„Niemand darf willkürlichen Eingriffen in sein Privatleben, seine Familie, seine Wohnung und seinen Schriftverkehr oder Beeinträchtigungen seiner Ehre und seines Rufes ausgesetzt werden. Jeder hat Anspruch auf rechtlichen Schutz gegen solche Eingriffe oder Beeinträchtigungen.“
(Artikel 12 der Allgemeinen Erklärung der Menschenrechte der Vereinten Nationen)
Obwohl schon die Allgemeine Erklärung der Menschenrechte von 1943 einen Verweis auf die Privatsphäre enthielt, wurde der Privatsphäre im Internet erst kürzlich mehr Aufmerksamkeit zuteil. Die digitale Landschaft der heutigen Welt bedeutet einen immensen Druck auf das Recht auf Privatsphäre, der vor Generationen noch unvorstellbar war. Die Definition von Privatsphäre in der physischen Welt unterscheidet sich von jener der digitalen Welt. Vor der digitalen Revolution waren die größte Bedrohung für die Privatsphäre Regierungen, da sie in der Lage waren, Unmengen von Daten über Einzelne zu sammeln und zu speichern. Durch die explosionsartige Verbreitung von Digital- und Online-Diensten, die wir täglich nutzen, erhalten die Anbieter dieser Dienste gewaltige Datenmengen.
Frühere Gesetzgebung galt meist für Regierungsbehörden und Institutionen wie Banken und Versicherungen, stellte sich jedoch als ungeeignet für die neue digitale Welt heraus. Der dringende Bedarf an besserer Regulierung führte zu Vorschriften wie der DSGVO der EU.
Obwohl in den meisten Ländern der Welt bessere Gesetze geschaffen wurden, sollte man wissen, dass diese meist nicht eingehalten werden. China beispielsweise hat Datenschutzrechte zugesichert, die von seinen eigenen Behörden oft ignoriert werden. Selbst wenn die Regierungen gesetzestreu agieren, gibt es oft Ausnahmen für einzelne Behörden, z. B. im Bereich nationale Sicherheit.
Die EU-Mitgliedsländer haben einen gewaltigen Schritt nach vorn gemacht beim Schutz der Daten ihrer Bürgerinnen und Bürger. Daher beschäftigen wir uns ausführlicher mit der DSGVO und vergleichen sie mit ihrem Pendant in den USA.
Allgemeine Datenschutz-Grundverordnung (DSGVO)
Die Allgemeine Datenschutz-Grundverordnung (DSGVO) der EU soll die Datenschutzrechte der EU-Bürger wahren. Vorrangig dient die DSGVO als Rahmen für Unternehmen, die Daten von EU-Bürgern speichern oder verarbeiten. Zudem stärkt die Verordnung den Datenschutz für Einzelpersonen, da sie die Verarbeitung personenbezogener Daten reguliert und Strafen für Verstöße vorsieht.
Die DSGVO ist eine Reaktion auf die Verbreitung von Diensten, die online Daten speichern und verarbeiten. Datenschutzvorschriften waren und sind in großen Teil der Welt noch immer Stückwerk. Mit der DSGVO verfügt die EU über den weltweit umfassendsten Gesetzesrahmen für den Datenschutz.
Sie gilt für alle EU-Bürger, selbst wenn sie einen Dienst nutzen, der sich nicht in der EU befindet, solange er in der EU oder für EU-Bürger angeboten wird.
Die DSGVO schreibt acht Rechte für Nutzer fest. Diese lauten wie folgt:
Recht auf Auskunft: Das Recht, Auskunft über die Art der erhobenen Daten und deren Verwendung zu erhalten.
Recht auf Zugang: Das Recht, die vom Dienst erhobenen Daten einzusehen.
Recht auf Berichtigung: Das Recht, vom Dienst gespeicherte Daten zu korrigieren.
Recht auf Löschung: Das Recht, vom Dienst die Löschung der erhobenen Daten zu verlangen.
Recht auf Einschränkung der Verarbeitung: Das Recht, die Verarbeitung der Daten in bestimmten Fällen einzuschränken.
Recht auf Datenübertragbarkeit: Das Recht, die personenbezogenen Daten vom Dienst für persönliche Zwecke zu erhalten oder an einen anderen Dienst weiterleiten zu lassen.
Widerspruchsrecht: Das Recht, der Verarbeitung der Daten zu widersprechen, z. B. dem Tracking durch Cookies.
Recht auf Ausschluss automatisierter Entscheidungen: Das Recht, nicht automatisierter Verarbeitung einschließlich Profiling unterworfen zu werden.
Für all diese Rechte gelten Ausnahmen und weitere Bestimmungen, aber im Wesentlichen geben sie Ihnen die Möglichkeit, zu entschieden, ob der Dienst Daten über Sie speichern darf und wenn ja, wie sie verwendet werden und ob Sie sie löschen lassen möchten.
Die DSGVO teilt Daten in zwei Kategorien ein: „personenbezogene Daten“ und „sensible Daten“. Wie im vorherigen Abschnitt besprochen sind personenbezogene Daten solche, die mit Ihnen persönlich verbunden werden können, z. B. die Postanschrift. Sensible Daten sind jene, die biometrische, genetische, gesundheitliche, sexuelle, religiöse, weltanschauliche, politische oder ethnische Informationen über Sie enthalten. Wenn ein Dienst sensible Daten speichert und nutzt, gelten strengere Maßnahmen für die Zustimmung und den Schutz der Daten vor unberechtigtem Zugriff.
Die DSGVO war sehr umstritten und es gab großen Druck zugunsten von Änderungen, doch der Kern der Verordnung wird wohl erhalten bleiben. Auch die bei Verstößen vorgesehenen Strafen wurden heftig diskutiert. Die Geldbußen können bis zu 20 Mio. Euro oder 4 % des weltweit erzielten Jahresumsatzes eines Unternehmens betragen, je nachdem, was höher ist.
Datenschutzgesetze in den USA
In den USA gibt es keine bundesweite Gesetzgebung, die mit der DSGVO in der EU vergleichbar wäre, auch wenn sich dies in Zukunft vielleicht ändert. Stattdessen existieren verschiedene Verordnungen auf nationaler und bundesstaatlicher Ebene. Eine Verordnung im Stile der DSGVO wäre durchaus denkbar in den USA, auch wenn Organisationen wie Privacy for America, ein Lobbyverband der US-Industrie, sich dafür einsetzen, dass den Bedürfnissen der Unternehmen Rechnung getragen wird. Teils wird die Gründung einer nationalen Datenschutzbehörde zur Durchsetzung der Vorschriften gefordert. Diese Unterschiede bedeuten nicht, dass es in den USA keine Datenschutzrechte gibt – die gibt es sehr wohl. Die meisten Probleme in den USA werden durch den Flickenteppich an Verordnungen und Gesetzen verursacht, die teils auf nationaler Ebene und teils auf Ebene einzelner Bundesstaaten gelten.
Das größte Hindernis für eine Verordnung im Stile der DSGVO in den USA sind wohl die Unterschiede zwischen den Vereinigten Staaten und der Europäischen Union. Die USA betonen die Rechte der einzelnen Bundesstaaten, sodass eine nationale Regelung als Eingriff in die Regierungsführung der Bundesstaaten empfunden würde. Letzten Endes wird wahrscheinlich auch in den USA eine Lösung gefunden werden, doch diese könnte deutlich anders als jene der EU aussehen.
Manche US-Bundesstaaten haben deutlich strengere Datenschutzvorschriften als national vorgeschrieben. Das Datenschutzgesetz in Kalifornien beispielsweise, der California Consumer Privacy Act (CCPA), deckt im Wesentlichen dieselben Rechte wie die DSGVO ab. Der CCPA gilt für alle Einwohner Kaliforniens und ist von großer Bedeutung, da Kalifornien die fünftgrößte Volkswirtschaft der Welt ist.
Der EU-US-Datenschutzschild
Die EU und die USA haben eine Einigung erzielt, um die Übertragung von Daten zwischen beiden Parteien zu erleichtern und dabei die Daten auf für beide Seiten zufriedenstellende Weise zu schützen. US-Unternehmen, die Daten zwischen den USA und der EU übertragen wollen, müssen sich im Datenschutzschild (Privacy Shield) eintragen.
Beim Datenschutzschild handelt es sich nicht um eine Verordnung, sondern um ein Abkommen. Dies bedeutet, dass Verstöße von US-Unternehmen gegen die DSGVO nicht geahndet werden können, außer das Unternehmen missachtet die Anweisungen der US-Handelskommission FTC. Zudem deckt der Datenschutzschild nicht alle in der DSGVO festgeschriebenen Rechte ab. Ein interessanter Fakt ist, dass der Vorgänger des Datenschutzschilds, die sog. Grundsätze des sicheren Hafens, vom Europäischen Gerichtshof (EuGH) für ungültig erklärt wurde – ein Schicksal, das eines Tages auch den Datenschutzschild ereilen könnte.
