch von einer anderen Warte aus betrachten. Was wäre, wenn der Gewerbetreibende die Überlassung der Daten an die Automobilhersteller von einer Zahlung an ihn abhängig machen würde? Nach dem Motto: "Ich habe stetig Daten gesammelt, nun möchte ich die Früchte meines Tuns ernten." Viel interessanter für den Automobilhersteller und den Datensammler wäre allerdings ein anderes Modell: Der Automobilhersteller wertet die Daten der letzten drei Jahre für den Fahrer individuell aus und liefert ihm einen detaillierten Bericht, beispielsweise welcher Kfz-Typ für ihn der ökonomisch sinnvollste wäre. Dafür darf er im Gegenzug die Daten des Datensammlers anonymisiert für eigene Zwecke verwenden.

Denkbar ist auch, dass sich der Gewerbetreibende seine Fahrdaten auf einem Datenträger zur Verfügung stellen lässt und sie dazu verwendet, den für ihn günstigsten Wagen auch bei anderen Herstellern zu suchen.

Energiewirtschaft

Der Energiemarkt ist bekanntermaßen datenintensiv. Vor dem Hintergrund der erlassenen EU-Richtlinie zur Einführung so genannter Smart Meter sind neue technische und wirtschaftliche Maßnahmen erforderlich. Bis 2020 ist unter bestimmten Voraussetzungen mit einer bis zu 80-prozentigen Abdeckung mit intelligenten Zählern zu rechnen. Smart Meter erheben "personenbezogene Energie-Daten". Ihr Roll-out ist in den meisten europäischen Ländern inzwischen weit vorangekommen, Deutschland hinkt noch hinterher. Deutsche Datenschützer sehen der Einführung von Smart Metern mit Sorge entgegen. Es geht aber auch anders.

Smart Metering bietet neben der Zählerstanderfassung viele weitere Funktionen. Damit verfügen die Energieversorger über Daten, die sowohl für den Endverbraucher als auch für andere Unternehmen interessant sind. Bisher werden die "personenbezogenen Energie-Daten" und ihr enormer wirtschaftlicher Wert einseitig zugunsten der Energieversorger von diesen verwertet.

Wie wäre es jedoch stattdessen mit folgendem Szenario: Der Energieversorger könnte beispielsweise anbieten, dass er die Daten eines Haushalts in anonymisierter Form für weitere eigene Zwecke wie statistische Erhebungen verwenden darf, im Gegenzug aber Effizienzmessungen für jedes angeschlossene Haushaltsgerät vornimmt. Sollte sich ein Verbraucher wie beispielsweise der Kühlschrank als ineffizient herausstellen, informiert der Versorger den Kunden und legt drei Angebote für effizientere Lösungen vor - verbunden mit einer Berechnung, bis wann sich eine Neuanschaffung amortisiert hätte. Der gesamte Service wäre kostenfrei und für den Kunden jederzeit an- und abwählbar.

Normative Überlegungen

Die zentrale Frage in den vorgestellten Szenarien ist: Gewährt das derzeitige Recht auch das Recht des Einzelnen, seine personenbezogenen Daten nach eigenem Ermessen zu vermarkten? Die Antwort ist noch nein, scheint aber im Wandel zu sein. Das Bürgerliche Gesetzbuch (BGB) und auch die meisten anderen europäischen Jurisdiktionen enthalten keine Definition für das Eigentum an Daten, weil Daten die sogenannte "Sacheigenschaft" fehle. Es gibt jedoch eine Veränderung dahin, den Begriff der Sacheigenschaft auch zumindest analog auf Daten anzuwenden.

In Artikel 18 der geplanten DS-GVO soll explizit ein Recht auf Datenübertragbarkeit geschaffen werden. Nach Erwägungsgrund 55 geht es darum, dass die betroffene Person befugt sein soll, "die von ihr zur Verfügung gestellten Daten von einer automatisierten Anwendung, etwa einem sozialen Netzwerk, auf eine andere Anwendung zu übertragen". Zur Begründung heißt es: "Damit die betroffenen Personen eine bessere Kontrolle über ihre eigenen Daten haben und ihr Auskunftsrecht besser ausüben können, sollten sie im Falle einer elektronischen Verarbeitung ihrer personenbezogenen Daten in einem strukturierten gängigen Format ebenfalls Anspruch auf Erhalt einer Kopie der sie betreffenden Daten in einem gängigen elektronischen Format haben. Die betroffene Person sollte auch befugt sein, die von ihr zur Verfügung gestellten Daten von einer automatisierten Anwendung, etwa einem sozialen Netzwerk, auf eine andere Anwendung zu übertragen. Dies sollte dann möglich sein, wenn die betroffene Person die Daten dem automatisierten Verarbeitungssystem mit ihrer ausdrücklichen Einwilligung oder im Zuge der Erfüllung eines Vertrags zur Verfügung gestellt hat." Offen bleibt, ob damit tatsächlich ein freies Verfügungsrecht gegeben ist. Für die oben aufgeführten Beispiele im Bereich Automotive und Energie könnte das für die Verbraucher positive Effekte haben.

Fazit

Google, Facebook und Co. haben den Beweis angetreten, dass Daten einen Wert haben oder gar eine Währung sind. Die Verbraucher als Datenerzeuger werden begreifen, dass sie durch die Produktion von Daten Werte schaffen, und sie werden einfordern, an diesen Werten partizipieren zu können.

Ob früher oder später die Anerkennung von Daten als Sache oder "wie eine Sache" erfolgt, ist aus heutiger Sicht zweitrangig. Fakt ist, dass Daten als Wert erkannt worden sind und dass den Datenschützern nicht das Recht zusteht, dem Individuum diesen Wert zu entziehen. Soweit keine gesetzliche Klarstellung vorgenommen wird, erfolgt die Klarstellung durch die Rechtsprechung, wobei deren Entwicklung durch den EuGH vorgezeichnet ist. Dieser geht von einem "durchschnittlich informierten, aufmerksamen und verständigen Durchschnittsverbraucher" aus, der weiß, was er mit seinen Daten macht. Somit werden selbst Zweifler sich mit dem Gedanken anfreunden müssen, dass jedem Menschen das Recht zusteht, über seine Datenverwertung und Vermarktung selbst zu entscheiden. (sh)