ULD-SH
Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein
Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein
www.datenschutzzentrum.de/

Dies ist unser Webangebot mit Stand 27.10.2014. Neuere Artikel finden Sie auf der überarbeiteten Webseite unter www.datenschutzzentrum.de.

09.07.2013

Prism, Big Data und der Datenschutz – bei uns und in den USA

Thilo Weichert, Leiter des ULD

„Big Data“ war bis vor kurzem vor allem ein modischer Begriff, mit dem die informationstechnische Wirtschaft weltweit bei Behörden und Unternehmen für eine neue Technik warb. Seit dem 6. Juni 2013 steht der Begriff auch dafür, dass Staaten Menschen weltweit unter Überwachung stellen und dadurch Freiheitsrechte und insbesondere das Grundrecht auf informationelle Selbstbestimmung bzw. auf Privatheit verletzen. Die Veröffentlichungen des Whistleblowers Edward Snowden über das Überwachungsprogramme des US-Nachrichtendienstes National Security Agency (NSA) „Prism“ und des britischen Government Communications Headquarters (GCHQ) „Tempora“ werfen ein zugleich faszinierendes wie ein Furcht einflößendes Licht auf die Möglichkeiten von Big Data. Thema dieses Beitrags soll sein, was aus Sicht des Datenschutzes bei Big Data beachtet werden muss und welche Strategie hierbei verfolgt werden sollte bzw. muss.

1. Prism

Edward Snowden deckte auf, dass die NSA unter dem Namen „Prism“ seit 2007 ein nicht-öffentliches Programm der Speicherung und Auswertung insbesondere von Daten der Telekommunikation und aus dem Internet betreibt, um hiermit Sicherheitszwecke zu verfolgen, insbesondere die Bekämpfung des internationalen Terrorismus. Hierzu greife die NSA direkt auf Server von großen IT-Dienstleistern, u. a. von Google, Facebook, Microsoft, Yahoo, Skype, Apple, AOL, sowie von Telekommunikationsunternehmen, u. a. Verizon, zu. Rechtsgrundlagen seien der Foreign Intelligence Surveillance Act sowie der Patriot Act – zwei US-Gesetze, die eine sehr weitgehende Erfassung und Auswertung von Daten – insbesondere auch aus dem Ausland – erlauben. Derzeit werde in Bluffdale im US-Bundesstaat Utah ein riesiges Rechenzentrum gebaut, über das der Datenverkehr weltweit überwacht werden soll. Erfasst würden jetzt schon Verbindungsdaten wie Inhaltsdaten, also E-Mails, Chats, Videos, gespeicherte und übermittelte Dateien, Videokonferenzen, Standort- und Profildaten und vieles mehr. In einer 2008 entwickelten Accumulo-Datenbank würden inzwischen bereits Dutzende Petabytes Daten (ein Petabyte sind 1 Mio. Gigabyte) gespeichert und ausgewertet. Allein im März 2013 habe die NSA 97 Mrd. Dateneinheiten aus aller Welt gesammelt, davon allein 14 Mrd. aus dem Iran und 13,5 Mrd. aus Pakistan, viel aber auch aus Europa und Deutschland.

Die US-Regierung erläuterte, bei Prism handele es sich um ein internes Computersystem der Sicherheitsbehörden zur Auslandsaufklärung und werde durch Gerichtsentscheidungen legitimiert. Voraussetzung für die Erfassung sei nicht ein konkreter Verdacht, sondern die Annahme der Datenrelevanz. Es gehe darum, nichtoffensichtliche Zusammenhänge aufzudecken und aus einem mehr oder weniger strukturiererten Datenbestand mit Hilfe von Data-Mining-Werkzeugen automatisiert sicherheitsrelevante Erkenntnisse zu gewinnen (Tagespresse seit dem 06.06.2013; NSA collecting phone records of millions of Verizon customers daily, http://www.guardian.co.uk/world/2013/jun/06/nsa-phone-records-verizon-court-order Extern Sokolow, http://heise.de/-1884735 Extern).

Nach den Veröffentlichungen gab es viele Dementis und Relativierungen sowohl von Diensteanbietern wie von der US-Regierung. Dieser Prozess wiederholte sich, nachdem „Tempora“ bekannt geworden war (Tagespresse seit 21.06.2013, Askill/Borger/Hopkins/Davies/Ball, http://www.guardian.co.uk/uk/2013/jun/21/gchq-mastering-the-internet Extern). Was tatsächlich passiert, wird sich – wenn überhaupt – erst allmählich erweisen. Es scheint, dass Prism und Tempora zu den global umfangreichsten Big-Data-Anwendungen gehören. Am Beispiel von Prism sollen die dabei entstehenden Probleme dargestellt werden.

2. Big Data

Bei Big Data handelt es sich nicht um ein in rechtlicher Hinsicht klar umrissenen Sachverhalt. Es ist eine Sammelbezeichnung für umfangreiche Datenbestände, die zumeist im Rahmen einer Zweitverwertung zusammengeführt, verfügbar gemacht und ausgewertet werden. Der Begriff steht für die auf der Grundlage gewaltiger Speicher- und Auswertungskapazitäten mögliche Datenanalyse zur Gewinnung neuer Erkenntnisse.

Big Data ermöglicht neue Erkenntnisse über gesellschaftliche, ökonomische oder politische Sachverhalte, eine nutzerorientiert aufbereitete Darstellung von aus großen Datenbeständen generierten Sachverhalten, sparsameres Produzieren und Wirtschaften, bessere Planungen und bessere Abläufe in Organisationen, sinnvolleren Ressourceneinsatz und höhere Transparenz. Werden mit Big Data personenbezogene Sachverhalte erfasst und ausgewertet, so sind damit Risiken für die betroffenen Personen verbunden. Datengrundlage kann alles sein, was bei durch den Menschen und dessen digitale Umgebung an Daten hinterlassen wird: Die Nutzung von Telekommunikation und Internet hinterlässt Angaben zu Dienst, Ort, Zeit und Kommunikationsbeziehungen, also wer wann mit wem über was mit welchen Inhalten telefoniert, gemailt, gechattet oder gesprochen hat. Profile aus sozialen Netzwerken, Nutzerkonten von Onlinehändlern und umfangreiche Blogeinträge können ausgewertet werden. Art, Höhe und Anlass von finanziellen Transaktionen erlauben Rückschlüsse über Einkommen, Vermögen, Interessen, Aktivitäten. Das Freizeit- und Spielverhalten ist ebenso Gegenstand digitaler Erfassung wie die berufliche Tätigkeit und das soziale, religiöse, politische und familiäre Engagement. Durch immer „intelligentere“ Endgeräte werden biometrische Daten über Gesicht, Sprache und Verhalten erfasst. Weitgehend personifiziert, über Online-Bestellungen, Kundenkarten oder Abrechnungswege lässt sich das Konsumverhalten analysieren. Per Videoüberwachung, möglicherweise gekoppelt mit Mustererkennung, oder durch RFID-Chip-Erfassung können Sachverhalte aus dem analogen Leben ins Digitale übersetzt werden. Durch die Auswertung von spezifischen Datenbanken über Kunden, Steuerbürger, Straftatverdächtige, Patienten, Arbeitnehmer, Interessenten … wie auch von Beständen und Kommunikationsvorgängen im Internet lassen sich sensible Angaben über politische und weltanschauliche oder religiöse Anschauungen, über gesundheitliche Verhältnisse oder sexuelle Ausrichtung ableiten. Selbst Gefühle, Einstellungen und Stimmungen lassen sich an Hand von äußeren Merkmalen analysieren.

Daraus erstellt werden können kontextübergreifend zeitliche Abläufe und digital erfasste Profile über Aufenthaltsorte, Sozialkontakte, Konsum, Verhalten, Interessen, Gesundheit … Neudeutsche Stichworte sind hierfür Scoring, Tracking, Profiling, Personalizing. Verhaltensweisen können prognostiziert und bei Bedarf manipuliert werden. Möglich sind Diskriminierungsaktionen, indem ganz bestimmten Merkmalsträgern der Zugang zu, der Vertragsabschluss in Bezug auf oder die Nutzung von bestimmten Diensten verwehrt wird (Weichert, Big Data und Datenschutz, ZD 2013, 251 ff., http://www.datenschutzzentrum.de/bigdata/20130318-bigdata-und-datenschutz.html ).

Denkbar ist so nicht nur die Kontrolle von einzelnen Individuen, sondern auch die umfassende Überwachung von Menschengruppen oder gar ganzer Gesellschaften. Die Kontrolle wird durch diejenigen ausgeübt, die die Hoheit über die Daten haben. Die Betroffenen haben allenfalls als Datenlieferanten Einfluss, manchmal nicht einmal das, wenn die Erfassung heimlich oder unbewusst erfolgt.

3. Datenschutz und Privatheit

Das Bundesverfassungsgericht hat erstmals in der Volkszählungsentscheidung im Jahr 1983 eine eigenständiges Grundrecht auf Datenschutz, ein „Recht auf informationelle Selbstbestimmung“ abgeleitet. Dieses begründet die Befugnis, grundsätzlich selbst bestimmen zu können, wer was wann bei welcher Gelegenheit über einen weiß, also wem welche Daten für welchen Zweck preisgegeben werden. Die Verfügung durch die betroffenen Personen erfolgt im Rahmen des Zivilrechtsverkehrs bzw. durch informierte Einwilligungen. Es gilt das Zweckbindungsprinzip, wonach personenbezogene Daten grds. nur für die Zwecke verwendet werden dürfen, für die diese ursprünglich erhoben wurden. Einschränkungen des Grundrechts, insbesondere durch staatliche Stellen, sind nur im überwiegenden Allgemeininteresse zulässig und bedürfen einer gesetzlichen Grundlage, das dem rechtsstaatlichen Gebot der Normenklarheit und dem Prinzip der Verhältnismäßigkeit entsprechen muss. Grundlegend ist das Erforderlichkeitsprinzip, also dass nur die für den jeweiligen Zweck nötigen Daten erhoben und verarbeitet werden dürfen. Im Sinne der Datensparsamkeit sollen Informationssysteme so gestaltet werden, dass hierbei so wenig Daten wie möglich erhoben und verarbeitet werden. Außerdem fordert die Verfassungsrechtsprechung technisch-organisatorische und verfahrensrechtliche Vorkehrungen zur Sicherstellung des Rechts auf informationelle Selbstbestimmung. Zentral für die Verwirklichung der Selbstbestimmung sind die Betroffenenrechte, also die Rechte auf Auskunft zu den eigenen Daten sowie – bei Bedarf – auf Berichtigung, Sperrung und Löschung. Zur Umsetzung der Regelungen über die informationelle Selbstbestimmung bedarf es unabhängiger Kontrollinstanzen (BVerfGE 65, 1 ff. = NJW 1984, 419 ff.).

Diese Verfassungsrechtsprechung hat inzwischen insbesondere nicht nur in Europa Eingang in viele ausdrückliche Verfassungsregelungen gefunden. Seit 2009 ist das Grundrecht auf Datenschutz in Art. 8 der Europäischen Grundrechtecharta europaweit festgeschrieben. Diese Verfassungsvorgaben werden inzwischen in allgemeinen wie in speziellen Gesetzen konkretisiert.

Das Legitimationsmuster für den Datenschutz ist einfach und plausibel: Es geht um Freiheitssicherung: „Wer unsicher ist, ob abweichende Verhaltensweisen jederzeit notiert und als Informationen dauerhaft gespeichert, verwendet oder weitergegeben werden, wird versuchen, nicht durch solche Verhaltensweisen aufzufallen. Wer damit rechnet, dass etwa die Teilnahme an einer Versammlung oder einer Bürgerinitiative behördlich registriert wird und dass ihm dadurch Risiken entstehen können, wird möglicherweise auf eine Ausübung seiner entsprechenden Grundrechte (Art. 8, 9 GG) verzichten. Dies würde nicht nur die individuellen Entfaltungschancen des Einzelnen beeinträchtigen, sondern auch das Gemeinwohl, weil Selbstbestimmung eine elementare Funktionsbedingung eines auf Handlungs- und Mitwirkungsfähigkeit seiner Bürger begründeten freiheitlichen demokratischen Gemeinwesens ist“ (BVerfGE 65, 43 = NJW 1984, 422).

Derartige verfassungsrechtliche und gesetzliche Gewährleistungen gibt es nicht in autoritären undemokratischen Staaten. Leider ist festzustellen, dass auch in den USA, dem Land, wo die meisten global agierenden Internet- und Informationstechnik-Unternehmen ihren Stammsitz haben, kein adäquates Datenschutzniveau gewährleistet ist. Der US-Supreme Court sieht lediglich „angemessene Erwartungen an Privatheit“ (reasonable expectations of privacy) als von der US-Verfassung geschützt an. Anders als das deutsche Bundesverfassungsgericht und inzwischen der Europäische Gerichtshof sowie der Europäische Menschenrechtsgerichtshof sieht der US-Supreme Court bei informationellen Eingriffen regelmäßig erst die Grenze des Zulässigen überschritten, wenn ein materieller Schaden oder eine tatsächliche Beeinträchtigung nachweisbar ist. Das Zweckbindungsprinzip ist dem allgemeinen US-Recht fremd. In der „Third Party Doctrine“ wird vielmehr eine freiwillige Weitergabe von Daten an Dritte als eine völlig Freigabe dieser Daten bewertet. Eine Grundrechtsbindung von privaten Unternehmen wird – anders als in Europa – von der US-Rechtsprechung nicht anerkannt (Weichert, Privatheit und Datenschutz im Konflikt zwischen den USA und Europa, RDV 2012, 115).

Allgemeine gesetzliche Regelungen zum Verbraucherdatenschutz im Internet gibt es in den USA nicht. Die Sicherheitsgesetzgebung in den USA überlässt den Behörden, also Staatsanwaltschaften, Polizei und Geheimdiensten, bei informationellen Eingriffen weitgehend freie Hand und sieht nur bei massiven informationellen Eingriffen regelmäßige ungenügende technische, organisatorische oder prozedurale Sicherungen vor (Weichert, Privatheit und Datenschutz im Konflikt zwischen den USA und Europa, RDV 2012, 116 f.).

Es ist daher wenig verwunderlich, dass die Frage des Datenschutzes bei Big-Data-Anwendungen in den Gesellschaften und Kulturen unserer Welt unterschiedlich bewertet wird. Einschränkungen des Einsatzes von Informationstechnik durch Datenschutzanforderungen stoßen insbesondere in den USA auf Ablehnung, da dies zu einer Einschränkung der globalen Entfaltung der US-Unternehmen sowie zu einer Einschränkung der globalen US-Dominanz im Sicherheitsbereich führen würde. Bürgerrechtlichen Argumenten, die auch von Verbraucher- und Bürgerrechtsorganisationen in den USA vorgetragen werden, haben sich die US-Administration wie auch die US-Unternehmen bisher wortreich, aber wenig überzeugend entzogen.

Dem deutschen Bundesverfassungsgericht folgend, muss die Frage des Umgangs mit personenbezogenen Daten als Schicksalsfrage zur Bewahrung der Freiheitlichkeit und der Demokratie in modernen Informationsgesellschaften angesehen werden. Dies gilt für die Verarbeitung bei den großen US-Unternehmen selbst, deren Daten mit Hilfe von Prism beschafft werden, und die diese Daten insbesondere für Werbezwecke einer kommerziellen Zweitnutzung zuführen – von Amazon und Apple über Google und Microsoft bis hin zu Verizon und Yahoo. Dies gilt in noch stärkerem Maße für die  umfangreichen und komplexen Datensammlungen, wie sie über Prism als Drittnutzung den US-Sicherheitsbehörden überlassen werden.

4. Datenschutzkriterien

Im Folgenden sollen Datenschutzgrundsätze mit Big-Data-Praktiken abgeglichen und am Beispiel Prism überprüft werden:

5. Lösungsansätze

Angesichts der oben dargestellten Fragestellungen erweist sich die Umsetzung von Datenschutzkriterien bei Big-Data-Anwendungen als eine große Herausforderung: Wie können die zweifellos bestehenden Erkenntnismöglichkeiten bei der Auswertung großer Datenbestände erreicht werden, ohne die Persönlichkeitsrechte und die Privatsphäre der betroffenen Menschen übermäßig zu beeinträchtigen?

Der oben stehende Text ist die Grundlage für eine Printveröffentlichung in einem Sammelband des Suhrkamp-Verlages zum Thema „Big Data“