Zu Tode gefürchtet …

Redaktion | 12. Oktober 2021 | Keine Kommentare
Kategorie: Fazit 176, Fazitthema

Nie war eine Gesellschaft leichtfertiger mit der Preisgabe ihrer Daten als heute. Gleichzeitig wurden Weitergabe, Aufbewahrung und Nutzung von Daten nie so restriktiv gehandhabt wie heute. Eine Diskrepanz, die Misstrauen ebenso fördert wie Missbrauch.

::: Hier im Printlayout online lesen

Die Tech-Giganten unserer Zeit sammeln jede Information, die sie in die Finger kriegen können. Apple, Amazon, Google und Facebook, das ist bekannt, sind ungeheure Datensammelmaschinen, die Dinge über ihre Nutzer protokollieren, an die sie im Traum nicht denken würden: die WLAN-Verbindung, den Browser und ob sie mit einem iPhone 6S oder doch einem Samsung Galaxy auf ihr Profil zugreifen. Alleine daraus lassen sich Rückschlüsse über die User ziehen: Ob sie eher Early Adopter sind, Sparefrohs oder Konsumenten, die für eine gute Marke gerne auch gutes Geld auszugeben bereit sind. Zusammen mit den anderen Daten, die Mark Zuckerbergs Unternehmen von den knapp drei Milliarden Facebook-Nutzern abgreifen, lassen sich mit diesem gesammelten Wissen schöne Profile erstellen. Kaum jemand bei Facebook, Instagram, Twitter und Co interessiert sich für die User persönlich. Dieses Narrativ wird gerne von Globalisierungsgegnern und ähnlich Motivierten verbreitet, die das Märchen von den bösen Hackern, die Daten stehlen, um dann gezielt Individuen und Existenzen zu ruinieren, gerne in die vermeintlich sicheren Wohnzimmer der Welt tragen.

Nur das Profil ist interessant,  denn Wissen ist Macht
Was tatsächlich zählt, ist nur das Profil, das von den Kunden erstellt wird, um sie zuordenbar zu machen. Anders gesagt: Interessant ist für Mark Zuckerberg nur, in welcher Zielgruppe er die User verorten kann. Sein Ziel: Er will Werbetreibenden versprechen können, dass er deren Botschaft an genau die möglichen Konsumenten ausspielt, bei denen ein Kauf der angepriesenen Produkte am wahrscheinlichsten ist. Das Unternehmen hat es darin mittlerweile zu einer Meisterschaft gebracht, die ihresgleichen sucht. Auch der Gigant Google sammelt Daten ohne Ende. Niemand weiß besser, was wo auf der Welt gerade bei wem gefragt ist und was nicht, als die ehemalige Suchmaschine. Ehemalig deswegen, weil Google längst nicht mehr nur eine reine Suchmaschine ist, sondern eine Plattform für viele Spielarten von Werbung und Marktkommunikation, die vor nicht ganz zwei Jahrzehnten noch undenkbar gewesen wären. Google und die dazugehörigen Unternehmen sind dank dieses intimen Wissens um die Konsum- und Informationsbedürfnisse der Menschheit in kürzester Zeit zu einem riesigen Technologiekonzern herangewachsen, dem weder in finanzieller noch in technischer Hinsicht Grenzen gesetzt sind. Zu Google gehören Biotechnologieunternehmen, die das Altern aufhalten wollen, Softwareunternehmen, die die künstliche Intelligenz vorantreiben, Unternehmen, die Stadtplanung betreiben, Hersteller von autonomen Fahrzeugen, Entwickler von Frachtdrohnen und vieles mehr.

Innovationsgrundlage sind die Userdaten
Kern all dieser Innovationen ist allerdings das Data-Business. Ohne das Sammeln und Analysieren jener Daten, die die Nutzer freiwillig bekannt geben, sowie jener Daten, die Aufschluss über ihre Verhaltensmuster im Internet (und darüber hinaus) geben, wäre die Innovationskraft dieser Unternehmen nur einen Bruchteil so groß. Die Datenmengen, die bei Facebook, Google, Apple und Amazon lagern, sind bereits jetzt so groß, dass es im allgemeinen Sprachgebrauch keine Zahlen gibt, um diese Größe zu beschreiben. Denn wer einen der Dienste, die die Big Four anbieten, nutzt, der stimmt der Verwertung seiner Daten zu – und so ziemlich jeder Mensch nutzt irgendwann einen dieser Dienste. Kurz: Daten sind pures Gold für diejenigen, die sie sammeln, analysieren und verarbeiten, vielmehr aber auch Grundlage einer Vielzahl an Innovationen.

Kein Wunder, dass man dieses Gold gesichert sehen will. Der Ruf nach einem erweiterten Schutz der Daten wurde darum in den vergangenen Jahren immer lauter. Noch vor wenigen Jahren hat sich die Datenschutz-Rechtslage teils auf Gesetze gestützt, die in den späten 1970er Jahren ihren Eingang in die Normative fanden. Die während der vergangenen Jahre nur mühsam novellierten Datenschutzbestimmungen aus dem Jahr 1978 entsprachen nicht im Mindesten den Anforderungen, die die Sammlungen personenbezogener Daten im Zeitalter von Facebook, Google und Co an eine zeitgemäße Gesetzgebung stellten.

Die DSGVO ändert alles und nichts
Bevor die Datenschutzgrundverordnung, kurz DSGVO, im Jahr 2018 in Kraft trat, kümmerten sich in Österreich im Wesentlichen eine Datenschutzkommission und die privat finanzierte ARGE Daten um die Sicherheit personenbezogener Daten. Die legistische Basis, auf der das geschah, war im Vergleich zu den Werken, die die EU vorlegte, bestenfalls improvisiert. Dann kam das Jahr 2018, das Jahr, in dem die von den EU-Gremien beschlossene DSGVO in nationales Recht übernommen werden musste. Die Verordnung hatte zum Ziel, vor allem die großen Datensammler nicht nur zu reglementieren, sondern auch zu limitieren. „Big Data“, ein Schlagwort, das das Verwerten großer Datenmengen mithilfe künstlicher Intelligenz beschreibt, war allgegenwärtig geworden. Die EU-Beamten hatten Jahre investiert, um darauf mit einer Verordnung zu reagieren, die dem Business mit den Daten ein strenges Korsett anlegen sollte. Unabhängig davon galten automatisierte Auswertungen personenbezogener- und anderer Daten plötzlich als das Böse schlechthin. Daran hatte nicht zuletzt der Wahlkampf Donald Trumps einen gewissen Anteil: Das britische Umfrageinstitut Cambridge Analytica soll 2016 auf Basis von Facebook-Likes und freiwillig ausgefüllten Psychotests eine spezielle Methode des Microtargetings entwickelt und dem Team von Donald Trump zur Verfügung gestellt haben. Dessen Gegner sahen in diesem Vorgang bereits den Tatbestand der Wähler-Manipulation erfüllt. Letztlich ging es um 175.000 Adressaten, die – vereinfacht – mit hochpersonalisierter Wahlwerbung beschickt worden waren. Anders gesagt: Das Wahlkampfteam Trumps wusste genau, wer von diesen 175.000 potenziellen Wählerinnen und Wählern was hören wollte und sandte die entsprechenden Botschaften aus.

Immer wieder Datenlecks
Datenskandale – seien es nun schlichte Leaks, Datendiebstähle oder die missbräuchliche Verwendung von Daten – sind indes keiner Nation fremd. Die Liste der Datendiebstähle allein der letzten drei Jahre ist nahezu endlos. Beispiele? Im Jänner 2020 wurden rund drei Millionen Kundendaten der Autovermietung Buchbinder geleakt. Ebenfalls 2020 wurde der Diebstahl von drei Milliarden (!) Fotos des Gesichtserkennungs-Unternehmens Clearview bekannt. Kurz davor waren eine Reihe schwerer Datenleaks veröffentlicht worden: Im März 2019 waren rund 600 Millionen Passwörter von Facebook und Instagram geleakt worden, im Dezember musste Facebook eine weitere Datenpanne zugeben: 267 Millionen Anmeldedaten waren im Darknet veröffentlicht worden. Und Facebook ist bei weitem nicht das einzige Unternehmen, das Nachholbedarf beim Schutz sensibler Daten hatte. Auch Unternehmen wie MasterCard, Nintendo, Conrad, Google wurden in jüngerer Vergangenheit Opfer von Datendiebstählen größeren Ausmaßes. Ganz zu schweigen von den sogenannten „Collections“, die in unregelmäßigen Abständen auftauchen und Milliarden E-Mail-Adressen mit den dazugehörigen Passwörtern einsehbar machen. In Deutschland war jüngst einmal mehr T-Mobile Opfer eines Datenhacks, bei dem 100 Millionen T-Mobile Daten gehackt wurden. Hierzulande führen Datenleaks wie ein bei der GIS vermutetes Leck (theoretisch drei Millionen Datensätze) oder das (unbestätigte) Gerücht über ein Datenleck, demzufolge über 1,7 Millionen personenbezogene A-Trust-Daten von österreichischen Bürgern öffentlich zugänglich sind, Datenschutzbemühungen ad absurdum. Überhaupt zeigen Datenlecks: Legistische Instrumente wie die DSGVO sind nur bedingt taugliche Mittel, um Datensicherheit zu gewährleisten und Datenmissbrauch hintanzuhalten.

Datenschutz als  volkswirtschaftlicher Hemmschuh
Tatsächlich sind Datenschutz und DSGVO nicht unumstritten. Vor allem in der Wirtschaft gilt beides manchmal eher als Hemmschuh für das Wachstum denn als nutzbringendes Instrument für die Konsumenten. Die Kritik dürfte nicht völlig unberechtigt sein: Offensichtlich ist, dass die DSGVO, die an das Speichern und Nutzen von Kundendaten völlig neue Maßstäbe anlegt, alleine durch den Eingriff in unternehmensinterne Kundendatenbanken mehr Aufwand als Nutzen verursachte. Der Grund: Wesentliche Teile der Verordnung waren so schwammig formuliert, dass sie breite Interpretationsspielräume zuließen. Vor allem der Strafrahmen bei Verstößen ist unpräzise. „Bis zu“ vier Prozent des gesamten Konzernumsatzes oder „bis zu 20 Millionen Euro“ könnten als Bußgeld verhängt werden – dieses Damoklesschwert schwebte vor allem in der ersten Zeit der Wirksamkeit an einem hauchdünnen Faden über allen Konzernen. Was das für Unternehmen bedeutete, die Millionen Kundendaten zu verwalten haben, kann man sich ausmalen: Rechtsabteilungen, die per se dazu neigen, ihren Empfehlungen größtmögliche Risikoaversion zugrunde zu legen, verboten etwa plötzlich den Einsatz trivialster Kommunikationsmaßnahmen. Dazu kam das Fehlen jeglicher Judikatur und Spruchpraxis, die hätte klären können, was erlaubt ist und was nicht – mit dem Ergebnis, dass aus Angst vor einem drohenden Vier-Prozent-Bußgeld plötzlich gar nichts mehr erlaubt war. Die herrschende Unsicherheit nutzend, traten bereits kurz nach Inkrafttreten der Verordnung 2018 spezialisierte Anwaltskanzleien mit einer neuen Geschäftsidee auf den Plan: Sie forderten namens ihrer Klienten systematisch das Recht ein, Auskunft über die gespeicherten Daten zu verlangen und zu erhalten. Der bürokratische Aufwand vor allem für Unternehmen, die eine Vielzahl an Kundendaten gespeichert hatten, explodierte. Denn längst nicht alle Konzerne verfügen über die entsprechenden zentralen Datenmanagementsysteme, die das Abfragen „personenbezogener“ Kundendaten (Name, Adresse, Geburtsdatum) erleichtern würden. Vielfach arbeitete man auch nicht abteilungsübergreifend mit gemeinsam genutzten Adressdatenbanken, sondern führte je nach Unternehmensart und -größe zum Beispiel separate Excel-Listen, auf denen Daten der anfragenden Person verzeichnet sein konnten. HR-Abteilungen sahen sich hier genauso plötzlich in der Pflicht, Daten von Bewerbern, die sie in Evidenz hielten, zu durchsuchen und zu löschen wie Marketingabteilungen, die die Auskunft begehrende Person auf Einladungslisten, Presseverteilern, in Newsletterdatenbanken oder Gewinnspielteilnehmern zu vermuten und ausfindig zu machen hatten. Dazu kamen noch die Vertriebsabteilungen, die Kundenliste um Kundenliste durchforsten mussten, um sicherzugehen, dass der entsprechende Name samt dazugehöriger Daten nicht doch irgendwo auftauchte. Dass dies schon allein dadurch erschwert wurde, dass Digitalisierung in den unterschiedlichen Abteilungen und Unternehmen natürlich nicht überall in derselben Art und Weise gelebt wurde (und wird), ist ein weiterer Aspekt der unguten DSGVO-Nebenerscheinungen.

Innovationskiller und  Pandemiebeschleuniger Datenschutz
Die Tatsache, dass mitunter aus völlig unwichtigen Datensätzen schutzwürdiges Gut gemacht wird, ist aber nur ein kleiner Teil der Kritik an der heiligen Kuh Datenschutz. Viel schwerer wiegt, was das Unmöglichmachen der Verarbeitung von Datensätzen alles verhindert. Zum Beispiel in der Terrorismusbekämpfung oder auch im Kampf gegen Kinderpornografie. Hier werden längst nicht alle Möglichkeiten ausgeschöpft. Bei Apple etwa liegen Milliarden Fotos in der Cloud. Der Konzern hat ein System entwickelt, das Bilder, die dorthin hochgeladen werden, theoretisch mit bereits bekannten kinderpornografischen Inhalten abgleichen und im Falle einer Übereinstimmung prüfen könnte. „Könnte“, weil Datenschützer sich zu Wort gemeldet haben, die sichergehen wollen, dass das System nicht von autoritären Staaten missbraucht werden kann, um politische Motive aufzuspüren. Während Apple sich also dafür rechtfertigen musste, die Verbreitung von Kinderpornografie mittels Datenabgleich deutlich zu erschweren, feiern Datenschützer es als Erfolg, dass Apple das System nun doch nicht wie geplant launchen konnte. Ein anderes, naheliegendes Beispiel dafür, was Datenschutz-Bedenken anrichten können, ist die Pandemiebekämpfung. Das „Hinsichtln und Rücksichtln“ auf die verschiedenen Datenschutzbefindlichkeiten habe vor allem ein schnelles und effizientes Contact-Tracing verhindert, monieren Kritiker. Stimmt nicht, erklären Datenschützer: Das Contact Tracing sei jedenfalls nicht am Datenschutz gescheitert. Die Wahrheit dürfte wie immer in der Mitte liegen, sicher jedenfalls ist, dass die Bevölkerung ein breites Misstrauen gegen jede Form staatlicher Überwachungsmöglichkeiten hegt und dass dieses Misstrauen großen Anteil daran hatte, dass die Corona-App von viel zu wenigen Menschen heruntergeladen wurde. Ganz abgesehen davon, dass die App hinsichtlich der Funktionalität und Userfreundlichkeit nicht unbedingt herausragend ist. Da half es wenig, dass selbst der Datenschutzaktivist Max Schrems – er erlangte Bekanntheit durch seine Facebook-Klagen – sowie alle anderen maßgeblichen Organisationen der App schließlich die datenschutzrechtliche Unbedenklichkeit bescheinigten; das Feature galt und gilt in weiten Teilen der Bevölkerung immer noch als „Spionage-App“.

Vertrauensverlust
Es mag auch an der Berichterstattung über Chats oder Datenauswertungen von Politikern liegen, dass das Vertrauen in die Geheimhaltungskraft staatlicher Institutionen gering ist. Dazu gehören auch und gerade die Geheimhaltung von Gesundheitsdaten. Die sind naturgemäß streng geschützt und hinsichtlich ihre zentralen Speicherung oder gar Verknüpfung heftig diskutiert. Seit 2006 ist die elektronische Gesundheitsakte „Elga“ in Entwicklung; das Grundproblem war zunächst, einheitliche Standards im Berichtswesen und der Kommunikation der Ärzte untereinander zu schaffen, bevor man daran gehen konnte, eine Plattform zu schaffen, von der aus man alle relevanten Gesundheitsdaten einer beliebigen Person abrufen konnte. Das Misstrauen ist groß: 300.000 Menschen in Österreich sind aus Elga ausgestiegen. Ein weiteres Problem: Patienten können nicht nur die Aufnahme aller Informationen in die elektronische Akte verhindern, sondern sie können auch Teilinformationen zurückhalten. Das tun nicht viele, aber immerhin so viele, dass Ärzte sich erst recht nicht darauf verlassen können, dass die in Elga enthaltenen Informationen vollständig sind – was wiederum die Sinnhaftigkeit in Frage stellt.

Datenschutz ist teuer und  liefert Minderleistern perfekte Ausreden
Die Datenschutzgrundverordnung jedenfalls erweist sich als doch recht teuer. Und zwar sowohl für Unternehmen, die Berater und Implementierungsmaßnahmen finanzieren müssen, um ihre Konformität mit der DSGVO sicherzustellen, als auch für die, die dagegen verstoßen. Bis Anfang 2021 wurden wegen DSGVO-Verstößen europaweit 272 Millionen Euro an Strafen verhängt. In Österreich waren es einem Bericht des Magazins Trend zufolge 2.500 Unternehmen, die mit einem Bußgeld belegt wurden. Fast 300.000 Datenschutzverletzungen wurden bislang europaweit gemeldet – ein ungeheurer Aufwand nicht nur für die Behörden, sondern auch für die Unternehmen, die sich in teils jahrelangen Prozessen gegen die Vorwürfe wehren müssen. Mitunter durchaus erfolgreich übrigens: So sollte ein österreichisches Unternehmen ein Bußgeld von 18 Millionen Euro bezahlen; die Berufung dagegen war erfolgreich. Eine ungleich größere Schlappe mussten die britischen Aufsichtsbehörden hinnehmen: Mitte 2019 wollte sie wegen zweier Datenschutzverstößen 313 Millionen Euro an Geldbußen verhängen, musste die Strafe dann aber im Oktober 2020 auf „nur“ 20 Millionen Euro reduzieren. Gegenwärtig steht hierzulande vor allem der Jö-Bonusclub im Fokus der Datenschützer. Zwei Millionen Euro soll der Bonusclub gemäß einem Bescheid der Datenschutzbehörde zahlen. Grund: Schlampigkeit bei der Konzeption der Einwilligungserklärung und dementsprechend unerlaubtes Profiling mithilfe der zu Unrecht erlangten Kundendaten. Die Relation zwischen der Höhe des Bußgeldes und dem kaum vorhandenen Impact bzw. Schaden, den das Vergehen auf den Kunden hat, zeigt eine – wie viele meinen – absurde Dimension in der Bewertung von Datenschutz-Vergehen. Tatsächlich ist es für Laien schwer geworden, schützenswerte von weniger schützenswerten Daten zu unterscheiden, die Datenschutzrelevanz richtig zu beurteilen und die entsprechenden Maßnahmen zu setzen. Dies führt dazu, dass Datenschutz oft viel restriktiver angewendet wird, als es tatsächlich notwendig wäre. Mehr noch: „Datenschutz“ gilt in vielen Bereichen des öffentlichen Lebens schlicht als perfekte Ausrede, um strukturelle Probleme zu verdecken oder Unwilligkeit zu erklären. Dies bestätigte dieser Tage der ORF-Journalist Martin Thür, der gerade einen Musterprozess zum Informationsfreiheitsgesetz führt. Er wollte wissen, wer wie viele Covid-Hilfsgelder zugesprochen bekommen hatte – eine Auskunft, die ihm zusteht, aber zunächst verweigert wurde. Seine Conclusio deckt sich mit den ersten Erkenntnissen des Gerichtes: Wenn Behörden die Auskunft verweigern wollen, dann versuchen sie zunächst zu Unrecht, obskure Datenschutzgründe dafür ins Treffen zu führen. Und auch in der Pandemiebekämpfung hat sich gezeigt, dass Datenschutz eine perfekte Ausrede ist, um Aufwand in der Bereitstellung notwendiger Informationen zu vermeiden. Fragen, wie etwa welche Berufe einem besonders hohen Ansteckungsrisiko ausgesetzt sind, welchen Einfluss Vorerkrankungen und Medikamente auf eine Infektion haben oder inwiefern Reinfektionen zu schweren Krankheitsverläufen führen, könnten längst beantwortet sein. Könnten, denn die Herausgabe der notwendigen Gesundheitsdaten – die anonymisiert kein Problem darstellen würde –, wird mit dem Hinweis auf Datenschutz verweigert …

Fazitthema Fazit 176 (Oktober 2021), Illustration: Adobe-Stock