35C3 Intro Musik Herald: Okay willkommen hier in Eliza für den dritten Talk dieses Blocks an diesem zweiten Tage hier. Uns wird heute Rainer Rehak etwas über: "Was schützt eigentlich der Datenschutz?" erzählen. Und er wird uns eine kleine Einführung mit einem strukturellen Blick auf den Datenschutz gewähren, um uns ein bisschen Debatten-Rüstzeug zu geben. Und da würde ich euch bitten eine Runde Applaus zu spendieren und Rainer willkommen zu heißen. Applaus Rainer Rehak: Hallo. Applaus Rainer: Ja, Hallo, herzlich willkommen, welcome und ni hao. Ja, was schützt eigentlich der Datenschutz. Ich bin sehr froh, hier sprechen zu dürfen, weil vielleicht teilweise ein bisschen pointiert als These, warum Datenschützer*innen aufhören müssen von individueller Privatheit zu sprechen. Das ist ja immer so ein Thema was sich durchzieht, wenn es um Datenschutz geht, dann geht's gleich um die Privatsphäre und das Innerste des Menschen. Das ist sicher auch richtig. Aber meiner Ansicht nach ist das ein bisschen zu klein und spielt gerade den Personen in die Hände, die wir eigentlich - ich sag jetzt mal wir - die wir eigentlich mit der Argumentation bekämpfen wollen, oder überzeugen wollen, im besten Falle. Also erst mal zu mir: So ein bisschen, dass man immer weiß, wer da spricht, was für einen Hintergrund ich habe, dass man das ein bisschen einsortieren kann, inhaltlich. Ich bin selber wissenschaftlicher Mitarbeiter am Weizenbaum-Institut für die vernetzte Gesellschaft. Meine Forschungsbereiche und Forschungsinteressen so Technik- Zuschreibungen also Funktions- Zuschreibungen, IT-Sicherheit, Datenschutz, Informatik und Gesellschaft. Ich selber habe Informatik und Philosophie studiert, an der Humboldt- Universität zu Berlin, Freie Uni Berlin und Chinese University of Hongkong. Und habe auch meine Diplomarbeit geschrieben über die heimliche Online-Durchsuchung, und insbesondere um die gesellschaftlichen Konsequenzen davon. Außerdem bin ich aktiv im Forum InformatikerInnen für Frieden und gesellschaftliche Verantwortung, bei Amnesty International und bei der Gesellschaft für Informatik. Worum soll es heute gehen? Einen Fahrplan: Erstmal will ich ein bisschen was über Begriffe sagen, die dann fallen werden, dann über das Problem, was es überhaupt zu diskutieren gibt im Datenschutz. Dann gibt es ein bisschen Theorie und Operationalisierung. Operationalisierung heißt: Wie man aus den ganzen theoretischen Konstrukten dann tatsächlich konkrete Handlungen ableiten kann. Dann möchte ich was über die, auch in der Beschreibung des Talks so ein bisschen kritisierten Nicht-Lösungen sagen, konkret darauf eingehen. Vielleicht, wenn sich da Fragen anschließen werden wir auch eine Q&A noch machen, dass wir das diskutieren können zusammen. Dann werde ich ein Fazit präsentieren und dann kommt noch eine Literaturliste, Literaturhinweise. Die Folien kommen dann auch ins frab, für diejenigen unter euch die sich da noch weiter einlesen wollen und das weiter verfolgen wollen über diese Foundations- Ebene hinweg. Also, erstmal die Begriffe. Erst einmal, wenn man über Datenschutz redet - im Englischen ist es ja noch komplizierter, so mit Privacy und Data Protection und so weiter - es gibt erstmal so einen Begriffe-Mix, das wird dann auch zusammen gehauen mit Überwachung und dann ist das so eine Mischung. Deswegen will ich das jetzt erstmal auseinanderziehen, dass wir wissen worüber wir reden. Erstens: Datenschutz selber ist ein sozialwissenschaftlicher Begriff. Ich werde die alle nachher so ein bisschen mehr auffächern, insbesondere Datenschutz. 'Datenschutzrecht' ist ein juristischer Begriff und 'Datensicherheit' ist ein informatischer Begriff. Ich glaube, Datenschutzrecht, da haben wir eine ganze Menge dazu jetzt schon gehört, sowohl in den Medien, weil die, zum Beispiel die Datenschutz-Grundverordnung ja wirksam geworden ist 2018 jetzt im Mai. Und über Datensicherheit haben wir hier mit Sicherheit ja auch eine ganze Menge schon gehört und gewusst. Der Witz daran ist, dass das alles so ein bisschen zusammengehört bei dem Thema, aber dennoch diese Bereiche, oder diese Themen, jeweils eigenen Diskurs-Regeln gehorchen. Und wie bei allem ist es so, dass die Problem- beschreibung selber auch die Lösung so bisschen vordefiniert. Das heißt, der Korridor, wo man hinschaut, was da irgendwie als sinnvolle Lösung irgendwie in Betracht kommt. Und welcher Informations- oder welcher Daten-Begriff wird da verwendet. Das ist auch eine Schlüsselfrage, die ist gar nicht so schwer, aber die muss gestellt werden. Und die muss beantwortet werden. Jetzt mal kurz als Überflug. Das Datenschutzrecht schützt also Personen. Der Anknüpfungspunkt dabei sind personenbezogene Daten. Das kennt man ja auch, weitläufig diskutiert. Und zum Beispiel die Begründung, was schützt eigentlich die Datenschutzgrundverordnung, oder was setzt sie um, wäre im juristischen, würde man sagen: Naja, die setzt halt Artikel 8 der Charta der Grundrechte der Europäischen Union um. In der Informatik würde man sagen: Okay, das leitet auf ein weiteres Terminal. 'Was ist denn Artikel 8 der Charta der Grundrechte der Europäischen Union?' Das ist so eine Art, die Verfassung der EU. Zum Beispiel als Vergleich mal mit dem deutschen Grundgesetz. Auch da ist Artikel 1: Die Würde des Menschen ist unantastbar. Sie ist zu achten und zu schützen. Und Artikel 8, das der für die DSGVO besonders relevante, ist 'Schutz personenbezogener Daten'. Das steht da einfach genauso drin. Und wenn der Schutz personenbezogener Daten ein Grundrecht ist auf europäischer Ebene, ist ja klar, dass jegliche Datenverarbeitung dann auch eine Verletzung von Grundrechten ist. Wobei die Frage da bleibt: Ja, aber warum eigentlich? Wenn man so ein bisschen vor- rechtlich diskutieren will, wenn man sagt: Wir schützen personenbezogene Daten. Warum? Ja, weil wir ein Recht auf Schutz personenbezogener Daten haben; ist es richtig, aber unbefriedigend. Aber zum Datenschutzrecht gibt es ja auf dem Kongress auch eine ganze Menge anderer Vorträge, es klang auch alle sehr interessant. Deswegen würden wir jetzt darüber nicht reden. Datensicherheit ist eine Sache, wie ich bereits angemerkt habe, die auch gerade im Chaos-Umfeld eine große Rolle spielt. Das heißt, wenn man sich anguckt was ist Datensicherheit: üblicherweise Schutzziele zur Vertraulichkeit, Integrität, Verfügbarkeit. Wenn man so ein bisschen Techie-mäßig drauf ist, würde man grob verallgemeinern: Vertraulichkeit sind die Leserechte, Integrität sind die Schreibrechte, Verfügbarkeit sind die Exekutiv-, die Ausführungsrechte. Ist jetzt ein bisschen hingebogen, aber so ungefähr kann man sich das vorstellen. Das heißt Verfügbarkeit: ob so ein System für mich funktioniert und den Service abliefert, den ich haben möchte. In der Datensicherheit geht es aber primär - also was heißt 'aber' - geht es primär um die Sicherheit von Geschäftsprozessen und von vorhandenen Daten. Das heißt, die Daten sind da, die müssen ordentlich abgesichert werden, zugreifbar bleiben, nicht verändert werden und so weiter. Seit 2008 haben Personen sogar ein Grundrecht auf die Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme. Aber auch zur Datensicherheit selber gibt es auf dem Kongress andere Vorträge. Jetzt ist die Frage: Was ist denn mit dem Datenschutz? Das heißt, wenn wir Rechte haben, auf zum Beispiel den Schutz personenbezogener Daten, guckt man in die Richtung: Wie wird denn das motiviert? Und dann kommt der Datenschutz selber ins Spiel, als sozialwissenschaftliche Diskussion, wer wird da warum eigentlich wie geschützt? Und dazu kurz ein paar Bemerkung zum gesellschaftlichen Hintergrund. Also erstens: Wir leben in einer arbeitsteiligen Gesellschaft. Das heißt, verschiedene Menschen haben verschiedene Aufgaben. Wir sind spezialisiert und ich muss nicht Socken nähen können, um mit Socken herumzulaufen, weil jemand anders das kann. Ihr kennt das Spiel. Es gibt eben Spezialisierung und niemand ist sozusagen in allem spezialisiert. Diese Arbeitsteilung hat auch Konsequenzen, wie wir nachher sehen. Es gibt diverse Akteure, die miteinander irgendwie funktional interagieren. Vielleicht menschlich interessiert es mich schon, wie es dem Bäcker oder der Bäckerin gerade geht, aber tatsächlich möchte ich da gerade Geld auf den Tisch legen und mein Brötchen kriegen morgens. Oder je nachdem, wann auch immer. Das heißt, man tritt so funktional irgendwie miteinander in Verbindung. Und in dieser Gesellschaft gibt's dann eben auch... da sind ja nicht alle Leute, die da mitspielen nicht gleich mächtig oder gleich fähig. Finanzielle Unterschiede können das sein, das können strukturelle Unterschiede sein. An dem Fall jetzt zum Beispiel mit Individuum und Organisation. Individuum ist eine Person, die hat so Hände, und kann irgendwie Dinge tun, und dann gibt es Organisationen, die aus vielen Menschen bestehen, aus Regeln, finanziellen Möglichkeiten, rechtlichen Möglichkeiten und so weiter. Und die sind natürlich nicht gleich mächtig; haben verschiedene Möglichkeiten, ihre Interessen durchzusetzen. Das heißt, sie haben verschiedene Möglichkeiten. Sie haben verschieden große Macht, um in diesem gesellschaftlichen Spiel mitzumachen. Das sind Machtasymmetrien. Max Weber sagt... kann man mit ihm sprechen: "Macht ist die Chance, in einer sozialen Beziehungen den eigenen Willen auch gegen Widerstreben durchzusetzen, gleichviel worauf diese Chance beruht." Kann man unterscheidenden in Durchsetzungskraft: also Dinge zu verursachen. Verhinderungsmacht: Dinge nicht stattfinden zu lassen, die dem eigenen Interesse widersprechen, und Definitionsmacht: Wie spricht man über bestimmte Themen. Ein bisschen Wahlcomputer, Wahlmaschinen und ihr kennt die Geschichte. Jetzt ist die Frage: Ok, das ist alles noch nicht technisch. Beim Datenschutz, was uns für den Datenschutz interessiert, ist an der Stelle, dass wir in eine allgemeine allgegenwärtige Computerisierung und Vernetzung haben. Aka. Digitalisierung wird es seit ein paar Jahren genannt, obwohl dieser Prozess seit ungefähr 50 Jahren schon läuft. Und wir haben automationsgestützte Informationsverarbeitung, insbesondere von Organisationen, also von staatlichen und von wirtschaftlichen Organisationen. Mittlerweile, oder seit einer Weile, ist es schon so, dass da eben keine individuellen Wahlmöglichkeiten mehr sind. Man kann sich entscheiden kein Handy zu haben, aber wenn man Steuern zahlt, muss man halt doch mit dem ELSTER arbeiten. Egal ob es Rente, Krankenkasse und so weiter... ihr kennt die Geschichten. Man kommt da eben auch nicht mehr raus. Es sei denn man zieht irgendwie in den Wald und eine Höhle. Aber wenn man sich dann verletzt, kann man vielleicht einen Kräutertee trinken, aber wenn der Arm ab ist, dann will man vielleicht doch ein Krankenhaus. Warum ist das relevant? Naja, diese Informationsverarbeitung, die Nutzung dieser Daten, die wird verwendet, um Entscheidungen zu produzieren. Entscheidungen produzieren heißt: Wieviel Geld kann ich abheben. Was ist die schnellste Route von A nach B. Was sind irgendwie beste Freunde, die ich vorgeschlagen bekomme. All diese Sachen, das sind ja alles Entscheidungen, wo man auch anders hätte agieren können, aber Computer says... und so weiter. Kleine Bemerkung natürlich: diese Entscheidungen werden produziert, egal ob die Datenbasis korrekt ist oder nicht. Die Ergebnisse sind da und werden dann... wenn die Karte falsch ist, landet man im Graben, zum Beispiel. Okay, jetzt ist die Frage: Naja, wir reden von Datenschutz und von Informationsverarbeitung. Daten oder Informationen, ganz kurz, wir sind noch in der Begriffsphase. Also Daten im Datenschutz meint Informationen, die Modelle eines Sachverhaltes für einen Zweck sind. Das ist jetzt erst mal ein bisschen viel auf einmal. Aber wenn ich eine Glaserei betreibe, dann interessiert mich natürlich bei einem Haus was ich in meiner Datenbank eintrage: Wie viele Fenster sind in dem Haus, wie groß sind die Fenster, welche Art von Format sind das und so weiter. Wenn ich irgendwie eine Malerei betreibe dann interessiert mich natürlich: Wie groß ist die Fläche des Hauses und so weiter. Das heißt, ich greife mir immer einen Ausschnitt aus der Realität und modelliere den auf diesen Zweck hin wofür ich es verwenden will, dann bei der Datenverarbeitung. Das heißt, es sind Modelle eines Realitäts- Ausschnitts. Für einen bestimmten Zweck. Und deswegen können wir nicht den technischen Informationsbegriff von Shannon nehmen. Also von wegen Abtastung und welche Auflösung ist da und wie, ihr kennt das so, mit 44 Kilohertz und CD und nimm doch lieber die Goldstecker und so. Das ist nicht der Punkt. Wir benutzen einen der Semiotik, der sagt, Informationen oder die Daten, aus Datenschutz, bestehen aus Syntax, Semantik, Pragmatik und Sigmatik. Syntax ist die zeichenmäßige Repräsentation, also die Nullen und Einsen. Semantik ist die Bedeutung. Pragmatik ist der Zweck, für den diese Daten erhoben worden sind. Wir erinnern uns, die Glaserei oder die Malerei. Und Sigmatik ist die betroffene Person. Das heißt, wessen Haus das ist, oder so. Als Beispiel könnte man sagen: irgendwie so ein Tupel von Nullen und Einsen, so ein Zweiertupel. Die Semantik davon: Aha das sind Geo-Koordinaten, das müsste im System hinterlegt sein, eines Mobiltelefons. Pragmatik: Der Zweck wäre die Bereitstellung ortsabhängiger Services zum Beispiel für eine Routenplanung, wo möchte ich hin, wo gibt es eine Pizza oder so. Und Sigmatik ist dann Maxi Musterfrau, weil das die Person ist, deren Mobiltelefon das ist, an der Stelle. So ist die Situation. Das ist doch erstmal nett, klingt irgendwie nützlich. Aber was ist eigentlich das Problem jetzt? Die Technik, die immer besser wird, und die Daten, die gesammelt werden, Informationen, die verarbeitet werden und anhand derer Entscheidungen getroffen werden, die wird immer besser, immer effizienter nach bestimmten Kriterien, aber sie hilft natürlich den Organisationen, die sie verwenden, ihre eigenen Interessen besser durchzusetzen. Technik soll die Welt besser machen, aber nicht für alle, sondern für die, die sie einsetzen - und zwar für die, die sie im besten Fall selber bauen können und dann ihren eigenen Vorstellungen gemäß formen. Und das kann eben auch sein, dass bei dieser Informationsverarbeitung auch Grundrechte von Personen berührt werden. Die klassische Diskussion ist immer so Fragen von Diskriminierungen oder Ungerechtigkeiten, weil die Daten falsch sind oder sowas, so Geschichten. Das heißt, wenn die Ergebnisse, die da produziert werden - im schlimmsten Falle auch vollautomatisch -, dass sie Rechte von Menschen berühren und die an der Stelle erst mal, weil sie ja Gegenstand - der Automat sagt halt: "Du kriegst kein Geld" oder "in diesem Monat ist alles schon aufgebraucht", dagegen kann man jetzt erst mal nichts tun. Das heißt, da ist sozusagen eine direkte Konsequenz dieser Datenverarbeitung auf Menschen, auf Menschengruppen oder auf ganze Gesellschaften. Allerdings muss man auch sagen, diese Datenverarbeitung ist wünschenswert, weil sie uns auch was bringt. Also es ist nicht so, dass DatenschützerInnen selber am liebsten zurück in die besagte Höhle wollen, wo das Feuer komplett verständlich ist. Nein, wir wollen diese informations- technischen Systeme, die uns das Leben erleichtern, die wollen wir alle haben, aber die Effekte, die negativen, die es auf Menschen hat und auf Gesellschaften, die wollen wir minimieren. Und da hilft es natürlich, wenn man mit Technikerinnen und Technikern redet. Ja klar, man kann Systeme auf verschiedene Arten bauen, man muss halt nur vorher sagen, was man haben will. Und jetzt, wenn man die Probleme mal so konkretisiert, würde man sagen: 1. Datenverarbeitung ist wünschenswert, aber es gibt innerorganisatorische Datenverarbeitung oder Informationsverarbeitung, das heißt, ich kann ja selber überlegen, was ich vielleicht einer Organisation gebe an Daten und was nicht, aber was die dann intern damit machen, diese Frage, für welchen Zweck sie sie verwenden, wem sie sie weitergeben und so weiter, das kann ich selber nicht mehr beeinflussen. In dem Moment sind die Daten außerhalb meiner Hand, sind nicht mehr in meiner Kontrolle. Und 2. gibt es natürlich die Macht-Asymmetrien. Das heißt, eine Firma, die Unmengen von Daten über Individuen hat, kann die natürlich analysieren und daraus Erkenntnisse generieren, die ich aus meinen eigenen Daten gar nicht ziehen kann. Das heißt also, alleine die schiere Macht, der schierer Datenunterschied, erzeugt andere Möglichkeiten auf den verschiedenen Seiten, das heißt, die Player sind alle nicht gleich stark und das hängt auch, insbesondere, wenn wir über Datenschutz reden, von der Menge an Daten ab, die vorhanden sind. Das heißt, wie ich es eben beschrieben habe, nun als Zitat nochmal von Adalbert Podlech: "Informationsvorgänge dürfen keine sozialschädlichen Folgen herbeiführen." Das ist so die Formulierung. Oder man kann es auch mit Martin Rost sagen: "Die Handlungsalternativen des, in diesen Interaktionen Schwächeren, die sollen aufrechterhalten werden." Es soll nicht irgendwann so sein, dass die Organisationen komplett sagen: "Das ist das Richtige für dich und deswegen gehst du diesen Weg lang. Und ihr kennt das ja, wenn in irgendwelchen Softwaren das Menü halt nicht sagt "exportieren", dann geht's halt nicht. Das heißt also, wenn wir das möchten, muss eben Datenverarbeitung unter Bedingungen gestellt werden. Man muss sagen, wenn die Gefahr für so eine Einschränkung von Grundrechten und so weiter besteht, dann müssen wir irgendwie Bedingungen für die Datenverarbeitung formulieren, dass das minimiert wird oder dass den Risiken begegnet wird oder dass sie nicht stattfinden, dass man dieses Thema einfach anders baut, dass sie das nicht tun. Innerhalb sozusagen, man würde es jetzt als Fachtermini nennen: eine Konditionierung der Macht-Asymmetrie. Das heißt, Konditionen, also die Bedingung oder Voraussetzung stellen, unter denen dann diese Datenverarbeitung stattfindet. Eben, warum muss es jetzt irgendwie konditioniert werden? Weil ich als Außenstehender natürlich nicht die Computersysteme von Amazon und wie sie alle heißen, ich kann die ja nicht umprogrammieren, ich kann halt die Knöpfe verwenden, die sie mir geben. Nichts Anderes. Oder ich kann sagen, ich benutze das alles nicht, aber das ist ne, so auf dieser schwarz-weiß Ebene sind wir ja nicht, von der Diskussion. Okay. Und die Frage ist immer so, das Schutzgut dabei ist eben, also Datenschutz schützt nicht Daten, klar, sondern Individuen, also die Grundrechte und Grundfreiheiten, wenn man es so formulieren möchte, und die Gesellschaft insgesamt, aber wenn man sich das so anschaut, finden sich diese Individuen, Grundrechte und Grundfreiheiten, die finden sich wieder. Aber diese gesamtgesellschaftlichen Fragen, da muss man sehr stark danach suchen. Man kann es konstruieren, aber so explizit ist es da nicht drin zu finden, das hat rechtsdogmatische Gründe. Aber das ist nur wieder eine Erinnerung daran, dass sich die Fragen des Datenschutzes oder die Antworten des Datenschutzes und des Datenschutzrechts nicht deckungsgleich sind. Das eine ist immer ein Ergebnis aus dem anderen, im besten Falle, aber manchmal auch nicht. Man würde auch, um das zu erklären, warum Datenschutz sagen, na ja, wenn wir uns Märkte angucken, dann gibt's eben Kartellämter, und die sagen, wenn bestimmte Akteure zu stark werden dann muss man die begrenzen und die anderen ein bisschen stützen, damit der Markt als Ganzes funktioniert und genauso kann man sich es auch beim Datenschutz vorstellen. Wir haben die Informationsgesellschaft und da gibt es Informationsmacht verschiedener Akteure. Da brauchen wir irgendwas, in dem Fall zum Beispiel Datenschutzrecht, die diesen Ausgleich bringt. Nicht das einzelne Datum zählt, sondern die Anhäufung selber die dann ein Ergebnis produziert. Ihr kennt bestimmt den Spruch: "Bei Wurst und Gesetzen möchte man nicht dabei sein wenn sie gemacht werden." Das ist natürlich immer die Frage, was die Datenschutz- Diskussion bereits seit den 60er, 70er Jahren so produziert hat, ist natürlich, wenn es dann zu Recht wird, immer Gegenstand von Aushandlung, von politischen Verhandlungen, "wir nehmen das mit rein und das nicht mit rein" und so weiter. Deswegen muss man immer aufpassen, dass man die Datenschutz-Diskussion nicht oder nicht primär als Datenschutzrechts- Diskussion führt, weil man sich dann sehr eingeengt auf das was einmal durch die Politik gegangen ist. So jetzt kommen wir mal ein bisschen zu einer Theorie, um die Sachen zusammenzubinden, um sie nochmal in einen größeren Kontext einzubauen. Wir gucken uns jetzt mal den Informationsfluss an: Am Anfang jetzt vielleicht ein bisschen verwirrend, aber wir haben hier links den Informationsfluss von starken Akteuren zu schwachen Akteuren - wir haben darunter von schwachen Akteuren zu starken Akteuren und darüber die beiden Seiten sind eben den Informationsfluss zu fördern oder diesen Informationsfluss zu blockieren. Das heißt, wenn wir uns die erste Zeile anschauen: Wir wollen den Informationsfluss vom starken zum schwachen Akteur, zum Beispiel von der Organisation zum Individuum. Das wollen wir fördern, weil der Starke dadurch, dass er Informationen preisgeben muss - über sich, über seine Verarbeitung und so weiter, in dieser Informationsasymmetrie, der Machtasymmetrie schwächt. Und weil die einzelne Person damit Informationen erlangt, was damit passiert, wird die Person gestärkt. Das nennen wir Transparenz, das nennen wir Informationsfreiheit. Das zu blockieren, das heißt, dass die großen Organisationen nicht sagen müssen, was sie gerade damit tun, welche Daten sie haben, das nennt sich Arkanpraxis. Für die RollenspielerInnen unter euch, Arkan - die Magie, Arkan heißt einfach nur geheim. Es ist unklar was da was da getan wird. Anders herum ist der Informationsfluss von schwachen Akteuren zu starken Akteuren. Wenn wir den fördern, dann nennt man das Verdatung. Ist jetzt nicht der Fachbegriff, aber der, den man auch so kennt. Also die Verdatung, überall Sensoren, alle möglichen Handlungen, die im Digitalen stattfinden werden protokolliert und so weiter. Und wenn man diesen Informationsfluss aber blockiert und den unter Bedingungen stellt dann sind wir beim Datenschutz. Das ist die Struktur. Wie ihr jetzt erkennt sozusagen von rechts oben nach links unten. Also Arkanpraxis und Verdatung, das ist das was wir in totalitären Staaten und so weiter sehen. Und das ist auch das, was wir sehen wenn wir Diskussionen mit großen kommerziellen Organisationen führen. Nein, wir wollen nicht erzählen was wir machen, wir wollen aber alles über dich wissen. Es ist immer die Richtung und die andere Seite, das ist sozusagen die rote Diagonale ist genau das, was den Starken noch stärker macht und den Schwachen noch weiter schwächt. Die andere Richtung, die Grüne, ist genau das, was den Starken schwächt und den Schwachen stärkt. Nämlich Transparenz und Informationsfreiheit bezüglich der Starken und den Datenschutz bezüglich der Schwachen. An dieser Stelle ein kleines Dankeschön zum Beispiel an OKF und Frag den Staat und so weiter. Oder beim Datenschutz andere Organisationen wo ich zum Beispiel auch aktiv bin. Das heißt man merkt das ist überhaupt gar kein Widerspruch an der Stelle. Die Frage ist nur wer muss transparent sein und wer soll nichts von sich preisgeben oder so wenig wie möglich von sich preisgeben. Deswegen erklärt sich auch das Mysterium für manche warum wir zum Beispiel einen Bundesbeauftragten für den Datenschutz und die Informationsfreiheit haben, warum das zusammen gehört, genau deswegen gehört das zusammen. Warum gibt's aber auch Meinungen für weniger Datenschutz. Na ja klar Datenschutz kostet Ressourcen: finanziell, personell, konzeptionell. Man muss das Thema anders planen, anders umbauen und so weiter. Aber auch verhindert der Datenschutz Informationsnutzung, Das ist der Zweck der Sache, trotzdem ist es ein Argument. Das heißt, bestimmte Geschäftsmodelle gehen nicht mehr und so weiter. Für staatliche Aufgaben werden Daten benötigt und wenn die Daten nicht fließen können, dann werden bestimmte staatlichen Aufgaben schwieriger oder auch wirtschaftliche Tätigkeiten werden erschwert. Das ist zwar richtig, aber es ist kein neues Problem wenn man über Gesellschaft nachdenkt. Gleiches gilt natürlich für Hygieneregeln, Sicherheitsvorschriften, Kinderarbeitsverbot, Arbeitnehmerrechte, Umweltstandards und so weiter und so fort. Die kosten auch alle, aber wir haben uns entschieden: Das sind alles Maßnahmen, wo es darum geht die Schwächeren, die sich schlechter wehren können, die vielleicht auch nicht das Wissen haben, irgendwie davor zu schützen, dass da jemand durchagiert und die eigenen Interessen schamlos durchsetzt. Wem's aufgefallen ist, ich hab jetzt noch nicht einmal den Begriff Privatsphäre verwendet. Und das ist ganz bewusst genau der Punkt. Weil Privatsphäre ist immer so eine Idee: Ich alleine in meinem Schlafzimmer. Der Soziologe Paul Müller nennt das: "Schneckenhaus-Privatsphäre". Seiner Ansicht nach ist das nur in vorindustriellen Lebensweisen möglich, wo man tatsächlich sagte: Ich lebe auf dem Gut hier, und die Leute ein paar Kilometer weiter, die kennen mich noch nicht einmal. Vielleicht ist das sozusagen diese Art von Anonymität, vielleicht könnte man da nennen. Aber jetzt tatsächlich, was wir eigentlich wollen, ist, wenn man sagt, wir brauchen irgendwie Girokonten und so weiter all diese Sachen. Es geht nicht darum, dass niemand Daten hat, sondern dass die Begrenztheit des Wissens über Individuen aufrechterhalten wird. Dass es nirgendwo eine Komplett- Ansicht gibt oder dass bestimmte Akteure immer nur genau das wissen, was sie eigentlich wissen sollten und man kann natürlich diskutieren wie viel das denn sein soll. Wilhelm Steinmüller, einer der Ur-Ur-Urgestein Müller, könnte man sagen, des Datenschutzdiskurses formulierte das so: "Es geht nicht um Privatsphäre, es geht darum, eine Technik sozial beherrschbar zu machen." Und welche Grundrechte werden berührt von dieser Datenverarbeitung? Nicht nur Grundrechte auf Privatleben, was zum Beispiel Artikel 7 der Europäischen Grundrechtecharta ist, sondern eigentlich quasi alle. Wenn ihr dran überlegt, so was wie Meinungsfreiheit Informationsfreiheit, so Fragen wie Demonstrationsfreiheit, Würde des Menschen, das könnte man alles durchbuchstabieren. Eigentlich könnte man sagen: Der Datenschutz ist so eine Art digitale Dimension aller Grundrechte. Und das jetzt auf Privatsphäre zu reduzieren, da ist was Richtiges dran, aber es verengt den Blick doch radikal, worum es eigentlich geht. So, wie gehen wir damit jetzt irgendwie um? Operationalisierung: Wie können wir diese Ideen mit stark und schwach, wie können wir da irgendwie Anforderungen daraus bauen? Wie können wir da Dimensionen daraus kristallisieren? Das haben diverse Menschen getan und sind zu einem Ergebnis gekommen, zu sagen, wenn es um Datenschutz geht, dann müssen informationsverarbeitende Systeme bestimmte Schutzziele verfolgen. Und die Schutzziele sind Nichtverkettbarkeit, Vertraulichkeit, Intervenierbarkeit, Transparenz, Verfügbarkeit und Integrität. Das ist sozusagen: Diese Ziele, auf diese Ziele hin kann man alle technischen Geräte oder alle technischen Systeme oder informationstechnischen Systeme hin analysieren und kann sehen, inwiefern sie diese Ziele umsetzen. Weil diese Ziele genau die Werte, die wir eben besprochen haben, realisieren, kann man die analysieren. Nichtverkettbarkeit heißt, bestimmte Informationen, die erhoben worden sind für verschiedenste Zwecke, die eben nicht zu verbinden, Informationen nicht einfach so irgendwo kaufen zu können. Wir reden jetzt über Datenschutz, nicht Datenschutzrecht. Nicht einfach so kaufen zu können und die zu verbinden, zum Beispiel nicht Daten zu erheben, die für den eigentlichen Geschäftszweck oder eigentliche Handlungen gar nicht notwendig sind, das zu beschränken an der Stelle. Integrität, die Unversehrtheit der Daten, das heißt, dass sie nicht verändert werden, dass ich mich darauf verlassen kann, die Daten, die ich übermittle oder die erhoben werden, dass sie tatsächlich so bleiben und an der Stelle zum Beispiel korrekt bleiben. Verfügbarkeit heißt an der Stelle, dass ich die Systeme eben nutzen kann. Wenn ich mich darauf verlasse dass ich diese Routenplanung habe und die wollen von mir irgendwie Geld haben dafür, dass ich das nutzen kann usw., dann will ich natürlich auch, dass es funktioniert. Weil ansonsten ist es ja ein schlechter Handel. Transparenz bezieht sich darauf, nicht nur welche Daten vorliegen, sondern auch wie funktionieren eigentlich die Prozesse? Was sind denn die Zwecke der Verarbeitung? Wie funktioniert denn die ganze Innerei? Was passiert da? Was sind eigentlich die Nebenkonsequenzen? Es gibt ja einmal die intendierten Resultate und Konsequenzen und dann gibt es eben auch die Unintendierten. Und genau das muss irgendwie für mich einsehbar sein. Intervenierbarkeit ist ein Schutzziel, das sagt eben: Na ja, also wenn Daten eben nicht korrekt sind und das System rechnet weiter, egal ob es meine Kredite sind oder ob ich jetzt irgendwie einen Tisch bekomme oder ob ich ein Haus bekomme oder so. Es muss natürlich auch möglich sein, dass dieses System, wenn man Fehler in dem System erkennt, zu sagen: Stopp, ich möchte, dass sich das ändert. Ich möchte, dass die Daten zum Beispiel berichtigt werden oder aber ich möchte, wenn ich feststelle, dass dieses System diskriminierend ist. Ich möchte, dass das System so gebaut ist, dass ich irgendwas tun kann als Betroffener, dass das aufhört. Es reicht ja nicht zu sagen: Ja, also, wir sind total transparent. Aber dadurch, dass wir die Stärkeren sind, kannst du einfach nichts tun. Man muss ja irgendwo sozusagen den Notausschalter ist jetzt übertrieben, natürlich. Und als letzten Punkt, die Vertraulichkeit. Das heißt, die Informationen, die ich denen, die da für mich irgendwie Service anbieten, die ich gebe, da möchte ich auch sichergehen, dass sie nirgendwo anders hingehen, dass die genau da bleiben und genau dafür verwendet werden. Aber Vertraulichkeit ist, dass sie genau da nur bleiben und niemand Unbefugtes darauf Zugriff hat. Jetzt kann man sagen: Na, interessant, Nichtverkettbarkeit, Transparenz und Intervenierbarkeit, da sagt man so, das hat den Primat des Datenschutzes und die Aufmerksamen unter euch merken: Ach, interessant die anderen drei, das ist das Primat der Datensicherheit. Das heißt, wenn man aus dieser Sicht auf Datenschutz blickt, erkennt man das, dass nicht Datenschutz so ein Unterteil von Datensicherheit ist, sondern aus dieser Sicht genau andersrum. Wir erinnern uns, am Anfang, Datensicherheit, da ging es darum: Wie können denn die Daten, die da sind ordentlich abgesichert werden und gegen die Hacker und Angriffsszenarien und so weiter. Ja klar, aber der Datenschutz fragt: Ja, sollten diese Daten denn überhaupt da sein? Man könnte sich so ein Zwiegespräch vorstellen, wo die Datenschützerin sagt: Na ja, aber das Datum ist nicht korrekt, was da gespeichert ist. Und die IT- Sicherheitsabteilung: Ja ja aber das ist richtig gut beschützt. Da merkt man, das ist ein Konflikt, das ist nicht das Gleiche. Genau, das sind so die Schutzziele und die kann man tatsächlich verwenden. Und es ist auch nicht parallel, sondern diese Schutzziele kann man sehen, das ist ein Beitrag von 2013 schon, dass diese Schutzziele des Datenschutzes tatsächlich auch mit dem Recht, was gesprochen worden ist, vereinbar sind. Das heißt, es ist nicht komplett alles umgesetzt, aber es ist eben auch kein Widerspruch. Wir erinnern uns hier wieder, Datenschutz und Datenschutzrecht ist eben nicht das Gleiche. Okay, das war jetzt so der Durchritt erstmal für die Grundlagen an der Stelle und jetzt kommen wir zu den Nicht-Lösungen. Das sind quasi so ein paar Kommentare, die ich mir jetzt so noch erlaube. Okay, also erstmals: Der Selbstdatenschutz, ganz beliebt insbesondere in Verbindung mit der Blockchain. Okay, das spare ich mir jetzt. Also wenn das Datenschutz-Konzept ernst genommen werden soll: Wir überlegen uns, schwache, starke Akteure, Möglichkeiten transparent, und so weiter. Wie soll denn Selbstdatenschutz da aussehen? Wie kann mein Selbstdatenschutz aussehen, wenn ich eine innerorganisationale Datenverarbeitung habe? Wie kann ich denn bei Facebook selbst Datenschutz machen? Also außer, wenn ich da bewaffnet reingehe, aber das ist jetzt nicht wirklich eine skalierende Lösung, neben den ganzen anderen Problemen. Bin gegen Gewalt übrigens. Oder die Erinnerung: Warum haben wir Datenschutz? Datenschutz haben wir eben nicht weil es eine Rechts-Vor-Links-Regel ist im Straßenverkehr, wo die beiden gleich stark sind. Nein, wir haben Datenschutz genau deswegen, weil sie eben nicht gleich stark sind. Da jetzt den Schwachen zu sagen: Du kannst doch selbst Datenschutz machen. Wenn man wirklich verstanden hat, wie Datenschutz funktioniert, ist es zynisch, das vorzuschlagen. Das ist genau dem Verprügelten zu sagen: Ja, du musst dich ja nur wehren. Es gibt überhaupt keinen Sinn. Da kann man sich ja vorstellen, in den Situationen, wann braucht man oder wann ist Datenschutz genau notwendig wenn es um Kredit- oder Grenz- oder Einkaufs- oder Durchsuchungssituationen geht? Polizeiliche Identitätsfeststellung oder an der Grenze: Geben sie Daten raus und so weiter oder nicht. Das sind genau die Fälle, da kann man sich überlegen, wie man irgendwie Flüchtenden an der Grenze sagt: Na ja, du kannst ja Selbstdatenschutz machen, du musst dein Handy nicht rausrücken. Das ist ein Riesenproblem. Genau darum gehts. Starke und schwache Akteure, das irgendwie anzugreifen und eben nicht zu sagen: Ja, mach doch selber. Und das heißt, da muss man dann auch sagen, danke eben auch an Jörg Pohle für diesen Hinweis, Facebook hat gar keine Datenschutzeinstellungen. Facebook hat Einstellungen. Facebook, ich sage jetzt mal $SocialNetwork, da gibt's Einstellungen, welche anderen User Daten sehen, und welche anderen User da irgendwie interagieren können. Es gibt aber keine Einstellungen, was Facebook damit macht. Man kann da manchmal so ein bisschen dran rum regeln, aber die Einstellung, wie lange Facebook irgendwelche Sachen speichern soll oder nicht, die gibt's eben nicht oder welche Verknüpfungen es da geben soll. Wenn man Datenschutz quasi ernst nimmt, ist das so ein Punkt. Und natürlich, das ist ja auch irgendwie bei Mobiltelefonen und so weiter, da gibts dann immer Datenschutzeinstellungen. Es fühlt sich irgendwie so gut an, aber das ist gar nicht Datenschutz, was es da ist. Wenn irgendwie bei bestimmten Mobiltelefonen von Google da steht, da halt Datenschutz: Wollen Sie ein Backup machen? Ja, das ist aber Datensicherheit, das ist nicht Datenschutz. Also es ist was anderes. Okay, dann gucken wir uns mal Dateneigentum oder Datensouveränität an. Naja, ein Eigentum, also erstmal Begriffskritik: Eigentum selber, das Konzept Eigentum ist ein Exklusivrecht auf Sachen. Das heißt also, Eigentum: Entweder ich habe eine bewegliche Sache, ein Auto, ein Fahrrad oder sonst was oder unbewegliche Sachen wie Immobilien. Dann heißt das, ich kann darüber exklusiv verfügen. Und genau darauf ist die gesamte Rechtsordnung auch ausgelegt. Wenn ich sage Daten sind Eigentum, dann merkt man schon an dem Konzept: Okay, wenn es Eigentum ist, dann kann es auch gestohlen werden. Da kann man sich überlegen. Datendiebstahl, sind die Daten jetzt weg? Nee, sie sind ja noch da. Okay, was ist denn jetzt das Problem? Das Problem bei Diebstahl ist ja nicht, dass man danach zwei Fahrräder hat, sondern, dass man keins mehr hat. Vereinzeltes Lachen Also, es ist eine Frage wie groß der eigene Keller ist. Aber ihr merkt an der Stelle, das ist schon vom Konzept her merkwürdig. Aber der nächste Punkt ist: Okay, Dateneigentum, dann haben wir das alles, und unser Dateneigentum und wir können natürlich unsere Daten dann eben verkaufen und kriegen auch davon was ab, von dem schönen Kuchen. Jetzt kann man natürlich gleich eine große Diskussion anzureißen, ich will da nicht einsteigen. Ist es tatsächlich die 3 Euro pro Monat an alle Facebook-Userinnen und -User wert, dafür Wahlmanipulationen ganzer Gesellschaften und Diskriminierung an unserer Gesellschaft zu ermöglichen? Was ist denn das für ein komischer Handel an der Stelle? Man merkt da, da haut was nicht hin und mehr ist es ja nicht. Dieses Geld entsteht dadurch, dass es so viele User gibt, weil es so super gut skaliert. Das heißt, die einzelne Person hätte genau von diesen 3 und meintewegen mögen es auch 30 Euro sein tatsächlich in diesem Vergleich gar nichts. Also offensichtlich haben wir hier ein größeres Problem. Man könnte auch wieder sagen: "Ach interessant, Dateneigentum, das unterstützt wieder nur die starken Akteure, die werden bevorzugt". Tatsächlich ist es wieder ein Freikaufen, wenn man sagt, ich hab nicht die Notwendigkeit meine Daten zu verkaufen, ich kann die bei mir behalten. Dateneigentum ist doch schön, jeder ist selbst irgendwie verantwortlich, die Souveränität des Einzelnen oder der einzelnen Person. Aber wie gesagt, das ist freikaufen: Wenn ich das Geld habe dann bin ich drauf nicht angewiesen, ansonsten musste ich mich quasi ausliefern an der Stelle. Klassisches Beispiel bei der Autodatenübermittlung, wenn ich mich recht erinnere, bei Mercedes ab irgendeiner Klasse gehen dann keine Daten mehr raus, weiter oben. Weil klar ist: Die Käuferinnen und Käufer weiter oben, die mögen es gerne wenn die Daten - was im Auto passiert bleibt auch im Auto. So, aber darunter halt nicht. Oder man kann sich auch überlegen an der Stelle: Smart- TV-Daten, inwiefern da so eine Datensouveränität vorherrscht, wenn man irgendwie einem alleinerziehenden Elternteil sagt: "Ja, du bist total datensouverän, du kaufst dir hier einen Fernseher irgendwie für 500 Euro, oder 250, wenn du alle Daten rausleitest. Kann man sich ja überlegen, wie datensouverän dann eine Person agiert. Nächste Frage: Wenn Daten Eigentum sind, wem gehören denn Kommunikationsdaten oder Bilddaten, wo mehrere Leute dran beteiligt sind, und so weiter? Hinten und vorne Probleme, Probleme. Das ist so ein bisschen unklar, welches Problem da wie gelöst wird. Es ist natürlich wieder die Abwälzung auf die einzelne Person. Man könnte auch genauso sagen, "Hygienesouveränität" könnte man ja auch sagen. Man geht halt irgendwie in eine Küche und wir haben halt keine Hygieneregeln, du kennst dich doch bestimmt aus, gehst dann erst einmal irgendwie hinten rein, ob die Küche dir sauber genug ist oder nicht. Du weißt gar nicht, wonach du gucken sollst? Naja, Pech gehabt. Das ist die Art von Souveränität, die da proklamiert wird bei Dateneigentum und Datensouveränität. Das ist genau wieder die Souveränität des Stärkeren. Okay, dann kommen wir noch, als Punkt, verbunden mit der Datensouveränität: Ich habe es dann mal Einwilligungsfetisch genannt. Das ist immer so ein Rückgriff auf das Grundrecht auf informationelle Selbstbestimmung, was ich total großartig finde, aber es reicht eben nicht aus. Warum reicht das nicht aus? Naja, Einwilligung heißt, alle mögliche Datenverarbeitung, da werde ich vorher gefragt, ob sozusagen meine Daten verarbeitet werden dürfen für bestimmte Zwecke, und jetzt ist die Frage: Was ist denn das Problem an so einer Einwilligungsfrage? Erstens, da gibt es zwei Möglichkeiten: Entweder es gibt eine Informationsasymmetrie oder eine Machtasymmetrie, wo man das Problem sieht. Informationsasymmetrie heißt: Ich habe da eine Einwilligung, die ich geben muss, und ich habe daneben 150 Seiten AGB, die ich jetzt lesen muss, um dann irgendwie ordentlich einzuwilligen. Da sagen natürliche Organisationen, insbesondere Konzerne: "Ja, ist doch super, und leider auch in der DSGVO, dann machen wir irgendwelche Symbole, die das anzeigen, wo es dann einfacher ist für die Personen, das irgendwie lesen zu können und das verstehen zu können. Dann können wir vielleicht einfache Sprache machen, und, im Endeffekt, wir versuchen es ganz ganz ganz ganz dolle, und wenn alle Organisationen des Planeten es ganz dolle versuchen und die Leute es immer noch nicht verstehen, dann sind die Leute... also jedenfalls, wir haben uns ganz doll bemüht. Das heißt, dass der Druck, oder der Handlungsdruck, wenn man das Problem der Informationsasymmetrie sieht, liegt wieder bei der einzelnen Person. Die trägt wieder die Last des "Sich-Ordentlich- Informieren-Müssens". Wenn man allerdings sagt "Naja, das ist eine Machtasymmetrie", was ich vorhin gesagt habe bei der Datensouveränität, wann kann man zustimmen, wie sind eigentlich die, was ich gesagt habe Netzwerkeffekte? Welche Probleme entstehen denn da auch für andere Menschen, wenn ich sage, ich habe die Google AGB für Google Mail verstanden und ich habe den zugestimmt, dann habe ich natürlich auch für alle anderen, die mir jemals danach eine Mail schreiben wollen auch noch mit zugestimmt. Das heißt, es ist gar kein Informationsproblem, das ich nicht verstanden hätte, was irgendwie in den AGB drin stand, sondern das liegt in der Natur der Sache der Vernetzung, dass ich das für alle anderen mit entschieden habe. Oder aber wenn es halt beim Elternabend heißt "Unsere Facebook-Gruppe hat sich das und das gedacht", und dann hat eine Person kein Facebook , oder so weiter. So ganz viele Fragen, soziale Rahmenbedingungen, genauso finanzielle Abhängigkeiten. Man kann ja eben sagen, ja diesen Dienst, bei der Souveränitätsfrage, ja, "du kannst ja gerne diesen Service, du kannst ja einwilligen oder aber es kostet was und dann nehmen wir weniger Daten". Man merkt, wenn man es auf diese Machtasymmetrie stellt, auf einmal ist es nicht so einfach nur unsere AGB besser schreiben, sondern eigentlich brauchen wir harte obere Schranken, das heißt, aka. Regulierung, das heißt bestimmte Informationsnutzung darf einfach nicht möglich sein. Wie gesagt, wir haben es aktuell mit der Manipulation ganzer Gesellschaften zu tun, auch Gewaltverbrechen die aufgrund von, und so weiter. Irgendwo muss man da fragen, offensichtlich liegt's nicht daran, dass da irgendwie die AGB nicht gut lesbar sind. Ok, dann, Zielgerade, langsam die Algorithmenethik, nur kurz angeschnitten. Ich bin ja noch länger hier. Algorithmenethik, ja, das ist so eine Mischung, Algorithmen, die ethisch sein können oder nicht ethisch sein können. Also erstmals, Algorithmen sind selber ja keine Akteure. Organisationen sind Akteure und die wenden Algorithmen an. Das heißt man kann natürlich genauso bei 'ner Algorithmenethik fragen, was ist denn die Zementethik? Wie verwendet man Zement? Die Frage muss man dann überall stellen, weil die Akteure natürlich genau wissen, welche Algorithmen sie verwenden und welche nicht. Sie haben nämlich Zwecke, wenn das, was Ihre Interessen sind, davon unterstützt wird, dann werden sie eingesetzt, und deswegen macht man ein A/B-Testing, wenn es die Zwecke nicht unterstützt, wird etwas anderes verwendet. Und wenn man dann sagt, na ja, das ist doch eine ethische Frage, naja das ist nicht wirklich eine ethische Frage, es ist eine Verantwortungsfrage, na klar, aber Ethik ist nicht das ganz Richtige. Wenn man sagt, ja, aber so Algorithmen, die sind alle so kompliziert, und wir verstehen es vielleicht gar nicht mehr, bei irgendwie künstlicher Intelligenz und so weiter, kann man sich ja überlegen, wie es beim Hundeverhalten ist. Die Hundehalterin oder Hundehalter steht natürlich dafür gerade, was der Hund tut, egal, ob der jetzt, aus welchen Gründen das getan worden ist. Irgendwer muss es ja, bei irgendwem muss ja die Verantwortung sozusagen liegen. Und die Algorithmen setzen also keine Zwecke, sondern sie sind Mittel, um Zwecke umzusetzen, das heißt wenn man überhaupt über irgendwas spricht, dann muss man irgendwie über Unternehmensethik reden, und wie erfolgreich sowas ist, kennen wir, glaube ich, seit Anbeginn des Kapitalismus. Okay. Also die konkrete Frage wäre, anstatt über Algorithmen-Ethik zu sprechen, wäre zu sagen, wir haben doch gerade etwas über Schutzziele gelernt. Können wir denn nicht einfach diese Schutzziele auf alle möglichen Informationsverarbeitung-Systeme anwenden? Ja, natürlich können wir das und es gibt auch sehr viel, also nicht sehr viel, aber es gibt eine Menge gute Forschung dazu, z.B. Unabhängiges Landesdatenschutzzentrum Schleswig-Holstein und so weiter. Aber komischerweise sind da die Ergebnisse ja, "das muss reguliert werden", "das müssen wir einzäunen", und so weiter. Aber das schlägt man immer so ungern den Konzernen vor, das ist immer so, das ist ein bisschen problematisch an der Stelle. Das heißt, man kann da viel drüber nachdenken über maschinen-lesbare Policies irgendwie, sozusagen KI-KI- Prüfsysteme, und so weiter. Aber das Problem dabei ist, dass die Ethik so folgenlos und so schön sanktionslos bleibt. Eine Ethik ist das, was man so tut. Das wäre so ein Thema "es wäre schön, wenn". Und tatsächlich, wenn wir uns sozusagen unsere Welt so angucken, die verdatete Welt ist eigentlich, dieses "wäre schön, wenn" ist schon lange darüber hinaus. Okay, das heißt also, die Ethik ist schon in Ordnung und der Ethik-Diskurs ja, aber die Umsetzung des Rechts selber, die hängt hinterher. Und das ist so ein Punkt. Also die Situation ist, ich habe es mal ein bisschen provokant geschrieben, die Massen-Manipulation, -Überwachung und -Unterdrückung ist sozusagen der Punkt. Okay, das überspringen wir mal. Also, wen es interessiert, z. B. auch Ben Wagner hat dazu auch neulich geschrieben, ich pack es einfach in die Folien an der Stelle, also es bleibt da drin: Inwiefern Ethik die neue Selbstregulierung ist. Unternehmen sagen: "Ja, bitte keine Regulierung, wir verhalten uns ethisch und wir haben Ethik- Kodizes" und hinten und vorne und so weiter. Und wenn man sich die letzten Facebook-Veröffentlichungen z. B. anschaut, wer sagt, mit ethischen Diskursen sollen die Unternehmen nochmal doller darüber nachdenken, was sie tun und was die Konsequenzen sind, dann der Person empfehle ich tatsächlich sehr stark, diese Veröffentlichung der internen E-Mails jetzt mal anzuschauen, die wissen ganz genau, was sie tun, das ist, also das ist, da kann man nicht drüber reden, da muss man einfach sagen, das ist ein Interessenskonflikt und unsere Werte sind so und deswegen machen wir das halt. Okay, dann kommen wir zum Fazit. Also 1. Datenschutz zwingt Organisationen dazu, bei der Gestaltung ihrer Datenverarbeitung die Interessen der Betroffenen zu beachten. Das heißt, durch Datenschutz sollen sie Dinge tun, die sie von sich aus nie tun würden, wir erinnern uns: Hygieneregeln, Sicherheitsvorkehrungen und so weiter, das würden sie von sich aus jetzt erst einmal nicht wollen, weil die Marktlogik eine andere ist und so weiter. Aber mit Datenschutz bringt man eben dazu, Löschfristen und so weiter, die DSGVO könnt ihr euch angucken. Dann auch als Betreiber solcher Systeme muss man sich immer vor Augen halten, die Rechte der Betroffenen, so nervig sie vielleicht sein mögen, wenn man selber AnbieterIn ist, sind immer die Pflichten der Verantwortlichen. Das heißt, das ist ein Interessenkonflikt, wenn man sagt, ich möchte das alles nicht dokumentieren und so weiter, dann heißt es, mir sind die Interessen und die Rechte der Anderen davon egal, und das sollte nicht so sein. Dann, individuelle Privatsphäre, das habe ich schon gesagt. Dann als letzten Punkt, Fokus auf personenbezogene Daten ist offensichtlich problematisch, man kann Leute auch mit nicht-personenbezogenen Daten diskriminieren und es gibt aber auch Nutzungen von personenbezogenen Daten, die unproblematisch sind. Was man bräuchte, ist eine Analyse von Datenverarbeitung, die einfach schaut, Datenverarbeitung, egal welche Daten die verwenden, da verwendet werden. Was sind die Konsequenzen für die Betroffenen und die Einwilligung ist weder hinreichend für individuelle und noch für gesellschaftliche Schutzfunktionen: da müssen wir tatsächlich über diese harten Grenzen nachdenken, ansonsten kommen wir da nicht weiter. Und als allerletzten Punkt kann man sagen, die Techis unter uns sagen ja immer Alice und Bob, die reden miteinander und dann gibt es Malary, die greift an und beim Datenschutz muss man immer sagen, Achtung, Angreifer! Angreifer ist nicht Malary, Angreifer ist Bob, nämlich die andere Seite, die die Daten kriegt, was sie damit tut. Okay, dankeschön. Applaus Herald: Ja, danke Rainer für deinen interessanten Vortrag. Wir haben zwei Mikrofone, eins auf der Seite in der Mitte des Saals und eins im Mittelgang: Nr. 1 und Nr. 2. Wenn ihr Fragen stellen möchtet, dann könnt ihr euch an diesen Mikrofonen aufstellen und eine Reihe bilden oder zwei Reihen bilden. Wenn ihr jetzt gehen müsst, tut das bitte leise und auf jeden Fall nicht störend. Und ja, dann würde ich mal sagen: Mikrofon 2. Frage: Vielen Dank für den interessanten Vortrag. Wie sieht es aus, wenn wir plötzlich andere Machtverhältnisse haben? Das heißt, wir haben Peer-to-Peer-Systeme. Da haben wir auf der einen Seite dann alle auf der gleichen Ebene oder auch nicht, aber doch prinzipiell ist es möglich. Und gerade diese Peer-to-Peer-Systeme ermöglichen ja gerade diese mächtigen Daten-Intermediäre zu umgehen. Oder was ist jetzt bei Fällen, wo wir sagen, wir haben jetzt gar nicht den starken Datenverarbeiter, sondern wir haben den kleinen Turnverein, wir haben die Individuen, die plötzlich mit der Datenschutzgrundverordnung konfrontiert sind und eigentlich gar nicht die Starken sind. Und da sagen wir, passt doch eigentlich gar nicht. Rainer: Wollen wir erst mal sammeln oder soll ich gleich..? Ja, gut, okay. Das ist ein sehr, sehr guter Punkt, gerade diese Peer-to-Peer- Geschichten, da sehe ich tatsächlich eine ganz, ganz große Chance, wo gerade bei Peer-to-Peer die Daten verteilt sind, da keine Machtzentren dabei entstehen, da muss man natürlich bei dem Design aufpassen, dass man es eben nicht so macht wie irgendwelche Bitcoin-Geschichten, dass dann doch wieder alles zentralisiert wird, sondern eher so wie GNUnet, wo in das System eingebaut ist, dass es auch dezentral bleibt. Ich sehe da ganz große Hoffnungen, da muss allerdings sehr viel noch geforscht und gearbeitet werden, dass solche Sachen dann auch skalieren können. Aber das kann möglich sein, auf alle Fälle. Da sehe ich überhaupt kein Problem, wenn man da mal ein bisschen Geld reinsteckt, irgendwie so einen Bruchteil von dem, was wir in Atomkraft gesteckt haben, mal in Peer-to-Peer-Technologien, aber das nebenbei. Nee, das sehe ich auch, das wäre auf alle Fälle eine technische Herangehensweise, wo man natürlich auch wieder diese Analysen machen müsste, aber das ist auf alle Fälle ein gangbarer Weg und da gibt es auch ganz viele Ansätze schon, gerade hier auf dem Congress, wenn man mal herumläuft, GNU-Taler und so, da sehe ich viel Fruchtbares. Bei dem zweiten Punkt, das ist natürlich jetzt eine rechtliche Frage. Ich gehe trotzdem darauf ein, halte mich aber kurz, weil wie gesagt, es gab auch rechtliche Talks. Die DSGVO hat so einen überwiegend Risiko- basierten Ansatz, das heißt, der Verein muss diese Sachen insofern umsetzen, wie Risiken für die Betroffenen entstehen. Das heißt, wenn der Verein ein multi- nationales, globales Social-Network betreibt, dann sind die Pflichten sehr, sehr groß, wenn allerdings da nur die Mitgliederliste geführt wird, dann sind die Anforderungen da auch sehr viel geringer. Also man muss immer sehen, die Anforderungen, z. B. diese technischen- organisatorischen Maßnahmen, die müssen immer angemessen sein. Das heißt, wenn da eine Liste mit 20 Namen sind, dann muss man jetzt nicht, da reicht jetzt vielleicht nicht irgendwie Caesar- Verschlüsselung, aber da muss jetzt kein Hochsicherheitssystem da sein; das muss sozusagen immer entsprechend der Risiken für die Betroffenen. Also ich verstehe auch die Kritik zu sagen, dass sozusagen diese DSGVO guckt gar nicht, wie groß die Organisation ist. Oder da ist meine Antwort dabei zu sagen, ja, die DSGVO schaut aber, wie groß ist das Risiko für die Betroffenen. Und ich glaube, bei vielen, die sich da sozusagen beschweren, die beschweren sich auch erstens, weil sie sich nicht vorher damit beschäftigt haben, was sie hätten sollen und zweitens aber auch, weil da leider sehr viel Angstmache drin war, wie viel Aufwand da tatsächlich auf Leute zukommt und wie groß die Anforderungen sind. Die Regularien bei der Datenschutz-Konferenz war ja auch irgendwie erst mal warnen und helfen, statt abmahnen und so weiter. Also das sind so, genau das ist so meine Antwort. Also wichtig ist, wie groß ist das Risiko für die Betroffenen und das wird bei Vereinen immer nicht so groß sein. Also kommt auf den Verein an, also ich meine, der TÜV ist auch ein Verein, also... Okay, ich hoffe, das hat jetzt geholfen. Herald: Mikrofon 1, bitte. Frage: Sie haben jetzt für die Erklärung 'Was ist Datenschutz?' zurückgegriffen auf die Erklärung des Standarddatenschutzmodells. Gibt es in der Wissenschaft eigentlich auch andere Ansätze, die gewählt werden zur Erklärung 'Was ist Datenschutz' oder wie weit sind die Diskussionen da oder gibt es unterschiedlichen Fokus? Rainer: Also das ist eine sehr sehr sehr gute Frage tatsächlich. Ich finde tatsächlich dieses Standarddatenschutzmodell - ne deswegen habe ich es da unten hingepackt - sehr sehr gut und trifft das, was ich als großes Problem auch ansehe. Es gibt eine Dissertation von Jörg Pohle, der Vierte von unten, 'Datenschutz und Technikgestaltung', der diskutiert mal die verschiedenen Ansätze. Es gibt da schon verschiedene Vorstellungen, was ist überhaupt das Schutzgut und wie kann man dem begegnen und so weiter. Da gibt es einen großen Dschungel, aber da ist sich auch... also mein Eindruck ist, da setzt sich zumindest in der deutschen Diskussion oder europäischen Diskussionen da setzt sich gerade so eine bestimmte Richtung durch. Aber es gibt auch andere Ansätze, die zum Beispiel, die rückwärts versuchen entlang des Rechtes zu rekonstruieren, was eigentlich mal das Datenschutzproblem war und die dann immer individualisiert Fragen stellen und sagen, wie können wir zum Beispiel das Risiko so einfache Rechnung wie das Risiko der einzelnen Person mal die Anzahl der betroffenen Personen und so könnte man eben auch an Datenschutz herangehen und dann hat man nur rein individuell natürlich immer das Problem, was man dann lösen muss. Das funktioniert insofern nicht, wie wir eben gesehen haben, es kann natürlich eine ganze Menge Leute zu einer Datenverarbeitung zustimmen, deren Konsequenzen dann alle anderen auch noch mit trifft. In dem Sinne funktioniert der individualistische Ansatz dann nicht. Aber da gibt es einen Zoo. Aber ich glaube, Ich glaube das ist meiner Ansicht nach, das sehr gut begründet ist. Herald: Das Internet hat eine Frage. Signal-Angel: Das Internet fragt: Gibt es bzw. kennst du eine politikerverständliche Übersicht von Chaos-nahen politischen Forderungen bezüglich Datenschutz und Datensicherheit mitsamt ihren Begründungen? Rainer: Moment eine was? Eine Politiker kompatible? Signal-Angel: ...Politikerverständliche Übersicht von Chaos-nahen politischen Förderungen. Forderungen, Entschuldige. Rainer: Ja. Naja, ich meine, ich kann zum Beispiel darauf verweisen jetzt vor 2 Monaten war die Bits und Bäume in Berlin. Da gab's einen Forderungskatalog. Da spielte auch Datenschutz und Datensicherheit eine Rolle und auch in der Begründung dabei. Da war zum Beispiel auch der CCC auch dran beteiligt und das FIfF. Aber andersrum auch Nachhaltigkeitsorganisationen BUND und so weiter. Das ist sehr kurz und knackig. Ich glaube das könnte auch verstanden werden und es wäre auch Chaos-Umfeld. Ich glaube allerdings, also das denke ich jetzt gerade, verschiedene Leute oder auch verschiedene Politiker*innen haben verschiedene Vorstellungen, was eigentlich das Problem ist. Deswegen weiß ich noch nicht so richtig, inwiefern so eine Handreichung verständlicherweise da wirklich helfen würde, die allgemein ist, sondern eher zu fragen: Was daran ist unklar, um das dann wirklich konkret zu erklären. Aber mein Eindruck ehrlich gesagt, ich verstehe die Motivation der Frage, aber mein Eindruck ist so ein bisschen, dieses Unverständnis das hat eher was mit fehlendem Mut zu tun, mal zu sagen, was weiß ich, wir müssen da jetzt mal harte Grenzen ziehen. Es hat weniger mit Verständnis zu tun, als mit nicht verstehen wollen. Da hilft auch eine Handreichung nicht. Applaus Rainer: Also die Antworten, was notwendig wäre, die werden immer, immer klarer, aber das ist glaube ich eine politische Frage. Und das ist ja auch einer der Gründe, warum wir hier sind, glaube ich. Herald: Mirkofon zwei, bitte. Frage: Ich wollte nochmal einhaken, du hast ja gerade auch bei dem Thema Algorithmenethik sozusagen gesagt, das ist so eine Stellvertreterdebatte oder bzw. eine Debatte, man will eigentlich nicht über das Eigentliche reden, nämlich was Regulierung sein soll. Ich würde Dir insofern zustimmen, dass die Debatte natürlich ablenken soll davon, dass man nicht weiß, wie man mit Technik umgeht. Ich glaube allerdings, jetzt mal die Gegenthese, dass man in Deutschland allgemein sehr regulierungswillig ist, in der Politik was Technik angeht, aber ich glaube, man weiß nicht, was man regulieren soll. Also du hast mehrfach selber auch so Begriffe wie Massenmanipulation, Wahlmanipluation genannt, darüber wird unglaublich viel gesprochen. Ich glaube aber, es hat keiner gerade in der Politik eine Idee, wie man damit umgehen soll und wenn dann mal so ein Vorschlag wie Botregulierung eingebracht wird, ist es halt auch Quatsch. Deswegen jetzt meine konkrete Frage: Wie würdest du damit umgehen? Also ich arbeite selber im politischen Betrieb und überlege mir also auch immer, wie kann man eigentlich diese Debatten in die richtige Richtung lenken. Wie würdest du damit umgehen, dass man eben nicht über Algorithmenethik als Ablenkungsthema redet sondern, dass man sich mit den tatsächlichen Fragen, nämlich was sind sinnvolle Regulierungen beschäftigt, gerade eben unter dem Aspekt, dass technisches Unverständnis in großen Teilen leider herrscht? Rainer: Tatsächlich eine sehr, sehr interessante Frage. Ich glaube, da steckt noch ein bisschen Arbeit drin, diese, zum Beispiel diese Schutzzielfragen auch mal wirklich auszubuchstabieren und da gibt es auch Ansätze, zum Beispiel Martin Rost jetzt gerade für diese KI-Debatte. Wo man konkret fragen kann: können denn bestimmte Systeme Garantien aussprechen für grundrechtliche Fragen. Ich habe mal so ein Zitat da rein gepackt, irgendwie so "Deep-Learning-Systeme sind also nicht prüfbar, nicht evaluierbar, ändern ihre Eigenschaften, liefern keinerlei Begründung, sind leicht zu manipulieren, willkürlich aufgebaut und immer ungenau." Das klingt jetzt nach einem coolen System, wenn man Bilder sortieren will, das klingt nach einem nicht so guten System, wenn man Straßenschilder erkennen möchte und ich glaube die Aufgabe bestünde darin, diese Fleißarbeit auszubuchstabieren, was zum Beispiel diese Schutzziele für die einzelnen Systeme und das macht teilweise das Standarddatenschutzmodell auch schon, diese Ergebnisse zu zirkulieren und da gibt es tatsächlich gute Arbeiten und ich glaube mittlerweile wäre es sogar möglich, können wir uns danach nochmal verbinden, dass da vielleicht die richtigen Informationen an der richtigen Stelle mal landen, weil ich glaube, die sind mehrheitlich schon da. Es hat immer auch etwas mit erklären zu tun. Aber wenn der Wille da ist so zu agieren - also eine Regulierwilligkeit sehe ich jetzt nicht so richtig - aber gut, wenn das tatsächlich so ist, dann müsste man da wahrscheinlich genau diese Papers, die es dazu gibt und so weiter ein bisschen aufbereiten und dann an die richtigen Stellen bringen als Hinweise. Wie gesagt, das heißt aber eben auch, dass bestimmte Akteure dann eben auch etwas abgeben müssen oder nicht mehr zulässig sind oder bestimmte Geschäftsmodelle nicht mehr möglich sind. Also wenn Politiker*innen damit einverstanden sind, dann kann man da auch was machen. Herald: Mikrofon 1 bitte. Frage: Hi, ich habe auch eine Frage zu Regulierung: Und zwar aus einer soziologischen Perspektive ist es so, dass bei Regulierungen immer auch die Regulierten mitarbeiten. Das läuft im politischen Betrieb ganz oft über Aufrufe für Comment-Letters, also das Bundesministerium für Verkehr und bla hat was über Fahrzeugdaten veröffentlicht und die haben sehr sehr dezidiert politische ökonomische Benefits bei den Herstellern gesehen und dann sind alle aufgerufen worden innerhalb eines halben Jahres ihre ihre Meinung dazu zu posten. Und bei sowas haben natürlich starke Akteure die du auch genannt hast, also Techgiants, immer einen strukturellen Vorteil. Also wenn du dich für eine starke Regulierung aussprichst, hast du da schon irgendwie Vorstellungen wie man diesen Bias an der Stelle ausschaltet; also das die starken weiterhin auch privilegiert bleiben selbst wenn es Regulierungen gibt. Rainer: Tja, das ist die Königinnenfrage an der Stelle. Naja, es hat natürlich immer was damit zu tun, wer wird da befragt, wer hat die Möglichkeiten? Ich kenne es ja selber auch irgendwie: Egal ob es Sachverständigen Anhörungen sind oder irgendwie Eingaben die gemacht werden können. Die Firmen schicken ihre Leute in der Arbeitszeit dahin, um das zu tun und die NGOs gucken halt wo sie ihre Ehrenamtlichen abziehen können, um vielleicht jemanden... Tja, das ist ein großes Problem. Ich glaube da ist tatsächlich so eine grundsätzliche.. Da wage ich mir jetzt auch ein bisschen aus dem Fenster aber so eine grundsätzliche Herangehensweise gefragt. Das betrifft ja die Frage wie unsere Demokratie funktioniert. Das ist nichts was irgendwie... ich meine von Diesel bis hin zu... fange ich gar nicht erst an. Das ist keine Datenschutzfrage sondern eine Demokratiefrage. Und ich weiß nicht. Da gibts ja ganz viele Ideen: mit Lobbyregister und was es da alles gibt. Vermutlich müsste man da; wir alle die Aktivitäten in diesen digitalen Rechtsfragen tätigen. Vermutlich wäre es sogar eine langfristige und nachhaltige, Keyword, nachhaltige Lösung zu sagen, bei all unseren Aktivitäten nehmen wir 10% weg und packen die in LobbyControl und so weiter, um diese Strukturen da irgendwie zu stärken. Das wär mein Eindruck, weil teilweise, wenn man sich anguckt wie so Digitalrat und KI Enquete usw. zusammengesetzt sind. Klar, wenn ich Leute vor einem bestimten Hintergrund einlade, ist mir klar, dass ich dann diese Antwort kriege. Das ist jetzt ein bisschen so Frage: Wie kriege ich mehr Leute aus der Wissenschaft rein? Und mehr Betroffene, usw.? Und deswegen tut es mir leid, dass es vielleicht eine nicht so hilfreiche Antwort ist, aber ich glaube das eine ist eine Demokratie Frage und da gibts jede Menge zu tun! Und auch deswegen sollte uns das interessieren, weil ansonsten unsere ganze Arbeit da auch teilweise ins Leere läuft, weil dann eben das kaputte System das alles wieder auffrisst. Das glaube ich so ein Punkt. Herald: Ich merke, die Diskussion, die brennt. Leider läuft uns die Zeit ein bisschen davon. Wo finden dich die Leute hier auf dem Kongress? Rainer: Ihr findet mich entweder unter dieser E-Mail-Adresse oder aber z.B. am FIfF-Stand, hier CCL, nullte Etage. Hier drunter. Ich werde danach einfach auf den Knopf drücken und runterfahren, dann findet man mich da. Gelächter Dankeschön Herald: Genau. Applaus. Applaus 35C3 Outro Musik Untertitel erstellt von c3subtitles.de im Jahr 2020. Mach mit und hilf uns!