Zum Hauptinhalt springen
Blogbeitrag

It’s the developers!

Datenschutz muss technischer werden und sich die Gegebenheiten moderner Systementwicklung zu eigen machen. Dies gilt insbesondere auch für Datenschutzerklärungen, die ihren eigentlichen Zweck heute nicht mehr erfüllen.

Von breiten, unspezifischen Einwilligungen bis zu kaum verständlichen Datenschutzerklärungen: Die gelebte und täglich erlebte Praxis des Datenschutzes ist in vielerlei Hinsicht unbefriedigend und erfüllt die dem Datenschutzrecht eigentlich zu Grunde liegenden Ziele oftmals nicht (mehr) bzw. nur (noch) unzureichend.

Beispielhaft wird dies an Datenschutzerklärungen, wie wir sie heute „in the wild“ vorfinden, deutlich. Ihrem ursprünglichen Zweck – einzelnen Bürger·innen auf Basis transparenter Informationen selbstbestimmt-souveräne, wohlinformierte Entscheidungen z.B. zur Nutzung eines Dienstes zu ermöglichen – werden sie in heute üblichen Ausprägungen nicht mehr gerecht. Sie sind zu lang, um von den Betroffenen realistischerweise gelesen und rezipiert zu werden, in ihrer Komplexität und juristischen Sprache nicht ausreichend verständlich und in weiten Teilen zu diffus und unspezifisch (z.B. hinsichtlich der konkret erhobenen Daten und der damit verfolgten Zwecke), als dass sie ein wirklich informiertes und souveränes Handeln ermöglichen würden.

Der „modus operandi“ des Datenschutzes ist oftmals dysfunktional

Viele derartige Dysfunktionalitäten lassen sich auf den „modus operandi“ des Datenschutzes zurückführen. Bei Datenschutzerklärungen handelt es sich etwa im Kern – trotz allen technischen Fortschritts – immer noch um (Text-) Dokumente, die von den Betroffenen aufmerksam zu lesen (und zu verstehen) sind. In den Grenzen dieses bisherigen „modus operandi“ werden sich die Unzulänglichkeiten der gelebten Datenschutzpraxis dabei naturgemäß kaum überwinden lassen: Ein Textdokument, das Informationen zur Datenerhebung und Verarbeitung ausreichend präzise und spezifisch darstellen soll, würde in vielen Fällen gezwungenermaßen nochmals länger und unübersichtlicher, als es heute ohnehin schon der Fall ist.

Datenschutz muss technischer werden – auch jenseits von Verschlüsselung und Anonymisierung

Technisch getriebene Ansätze – so genannte „Privacy Enhancing Technologies (PETs)“ – auch jenseits bereits weit etablierter Verfahren zur Verschlüsselung, Anonymisierung etc. versprechen demgegenüber vollkommen neue Möglichkeiten. In der Wissenschaft werden zahlreiche Ansätze hierzu seit geraumer Zeit diskutiert. Das Feld existierender PETs reicht dabei vom technischen Einwilligungsmanagement über die technische Repräsentation und Aufbereitung von bislang in Datenschutzerklärungen bereitgestellten Transparenzinformationen bis zur technischen Umsetzung der datenschutzrechtlichen Zweckbindung. Auch regulatorische Vorgaben schreiben unter dem Stichwort „Privacy / Data Protection by Design“ den praktischen Einsatz von PETs zunehmend vor. Wichtig hierbei ist, dass sich derartige Verpflichtungen auf alle Datenschutzprinzipien – also etwa auch auf das der Transparenz, der Zweckbindung oder der Einwilligung als Legitimationsgrundlage – beziehen. Dennoch haben sich PETs jenseits von Sicherheits- und Anonymisierungsverfahren bislang noch nicht in der Breite durchgesetzt. Dafür gibt es Gründe, die zu adressieren sind.

Die aufwandsarme praktische Umsetzbarkeit in der realen Systementwicklung ist für die tatsächliche Anwendung von PETs zentral

Bisher vorgeschlagene PETs zeichnen sich oftmals dadurch aus, dass sie den Gegebenheiten moderner Systementwicklung nicht ausreichend Rechnung tragen. Annahmen z.B. über genutzte Datenbanken, Schnittstellen, Architekturmodelle etc. stimmen etwa häufig nicht mit der Praxis überein und das Zusammenspiel zwischen vorgeschlagenen PETs und in der Realität maßgeblichen Technologien und Programmierframeworks ist oftmals das Gegenteil von „nativ“. Ähnliches gilt für die schlüssige Integration in moderne, oft agile Entwicklungsprozesse, -methoden, und -werkzeuge. Auch hier ist es notwendig, dass vorgeschlagene PETs sich schlüssig und mit wenig Zusatzaufwand in diese einbetten.

Die rechtliche Verpflichtung zum Einsatz hängt zudem explizit vom jeweiligen Stand der Technik und von den für die Umsetzung notwendigen Aufwänden und Kosten ab. Hieraus ergeben sich drei Ansatzpunkte, um den Einsatz von PETs voranzutreiben und jedenfalls mit höherer Wahrscheinlichkeit auch verpflichtend zu machen:

  • PETs müssen als Teil des „Stands der Technik“ in ausreichender Reife und für die in der Praxis relevanten Systemkomponenten zur Verfügung stehen.
  • Der Aufwand zur Integration einer PET in reale Systemarchitekturen und Entwicklungsprozesse muss möglichst gering sein. Hierzu müssen PETs sich explizit an diesen orientieren. Dies wiederum erfordert, von Beginn an die Perspektive derjenigen Entwickler·innen einzunehmen, die die realen Systeme bauen. Die konkrete Integration einer PET muss für diese Entwickler·innen möglichst aufwandsarm möglich sein.
  • Die durch PETs in realen Systemkontexten hervorgerufenen Kosten (z.B. für zusätzliche Ressourcen wegen aus der Technologie resultierender Performanceverluste) muss möglichst gering, zumindest aber grob bezifferbar sein.

Eine solche, explizite Fokussierung auf die Sicht derjenigen Entwickler·innen, von denen wir uns einen vermehrten praktischen Einsatz von PETs wünschen, wird für die tatsächliche, breite Etablierung von „Privacy / Data Protection by Design“ entscheidend sein. An der TU Berlin haben wir in diversen Forschungsprojekten entsprechende Technologien etwa zum Einwilligungsmanagement, oder zur Zweckbindung entwickelt und zur freien Nutzung öffentlich bereitgestellt. Aktuell entwickeln wir im BMJV-geförderten Projekt DaSKITA u.a. Verfahren zur maschinenlesbaren Repräsentation von Angaben aus Datenschutzerklärungen und zu darauf aufbauenden, neuen Transparenzansätzen. Unsere Erfahrungen hieraus stimmen uns für einen zukünftigen, breiten Einsatz von PETs in der Praxis durchaus positiv.

Dieser Beitrag wurde von Dr.-Ing. Frank Pallas verfasst und erschien im kürzlich veröffentlichten Arbeitspapier des Digital Autonomy Hubs „(In-)transparente Datenschutzerklärungen und digitale Mündigkeit“. Dr.-Ing. Frank Pallas ist Senior Researcher im Fachgebiet Information Systems Engineering der TU Berlin. Er forscht und lehrt an der Schnittstelle von Datenschutz(recht) und konkreter informatischer Systemgestaltung („Privacy Engineering“). Ein besonderer Schwerpunkt liegt dabei auf neuen, praxistauglichen Technologien zur Adressierung von Datenschutzprinzipien jenseits von Datensparsamkeit und Sicherheit, wie etwa Zweckbindung oder Transparenz. Er ist Principal Investigator und Gesamtprojektleiter des BMJV-geförderten Projekts „Datensouveränität durch KI-basierte Transparenz und Auskunft (DaSKITA)“.