KÖLN (ee) - Datenschutzüberdruß ist die unerwartete Folge der zunächst heftigen Diskussion, die es seit der Einführung des Datenschutzgesetzes in der Bundesrepublik gegeben bat. Dabei ist offensichtlich da und dort auch das Selbstverständnis mancher Datenschutz-Beauftragten angekratzt worden. Mit diesen Problemen setzte sich Hans Gliss, Vorsitzender des Vorstandes der Gesellschaft für Datenschutz und Datensicherung (Bonn), zur Eröffnung der diesjährigen Datenschutzfachtagung (DAFTA) in Köln auseinander.

Seit etwas mehr als einem Jahr hat der Datenschutzbeauftragte Gelegenheit gehabt, seine Arbeit zu organisieren. Die Momentaufnahme aus heutiger Sicht zeigt keineswegs allgemein zufriedene Datenschutzbeauftragte. Dies hat die verschiedensten Gründe.

Generell sind folgende Erscheinungen zu beobachten:

- Mangel an meßbarem Erfolg

Schon wegen des vom Gesetzgeber geforderten Unterstellungsverhältnisses hat man für die Aufgabe des Datenschutzbeauftragten einen Mitarbeiter ausgewählt, der in seiner vergangenen Tätigkeit Erfolge aufzuweisen hatte. Nun ist ihm eine Aufgabe übertragen worden, deren Erfolg allenfalls an Äußerlichkeiten zu messen ist. Ein komplettes Dateienregister, regelmäßige Berichte an die Geschäftsführung und prompte Erledigung von Anfragen sind solche äußerlichen Zeichen von Erfolg. Damit jedoch ist der Datenschutz im Unternehmen keineswegs sichergestellt im Sinne des Gesetzes. Auch ist durch eine gute Berichterstattung der Zustand der Datensicherung - sowohl im Sinne des BDSG als auch im Unternehmensinteresse - nicht im geringsten verbessert.

Auch im Hinblick auf die Einschätzung, die der Datenschutzbeauftragte durch seine Kollegen erfährt, kann der Mangel an meßbarem Erfolg frustrierend sein. Wenn eine Organisation gut läuft wird die Rolle des Datenschutzbeauftragten zum Funktionieren dieser Organisation eher unterschätzt. Allenfalls dann, wenn das Unglück in nächster Nähe zuschlägt, wird man sich dankbar einer eigenen guten Datenschutzorganisation erinnern.

Mißerfolge dagegen werden den DSB mit Sicherheit ins Rampenlicht bringen. Er muß damit rechnen, daß Irgendwann ein ernsthafter Verstoß gegen das BDSG jeder eine Panne bei der Datensicherung oder der Ordnungsmäßigkeit im Unternehmen passiert. Zwar gehört es zu den eigentlichen Aufgaben des Datenschutzbeauftragten, einen solchen Datenunfall zu vermeiden helfen. Als Realist muß er sich jedoch auf ein solches Ereignis einstellen und versuchen, aufgetretene Pannen als Beweis der Anfälligkeit einer Organisation heranzuziehen.

- Zweifel am Sinn des eigenen Tuns

Der Datenschutzbeauftragte hat sich bisher überwiegend mit organisatorischen Dingen befaßt. Er wird sich Jetzt mehr technischen Fragen zuwenden müssen. Zweifel an der Wirksamkeit des eigenen Tuns können in einer ruhigen Minute durchaus aufkommen, weil sich Betroffene selten mit konkreten Fragen und Problemen an den Datenschutzbeauftragten wenden.

Diese Art von Frustration, die aus der Beschäftigung mit der eigenen Auffassung über das Amt des Datenschutzbeauftragten herrührt mag vordergründig lächerlich erscheinen, sie ist in der Tat aber ernst zu nehmen. Betroffene, die von ihren Rechten keinen Gebrauch machen, vermitteln dem Datenschutzbeauftragten leicht das Gefühl, seine Arbeit wäre nicht sonderlich wertvoll.

- Mangelnde Differenzierung zwischen alltäglichen und kritischen

Anwendungen

Die GDD bemerkt mit Besorgnis, daß in den Unternehmen wie auch bei den Betroffenen, vor allem aber gerade unter den Datenschutzbeauftragten sich ein zunehmender Überdruß auszubreiten beginnt. Für den aufmerksamen Beobachter kommt diese Entwicklung nicht überraschend. Ihren möglichen Ursachen nachzugehen kann für die künftige Arbeit der Datenschutzbeauftragten wichtige Hinweise geben.

Es war vorherzusehen, daß nach dem anfänglichen Wirbel um das neue Datenschutzgesetz und seine möglichen und tatsächlichen Auswirkungen auf die Datenverarbeitung in Wirtschaft und Verwaltung die Wogen sich allmählich glätten und die Diskussion in ruhigere, sicher auch sachlichere Bahnen kommen wurde. Nicht vorherzusehen war der eingangs erwähnte "Überdruß". Ganz offenbar beginnen die Bemühungen um einen zweckentsprechenden und angemessenen Datenschutz in Papierkrieg und bürokratischem Kleinkram zu ersticken. Wie ist dieser Trend zu erklären?

Das BDSG erfaßt mit seinen weitgespannten Legaldefinitionen eine große - in den Augen mancher Anwender viel zu große - Zahl von Datenbeständen und Datensammlungen. Dokumentationen hierüber müssen geführt, Listen angelegt, Anwendungen kontrolliert, Empfänger ermittelt werden, Überlegungen zur Sicherheit in den DV-Stellen, in den Fachabteilungen müssen angestellt, die Ordnungsmäßigkeit der Verarbeitung gemäß ° 29 BDSG überprüft werden und anderes mehr. Unter den vom BDSG geschützten Dateien befinden sich zudem manche Datensammlungen, bei denen der Aufwand, der zur Dokumentation laut Gesetz getrieben werden muß, schwer oder zuweilen gar nicht einzusehen ist. Der Datenschutzbeauftragte, der versuchen wollte, allen Ansprüchen in allen Fällen und unter allen Umständen vollständig gerecht zu werden, wäre von vornherein überfordert. Aber auch derjenige, der sich auf das Notwendige und vor allem das Wichtige beschränken will, läuft gegenwärtig Gefahr, daß seine Arbeit in purer Verwaltungstätigkeit versandet. Warum? Weil das Gesetz von sich aus keine Prioritäten gesetzt hat oder setz!

Kritische Anwendung

Das eigentliche Problem besteht darin, geeignete Kriterien zu finden, nach denen Prioritäten für künftige Aktivitäten auf dem umfangreichen Gebiet des Datenschutzes gesetzt werden sollen. Daß es keinen Sinn hat, die Daten für sich allein zu betrachten und in "sensitive" und "nicht-sensitive" einzuteilen, wurde in der Vergangenheit in vielen Veröffentlichungen klargestellt.

Daten für sich allein sind "neutral", sie werden "kritisch" oder "unkritisch" erst in dem Augenblick, in dem sie verwendet, in dem sie verarbeitet werden. Erst der Zweck, erst der Einsatz kann aus einem Datum eine mit größter Vorsicht zu behandelnde Information werden lassen. Sei es durch den Zusammenhang, in dem das Datum durch seine Anwendung gestellt wird, sei es durch den Empfänger, die Art der Auswertung und so fort. Das einzige Kriterium, nach dem deshalb Prioritäten für den Datenschutz gesetzt werden können, sind die "kritischen Anwendungen".

Vier Kriterien als Entscheidungshilfe

Ob eine Anwendung als kritisch zu bezeichnen ist, hängt in hohem Maße von den realen Gegebenheiten in der Datenverarbeitung der einzelnen speichernden Stelle ab. Trifft allerdings mindestens eines der folgenden Kriterien zu, so liegt mit Sicherheit eine kritische Anwendung vor, die im Hinblick auf Datenschutz Datensicherung und Ordnungsmäßigkeit besondere Aufmerksamkeit verdient.

- Undefinierte Benutzung

Auf das Problem, daß Fragen des Datenschutzes dann besonders berührt sind, wenn bei einem System der Benutzerkreis oder die beabsichtigte Benutzung durch einen bestimmten Benutzerkreis schon bei der Implementierung des Systems nicht vollständig definiert worden sind, haben Podlech und Dierstein bereits bei anderer Gelegenheit hingewiesen. Neue Benutzer oder neue Benutzungsformen eines Systems müssen erkannt und vor ihrer Ausführung der Prüfung eines Systemverantwortlichen - der mit Vetorecht ausgestattet ist - unterliegen, wenn nicht die Gefahr einer unberechtigten Systemnutzung heraufbeschworen werden soll. Jedes System, bei dem undefinierte und unkontrollierte Nutzungen möglich sind, muß als kritisch eingestuft werden.

- Gefahr der Fehlinterpretation

Daten werden erst in ihrem Kontext verständlich. Es gibt Kontexte, die aufgrund allgemeiner Vereinbarungen im System unmißverständlich für den sachkundigen Benutzer darstellbar sind (zum Beispiel Daten des Lohnkontos für einen Beschäftigten und für ein bestimmtes Kalenderjahr erhalten eine eindeutige Bedeutung durch die Bestimmungen des Lohnsteuer- und Beitragsrechts).

Sind die Kontexte gespeicherter Daten mangels allgemein vereinbaarter Bedeutung nicht eindeutig darstellbar, so besteht in hohem Grad die Gefahr der Fehlinterpretation. Systeme, die diese Möglichkeit erlauben, sind von vornherein als kritisch einzustufen.

- Konträre Interessenlage

Anwendungen, deren Zweckbestimmung gegen die Interessen von Bürgern gerichtet ist, sind als kritisch anzusehen. Dabei ist es zunächst gleichgültig, ob es sich um legitime oder nichtlegitime Interessen der Betroffenen handelt.

- Mangelhafte Sicherung

Nicht hinreichend

- gegen Verlust

- gegen unberechtigten Zugriff (Nutzung)

gesicherte Datenbestände beschwören ein besonderes Risiko durch mögliche Zerstörung oder Mißbrauch von Daten herauf. Gegen unberechtigten Zugriff nicht hinreichend gesicherte Datenbestände könnten auch den anderen kritischen Klassen, insbesondere der Klasse 1

zugerechnet werden. Trotzdem erscheint es sinnvoll, Ziffer 4 dieser Aufstellung als eigenen Punkt herauszustellen, weil sich aus ihr ein besonders geeigneter Ansatzpunkt für Maßnahmen der Datensicherung herleiten läßt.

Eine Klassifizierung, wie sie hier vorgeschlagen wird, trägt dazu bei, die für Datenschutz und Datensicherung Verantwortlichen auf diejenigen Anwendungen zu verweisen, denen ihr besonderes Augenmerk zunächst gelten sollte. Wo allerdings, wie im Bereich der öffentlichen Verwaltung, zahlreiche Systeme wegen ihres Charakters der "Vorratshaltung" bei der Datenspeicherung und wegen der vielfältigen Möglichkeiten der Amtshilfe von vornherein als kritisch einzustufen sind, ist innerhalb der kritischen Anwendung sicherlich eine weitergehende Unterteilung in einzelne Klassen erforderlich und sinnvoll. Denn wo nach dem hier vorgeschlagenen Schema alle Anwendungen als "kritisch" anzusehen sind, muß man selbstverständlich zu einer weiteren Gewichtung übergehen, wenn man nicht erneut in das am Eingang dieser Ausführungen beschriebene Dilemma geraten will.