Mutter der Datenschutzrichtlinie: Die "108" wird 40

Inhaltsverzeichnis

Sie gilt als Mutter der 1995 verabschiedeten ersten Datenschutzrichtlinie der EU. Zugleich darf sie sich wohl auch als Vater des modernen Datenschutzes in Zeiten automatisierter Datenverarbeitung bezeichnen. Am heutigen "Internationalen Tag des Datenschutzes" wird die Konvention 108 des Europarats in Straßburg, die mit vollem Titel "Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten" heißt, 40 Jahre alt.

Am 28. Januar 1981 unterzeichneten sieben der damals zwanzig Mitgliedsstaaten des regionalen Staatenbunds das Übereinkommen. Erst über vier Jahre später trat sie mit der Ratifikation durch Schweden in Kraft. Der Signatarstaat Türkei brauchte damit sogar so lange, dass die Ratifikation dort gerade noch klappte, bevor 2018 die Neufassung – einfach 108+ genannt – von den inzwischen 47 Mitgliedsstaaten beschlossen wurde.

Grundlegender Datenschutz als Voraussetzung für Transfers

Die 108+ setzt die Tradition der 108 insofern fort, als sie versucht, die Datenschutzfragen der Zukunft in einer globalisierten Welt zu regeln. Für den gesamten Geltungsbereich der ratifizierenden Staaten garantiert sie den Schutz der Bürger in Zeiten zunehmender Datensammlung und Datentransfers. Jeder hat Anspruch darauf, dass Daten nur mit seiner Einwilligung oder auf gesetzlicher Basis erhoben und verarbeitet werden. Er hat grundsätzliche Ansprüche auf Information, Richtigstellung und Löschung. Eine Unterscheidung zwischen dem Datenschutz im privaten und öffentlichen Bereich hat die 108 nie gemacht.

Die 108+ unterstreicht viele Aspekte noch deutlicher, vor allem die Notwendigkeit adäquater Auskunftsrechte und Rechtsmittel für den einzelnen im Daten Empfängerland, aber auch die Unverzichtbarkeit unabhängiger Aufsichtsbehörden. Ansprüche des Einzelnen auf Einblick in die Verarbeitung seiner Daten werden gestärkt und die Aufsichtsbehörden sind aufgefordert, zusammenzuarbeiten.

Auch das Datensammeln bei Geheimdiensten, das Staaten bislang unter dem alten Motto, "geht nur uns was an", gerne komplett vom Schutzbereich des Übereinkommens ausnahmen, fällt jetzt unter die Konvention. Bürgerrechtler hätten sich aber sicher gewünscht, dass die Agenten noch stärker an die Kandare genommen worden wären.

Aber immerhin gibt es keine Blankoermächtigung mehr. Auch für die Dienste gelten Grundrechte, und zwar nicht nur für die Bürger des eigenen Staates, und die Verpflichtung zu "unabhängiger und effektiver" Aufsicht. Das Bundesverfassungsgericht sah im vergangenen Jahr bei Deutschland hier deutlichen Nachholbedarf. Gut, dass man die 108+ noch nicht unterschrieben hat.

Moratorium für Gesichtserkennung als Geburtstagsgeschenk

Für die Verhandlungen eines solchen neuen, für alle ratifizierenden Staaten verbindlichen, Übereinkommens braucht es immer viel Zeit. Die Verhandlungen zur 108+ beispielsweise dauerten ganze sieben Jahre. Um dem technologischen Fortschritt nicht ganz so weit hinterherzulaufen, entwickelt das von den Signatarstaaten besetzte permanente Vertragskomitee der Konvention laufend Richtlinien, die nicht verbindlich sind, aber wegweisend sein können.

Zum 40. Geburtstag bekommt die 108 in diesem Jahr solche vorausschauenden Richtlinien für Gesichtserkennung. Darin wird der Einsatz von Gesichtserkennung zwar nicht grundsätzlich abgelehnt, aber für bestimmte Anwendungsszenarien empfiehlt das Vertragskomitee ein Verbot. Einen zu starken Grundrechtseingriff stellen laut dem am heutigen Donnerstag veröffentlichten Dokument etwa der Einsatz zur Erkennung der Hautfarbe, Religion oder Einstellung, ethnischer Herkunft, Alter oder Gesundheit dar – in Coronazeiten ein interessantes Detail.

Auch die Nutzung von Gesichtserkennung zur Beurteilung des Gemütszustandes einer Person haben die 108-Unterzeichnerstaaten auf die Abschussliste gesetzt. Der private Einsatz in unkontrollierten Räumen – etwa Shopping-Malls – sei zu verbieten oder mindestens streng zu begrenzen, heißt es. Ein Moratorium müsse für den Einsatz in Schulen oder an öffentlichen Plätzen gelten. Dabei wird der in manchen Vertragsstaaten bereits erprobt.

108+ als Grundlage eines internationalen Abkommens

Ein anderes Geburtstagsgeschenk, auf das die Macher der Konvention schon lange hoffen, wäre die Anerkennung als internationales Instrument. Seit vielen Jahren wirbt der Europarat dafür, dass auch Nicht-Mitglieder das Übereinkommen unterzeichnen. Acht Staaten aus Lateinamerika und Afrika sind diesem Ruf bereits gefolgt und haben ratifiziert.

Immerhin winkt eine Angemessenheitsbescheinigung. Das heißt, wer die Konvention zeichnet, dem wird ein ausreichendes Datenschutzniveau für Transfers zugebilligt. Ein Stopp solcher Datentransfers muss dann laut Vertrag gerechtfertigt werden.

Deutlich erfolgreicher war der Europarat dagegen bezüglich der Werbung für den Beitritt zur Cybercrime Konvention. Die regelt unter anderem die Zusammenarbeit der Strafverfolger gerade auch in Zeiten von Plattformkapitalismus und Cloud. Bereits 21 Staaten – darunter auch Schwergewichte wie die USA – sind dort seit langem mit von der Partie. Zehn weitere Länder stehen auf der Liste der interessierten Kandidaten.

So möchte man der 108 zum Geburtstag wünschen, dass all die Cybercrime-Mitglieder sich auch am großen Datenschutzprojekt beteiligen.

(mho)