Datenschutzgesetz Fessel für Datenhändler

Trendwende nach den Datenpannen: Ein noch nicht öffentlicher Gesetzentwurf des Innenministeriums stellt Interessen der Betroffenen über die von Adressenhökern

Gerade erst wurde das Bundesdatenschutzgesetz vom Innenministerium überarbeitet und dem Parlament zugeleitet; es ist noch nicht einmal beschlossen. Schon gibt es einen neuen Entwurf. Zum Glück, könnte man sagen. Das noch nicht öffentliche, aber bereits im Internet kursierende Papier enthält zwei wesentliche Änderungen des vorherigen Entwurfs und dazu ein völlig neues Gesetz, das Datenschutzauditgesetz.

Na endlich – so lässt sich die Meinung derer zusammenfassen, die sich mit dem Thema befassen. Oder, wie Thilo Weichert vom Unabhängigen Landeszentrum für Datenschutz Schleswig Holstein (ULD) ZEIT ONLINE sagte: "Der Entwurf geht in die richtige Richtung." Allerdings: "Was das Datenschutzauditgesetz angeht, finde ich ihn katastrophal."

Doch der Reihe nach. Erst am 17. Oktober hatte der Bundestag eine Überarbeitung des Datenschutzgesetzes diskutiert. Anschließend war es zur weiteren Prüfung an den Innen-, den Rechtsausschuss und noch vier weitere Ausschüsse überwiesen worden. Doch galt der Gesetzestext zu diesem Zeitpunkt schon als überholt, waren doch immer neue Datenschutzskandale offenbar geworden. Offensichtlich in Reaktion darauf wurde im Innenministerium die Überarbeitung schnell überarbeitet.

Ein Blog hat diese nun öffentlich gemacht. Eine interessante Lektüre.

So steht in dem neuen Papier ein Passus, der vorige Woche im Bundestag noch abgelehnt worden war. Die Grünen hatten gefordert, Firmen sollten verpflichtet werden, Betroffene und Öffentlichkeit zu informieren, wenn ihnen Daten abhanden kommen. Union, SPD und FDP stimmten dagegen und folgten damit einem Vorschlag des Innenausschusses des Bundestags.

Nun steht in dem Entwurf der neue Paragraph 44a: "Informationspflicht bei unrechtmäßiger Kenntniserlangung von Daten". Der regelt, dass Unternehmen "unverzüglich" Betroffene und Aufsichtsbehörden zu informieren haben, wenn Daten "aus ihrem Verfügungsbereich unrechtmäßig übermittelt oder auf sonstige Weise Dritten zur Kenntnis gelangt sind" und die Gefahr bestehe, dass jemand "schwerwiegende Beeinträchtigungen" erleide.

Leider fehlt die Öffentlichkeit in dieser Regelung. Die muss nicht in jedem Fall von der Datenpanne erfahren. Doch kann sie als Ersatz dienen, wenn die Unterrichtung der Betroffenen "einen unverhältnismäßigen Aufwand erfordern würde, insbesondere aufgrund der Vielzahl der betroffenen Fälle". Dann genügen der Pflicht auch halbseitige Anzeigen in "mindestens zwei bundesweit erscheinenden Tageszeitungen".

Ein zweiter Paragraf ist genauso interessant, enthält er doch die ebenfalls lange geforderte Opt-In-Regelung. Das heißt, der Speicherung und Verwendung seiner persönlichen Daten muss künftig jeder explizit zustimmen. Bisher konnte man ihrer Verarbeitung nur widersprechen (Opt-Out) und das dazu notwendige Häkchen im Vertrag leicht übersehen.

Nach dem neuen Entwurf hätten Unternehmen ein Interesse daran, das Häkchen nicht mehr im Kleingedruckten zu verstecken, wollen sie weiter an die Daten kommen. In Paragraph 28 heißt es: "Sollen personenbezogene Daten für Zwecke des Adresshandels, der Werbung oder der Markt- oder Meinungsforschung verarbeitet oder genutzt werden, ist anzunehmen, dass das schutzwürdige Interesse des Betroffenen am Ausschluss der Verarbeitung oder Nutzung überwiegt."

Datenschutz also wäre nun endlich wichtiger als der Umsatz von Adresshändlern. Dass sich der neue Schutz nicht auf "normale" Personendaten wie Geburtsdatum oder Wohnort bezieht – geschenkt.

Schon lange fordern Datenschützer außerdem, dass ein Gütesiegel eingeführt werden solle, um einen einheitlichen Schutzstandard zu schaffen und neue Verfahren an ihm prüfen zu können (Audit). Es gibt solche Gütesiegel bereits, unter anderem vom ULD. Nun hat auch das Innenministerium eines vorgeschlagen.

Jeder, der Daten verarbeitet oder Technik dazu anbietet, könnte seine Methoden und seine Infrastruktur prüfen lassen. Bei Einhaltung der Datenschutznormen bekäme er ein Siegel. Soweit die Idee. Problematisch am Entwurf des Ministeriums ist nur, wer prüfen soll. "Es bedarf einer qualitätsgesicherten Prüfung durch eine unabhängige Stelle", sagte Datenschützer Weichert. Die aber sei durch den Text nicht garantiert.

Im Gesetzentwurf heißt es: "Die erforderliche Unabhängigkeit (...) weist eine Kontrollstelle nach, wenn ihr Leitungspersonal und ihre für Kontrollen verantwortlichen Beschäftigten (...) keiner persönlichen, wirtschaftlichen oder beruflichen Einflussnahme unterliegen, die geeignet ist, ein objektives Urteil zu beeinträchtigen." Sie dürfen beispielsweise nicht bei der zu prüfenden Firma angestellt sein. Doch könnte die Wirtschaft problemlos selbst einen Verein gründen und finanzieren, der die Siegel verteilt. Lediglich in der Satzung müsste er sich als unabhängig erklären.

Weichert fürchtet, dass es auf diese Art keine Unabhängigkeit geben wird. "Gutachter sind dann schnell geneigt, Gefälligkeitsgutachten zu machen." Immerhin gebe das weniger Probleme und spare den Firmen viel Geld. Er hält daher nichts von dem Auditgesetz: "Da ist kein Gesetz manchmal besser als ein schlechtes."

Aber das Innenministerium ist ja lernfähig, wie der erste Teil des Entwurfs zeigt.