Das aktuelle Interview

Datenschutzaufsicht muss effektiver gestaltet werden

Peter Schaar, Bundesbeauftragter für den Datenschutz und die Informationsfreiheit, Bonn

Im Internet sind Kundenprofile für vergleichsweise geringe Beträge zu erwerben, wie in den letzten Wochen verschiedene Journalisten nachweisen konnten. Ist der Datenhandel legal, insbesondere wenn die Kunden hinsichtlich der Einzeldaten beim jeweiligen Anbieter ihre Daten freiwillig abgegeben haben?

Der Handel mit personenbezogenen Daten zu Zwecken der Werbung ist nicht grundsätzlich verboten. Den Daten sieht man erst einmal gar nicht an, ob sie legal oder illegal erhoben oder verwendet werden. Wir haben es mit einer riesigen rechtlichen Grauzone zu tun, die einen Missbrauch leider sehr erleichtert. Auch ohne Einwilligung dürfen etwa bestimmte Grunddaten in Listenform weitergegeben werden. Dies sind Adresse, Geburtsjahr, Berufs- und Branchenzugehörigkeit sowie ein „zusätzliches Merkmal“ (z.B. Kunde der Firma XY, Produktinteresse). In dem Datenhändler aus unterschiedlichen Quellen stammende Daten mischen, werden die Datenbestände mit weiteren Informationen angereichert. Hierzu können Daten hinzukommen, die mit Einwilligung des Betroffenen gesammelt worden sind. Eine entsprechend weit gefasste Einwilligung wird dabei häufig in den Allgemeinen Geschäftsbedingungen versteckt, die der Betroffene unterschreibt, ohne sie wirklich zur Kenntnis zu nehmen. Im Ergebnis entstehen auf diese Weise umfangreichste Kunden- und Interessenprofile, ohne dass dies unbedingt verboten wäre.

Die Grenze ist in jedem Fall überschritten, wenn Kreditkartendaten mit oder ohne Prüfnummer an Dritte weitergegeben werden. Wie können sich Kunden effektiv schützen? Ansprüche auf Unterlassung und Schadensersatz durchzusetzen, ist offensichtlich für einzelne Betroffene kostenintensiv und wenig erfolgreich, wenn die Täter oder Daten im Ausland angesiedelt sind.

Jeder Einzelne sollte gerade angesichts der jüngsten Missbrauchsfälle besonders sorgsam mit seinen Daten umgehen. Das ist im Einzelfall gar nicht so schwierig. So macht es wenig Mühe, etwa im Internet zu prüfen, ob der Anbieter eine gültige Adressenangabe bekannt gibt. Misstrauisch würde ich auf jeden Fall sein, wenn nur eine Postfachadresse angegeben wird. Ferner sollte ein seriöser Händler auch telefonisch erreichbar sein. Schließlich lohnt sich auch ein Blick auf die Datenschutzbestimmungen in dem Web-Angebot. Sind sie missverständlich oder fehlen sie ganz, würde ich die Finger davon lassen. Allerdings sehe ich die Verantwortung nicht nur beim Kunden. Auch die Datenschutzaufsicht muss effektiver gestaltet werden. So gibt es eine Reihe von Datenschutzbestimmungen, bei denen die Nichtbeachtung weder eine Straftat noch eine Ordnungswidrigkeit ist. Diese gesetzlichen Lücken müssen dringend geschlossen werden. Außerdem müssen die Aufsichtsbehörden so ausgestattet werden, dass sie ihren Aufgaben angemessen nachkommen können. Schließlich plädiere ich auch für abschreckendere Sanktionen, die der wirtschaftlichen Leistungsfähigkeit der Unternehmen Rechnung tragen. Wenn durch datenschutzwidriges Handeln wirtschaftliche Vorteile erzielt wurden, müssen diese wieder abgeschöpft werden.

Hilft ggf. ein behördlich kontrolliertes „Gütesiegel” für Unternehmen, die sich an den Datenschutz halten?

Ein solches Gütesiegel, das sog. Datenschutzaudit, würde dem Einzelnen helfen, zu erkennen, ob er es mit einem datenschutzgerechten Verfahren zu tun hat. So könnte zum Beispiel ein Webshop durch ein Gütesiegel dokumentieren, dass er mit personenbezogenen Angaben vorbildlich umgeht. Hier liegt auch eine Chance für Unternehmen, verlorenes Vertrauen der Kunden zurück zu gewinnen und sich von unseriösen Konkurrenten abzusetzen. Auch die Politik hat diese Forderung jetzt aufgegriffen, und ich gehe davon aus, dass sie auch umgesetzt wird.

Bei dem Verkauf von Krediten hat der Bankrechtssenat einen Verstoß gegen das BDSG verneint, womit Kundendaten selbst gegen den ausdrücklichen Wunsch der Betroffenen an Finanzinvestoren aus aller Welt weitergegeben werden dürfen. Was halten Sie von dieser Rechtssprechung, die von einigen Datenschutzbeauftragten der Länder scharf kritisiert worden ist?

Ich will hier keine Gerichtsschelte betreiben. Festhalten kann man aber, dass der Bankensenat des BGH sich nicht mit datenschutzrechtlichen Fragen befasst hat. Es ist also nicht gerichtlich geklärt, inwieweit ein Verstoß gegen das Datenschutzrecht vorliegt. Unabhängig davon bin ich der Auffassung, dass die generelle Weitergabe der Daten bei Kreditverkäufen gegen deutsches Datenschutzrecht verstößt, insbesondere wenn die personenbezogenen Daten der Kreditnehmer in einen ausländischen Staat gelangen, in dem es kein angemessenes Datenschutzniveau gibt. Meine Länderkolleginnen und -kollegen, die für diese Frage zuständig sind, teilen diese Auffassung. Gerade der Verkauf nicht notleidender Kredite, wenn also kein Zahlungsverzug vorliegt, ist datenschutzrechtlich im höchsten Maße bedenklich.

Sind diese Problematiken in dem derzeit zur Diskussion stehenden 2. Referentenentwurf zur Reform des Bundesdatenschutzgesetzes berücksichtigt und welche Verbesserungen sind für die Gesetzesfassung noch notwendig?

Beim Verkauf von Krediten ist der Gesetzgeber mit dem sog. „Risikobegrenzungsgesetz“ bereits tätig geworden. Die Datenschutzbeauftragten werden jetzt zu prüfen haben, ob die darin enthaltenen Sicherungen die Kreditnehmer ausreichend gegen eine unangemessene Verwendung ihrer Daten schützen. Ich habe da meine Zweifel.

Inzwischen hat das Bundeskabinett den Entwurf eines Gesetzes zur Reform des Bundesdatenschutzgesetzes beschlossen. Demnächst wird sich der Bundestag damit beschäftigen. Nach langer Zeit soll endlich der Datenfluss zwischen Unternehmen und Verbraucherauskunfteien neu geregelt werden. Von zentraler Bedeutung ist dabei der Umgang von Auskunfteien mit persönlichen Daten. Sie sammeln Informationen über Verbraucher, bewerten die Daten im Hinblick auf die individuelle Kreditwürdigkeit und geben sie an Banken, Versandhändler, Telekommunikationsunternehmen, aber auch Vermieter und andere Branchen weiter. Dies ist für die Betroffenen häufig undurchsichtig, insbesondere wenn dabei so genannte Scoring-Verfahren eingesetzt werden. Es fehlen klare Regeln, welche Daten Auskunfteien sammeln dürfen. Der Gesetzentwurf ist ein Schritt in die richtige Richtung, aber noch zu zaghaft.

Ich setze darauf, dass der Deutsche Bundestag für noch mehr Transparenz beim Scoring sorgt und dass er die Auskunftserteilung auf kreditorische und vergleichbare Risiken beschränkt. Es darf nicht dazu kommen, dass bei allen möglichen Vertragsbeziehungen – auch beim ganz normalen Kauf- und Arbeitsvertrag – zunächst eine heimliche Abklärung des persönlichen Hintergrunds des Kunden stattfindet.

Auch fehlt bislang noch ein Verbot des Geoscorings, also der Bonitätsbewertung eines Menschen anhand seiner Wohnadresse. Ich habe aber die Hoffnung, dass im parlamentarischen Verfahren auch hier noch nachgebessert werden wird.

Die EU und nationale Rechtsordnung forcieren seit Jahren den Fernabsatz, insbesondere auch grenzüberschreitend. Der Datenschutz spielt dabei bislang nur eine unbedeutende Rolle. Auch die Regelungen zur Vorratsdatenspeicherung sind von Land zu Land verschieden. Brauchen wir gerade für die Internetnutzung, den (grenzüberschreitenden) Handel und das Bankwesen eine spezielle europäische Datenschutzrichtlinie?

Ich halte nichts von zu viel Spezialgesetzgebung. Es gibt ja bereits besondere Verbraucherschutzregelungen für den Fernabsatz, und zwar durch die EG-Fernabsatzrichtlinie, die im Wesentlichen durch das Telemediengesetz in Deutschland umgesetzt wurde. Außerdem ist die allgemeine Datenschutzrichtlinie von 1995 voll und ganz auch auf Dienste anzuwenden, die über das Internet abgewickelt werden.

Schließlich diskutiert das Europäische Parlament derzeit intensiv über den Entwurf der ePrivacy-Richtlinie, welche die Datenschutzstandards bei elektronischen Kommunikationsdiensten verbessern soll. Ob zusätzliche Regelungen erforderlich sind, wird sich zeigen, wenn Erfahrungen mit dem neuen Rechtsrahmen vorliegen.

Wir danken Ihnen für das Gespräch.

Interview: Dr. Kai-Oliver Knops, Hamburg