28. Januar 2025
Internationaler Datenschutztag
Am 28. Januar ist es wieder soweit: Der 19.
Internationale Datenschutztag steht an. Jedes Jahr
finden zu diesem Anlass verschiedene Kampagnen,
Bildungsprojekte und ähnliche Aktionen statt. Doch warum
eigentlich? Was genau ist der Datenschutztag, und
welches Ziel verfolgt er? Und warum genau findet er am
28. Januar statt?
Der 28. Januar: Internationales Abkommen zum Datenschutz
Am 28. Januar 1981 nahm der Europäische Rat das
Übereinkommen Nr. 108 „zum Schutz des Menschen bei der
automatischen Verarbeitung personenbezogener Daten“,
kurz die Europäische Datenschutzkonvention, an. Ziel
dieser Konvention war es, die Rechte und Grundfreiheiten
der Menschen in den Vertragsstaaten zu schützen. Dafür
verfasste sie Prinzipien, aufgrund derer die einzelnen
Staaten nationale Datenschutzgesetze entwickeln sollten.
Das Abkommen wurde von allen 47 Mitgliedsstaaten des
Europarates unterzeichnet. Damit war das erste
rechtsverbindliche zwischenstaatliche
Datenschutzabkommen geschaffen. Regelmäßige
Aktualisierungen sollen dafür sorgen, dass die
Prinzipien den aktuellen Ansprüchen im Bereich
Datensicherheit genügen. 2006 führte der Europarat den
Internationalen Datenschutztag ein und legte den 28.
Januar, an dem die Europäische Datenschutzkonvention
angenommen worden war, dafür fest. Seit 2007 findet er
jedes Jahr an diesem Tag statt.
Aber was hat es nun mit dem Datenschutztag auf sich?
Das Ziel des Datenschutztages ist es, die Menschen in
Europa für das Thema Datenschutz zu sensibilisieren. Er
soll insbesondere darauf aufmerksam machen, welche
personenbezogenen Daten wo und wie ermittelt und
verarbeitet werden. Außerdem soll er auf die Rechte
hinweisen, die Bürgerinnen und Bürger im Bezug auf den
Schutz ihrer Daten haben. Die staatlichen Regierungen
und Behörden, aber auch viele andere Akteure wie Firmen
und Verbände in ganz Europa veranstalten zu diesem Tag
Kampagnen. Auch außerhalb Europas wird der Tag als
„Privacy Day“ begangen.
Was ist Datenschutz eigentlich genau?
Der Schutz von Daten ist ein wichtiges Thema, das mit
der zunehmenden elektronischen Datenverarbeitung in den
letzten Jahren sogar noch weiter an Bedeutung gewonnen
hat. Wichtig ist, sowohl ein Bewusstsein für dieses
Thema in der Bevölkerung als auch feste Regelungen rund
um den Schutz von Daten zu schaffen. Datenschutz ist
dabei etwas anderes als Datensicherheit. Unter
Datensicherheit versteht man den Schutz aller Daten vor
unbefugtem Zugriff und Missbrauch im Allgemeinen.
Datenschutz hingegen bezeichnet spezifischer den Schutz
personenbezogener Daten. Diese Form von Daten sind einer
identifizierten oder identifizierbaren natürlichen
Person, also jedem Menschen, zuzuordnen. Dazu zählen zum
Beispiel der Name, die Nationalität, Kontaktdaten oder
physische Merkmale wie etwa die Haarfarbe. Aber auch
Daten über das Kaufverhalten oder das Vermögen eines
Menschen gehören zu den personenbezogenen Daten.
Besonders schützenswerte personenbezogene Daten
beinhalten etwa die religiöse oder sexuelle
Orientierung, die Krankengeschichte oder die ethnische
Herkunft. Diese Daten unterliegen einem besonders
strengen Regeln Datenschutz.
Die Geschichte des Datenschutzes
Der gesetzliche Datenschutz ist dabei noch nicht
besonders alt. Erst 1970 wurde in Hessen das weltweit
erste Datenschutzgesetz verabschiedet. Dies geschah als
Reaktion auf die zunehmende automatisierte
Informationsverarbeitung und sollte den Bürgerinnen und
Bürgern die Angst vor Überwachung und Kontrolle nehmen.
1977 entstand anschließend auf Bundesebene die erste
Fassung des deutschen Bundesdatenschutzgesetzes.
Personenbezogene Daten durften dadurch nur noch
verarbeitet werden, wenn ein Gesetz diese Verarbeitung
einräumte oder die betroffene Person darin einwilligte.
Außerdem etablierte das Gesetz den Grundsatz, dass der
Staat sowie Unternehmen nur jene Daten verarbeiten
durften, die nötig waren, um bestimmte Aufgaben zu
erfüllen. Ein Jahr später wurde außerdem der erste
Bundesbeauftragte für Datenschutz benannt.
1980
wurden schließlich die OECD-Leitlinien zum Schutz der
Privatsphäre und des grenzüberschreitenden Datenflusses
verfasst. Sie gelten weltweit als Standard und waren der
erste Versuch, den Datenschutz auf internationale
Datentransfers anzuwenden. Diese Bestrebungen wurden
1981 durch die Datenschutzkonvention bestärkt.
1982
kam im Zuge der damaligen Volkszählung bei vielen
Personen die Sorge davor auf, dass alle persönlichen
Daten gesammelt, gespeichert und dann für eine Vielzahl
an Akteuren zugänglich seien. In diesem Zusammenhang
wurde der Begriff des „gläsernen Menschen“ geprägt, der
für den Staat, aber auch für Privatunternehmen und
Kriminelle quasi transparent ist. Als Antwort auf die
Beschwerden gegen die Volkszählung entschied das
Bundesverfassungsgericht 1983, dass die Preisgabe
persönlicher Daten jede Person selbst entscheiden dürfe.
Begründet wurde das damit, dass dieses Recht unter das
allgemeine Persönlichkeitsrecht fiele, welches im ersten
Artikel des Grundgesetzes festgeschrieben ist.
1995
entstand mit der Verabschiedung der
EU-Datenschutzrichtlinie ein neuer Meilenstein. Sie
sollte ein einheitliches Mindestmaß an Datenschutz für
die Mitgliedsstaaten der kürzlich gegründeten EU
festlegen. Die Richtlinie besagte, dass die Erhebung und
Verarbeitung sensibler persönlicher Daten nur begrenzt
erlaubt ist und der Zweck außerdem nachvollziehbar sein
muss. Zudem bestimmte sie, dass die Daten nach der
Nutzung gelöscht oder sicher aufbewahrt werden müssen
und Betroffene ein Recht darauf haben, zu erfahren,
wofür die Daten genutzt werden. Es war Aufgabe der
EU-Mitgliedsstaaten, diese Richtlinie im nationalen
Gesetz umzusetzen. In Deutschland passierte das 2001 mit
dem novellierten Bundesdatenschutzgesetz. Der erste
europäische Datenschutzbeauftragte wurde 2003 gewählt.
2008
entwarf das Bundesverfassungsgericht als Reaktion auf
ein Urteil ein Grundrecht auf Informationssicherheit, in
welches der Staat nur unter streng geregelten
Bedingungen eingreifen darf. Ein Jahr später erfolgte
der nächste Schritt auf EU-Ebene: Der Datenschutz wurde
Teil der Charta der Grundrechte, die für alle in der EU
lebenden Menschen gilt. Nach langen Diskussionen trat
schließlich 2018 die Datenschutzgrundverordnung der EU,
kurz DSGVO, in Kraft. Sie ist der Nachfolger der
Datenschutzrichtlinie von 1995 und gilt in allen
EU-Mitgliedsstaaten. Die DSGVO basiert auf dem
sogenannten Verbotsprinzip. Dieses verbietet die
Verarbeitung personenbezogener Daten grundsätzlich und
gestattet sie nur in Ausnahmen. Das ist etwa dann
möglich, wenn die Daten verarbeitet werden müssen, um
bestimmte Aufgaben zu erfüllen oder wenn die betroffenen
Personen der Verarbeitung zustimmen.
Auch Unternehmen, die ihre Angebote an EU-Bürgerinnen
und -Bürger richten, ihren Sitz jedoch außerhalb der EU
haben, müssen die DSGVO beachten. Das deutsche
Bundesdatenschutzgesetz wurde in diesem Rahmen ebenfalls
erneut überarbeitet und ergänzt die Grundverordnung.
Verschiedene Instanzen sind dafür verantwortlich, dass
die Datenschutzvorschriften in allen Mitgliedsstaaten
umgesetzt werden. Auf EU-Ebene ist das der Europäische
Datenschutzausschuss (EDSA), der etwa allgemeine
Leitlinien zur DSGVO und der Strafverfolgungsrichtlinie
gibt und die Europäische Kommission berät. Auf
nationaler Ebene hat jeder EU-Staat eine unabhängige
nationale Datenschutzbehörde eingerichtet, die die
Anwendung des Datenschutzrechts überwachen.
Die Zukunft des Datenschutzes: Data Act & AI Act
Der Datenschutz wird aber auch heute mit immer neuen
Herausforderungen konfrontiert. Brandaktuell ist dabei
das Thema Künstliche Intelligenz (KI), das den
Datenschutz vor völlig neue Herausforderungen stellt.
Denn es ist zum Beispiel oft nicht nachvollziehbar, aus
welchen Gründen eine KI Entscheidungen trifft oder
bestimmte Schlüsse zieht. Daher reichen die bisher
bestehenden Datenschutzregeln nicht aus, um die
persönlichen Daten der Bürgerinnen und Bürger auch im
Umgang mit dieser neuen Technologie zu schützen. Die EU
hat als Reaktion darauf am 21. Mai 2024 den AI Act
verabschiedet. Er ist das erste umfassende Regelwerk für
KI weltweit und könnte, ähnlich wie die DSGVO, zu einem
globalen Standard werden.
Der AI Act verfolgt bei der Bewertung von KI-Systemen
einen risikobasierten Ansatz. KI-Systeme werden dazu in
eine von vier Risikostufen eingeteilt und unterliegen je
nach Einordnung bestimmten Beschränkungen. Die oberste
Stufe gilt dabei als eindeutige Bedrohung für die
Sicherheit und Rechte von Menschen. Alle ihr
zugeordneten Systeme sind grundsätzlich verboten. Die
nächste Stufe betrifft Systeme mit hohem Risiko. Dies
umfasst etwa solche, die in der Strafverfolgung, in
kritischen Infrastrukturen oder demokratischen Prozessen
zum Einsatz kommen. Sie unterliegen strengen Auflagen.
Für sie muss etwa eine angemessene Risikobewertung und
-minderung durchgeführt werden. Außerdem sind die
Informationen dieser Systeme ausführlich zu
dokumentieren. Die dritte Kategorie umfasst KI-Systeme
mit begrenztem Risiko aus. Sie müssen sich an bestimmte
Transparenzpflichten halten, damit etwa KI-generierte
Inhalte klar als solche erkenntlich sind. Die meisten
KI-Anwendungen in Europa fallen allerdings in die
unterste Kategorie für Systeme mit minimalem oder keinem
Risiko. Die Nutzung dieser KI ist auch im AI Act frei
erlaubt. Der AI Act muss nun noch in nationales Recht
umgesetzt werden.
Neben dem AI Act ist der neue Data Act eine weitere
Verordnung, die sich mit den Daten der EU-Bürger
auseinandersetzt. Er wurde am 27. November 2023
verabschiedet und gilt ab dem 12. September 2025 als
EU-weit direkt anwendbares Recht. Das Ziel des Data Acts
ist es, feste Regeln für den Zugriff und die Nutzung von
Daten in der EU zu schaffen. Besonders relevant ist das
im Bezug auf das sogenannte „Internet der Dinge“. Dieser
Begriff bezeichnet die Vernetzung intelligenter Geräte
wie etwa Smart-TVs oder smarter Haushaltsgeräte. Die
Nutzer solcher Geräte sollen allein darüber entscheiden
können, was mit ihren Daten passiert. Als Nutzer können
sowohl Unternehmen als auch Verbraucherinnen und
Verbraucher gelten. Unter gewissen Auflagen können sie
diese Daten auch an Dritte weitergeben. Das soll dazu
dienen, Daten effizienter verwerten zu können.
Datenschutz ist ein weitläufiges Thema, das die Politik
nicht erst seit kurzem beschäftigt. Mit neuen Themen wie
etwa KI kommen immer wieder neue Herausforderungen auf
die Gesetzgeber zu. Der Datenschutztag am 28. Januar
soll darauf hinweisen, welche Rechte und Möglichkeiten
jeder einzelne hat, seine personalschen Daten zu
schützen.
Weiterführende Informationen zum Thema finden Sie hier:
Allgemeine Informationen:
Geschichte des Datenschutzes & rechtliche Grundlagen:
AI Act & Data Act