Auf ihrer Tagung in Darmstadt hat sich die Konferenz der Datenschutzbeauftragten, ein freiwilliger Zusammenschluss aller Landesdatenschutzbeauftragten und der Bundesbeauftragten für den Datenschutz, sowohl mit rechtlichen und rechtspolitischen Fragestellungen als auch mit den Auswirkungen technischer Entwicklungen der Datenverarbeitung befasst.

In einer Entschließung lehnte die Konferenz die vom Bundesgesetzgeber verabschiedete Reform des Verfassungsschutzes ab, weil sie mit der föderalen Ordnung der Bundesrepublik nicht vereinbar ist und die Grundrechte der Bürger bedroht.

Bedenkliche Gesetzesänderungen

Nach Auffassung der Datenschutzbeauftragten sind die vorgesehenen Gesetzesänderungen in zentralen Punkten verfassungsrechtlich äußerst bedenklich, weil zum einen die operativen Befugnisse des Bundesamtes für Verfassungsschutz und zum anderen die Verpflichtung zum Datenaustausch zwischen den Verfassungsschutzbehörden untereinander und zwischen den Verfassungsschutzbehörden und den Polizeibehörden erweitert werden. Diese Erweiterungen verstießen gegen das informationelle Trennungsprinzip zwischen Verfassungsschutzbehörden und Polizeibehörden. Zudem löse das Gesetz nicht das im Abschlussbericht des NSU-Untersuchungsausschusses des Deutschen Bundestages aufgezeigte Problem des Kontrolldefizits bei den Nachrichtendiensten.

Warnung vor Datenschutzrisiken

In einer weiteren Entschließung warnte die Konferenz vor den Datenschutzrisiken von Cloud-unterstützten Betriebssystemen, wie sie u.a. von Apple, Google oder Microsoft vermehrt angeboten werden. Die Standardeinstellungen dieser neuen Betriebssysteme führten oftmals dazu, dass zunehmend personenbezogene Daten aller Art vom lokalen Endgerät (Personalcomputer, Laptop, Tablet, Smartphone) an die Betriebssystem-Hersteller oder deren Cloud-Dienste übertragen werden. Dadurch erhalte der Hersteller Informationen, die es ihm erlauben, das Verhalten der Benutzer nachzuvollziehen und im Detail zu analysieren.

Paradigmenwechsel

Mit derartigen Betriebssystemen vollziehen die Hersteller laut Datenschützer einen Paradigmenwechsel, dessen tatsächliche und mögliche Auswirkungen auf den Umgang mit personenbezogenen Daten längst nicht allen Anwendern, d.h. Benutzern und für den IT-Einsatz Verantwortlichen, klar sein kann.

Die Hersteller schafften sich den Zugang zu einer Vielzahl personenbezogener Daten, sofern die Standardeinstellungen nicht aktiv durch die Anwender verändert werden. Weitreichende Datenverarbeitungsbefugnisse könnten nicht dadurch gerechtfertigt werden, dass Nutzern auf Basis von AGB oder datenschutzunfreundlichen Voreinstellungen lediglich ein Opt-Out ermöglicht wird.

Insoweit sei es erforderlich, der Datenherrschaft von Nutzern durch technisch unterstützte Einwilligungslösungen zu entsprechen. Solange nicht unabhängige Dritte die Wirkung der Einstellungen auf den Datenschutz geprüft haben, sei selbst nach deren Änderung häufig unklar, wie weit Datenübertragungen tatsächlich eingeschränkt werden, welche Daten im Detail betroffen sind und zu welchen konkreten Zwecken diese Daten erhoben werden sollen.

Die Konferenz der Datenschutzbeauftragten des Bundes und der Länder forderte die Hersteller dieser Betriebssysteme auf, die Software mit datenschutzfreundlichen Voreinstellungen auszuliefern. Darüber hinaus seien die Anwender detailliert und fortlaufend darüber zu informieren, welche Daten unter welchen Voraussetzungen zu welchen Zwecken übertragen werden. Nur so könnten sie einschätzen, ob sie die Software unter den gegebenen Umständen erwerben bzw. verwenden wollen. Zudem müssten Anwender die Möglichkeit haben, auf einfache Weise selbst festzulegen, welche Daten lokal gespeichert bleiben sollen und welche Daten in die Cloud bzw. an den Hersteller übermittelt werden.

Empfehlung

Den Benutzern der neuen Betriebssysteme empfehlen die Datenschutzbeauftragten von Bund und Ländern, sich möglichst schon vor dem Kauf detailliert über die Funktionswei-se zu informieren und alle Möglichkeiten der datenschutzfreundlichen Einstellungen der Betriebssysteme zu nutzen. Insbesondere die Verantwortlichen im behördlichen und kommerziellen Umfeld seien angehalten, vor der Entscheidung für einen Einsatz zu prüfen, ob für ihr Umfeld zugeschnittene Betriebssystemversionen verfügbar sind und ob sie bei der Nutzung der neuen Betriebssysteme ihrer datenschutzrechtlichen Verantwortung als Daten verarbeitende Stelle gerecht werden können.

DK