7 Fragen zum Datenschutz

Die Dynamik der Digitalisierung hat zu einer gewissen Fixierung der öffentlichen Diskussion auf technologische Phänomene geführt, für deren datenschutzrechtliche Einschätzung sich technologische Kenntnisse zwar als nützlich, ohne ein Grundverständnis der Eigenarten des Datenschutzes aber meist als unzureichend erweisen. Vor diesem Hintergrund erscheint es uns hilfreich, nachfolgend auf sieben, häufig gestellte Verständnisfragen zum Datenschutz zu antworten:

1. Welche Daten schützt der «Datenschutz»?

Der Datenschutz schützt die Persönlichkeit und die Grundrechte von natürlichen Personen, indem er die Bearbeitung von Personendaten regelt und die Betroffenen vor Bearbeitungen schützt, mit denen der Staat in deren Grundrechte oder private Unternehmen in deren Privatsphäre und selbstbestimmte Lebensführung eingreifen.

Datenschutz bezweckt also nicht direkt den «Schutz von Daten», da Letztere gar nicht Träger von Rechten sein können. Er schützt auch kein Dateneigentum, resp. nicht exklusive Rechte an Daten wie das Immaterialgüterrecht. Auch die von Privaten unter dem Geschäfts- und Fabrikationsgeheimnis gehüteten Informationen oder polizeiliche und militärische Geheimnisse des Staates sind in der Regel nicht datenschutzrelevant, weil sich das Interesse an deren Geheimhaltung typischerweise auf den sachlichen Informationsgehalt wie z. B. ein Braurezept oder eine Waffentechnologie beziehen.

2. Was ist die menschliche «Persönlichkeit» und wovor wird sie geschützt?

Die menschliche Persönlichkeit als eigentlicher Kern des Datenschutzes ist das, was Kinder, bald nachdem sie ihren Namen sagen können, mit «ICH» benennen. Das menschliche «ICH» rechtlich zu definieren, stellt eine Herausforderung dar. In der Bundesverfassung, im Zivilgesetzbuch und im Datenschutzgesetz steht zwar, dass die Persönlichkeit rechtlich geschützt ist, nicht aber wie Letztere zu definieren ist. Aus der juristischen Lehre und der Rechtsprechung ergibt sich indessen, dass mit der «Persönlichkeit» die individuellen Besonderheiten, das Innerste des Menschen gemeint sind, welche ihn als solchen charakterisiert und gleichzeitig von allen Mitmenschen abgrenzt.

3. Wo beginnen die Privat- und Intimsphären und wie weit ­reichen sie?

Das menschliche «ICH» definiert sich über Körper, Gesicht, Stimme und Verhalten. Medizinisch betrachtet befindet sich das menschliche «ICH» in inneren Organen wie dem Gehirn. Von dort erstreckt sich die Kernzone der menschlichen Intim- und Privatsphäre auf die äussere Körperhülle und die persönlich bewohnten Räume des Individuums. In dieser Kernzone verhindert oder erschwert der Datenschutz intrusive Mittel der Datenbeschaffung wie Lügendetektoren oder Neuroimplantate. Aber auch Geräte wie kamerabestückte Drohnen, Teleobjektive und Sensoren, die das Verhalten von Menschen in dieser Zone beobachten, sind dem Grundsatz nach unzulässig.

Im digital geprägten Alltag erzeugen oder hinterlassen Menschen als Konsumentinnen, Passanten, Passagierinnen oder Patienten eine Vielzahl elektronischer Spuren, die Rückschlüsse auf ihre Person technisch möglich machen. Demzufolge erstreckt sich deren Intim- und Privatsphäre und der Datenschutz vom Körper über die Wohnung bis ins Smartphone und von dort in die Cloud, wo die privaten Betreiber von Rechenzentren unermesslich viele Text- und Sprachnachrichten, Bilder und Metadaten zu besuchten Internetseiten oder geführten Telefongesprächen bzw. Chats, bearbeiten. Auch in dieser erweiterten Zone der Privat- und Intimsphäre setzt der Datenschutz der Bearbeitung von Daten und deren Verknüpfung Grenzen.

4. Können mündige Erwachsene auf ihre Datenschutzrechte verzichten?

Der Schutz der Privatsphäre ist ein verfassungsmässig garantiertes Grundrecht (Art. 13 BV). Bezüglich staatlicher Bearbeitungen von Personendaten gibt es dem Grundsatz nach keinem freiwilligen Verzicht auf Datenschutzrechte. Der Zweck, Umfang und die Intensität staatlicher Bearbeitungen ergeben sich aus gesetzlichen Grundlagen, die für die Behörden verbindlich sind und von deren Einhaltung sie im konkreten Anwendungsfall nicht rechtswirksam entbunden werden können.

In private Personendatenbearbeitungen, welche die Persönlichkeit der Betroffenen verletzen, können Letztere hingegen einwilligen. Ihr Verzicht ist jedoch datenschutzrechtlich nur dann wirksam, wenn sie vorher vollständig und adressatengerecht informiert wurden und ihr Verzicht wirklich ihrem freien Willen entspricht. Ob das Einverständnis, sich einer konkreten Datenbearbeitung zu unterziehen, noch als freiwillig gelten kann oder nicht, hängt von den Lebensumständen ab. So z. B. den finanziellen Möglichkeiten der Nutzerinnen und Nutzer digitaler Angebote. Nicht alle von ihnen können es sich ökonomisch leisten, auf hohe Rabatte zu verzichten, den private Anbieter von Waren und Dienstleistungen gegen die Preisgabe persönlicher Informationen im Rahmen von digitalen Kundenprogrammen anbieten. Auch bei Bewerbungen für Arbeits-, Miet- oder Versicherungsverträge darf eine hohe Nachfrage nicht für exzessive Eingriffe in die Privatsphäre missbraucht werden, indem von den Bewerbenden vermeintlich freiwillige Auskünfte über deren Privatsphäre verlangt werden. Entsprechende Einwilligungen der Betroffenen können sich datenschutzrechtlich als unwirksam erweisen.

5. Ist der Datenschutz ein Auslaufmodell? In den sozialen Netzwerken geben ja immer mehr Menschen alles von sich preis.

Es gibt Millionen von Menschen, die ihr Leben mit Text-, Bild- und Sprachnachrichten dokumentieren und tagtäglich über das Internet mit Freunden oder einer zahlenden Kundschaft teilen oder gar der breiten Öffentlichkeit zugänglich machen. Allerdings gilt es zu beachten, dass mündige Erwachsene, die vermeintlich freizügig vor einem breiten Publikum posieren, meist Wert darauflegen, sich und ihr Leben in einem von ihnen selbst inszenierten Kontext zu präsentieren. Die allermeisten von ihnen zeigen sich verletzlich und verwahren sich energisch dagegen, wenn ungefragt Daten aus ihrer realen Intimsphäre beschafft und verbreitet werden.

Es besteht somit nicht ein abnehmendes, sondern wachsendes Bedürfnis nach Datenschutz, der u. a. auch darüber wacht, dass die Betreiber sozialer Netzwerke ihre Nutzungsbedingungen einhalten und dass sie Personendaten, welche die Nutzerinnen und Nutzer nicht oder nur selektiv teilen, nicht zu eigenen Zwecken bear­beiten und z. B. an Dritte veräussern.

6. Gibt es verbotene Daten­bearbeitungen?

Bei der Regelung behördlicher Bearbeitungen von Personendaten ist das gesetzgebende Parlament dem grundrechtlichen Anspruch auf Achtung der Privatsphäre und informationelle Selbstbestimmung verpflichtet, mit dem die Bundesverfassung den Menschen ein privates und selbstbestimmtes Leben garantiert. Wenn Gesetze staatliche Datenbearbeitungen einführen wollten, die zu einer Aushöhlung grundrechtlicher Positionen wie der freien politischen Meinungsäusserung oder Mitwirkung führten, würden diese mit der Verfassung kollidieren.

Leider werden die Vorgaben von Verfassung und Demokratie von den Promotoren behördlicher Digitalisierungsprojekte nicht immer verstanden. Die Datenschutzbehörden müssen bei der Beaufsichtigung solcher Vorhaben immer wieder darauf hinwirken, dass machtbegrenzende Mechanismen des demokratischen Rechtsstaates wie die Aufteilung der Verwaltungsmacht auf fachlich spezialisierte Fachämter, die Gewaltenteilung oder der Föderalismus nicht unbesehen als «alte Zöpfe» beseitigt, sondern in die Automatisierung von Datenflüssen rechtzeitig einbezogen werden.

Anders verhält es sich bei privaten Bearbeitungen von Personendaten. Sie sind in der Schweiz dem Grundsatz nach erlaubt. Ab wann die von ihnen ausgehenden Eingriffe in die Persönlichkeit der Betroffenen ein Mass erreichen, das sich weder durch Einwilligung noch überwiegende Interessen rechtfertigen lässt, beantwortet das auf Prinzipien basierende Datenschutzrecht nur generell-abstrakt.

Eine eher graduelle Grenze des Zulässigen setzt das Datenschutzrecht, indem es Einwilligungen in Beschaffungen von Personendaten die rechtliche Verbindlichkeit versagt, wenn sie unter Ausnützung von Unwissenheit oder Abhängigkeitsverhältnissen das Mass des für die Bearbeitung Nötigen überschreiten. Eine absolute Grenze wird dort erreicht sein, wo sich jemand mit seiner Einwilligung seiner Freiheit entäussern oder sich in ihrem Gebrauch in einem die Rechtsordnung als Ganzes oder die Sittlichkeit verletzenden Grade beschränken würde, wie es das Zivilgesetzbuch ausdrückt.

7. Wie politisch ist Datenschutz?

Der Datenschutz lässt sich historisch auf das staatspolitische Grundmodell des Liberalismus zurückführen.

In liberalen Rechtsstaaten wie der Schweiz gibt der Daten- und Persönlichkeitsschutz dem Individuum einen über ein blosses Existenzrecht hinausgehenden Anspruch auf ein privates und selbstbestimmtes Leben. Mit dieser Prämisse hebt sich die liberale Gesellschaft zum einen von totalitären Regierungs- und Gesellschaftsmodellen ab, welche das Individuum zum Objekt kollektiv begründeter Herrschaft machen. Zum andern steht ein Gesellschaftsmodell, das sich am Anspruch auf individuelle Lebensfreude durch Selbstverwirklichung orientiert, in Kontrast zu leistungsfähigen Organisationsformen anderer Lebensformen wie Insekten oder toter Technik wie künstlicher Intelligenz.

Eine gänzliche Aushöhlung der Freiheit und das Ende des Datenschutzes würde etwa mit einer staatlichen und wirtschaftlichen Gesellschaftsordnung vollzogen, welche die Menschen durch permanente Selbstvermessung und lückenlose Überwachung zum blossen Objekt kollektiver Ziele wie der Erreichung einer absoluten gesundheitlichen, ökonomischen und polizeilichen Sicherheit oder etwa auch einer absoluten ökologischen Nachhaltigkeit machen würden.

Ungeachtet dieser historischen Herleitung des Datenschutzes nehmen Datenschutzbehörden ihre gesetzlichen Aufgaben im demokratischen Rechtsstaat apolitisch wahr.