35C3 Intro Musik
Herald: Okay willkommen hier in Eliza für den dritten Talk dieses Blocks
an diesem zweiten Tage hier. Uns wird heute Rainer Rehak etwas über: "Was
schützt eigentlich der Datenschutz?" erzählen. Und er wird uns eine kleine
Einführung mit einem strukturellen Blick auf den Datenschutz gewähren, um uns ein
bisschen Debatten-Rüstzeug zu geben. Und da würde ich euch bitten eine Runde
Applaus zu spendieren und Rainer willkommen zu heißen.
Applaus
Rainer Rehak: Hallo.
Applaus
Rainer: Ja, Hallo, herzlich willkommen, welcome und ni hao.
Ja, was schützt eigentlich der Datenschutz. Ich bin sehr froh, hier sprechen zu dürfen, weil
vielleicht teilweise ein bisschen pointiert als These, warum
Datenschützer*innen aufhören müssen von individueller Privatheit zu sprechen.
Das ist ja immer so ein Thema was sich durchzieht, wenn es um Datenschutz geht,
dann geht's gleich um die Privatsphäre und das Innerste des Menschen. Das ist sicher
auch richtig. Aber meiner Ansicht nach ist das ein bisschen zu klein und spielt
gerade den Personen in die Hände, die wir eigentlich - ich sag jetzt mal wir - die wir
eigentlich mit der Argumentation bekämpfen wollen, oder überzeugen wollen,
im besten Falle. Also erst mal zu mir: So ein bisschen, dass man immer weiß, wer da
spricht, was für einen Hintergrund ich habe, dass man das ein bisschen
einsortieren kann, inhaltlich. Ich bin selber wissenschaftlicher Mitarbeiter am
Weizenbaum-Institut für die vernetzte Gesellschaft. Meine Forschungsbereiche und
Forschungsinteressen so Technik- Zuschreibungen also Funktions-
Zuschreibungen, IT-Sicherheit, Datenschutz, Informatik und Gesellschaft.
Ich selber habe Informatik und Philosophie studiert, an der Humboldt-
Universität zu Berlin, Freie Uni Berlin und Chinese University of Hongkong.
Und habe auch meine Diplomarbeit geschrieben über die heimliche Online-Durchsuchung,
und insbesondere um die gesellschaftlichen Konsequenzen davon. Außerdem bin ich aktiv
im Forum InformatikerInnen für Frieden und gesellschaftliche Verantwortung, bei
Amnesty International und bei der Gesellschaft für Informatik.
Worum soll es heute gehen? Einen Fahrplan: Erstmal will ich ein bisschen was über
Begriffe sagen, die dann fallen werden, dann über das Problem, was es überhaupt zu
diskutieren gibt im Datenschutz. Dann gibt es ein bisschen Theorie und
Operationalisierung. Operationalisierung heißt: Wie man aus den ganzen
theoretischen Konstrukten dann tatsächlich konkrete Handlungen ableiten kann. Dann
möchte ich was über die, auch in der Beschreibung des Talks so ein bisschen
kritisierten Nicht-Lösungen sagen, konkret darauf eingehen. Vielleicht, wenn sich da
Fragen anschließen werden wir auch eine Q&A noch machen, dass wir das diskutieren
können zusammen. Dann werde ich ein Fazit präsentieren und dann kommt noch eine
Literaturliste, Literaturhinweise. Die Folien kommen dann auch ins frab, für
diejenigen unter euch die sich da noch weiter einlesen wollen und das weiter
verfolgen wollen über diese Foundations- Ebene hinweg. Also, erstmal die Begriffe.
Erst einmal, wenn man über Datenschutz redet - im Englischen ist es ja noch
komplizierter, so mit Privacy und Data Protection und so weiter - es gibt erstmal
so einen Begriffe-Mix, das wird dann auch zusammen gehauen mit Überwachung und dann
ist das so eine Mischung. Deswegen will ich das jetzt erstmal auseinanderziehen,
dass wir wissen worüber wir reden. Erstens: Datenschutz selber ist ein
sozialwissenschaftlicher Begriff. Ich werde die alle nachher so ein bisschen
mehr auffächern, insbesondere Datenschutz. 'Datenschutzrecht' ist ein
juristischer Begriff und 'Datensicherheit' ist ein informatischer Begriff.
Ich glaube, Datenschutzrecht, da haben wir eine ganze Menge dazu jetzt schon gehört,
sowohl in den Medien, weil die, zum Beispiel die Datenschutz-Grundverordnung ja wirksam
geworden ist 2018 jetzt im Mai. Und über Datensicherheit haben wir hier mit
Sicherheit ja auch eine ganze Menge schon gehört und gewusst. Der Witz daran ist,
dass das alles so ein bisschen zusammengehört bei dem Thema, aber dennoch
diese Bereiche, oder diese Themen, jeweils eigenen Diskurs-Regeln gehorchen. Und
wie bei allem ist es so, dass die Problem- beschreibung selber auch die Lösung
so bisschen vordefiniert. Das heißt, der Korridor, wo man hinschaut, was da irgendwie
als sinnvolle Lösung irgendwie in Betracht kommt. Und welcher Informations-
oder welcher Daten-Begriff wird da verwendet. Das ist auch eine
Schlüsselfrage, die ist gar nicht so schwer, aber die muss gestellt werden. Und
die muss beantwortet werden. Jetzt mal kurz als Überflug. Das Datenschutzrecht
schützt also Personen. Der Anknüpfungspunkt dabei sind
personenbezogene Daten. Das kennt man ja auch, weitläufig diskutiert. Und zum
Beispiel die Begründung, was schützt eigentlich die Datenschutzgrundverordnung,
oder was setzt sie um, wäre im juristischen, würde man sagen: Naja, die
setzt halt Artikel 8 der Charta der Grundrechte der Europäischen Union um. In
der Informatik würde man sagen: Okay, das leitet auf ein weiteres Terminal. 'Was ist
denn Artikel 8 der Charta der Grundrechte der Europäischen Union?' Das ist so eine
Art, die Verfassung der EU. Zum Beispiel als Vergleich mal mit dem deutschen
Grundgesetz. Auch da ist Artikel 1: Die Würde des Menschen ist unantastbar. Sie
ist zu achten und zu schützen. Und Artikel 8, das der für die DSGVO besonders
relevante, ist 'Schutz personenbezogener Daten'. Das steht da einfach genauso drin.
Und wenn der Schutz personenbezogener Daten ein Grundrecht ist auf europäischer
Ebene, ist ja klar, dass jegliche Datenverarbeitung dann auch eine
Verletzung von Grundrechten ist. Wobei die Frage da bleibt: Ja, aber warum
eigentlich? Wenn man so ein bisschen vor- rechtlich diskutieren will, wenn man sagt:
Wir schützen personenbezogene Daten. Warum? Ja, weil wir ein Recht auf Schutz
personenbezogener Daten haben; ist es richtig, aber unbefriedigend.
Aber zum Datenschutzrecht gibt es ja auf dem Kongress auch eine ganze Menge anderer
Vorträge, es klang auch alle sehr interessant. Deswegen würden wir jetzt
darüber nicht reden. Datensicherheit ist eine Sache, wie ich bereits angemerkt
habe, die auch gerade im Chaos-Umfeld eine große Rolle spielt. Das heißt, wenn man
sich anguckt was ist Datensicherheit: üblicherweise Schutzziele zur
Vertraulichkeit, Integrität, Verfügbarkeit. Wenn man so ein bisschen
Techie-mäßig drauf ist, würde man grob verallgemeinern: Vertraulichkeit sind die
Leserechte, Integrität sind die Schreibrechte, Verfügbarkeit sind die
Exekutiv-, die Ausführungsrechte. Ist jetzt ein bisschen hingebogen, aber so
ungefähr kann man sich das vorstellen. Das heißt Verfügbarkeit: ob so ein System für
mich funktioniert und den Service abliefert, den ich haben möchte.
In der Datensicherheit geht es aber primär - also was heißt 'aber' - geht es primär um die
Sicherheit von Geschäftsprozessen und von vorhandenen Daten. Das heißt, die
Daten sind da, die müssen ordentlich abgesichert werden, zugreifbar bleiben,
nicht verändert werden und so weiter. Seit 2008 haben Personen sogar ein Grundrecht
auf die Gewährleistung der Vertraulichkeit und Integrität informationstechnischer
Systeme. Aber auch zur Datensicherheit selber gibt es auf dem Kongress andere
Vorträge. Jetzt ist die Frage: Was ist denn mit dem Datenschutz? Das heißt, wenn wir Rechte
haben, auf zum Beispiel den Schutz personenbezogener Daten, guckt man in die
Richtung: Wie wird denn das motiviert? Und dann kommt der Datenschutz selber ins
Spiel, als sozialwissenschaftliche Diskussion, wer wird da warum eigentlich
wie geschützt? Und dazu kurz ein paar Bemerkung zum gesellschaftlichen
Hintergrund. Also erstens: Wir leben in einer arbeitsteiligen Gesellschaft. Das heißt,
verschiedene Menschen haben verschiedene Aufgaben. Wir sind spezialisiert und ich
muss nicht Socken nähen können, um mit Socken herumzulaufen, weil jemand
anders das kann. Ihr kennt das Spiel. Es gibt eben Spezialisierung und niemand ist
sozusagen in allem spezialisiert. Diese Arbeitsteilung hat auch Konsequenzen, wie
wir nachher sehen. Es gibt diverse Akteure, die miteinander irgendwie funktional
interagieren. Vielleicht menschlich interessiert es mich schon, wie es dem
Bäcker oder der Bäckerin gerade geht, aber tatsächlich möchte ich da gerade Geld auf
den Tisch legen und mein Brötchen kriegen morgens. Oder je nachdem, wann auch immer.
Das heißt, man tritt so funktional irgendwie miteinander in Verbindung.
Und in dieser Gesellschaft gibt's dann eben auch... da sind ja nicht alle Leute, die
da mitspielen nicht gleich mächtig oder gleich fähig. Finanzielle
Unterschiede können das sein, das können strukturelle Unterschiede sein. An dem
Fall jetzt zum Beispiel mit Individuum und Organisation. Individuum ist eine
Person, die hat so Hände, und kann irgendwie Dinge tun, und dann gibt es
Organisationen, die aus vielen Menschen bestehen, aus Regeln, finanziellen Möglichkeiten,
rechtlichen Möglichkeiten und so weiter. Und die sind natürlich
nicht gleich mächtig; haben verschiedene Möglichkeiten, ihre Interessen
durchzusetzen. Das heißt, sie haben verschiedene Möglichkeiten. Sie haben
verschieden große Macht, um in diesem gesellschaftlichen Spiel
mitzumachen. Das sind Machtasymmetrien. Max Weber sagt... kann man mit ihm sprechen:
"Macht ist die Chance, in einer sozialen Beziehungen den eigenen Willen auch gegen
Widerstreben durchzusetzen, gleichviel worauf diese Chance beruht." Kann man
unterscheidenden in Durchsetzungskraft: also Dinge zu verursachen.
Verhinderungsmacht: Dinge nicht stattfinden zu lassen, die dem eigenen
Interesse widersprechen, und Definitionsmacht: Wie spricht man über
bestimmte Themen. Ein bisschen Wahlcomputer, Wahlmaschinen und ihr kennt
die Geschichte. Jetzt ist die Frage: Ok, das ist alles noch nicht technisch. Beim
Datenschutz, was uns für den Datenschutz interessiert, ist an der Stelle, dass wir
in eine allgemeine allgegenwärtige Computerisierung und Vernetzung haben.
Aka. Digitalisierung wird es seit ein paar Jahren genannt, obwohl dieser Prozess seit
ungefähr 50 Jahren schon läuft. Und wir haben automationsgestützte
Informationsverarbeitung, insbesondere von Organisationen, also von staatlichen und
von wirtschaftlichen Organisationen. Mittlerweile, oder seit einer Weile, ist es
schon so, dass da eben keine individuellen Wahlmöglichkeiten mehr sind. Man kann sich
entscheiden kein Handy zu haben, aber wenn man Steuern zahlt, muss man halt doch mit
dem ELSTER arbeiten. Egal ob es Rente, Krankenkasse und so weiter... ihr kennt die
Geschichten. Man kommt da eben auch nicht mehr raus. Es sei denn man zieht irgendwie
in den Wald und eine Höhle. Aber wenn man sich dann verletzt, kann man vielleicht
einen Kräutertee trinken, aber wenn der Arm ab ist, dann will man vielleicht doch
ein Krankenhaus.
Warum ist das relevant? Naja, diese Informationsverarbeitung,
die Nutzung dieser Daten, die wird verwendet, um Entscheidungen zu
produzieren. Entscheidungen produzieren heißt: Wieviel Geld kann ich abheben. Was
ist die schnellste Route von A nach B. Was sind irgendwie beste Freunde, die ich
vorgeschlagen bekomme. All diese Sachen, das sind ja alles Entscheidungen, wo man
auch anders hätte agieren können, aber Computer says... und so weiter. Kleine
Bemerkung natürlich: diese Entscheidungen werden produziert, egal ob die Datenbasis korrekt
ist oder nicht. Die Ergebnisse sind da und werden dann... wenn die Karte falsch
ist, landet man im Graben, zum Beispiel.
Okay, jetzt ist die Frage: Naja, wir reden
von Datenschutz und von Informationsverarbeitung. Daten oder
Informationen, ganz kurz, wir sind noch in der Begriffsphase. Also Daten im Datenschutz
meint Informationen, die Modelle eines Sachverhaltes für einen Zweck sind. Das
ist jetzt erst mal ein bisschen viel auf einmal. Aber wenn ich eine Glaserei betreibe,
dann interessiert mich natürlich bei einem Haus was ich in meiner Datenbank eintrage:
Wie viele Fenster sind in dem Haus, wie groß sind die Fenster, welche Art von
Format sind das und so weiter. Wenn ich irgendwie eine Malerei betreibe dann
interessiert mich natürlich: Wie groß ist die Fläche des Hauses und so weiter. Das heißt, ich
greife mir immer einen Ausschnitt aus der Realität und modelliere den auf diesen
Zweck hin wofür ich es verwenden will, dann bei der Datenverarbeitung. Das heißt,
es sind Modelle eines Realitäts- Ausschnitts. Für einen bestimmten Zweck.
Und deswegen können wir nicht den technischen Informationsbegriff von Shannon
nehmen. Also von wegen Abtastung und welche Auflösung ist da und wie, ihr
kennt das so, mit 44 Kilohertz und CD und nimm doch lieber die Goldstecker und so.
Das ist nicht der Punkt. Wir benutzen einen der Semiotik, der sagt, Informationen
oder die Daten, aus Datenschutz, bestehen aus Syntax, Semantik, Pragmatik
und Sigmatik. Syntax ist die zeichenmäßige Repräsentation, also die Nullen und
Einsen. Semantik ist die Bedeutung. Pragmatik ist der Zweck, für den diese
Daten erhoben worden sind. Wir erinnern uns, die Glaserei oder die Malerei.
Und Sigmatik ist die betroffene Person. Das heißt, wessen Haus das ist, oder so.
Als Beispiel könnte man sagen:
irgendwie so ein Tupel von Nullen und Einsen, so ein
Zweiertupel. Die Semantik davon: Aha das sind Geo-Koordinaten, das müsste im System
hinterlegt sein, eines Mobiltelefons. Pragmatik: Der Zweck wäre die
Bereitstellung ortsabhängiger Services zum Beispiel für eine Routenplanung, wo möchte
ich hin, wo gibt es eine Pizza oder so. Und Sigmatik ist dann Maxi Musterfrau, weil das
die Person ist, deren Mobiltelefon das ist, an der Stelle.
So ist die Situation. Das ist doch erstmal nett, klingt irgendwie nützlich. Aber was ist
eigentlich das Problem jetzt? Die Technik, die immer besser wird, und die Daten,
die gesammelt werden, Informationen, die verarbeitet werden und
anhand derer Entscheidungen getroffen werden, die wird immer besser, immer
effizienter nach bestimmten Kriterien, aber sie hilft natürlich den
Organisationen, die sie verwenden, ihre eigenen Interessen besser durchzusetzen.
Technik soll die Welt besser machen, aber nicht für alle, sondern für die,
die sie einsetzen - und zwar für die, die sie im besten Fall selber bauen
können und dann ihren eigenen Vorstellungen gemäß formen.
Und das kann eben auch sein, dass bei dieser Informationsverarbeitung
auch Grundrechte von Personen berührt werden. Die klassische Diskussion ist
immer so Fragen von Diskriminierungen oder Ungerechtigkeiten,
weil die Daten falsch sind oder sowas, so Geschichten. Das heißt, wenn die Ergebnisse,
die da produziert werden - im schlimmsten Falle auch vollautomatisch -,
dass sie Rechte von Menschen berühren und die an der Stelle erst mal, weil sie ja
Gegenstand - der Automat sagt halt: "Du kriegst kein Geld" oder "in diesem Monat
ist alles schon aufgebraucht", dagegen kann man jetzt erst mal nichts tun.
Das heißt, da ist sozusagen eine direkte Konsequenz dieser Datenverarbeitung auf
Menschen, auf Menschengruppen oder auf ganze Gesellschaften. Allerdings muss man
auch sagen, diese Datenverarbeitung ist wünschenswert, weil sie uns auch
was bringt. Also es ist nicht so, dass DatenschützerInnen selber am liebsten
zurück in die besagte Höhle wollen, wo das Feuer komplett verständlich ist.
Nein, wir wollen diese informations- technischen Systeme, die uns
das Leben erleichtern, die wollen wir alle haben, aber die Effekte, die negativen,
die es auf Menschen hat und auf Gesellschaften, die wollen wir minimieren.
Und da hilft es natürlich, wenn man mit Technikerinnen und Technikern redet.
Ja klar, man kann Systeme auf verschiedene Arten bauen, man muss halt
nur vorher sagen, was man haben will.
Und jetzt, wenn man die Probleme mal so
konkretisiert, würde man sagen: 1. Datenverarbeitung ist wünschenswert, aber
es gibt innerorganisatorische Datenverarbeitung oder
Informationsverarbeitung, das heißt, ich kann ja selber überlegen, was ich
vielleicht einer Organisation gebe an Daten und was nicht, aber was die dann
intern damit machen, diese Frage, für welchen Zweck sie sie verwenden, wem sie
sie weitergeben und so weiter, das kann ich selber nicht mehr beeinflussen. In dem
Moment sind die Daten außerhalb meiner Hand, sind nicht mehr in meiner
Kontrolle. Und 2. gibt es natürlich die Macht-Asymmetrien. Das heißt, eine Firma,
die Unmengen von Daten über Individuen hat, kann die natürlich analysieren und
daraus Erkenntnisse generieren, die ich aus meinen eigenen Daten gar nicht ziehen
kann. Das heißt also, alleine die schiere Macht, der schierer Datenunterschied,
erzeugt andere Möglichkeiten auf den verschiedenen Seiten, das heißt, die
Player sind alle nicht gleich stark und das hängt auch, insbesondere, wenn wir
über Datenschutz reden, von der Menge an Daten ab, die vorhanden sind.
Das heißt, wie ich es eben beschrieben habe, nun als Zitat nochmal von Adalbert
Podlech: "Informationsvorgänge dürfen keine sozialschädlichen Folgen
herbeiführen." Das ist so die Formulierung. Oder man kann es auch mit
Martin Rost sagen: "Die Handlungsalternativen des, in diesen
Interaktionen Schwächeren, die sollen aufrechterhalten werden." Es soll nicht
irgendwann so sein, dass die Organisationen komplett sagen: "Das ist
das Richtige für dich und deswegen gehst du diesen Weg lang. Und ihr kennt das ja,
wenn in irgendwelchen Softwaren das Menü halt nicht sagt "exportieren", dann geht's
halt nicht. Das heißt also, wenn wir das möchten, muss eben Datenverarbeitung unter
Bedingungen gestellt werden. Man muss sagen, wenn die Gefahr für so eine
Einschränkung von Grundrechten und so weiter besteht, dann müssen wir irgendwie
Bedingungen für die Datenverarbeitung formulieren, dass das minimiert wird oder
dass den Risiken begegnet wird oder dass sie nicht stattfinden, dass man dieses
Thema einfach anders baut, dass sie das nicht tun. Innerhalb sozusagen,
man würde es jetzt als Fachtermini nennen: eine Konditionierung der
Macht-Asymmetrie. Das heißt, Konditionen, also die Bedingung oder Voraussetzung
stellen, unter denen dann diese Datenverarbeitung stattfindet. Eben, warum
muss es jetzt irgendwie konditioniert werden? Weil ich als Außenstehender
natürlich nicht die Computersysteme von Amazon und wie sie alle heißen, ich kann
die ja nicht umprogrammieren, ich kann halt die Knöpfe verwenden, die sie mir
geben. Nichts Anderes. Oder ich kann sagen, ich benutze das alles nicht, aber
das ist ne, so auf dieser schwarz-weiß Ebene sind wir ja nicht, von der
Diskussion. Okay. Und die Frage ist immer so,
das Schutzgut dabei ist eben, also
Datenschutz schützt nicht Daten, klar, sondern Individuen, also die
Grundrechte und Grundfreiheiten, wenn man es so formulieren möchte, und die
Gesellschaft insgesamt, aber wenn man sich das so anschaut, finden sich diese
Individuen, Grundrechte und Grundfreiheiten, die finden sich wieder.
Aber diese gesamtgesellschaftlichen Fragen, da muss man sehr stark danach suchen.
Man kann es konstruieren, aber so explizit ist es da nicht drin zu finden,
das hat rechtsdogmatische Gründe. Aber das ist nur wieder eine Erinnerung daran, dass
sich die Fragen des Datenschutzes oder die Antworten des Datenschutzes und des
Datenschutzrechts nicht deckungsgleich sind. Das eine ist immer ein Ergebnis aus
dem anderen, im besten Falle, aber manchmal auch nicht. Man würde auch, um das zu
erklären, warum Datenschutz sagen, na ja, wenn wir uns Märkte angucken, dann gibt's
eben Kartellämter, und die sagen, wenn bestimmte Akteure zu stark werden dann
muss man die begrenzen und die anderen ein bisschen stützen, damit der Markt als Ganzes
funktioniert und genauso kann man sich es auch beim Datenschutz
vorstellen. Wir haben die Informationsgesellschaft und da gibt es
Informationsmacht verschiedener Akteure. Da brauchen wir irgendwas, in dem Fall
zum Beispiel Datenschutzrecht, die diesen Ausgleich bringt. Nicht das einzelne
Datum zählt, sondern die Anhäufung selber die dann ein Ergebnis produziert.
Ihr kennt bestimmt den Spruch: "Bei Wurst und Gesetzen möchte man nicht dabei sein wenn
sie gemacht werden." Das ist natürlich immer die Frage, was die Datenschutz-
Diskussion bereits seit den 60er, 70er Jahren so produziert hat, ist natürlich,
wenn es dann zu Recht wird, immer Gegenstand von Aushandlung, von politischen
Verhandlungen, "wir nehmen das mit rein und das nicht mit rein" und so weiter.
Deswegen muss man immer aufpassen, dass man die Datenschutz-Diskussion nicht oder
nicht primär als Datenschutzrechts- Diskussion führt, weil man sich dann
sehr eingeengt auf das was einmal durch die Politik gegangen ist. So jetzt kommen
wir mal ein bisschen zu einer Theorie, um die Sachen zusammenzubinden, um sie nochmal
in einen größeren Kontext einzubauen. Wir gucken uns jetzt mal den Informationsfluss an:
Am Anfang jetzt vielleicht ein bisschen verwirrend, aber wir haben hier
links den Informationsfluss von starken Akteuren zu schwachen Akteuren - wir haben
darunter von schwachen Akteuren zu starken Akteuren und darüber die beiden Seiten
sind eben den Informationsfluss zu fördern oder diesen Informationsfluss zu
blockieren. Das heißt, wenn wir uns die erste Zeile anschauen: Wir wollen den
Informationsfluss vom starken zum schwachen Akteur, zum Beispiel von der
Organisation zum Individuum. Das wollen wir fördern, weil der Starke dadurch, dass
er Informationen preisgeben muss - über sich, über seine Verarbeitung und so weiter,
in dieser Informationsasymmetrie, der Machtasymmetrie schwächt. Und weil die
einzelne Person damit Informationen erlangt, was damit passiert, wird die Person
gestärkt. Das nennen wir Transparenz, das nennen wir Informationsfreiheit. Das zu
blockieren, das heißt, dass die großen Organisationen nicht sagen müssen, was sie
gerade damit tun, welche Daten sie haben, das nennt sich Arkanpraxis. Für die
RollenspielerInnen unter euch, Arkan - die Magie, Arkan heißt einfach nur geheim. Es ist
unklar was da was da getan wird. Anders herum ist der Informationsfluss von
schwachen Akteuren zu starken Akteuren. Wenn wir den fördern, dann nennt man das
Verdatung. Ist jetzt nicht der Fachbegriff, aber der, den man auch so kennt.
Also die Verdatung, überall Sensoren, alle möglichen
Handlungen, die im Digitalen stattfinden werden protokolliert und so weiter. Und
wenn man diesen Informationsfluss aber blockiert und den unter Bedingungen stellt
dann sind wir beim Datenschutz. Das ist die Struktur. Wie ihr jetzt erkennt
sozusagen von rechts oben nach links unten. Also Arkanpraxis und Verdatung,
das ist das was wir in totalitären Staaten und so weiter sehen. Und das ist auch das,
was wir sehen wenn wir Diskussionen mit großen kommerziellen Organisationen
führen. Nein, wir wollen nicht erzählen was wir machen, wir wollen aber alles über dich
wissen. Es ist immer die Richtung und die andere Seite, das ist sozusagen die rote
Diagonale ist genau das, was den Starken noch stärker macht und den Schwachen noch
weiter schwächt. Die andere Richtung, die Grüne, ist genau das, was den Starken
schwächt und den Schwachen stärkt. Nämlich Transparenz und Informationsfreiheit
bezüglich der Starken und den Datenschutz bezüglich der Schwachen. An dieser Stelle
ein kleines Dankeschön zum Beispiel an OKF und Frag den Staat und so weiter. Oder
beim Datenschutz andere Organisationen wo ich zum Beispiel auch aktiv bin. Das heißt
man merkt das ist überhaupt gar kein Widerspruch an der Stelle. Die Frage ist
nur wer muss transparent sein und wer soll nichts von sich preisgeben oder so wenig
wie möglich von sich preisgeben. Deswegen erklärt sich auch das Mysterium für manche
warum wir zum Beispiel einen Bundesbeauftragten für den Datenschutz und
die Informationsfreiheit haben, warum das zusammen gehört, genau deswegen gehört das
zusammen.
Warum gibt's aber auch Meinungen für weniger Datenschutz. Na ja klar
Datenschutz kostet Ressourcen: finanziell, personell, konzeptionell. Man muss das
Thema anders planen, anders umbauen und so weiter. Aber auch verhindert der
Datenschutz Informationsnutzung, Das ist der Zweck der Sache, trotzdem ist es
ein Argument. Das heißt, bestimmte Geschäftsmodelle gehen nicht mehr und
so weiter. Für staatliche Aufgaben werden Daten benötigt und wenn die Daten nicht
fließen können, dann werden bestimmte staatlichen Aufgaben schwieriger oder
auch wirtschaftliche Tätigkeiten werden erschwert. Das ist zwar richtig, aber es
ist kein neues Problem wenn man über Gesellschaft nachdenkt. Gleiches gilt
natürlich für Hygieneregeln, Sicherheitsvorschriften,
Kinderarbeitsverbot, Arbeitnehmerrechte, Umweltstandards und so weiter und so fort.
Die kosten auch alle, aber wir haben uns entschieden: Das sind alles Maßnahmen, wo
es darum geht die Schwächeren, die sich schlechter wehren können, die vielleicht
auch nicht das Wissen haben, irgendwie davor zu schützen, dass da jemand
durchagiert und die eigenen Interessen schamlos durchsetzt.
Wem's aufgefallen ist,
ich hab jetzt noch nicht einmal den Begriff Privatsphäre verwendet. Und das
ist ganz bewusst genau der Punkt. Weil Privatsphäre ist immer so eine Idee: Ich
alleine in meinem Schlafzimmer. Der Soziologe Paul Müller nennt das:
"Schneckenhaus-Privatsphäre". Seiner Ansicht nach ist das nur in
vorindustriellen Lebensweisen möglich, wo man tatsächlich sagte: Ich lebe auf dem
Gut hier, und die Leute ein paar Kilometer weiter, die kennen mich noch
nicht einmal. Vielleicht ist das sozusagen diese Art von Anonymität, vielleicht
könnte man da nennen. Aber jetzt tatsächlich, was wir eigentlich wollen,
ist, wenn man sagt, wir brauchen irgendwie Girokonten und so weiter all diese Sachen.
Es geht nicht darum, dass niemand Daten hat, sondern dass die Begrenztheit des
Wissens über Individuen aufrechterhalten wird. Dass es nirgendwo eine Komplett-
Ansicht gibt oder dass bestimmte Akteure immer nur genau das wissen, was sie
eigentlich wissen sollten und man kann natürlich diskutieren wie viel das denn
sein soll. Wilhelm Steinmüller, einer der Ur-Ur-Urgestein Müller, könnte man sagen,
des Datenschutzdiskurses formulierte das so: "Es geht nicht um Privatsphäre, es
geht darum, eine Technik sozial beherrschbar zu machen." Und welche
Grundrechte werden berührt von dieser Datenverarbeitung? Nicht nur Grundrechte
auf Privatleben, was zum Beispiel Artikel 7 der Europäischen Grundrechtecharta ist,
sondern eigentlich quasi alle. Wenn ihr dran überlegt, so was wie Meinungsfreiheit
Informationsfreiheit, so Fragen wie Demonstrationsfreiheit, Würde
des Menschen, das könnte man alles durchbuchstabieren. Eigentlich könnte man
sagen: Der Datenschutz ist so eine Art digitale Dimension aller
Grundrechte. Und das jetzt auf Privatsphäre zu reduzieren, da
ist was Richtiges dran, aber es verengt den Blick doch radikal, worum es
eigentlich geht.
So, wie gehen wir damit jetzt irgendwie um?
Operationalisierung:
Wie können wir diese Ideen mit stark und schwach, wie können wir da irgendwie
Anforderungen daraus bauen? Wie können wir da Dimensionen daraus kristallisieren? Das
haben diverse Menschen getan und sind zu einem Ergebnis gekommen, zu sagen, wenn es
um Datenschutz geht, dann müssen informationsverarbeitende Systeme
bestimmte Schutzziele verfolgen. Und die Schutzziele sind Nichtverkettbarkeit,
Vertraulichkeit, Intervenierbarkeit, Transparenz, Verfügbarkeit und Integrität.
Das ist sozusagen: Diese Ziele, auf diese Ziele hin kann man alle technischen Geräte
oder alle technischen Systeme oder informationstechnischen Systeme hin
analysieren und kann sehen, inwiefern sie diese Ziele umsetzen. Weil diese Ziele
genau die Werte, die wir eben besprochen haben, realisieren, kann man die
analysieren. Nichtverkettbarkeit heißt, bestimmte Informationen, die erhoben worden
sind für verschiedenste Zwecke, die eben nicht zu verbinden, Informationen nicht
einfach so irgendwo kaufen zu können. Wir reden jetzt über Datenschutz, nicht
Datenschutzrecht. Nicht einfach so kaufen zu können und die zu verbinden,
zum Beispiel nicht Daten zu erheben, die für den eigentlichen Geschäftszweck oder
eigentliche Handlungen gar nicht notwendig sind, das zu beschränken an der Stelle.
Integrität, die Unversehrtheit der Daten, das heißt, dass sie nicht verändert
werden, dass ich mich darauf verlassen kann, die Daten, die ich übermittle oder
die erhoben werden, dass sie tatsächlich so bleiben und an der Stelle zum Beispiel
korrekt bleiben. Verfügbarkeit heißt an der Stelle, dass ich die Systeme eben
nutzen kann. Wenn ich mich darauf verlasse dass ich diese Routenplanung habe und die
wollen von mir irgendwie Geld haben dafür, dass ich das nutzen kann usw., dann will
ich natürlich auch, dass es funktioniert. Weil ansonsten ist es ja ein schlechter
Handel. Transparenz bezieht sich darauf, nicht nur welche Daten vorliegen, sondern
auch wie funktionieren eigentlich die Prozesse? Was sind denn die Zwecke der
Verarbeitung? Wie funktioniert denn die ganze Innerei? Was passiert da? Was sind
eigentlich die Nebenkonsequenzen? Es gibt ja einmal die intendierten Resultate und
Konsequenzen und dann gibt es eben auch die Unintendierten. Und genau das muss
irgendwie für mich einsehbar sein.
Intervenierbarkeit ist ein Schutzziel, das
sagt eben: Na ja, also wenn Daten eben nicht korrekt sind und das System rechnet
weiter, egal ob es meine Kredite sind oder ob ich jetzt irgendwie einen Tisch bekomme
oder ob ich ein Haus bekomme oder so. Es muss natürlich auch möglich sein, dass
dieses System, wenn man Fehler in dem System erkennt, zu sagen: Stopp, ich
möchte, dass sich das ändert. Ich möchte, dass die Daten zum Beispiel berichtigt
werden oder aber ich möchte, wenn ich feststelle, dass dieses System
diskriminierend ist. Ich möchte, dass das System so gebaut ist, dass ich irgendwas tun kann als
Betroffener, dass das aufhört. Es reicht ja nicht zu sagen: Ja, also, wir sind
total transparent. Aber dadurch, dass wir die Stärkeren sind, kannst du einfach
nichts tun. Man muss ja irgendwo sozusagen den Notausschalter ist jetzt übertrieben,
natürlich.
Und als letzten Punkt, die Vertraulichkeit. Das heißt, die
Informationen, die ich denen, die da für mich irgendwie Service anbieten, die ich
gebe, da möchte ich auch sichergehen, dass sie nirgendwo anders hingehen, dass die
genau da bleiben und genau dafür verwendet werden. Aber Vertraulichkeit ist, dass sie
genau da nur bleiben und niemand Unbefugtes darauf Zugriff hat. Jetzt kann
man sagen: Na, interessant, Nichtverkettbarkeit, Transparenz und
Intervenierbarkeit, da sagt man so, das hat den Primat des Datenschutzes und die
Aufmerksamen unter euch merken: Ach, interessant die anderen drei, das ist das
Primat der Datensicherheit. Das heißt, wenn man aus dieser Sicht auf Datenschutz
blickt, erkennt man das, dass nicht Datenschutz so ein Unterteil von
Datensicherheit ist, sondern aus dieser Sicht genau andersrum. Wir erinnern uns,
am Anfang, Datensicherheit, da ging es darum: Wie können denn die Daten, die da
sind ordentlich abgesichert werden und gegen die Hacker und Angriffsszenarien und
so weiter. Ja klar, aber der Datenschutz fragt: Ja, sollten diese Daten denn
überhaupt da sein? Man könnte sich so ein Zwiegespräch vorstellen, wo die
Datenschützerin sagt: Na ja, aber das Datum ist nicht korrekt, was da
gespeichert ist. Und die IT- Sicherheitsabteilung: Ja ja aber das ist
richtig gut beschützt. Da merkt man, das ist ein Konflikt, das ist nicht das
Gleiche. Genau, das sind so die Schutzziele und die kann man tatsächlich
verwenden. Und es ist auch nicht parallel, sondern diese Schutzziele kann man sehen,
das ist ein Beitrag von 2013 schon, dass diese Schutzziele des Datenschutzes
tatsächlich auch mit dem Recht, was gesprochen worden ist, vereinbar sind. Das
heißt, es ist nicht komplett alles umgesetzt, aber es ist eben auch kein
Widerspruch. Wir erinnern uns hier wieder, Datenschutz und Datenschutzrecht ist eben
nicht das Gleiche.
Okay, das war jetzt so der Durchritt erstmal für die Grundlagen
an der Stelle und jetzt kommen wir zu den Nicht-Lösungen. Das sind quasi so ein paar
Kommentare, die ich mir jetzt so noch erlaube.
Okay, also erstmals: Der
Selbstdatenschutz, ganz beliebt insbesondere in Verbindung mit der
Blockchain. Okay, das spare ich mir jetzt. Also wenn das Datenschutz-Konzept ernst
genommen werden soll: Wir überlegen uns, schwache, starke Akteure, Möglichkeiten
transparent, und so weiter. Wie soll denn Selbstdatenschutz da aussehen?
Wie kann mein Selbstdatenschutz aussehen, wenn ich eine innerorganisationale
Datenverarbeitung habe? Wie kann ich denn bei Facebook selbst Datenschutz machen?
Also außer, wenn ich da bewaffnet reingehe, aber das ist jetzt nicht
wirklich eine skalierende Lösung, neben den ganzen anderen Problemen.
Bin gegen Gewalt übrigens.
Oder die Erinnerung: Warum haben wir Datenschutz? Datenschutz haben
wir eben nicht weil es eine Rechts-Vor-Links-Regel ist im Straßenverkehr, wo die beiden
gleich stark sind. Nein, wir haben Datenschutz genau deswegen, weil sie eben
nicht gleich stark sind. Da jetzt den Schwachen zu sagen: Du kannst doch selbst
Datenschutz machen. Wenn man wirklich verstanden hat, wie Datenschutz
funktioniert, ist es zynisch, das vorzuschlagen. Das ist genau dem
Verprügelten zu sagen: Ja, du musst dich ja nur wehren. Es gibt überhaupt keinen Sinn.
Da kann man sich ja vorstellen, in den Situationen, wann braucht man oder
wann ist Datenschutz genau notwendig wenn es um Kredit- oder Grenz- oder Einkaufs-
oder Durchsuchungssituationen geht? Polizeiliche Identitätsfeststellung oder
an der Grenze: Geben sie Daten raus und so weiter oder nicht. Das sind genau die
Fälle, da kann man sich überlegen, wie man irgendwie Flüchtenden an der Grenze sagt:
Na ja, du kannst ja Selbstdatenschutz machen, du musst dein Handy nicht
rausrücken. Das ist ein Riesenproblem. Genau darum gehts. Starke und schwache
Akteure, das irgendwie anzugreifen und eben nicht zu sagen: Ja, mach doch selber.
Und das heißt, da muss man dann auch sagen, danke eben auch an Jörg Pohle für
diesen Hinweis, Facebook hat gar keine Datenschutzeinstellungen. Facebook hat
Einstellungen. Facebook, ich sage jetzt mal $SocialNetwork, da gibt's
Einstellungen, welche anderen User Daten sehen, und welche anderen User da
irgendwie interagieren können. Es gibt aber keine Einstellungen, was Facebook
damit macht. Man kann da manchmal so ein bisschen dran rum regeln, aber die
Einstellung, wie lange Facebook irgendwelche Sachen speichern soll oder
nicht, die gibt's eben nicht oder welche Verknüpfungen es da geben soll.
Wenn man Datenschutz quasi ernst nimmt, ist das so ein Punkt. Und natürlich, das ist ja auch
irgendwie bei Mobiltelefonen und so weiter, da gibts dann immer
Datenschutzeinstellungen. Es fühlt sich irgendwie so gut an, aber das ist gar
nicht Datenschutz, was es da ist. Wenn irgendwie bei bestimmten Mobiltelefonen
von Google da steht, da halt Datenschutz: Wollen Sie ein Backup machen? Ja, das ist
aber Datensicherheit, das ist nicht Datenschutz. Also es ist was anderes.
Okay, dann gucken wir uns mal Dateneigentum oder Datensouveränität an.
Naja, ein Eigentum, also erstmal Begriffskritik: Eigentum selber, das
Konzept Eigentum ist ein Exklusivrecht auf Sachen. Das heißt also, Eigentum: Entweder
ich habe eine bewegliche Sache, ein Auto, ein Fahrrad oder sonst was oder
unbewegliche Sachen wie Immobilien. Dann heißt das, ich kann darüber exklusiv
verfügen. Und genau darauf ist die gesamte Rechtsordnung auch ausgelegt. Wenn ich
sage Daten sind Eigentum, dann merkt man schon an dem Konzept: Okay, wenn es
Eigentum ist, dann kann es auch gestohlen werden. Da kann man sich überlegen.
Datendiebstahl, sind die Daten jetzt weg? Nee, sie sind ja noch da. Okay, was ist
denn jetzt das Problem? Das Problem bei Diebstahl ist ja nicht, dass man danach
zwei Fahrräder hat, sondern, dass man keins mehr hat.
Vereinzeltes Lachen
Also, es ist eine Frage wie groß
der eigene Keller ist. Aber ihr merkt an der Stelle, das ist schon vom Konzept her
merkwürdig. Aber der nächste Punkt ist: Okay, Dateneigentum, dann haben wir das
alles, und unser Dateneigentum und wir können natürlich unsere Daten dann eben
verkaufen und kriegen auch davon was ab, von dem schönen Kuchen. Jetzt kann man
natürlich gleich eine große Diskussion anzureißen, ich will da
nicht einsteigen. Ist es tatsächlich die 3 Euro pro Monat an alle Facebook-Userinnen
und -User wert, dafür Wahlmanipulationen ganzer Gesellschaften und Diskriminierung
an unserer Gesellschaft zu ermöglichen? Was ist denn das für ein komischer Handel
an der Stelle? Man merkt da, da haut was nicht hin und mehr ist es ja nicht. Dieses
Geld entsteht dadurch, dass es so viele User gibt, weil es so super gut skaliert.
Das heißt, die einzelne Person hätte genau von diesen 3 und meintewegen mögen es auch
30 Euro sein tatsächlich in diesem Vergleich gar nichts. Also offensichtlich
haben wir hier ein größeres Problem.
Man könnte auch wieder sagen: "Ach
interessant, Dateneigentum, das unterstützt wieder nur die starken
Akteure, die werden bevorzugt". Tatsächlich ist es wieder ein Freikaufen,
wenn man sagt, ich hab nicht die Notwendigkeit meine Daten zu verkaufen,
ich kann die bei mir behalten. Dateneigentum ist doch schön, jeder ist
selbst irgendwie verantwortlich, die Souveränität des Einzelnen oder der
einzelnen Person. Aber wie gesagt, das ist freikaufen: Wenn ich das Geld habe dann
bin ich drauf nicht angewiesen, ansonsten musste ich mich quasi ausliefern an der
Stelle. Klassisches Beispiel bei der Autodatenübermittlung, wenn ich mich recht
erinnere, bei Mercedes ab irgendeiner Klasse gehen dann keine Daten mehr raus,
weiter oben. Weil klar ist: Die Käuferinnen und Käufer weiter oben, die
mögen es gerne wenn die Daten - was im Auto passiert bleibt auch im Auto.
So, aber darunter halt nicht. Oder man kann sich auch überlegen an der Stelle: Smart-
TV-Daten, inwiefern da so eine Datensouveränität vorherrscht, wenn man
irgendwie einem alleinerziehenden Elternteil sagt: "Ja, du bist total
datensouverän, du kaufst dir hier einen Fernseher irgendwie für 500 Euro, oder
250, wenn du alle Daten rausleitest. Kann man sich ja überlegen, wie datensouverän
dann eine Person agiert. Nächste Frage: Wenn Daten Eigentum sind, wem gehören denn
Kommunikationsdaten oder Bilddaten, wo mehrere Leute dran beteiligt sind, und so
weiter? Hinten und vorne Probleme, Probleme. Das ist so ein bisschen unklar,
welches Problem da wie gelöst wird. Es ist natürlich wieder die Abwälzung auf die
einzelne Person. Man könnte auch genauso sagen, "Hygienesouveränität" könnte man ja
auch sagen. Man geht halt irgendwie in eine Küche und wir haben halt keine
Hygieneregeln, du kennst dich doch bestimmt aus, gehst dann erst einmal
irgendwie hinten rein, ob die Küche dir sauber genug ist oder nicht. Du weißt gar
nicht, wonach du gucken sollst? Naja, Pech gehabt. Das ist die Art von Souveränität,
die da proklamiert wird bei Dateneigentum und Datensouveränität. Das ist genau
wieder die Souveränität des Stärkeren.
Okay, dann kommen wir noch, als Punkt,
verbunden mit der Datensouveränität: Ich habe es dann mal Einwilligungsfetisch
genannt. Das ist immer so ein Rückgriff auf das Grundrecht auf informationelle
Selbstbestimmung, was ich total großartig finde, aber es reicht eben nicht aus.
Warum reicht das nicht aus? Naja, Einwilligung heißt, alle mögliche
Datenverarbeitung, da werde ich vorher gefragt, ob sozusagen meine Daten
verarbeitet werden dürfen für bestimmte Zwecke, und jetzt ist die Frage: Was ist
denn das Problem an so einer Einwilligungsfrage? Erstens, da gibt es
zwei Möglichkeiten: Entweder es gibt eine Informationsasymmetrie oder eine
Machtasymmetrie, wo man das Problem sieht. Informationsasymmetrie heißt: Ich habe da
eine Einwilligung, die ich geben muss, und ich habe daneben 150 Seiten AGB, die ich
jetzt lesen muss, um dann irgendwie ordentlich einzuwilligen. Da sagen
natürliche Organisationen, insbesondere Konzerne: "Ja, ist doch super, und leider
auch in der DSGVO, dann machen wir irgendwelche Symbole, die das anzeigen, wo
es dann einfacher ist für die Personen, das irgendwie lesen zu können und das
verstehen zu können. Dann können wir vielleicht einfache Sprache machen, und,
im Endeffekt, wir versuchen es ganz ganz ganz ganz dolle, und wenn alle
Organisationen des Planeten es ganz dolle versuchen und die Leute es immer noch
nicht verstehen, dann sind die Leute... also jedenfalls, wir haben uns ganz doll
bemüht. Das heißt, dass der Druck, oder der Handlungsdruck, wenn man das Problem
der Informationsasymmetrie sieht, liegt wieder bei der einzelnen Person. Die trägt
wieder die Last des "Sich-Ordentlich- Informieren-Müssens". Wenn man allerdings
sagt "Naja, das ist eine Machtasymmetrie", was ich vorhin gesagt habe bei der
Datensouveränität, wann kann man zustimmen, wie sind eigentlich die,
was ich gesagt habe
Netzwerkeffekte? Welche Probleme entstehen denn da auch für andere Menschen, wenn ich
sage, ich habe die Google AGB für Google Mail verstanden und ich habe den
zugestimmt, dann habe ich natürlich auch für alle anderen, die mir jemals danach
eine Mail schreiben wollen auch noch mit zugestimmt. Das heißt, es ist gar kein
Informationsproblem, das ich nicht verstanden hätte, was irgendwie in den AGB
drin stand, sondern das liegt in der Natur der Sache der Vernetzung, dass ich das für
alle anderen mit entschieden habe. Oder aber wenn es halt beim Elternabend heißt
"Unsere Facebook-Gruppe hat sich das und das gedacht", und dann hat eine Person
kein Facebook , oder so weiter. So ganz viele Fragen, soziale Rahmenbedingungen,
genauso finanzielle Abhängigkeiten. Man kann ja eben sagen, ja diesen Dienst, bei
der Souveränitätsfrage, ja, "du kannst ja gerne diesen Service, du kannst ja
einwilligen oder aber es kostet was und dann nehmen wir weniger Daten". Man merkt,
wenn man es auf diese Machtasymmetrie stellt, auf einmal ist es nicht so einfach
nur unsere AGB besser schreiben, sondern eigentlich brauchen wir harte obere
Schranken, das heißt, aka. Regulierung, das heißt bestimmte Informationsnutzung darf
einfach nicht möglich sein. Wie gesagt, wir haben es aktuell mit der Manipulation
ganzer Gesellschaften zu tun, auch Gewaltverbrechen die aufgrund von, und so
weiter. Irgendwo muss man da fragen, offensichtlich liegt's nicht daran, dass da
irgendwie die AGB nicht gut lesbar sind. Ok, dann, Zielgerade, langsam die
Algorithmenethik, nur kurz angeschnitten. Ich bin ja noch länger hier.
Algorithmenethik, ja, das ist so eine Mischung, Algorithmen, die ethisch sein
können oder nicht ethisch sein können. Also erstmals, Algorithmen sind selber ja
keine Akteure. Organisationen sind Akteure und die wenden Algorithmen an. Das heißt
man kann natürlich genauso bei 'ner Algorithmenethik fragen, was ist denn die
Zementethik? Wie verwendet man Zement? Die Frage muss man dann überall stellen, weil
die Akteure natürlich genau wissen, welche Algorithmen sie verwenden und welche
nicht. Sie haben nämlich Zwecke, wenn das, was Ihre Interessen sind, davon unterstützt
wird, dann werden sie eingesetzt, und deswegen macht man ein A/B-Testing, wenn
es die Zwecke nicht unterstützt, wird etwas anderes verwendet. Und wenn man dann
sagt, na ja, das ist doch eine ethische Frage, naja das ist nicht wirklich eine
ethische Frage, es ist eine Verantwortungsfrage, na klar, aber Ethik
ist nicht das ganz Richtige. Wenn man sagt, ja, aber so Algorithmen, die sind
alle so kompliziert, und wir verstehen es vielleicht gar nicht mehr, bei irgendwie
künstlicher Intelligenz und so weiter, kann man sich ja überlegen, wie es beim
Hundeverhalten ist. Die Hundehalterin oder Hundehalter steht natürlich dafür gerade,
was der Hund tut, egal, ob der jetzt, aus welchen Gründen das getan worden ist.
Irgendwer muss es ja, bei irgendwem muss ja die Verantwortung sozusagen liegen. Und
die Algorithmen setzen also keine Zwecke, sondern sie sind Mittel, um Zwecke
umzusetzen, das heißt wenn man überhaupt über irgendwas spricht, dann muss man
irgendwie über Unternehmensethik reden, und wie erfolgreich sowas ist, kennen wir,
glaube ich, seit Anbeginn des Kapitalismus. Okay. Also die konkrete
Frage wäre, anstatt über Algorithmen-Ethik zu sprechen, wäre zu sagen, wir haben doch
gerade etwas über Schutzziele gelernt. Können wir denn nicht einfach diese
Schutzziele auf alle möglichen Informationsverarbeitung-Systeme anwenden?
Ja, natürlich können wir das und es gibt auch sehr viel, also nicht sehr viel, aber
es gibt eine Menge gute Forschung dazu, z.B. Unabhängiges Landesdatenschutzzentrum
Schleswig-Holstein und so weiter. Aber komischerweise sind da die
Ergebnisse ja, "das muss reguliert werden", "das müssen wir einzäunen", und
so weiter. Aber das schlägt man immer so ungern den Konzernen vor, das ist immer
so, das ist ein bisschen problematisch an der Stelle. Das heißt, man kann da viel
drüber nachdenken über maschinen-lesbare Policies irgendwie, sozusagen KI-KI-
Prüfsysteme, und so weiter. Aber das Problem dabei ist, dass die Ethik so
folgenlos und so schön sanktionslos bleibt. Eine Ethik ist das, was man so tut. Das wäre so
ein Thema "es wäre schön, wenn". Und tatsächlich, wenn wir uns sozusagen unsere
Welt so angucken, die verdatete Welt ist eigentlich, dieses "wäre schön, wenn" ist
schon lange darüber hinaus. Okay, das heißt also, die Ethik ist schon in Ordnung
und der Ethik-Diskurs ja, aber die Umsetzung des Rechts selber, die hängt
hinterher. Und das ist so ein Punkt. Also die Situation ist, ich habe es mal ein
bisschen provokant geschrieben, die Massen-Manipulation, -Überwachung und
-Unterdrückung ist sozusagen der Punkt. Okay, das überspringen wir mal.
Also, wen es interessiert, z. B. auch Ben Wagner hat dazu auch neulich geschrieben, ich pack es
einfach in die Folien an der Stelle, also es bleibt da drin: Inwiefern Ethik die
neue Selbstregulierung ist. Unternehmen sagen: "Ja, bitte keine Regulierung, wir
verhalten uns ethisch und wir haben Ethik- Kodizes" und hinten und vorne und so
weiter. Und wenn man sich die letzten Facebook-Veröffentlichungen z. B.
anschaut, wer sagt, mit ethischen Diskursen sollen die Unternehmen nochmal
doller darüber nachdenken, was sie tun und was die Konsequenzen sind, dann der Person
empfehle ich tatsächlich sehr stark, diese Veröffentlichung der internen E-Mails
jetzt mal anzuschauen, die wissen ganz genau, was sie tun, das ist, also das ist,
da kann man nicht drüber reden, da muss man einfach sagen, das ist ein
Interessenskonflikt und unsere Werte sind so und deswegen machen wir das halt.
Okay, dann kommen wir zum Fazit. Also 1. Datenschutz zwingt Organisationen dazu,
bei der Gestaltung ihrer Datenverarbeitung die Interessen der Betroffenen zu
beachten. Das heißt, durch Datenschutz sollen sie Dinge tun, die sie von sich aus
nie tun würden, wir erinnern uns: Hygieneregeln, Sicherheitsvorkehrungen und
so weiter, das würden sie von sich aus jetzt erst einmal nicht wollen, weil die
Marktlogik eine andere ist und so weiter. Aber mit Datenschutz bringt man eben dazu,
Löschfristen und so weiter, die DSGVO könnt ihr euch angucken. Dann auch als
Betreiber solcher Systeme muss man sich immer vor Augen halten, die Rechte der
Betroffenen, so nervig sie vielleicht sein mögen, wenn man selber AnbieterIn ist,
sind immer die Pflichten der Verantwortlichen. Das heißt, das ist ein
Interessenkonflikt, wenn man sagt, ich möchte das alles nicht dokumentieren und
so weiter, dann heißt es, mir sind die Interessen und die Rechte der Anderen
davon egal, und das sollte nicht so sein. Dann, individuelle Privatsphäre, das habe
ich schon gesagt. Dann als letzten Punkt, Fokus auf personenbezogene Daten ist
offensichtlich problematisch, man kann Leute auch mit nicht-personenbezogenen
Daten diskriminieren und es gibt aber auch Nutzungen von personenbezogenen Daten, die
unproblematisch sind. Was man bräuchte, ist eine Analyse von Datenverarbeitung,
die einfach schaut, Datenverarbeitung, egal welche Daten die verwenden, da
verwendet werden. Was sind die Konsequenzen für die Betroffenen und die
Einwilligung ist weder hinreichend für individuelle und noch für
gesellschaftliche Schutzfunktionen: da müssen wir tatsächlich über diese harten
Grenzen nachdenken, ansonsten kommen wir da nicht weiter. Und als allerletzten Punkt
kann man sagen, die Techis unter uns sagen ja immer Alice und Bob, die reden
miteinander und dann gibt es Malary, die greift an und beim Datenschutz muss man
immer sagen, Achtung, Angreifer! Angreifer ist nicht Malary, Angreifer ist Bob,
nämlich die andere Seite, die die Daten kriegt, was sie damit tut.
Okay, dankeschön.
Applaus
Herald: Ja, danke Rainer für deinen interessanten Vortrag. Wir haben zwei
Mikrofone, eins auf der Seite in der Mitte des Saals und eins im Mittelgang: Nr. 1 und
Nr. 2. Wenn ihr Fragen stellen möchtet, dann könnt ihr euch an diesen Mikrofonen
aufstellen und eine Reihe bilden oder zwei Reihen bilden. Wenn ihr jetzt gehen müsst,
tut das bitte leise und auf jeden Fall nicht störend. Und ja, dann würde ich mal
sagen: Mikrofon 2.
Frage: Vielen Dank für den interessanten Vortrag. Wie sieht es
aus, wenn wir plötzlich andere Machtverhältnisse haben? Das heißt, wir
haben Peer-to-Peer-Systeme. Da haben wir auf der einen Seite dann alle auf der
gleichen Ebene oder auch nicht, aber doch prinzipiell ist es möglich. Und gerade
diese Peer-to-Peer-Systeme ermöglichen ja gerade diese mächtigen Daten-Intermediäre
zu umgehen. Oder was ist jetzt bei Fällen, wo wir sagen, wir haben jetzt gar nicht
den starken Datenverarbeiter, sondern wir haben den kleinen Turnverein, wir haben
die Individuen, die plötzlich mit der Datenschutzgrundverordnung konfrontiert
sind und eigentlich gar nicht die Starken sind. Und da sagen wir, passt doch
eigentlich gar nicht.
Rainer: Wollen wir erst mal sammeln oder soll ich gleich..?
Ja, gut, okay. Das ist ein sehr, sehr guter Punkt, gerade diese Peer-to-Peer-
Geschichten, da sehe ich tatsächlich eine ganz, ganz große Chance, wo gerade bei
Peer-to-Peer die Daten verteilt sind, da keine Machtzentren dabei entstehen, da
muss man natürlich bei dem Design aufpassen, dass man es eben nicht so macht
wie irgendwelche Bitcoin-Geschichten, dass dann doch wieder alles zentralisiert wird,
sondern eher so wie GNUnet, wo in das System eingebaut ist, dass es auch dezentral
bleibt. Ich sehe da ganz große Hoffnungen, da muss allerdings sehr viel noch
geforscht und gearbeitet werden, dass solche Sachen dann auch skalieren können.
Aber das kann möglich sein, auf alle Fälle. Da sehe ich überhaupt kein Problem, wenn
man da mal ein bisschen Geld reinsteckt, irgendwie so einen Bruchteil von dem, was
wir in Atomkraft gesteckt haben, mal in Peer-to-Peer-Technologien, aber das
nebenbei. Nee, das sehe ich auch, das wäre auf alle Fälle eine technische
Herangehensweise, wo man natürlich auch wieder diese Analysen machen müsste, aber
das ist auf alle Fälle ein gangbarer Weg und da gibt es auch ganz viele Ansätze
schon, gerade hier auf dem Congress, wenn man mal herumläuft, GNU-Taler und so, da
sehe ich viel Fruchtbares. Bei dem zweiten Punkt, das ist natürlich jetzt eine
rechtliche Frage. Ich gehe trotzdem darauf ein, halte mich aber kurz, weil wie
gesagt, es gab auch rechtliche Talks. Die DSGVO hat so einen überwiegend Risiko-
basierten Ansatz, das heißt, der Verein muss diese Sachen insofern umsetzen, wie
Risiken für die Betroffenen entstehen. Das heißt, wenn der Verein ein multi-
nationales, globales Social-Network betreibt, dann sind die Pflichten sehr,
sehr groß, wenn allerdings da nur die Mitgliederliste geführt wird, dann sind
die Anforderungen da auch sehr viel geringer. Also man muss immer sehen, die
Anforderungen, z. B. diese technischen- organisatorischen Maßnahmen, die müssen
immer angemessen sein. Das heißt, wenn da eine Liste mit 20 Namen sind, dann muss
man jetzt nicht, da reicht jetzt vielleicht nicht irgendwie Caesar-
Verschlüsselung, aber da muss jetzt kein Hochsicherheitssystem da sein; das muss
sozusagen immer entsprechend der Risiken für die Betroffenen. Also ich verstehe
auch die Kritik zu sagen, dass sozusagen diese DSGVO guckt gar nicht, wie groß die
Organisation ist. Oder da ist meine Antwort dabei zu sagen, ja, die DSGVO
schaut aber, wie groß ist das Risiko für die Betroffenen. Und ich glaube, bei
vielen, die sich da sozusagen beschweren, die beschweren sich auch erstens, weil sie
sich nicht vorher damit beschäftigt haben, was sie hätten sollen und zweitens aber
auch, weil da leider sehr viel Angstmache drin war, wie viel Aufwand da tatsächlich
auf Leute zukommt und wie groß die Anforderungen sind. Die Regularien bei
der Datenschutz-Konferenz war ja auch irgendwie erst mal warnen und helfen,
statt abmahnen und so weiter. Also das sind so, genau das ist so meine Antwort.
Also wichtig ist, wie groß ist das Risiko für die Betroffenen und das wird bei
Vereinen immer nicht so groß sein. Also kommt auf den Verein an, also ich meine,
der TÜV ist auch ein Verein, also... Okay, ich hoffe, das hat jetzt geholfen.
Herald: Mikrofon 1, bitte.
Frage: Sie haben jetzt für die Erklärung
'Was ist Datenschutz?' zurückgegriffen auf die Erklärung des
Standarddatenschutzmodells. Gibt es in der Wissenschaft eigentlich auch andere
Ansätze, die gewählt werden zur Erklärung 'Was ist Datenschutz' oder wie weit sind
die Diskussionen da oder gibt es unterschiedlichen Fokus?
Rainer: Also das ist eine sehr sehr sehr gute Frage tatsächlich. Ich finde
tatsächlich dieses Standarddatenschutzmodell - ne
deswegen habe ich es da unten hingepackt - sehr sehr gut und trifft das, was ich als
großes Problem auch ansehe. Es gibt eine Dissertation von Jörg Pohle, der Vierte
von unten, 'Datenschutz und Technikgestaltung', der diskutiert mal die
verschiedenen Ansätze. Es gibt da schon verschiedene Vorstellungen, was ist
überhaupt das Schutzgut und wie kann man dem begegnen und so weiter. Da gibt es
einen großen Dschungel, aber da ist sich auch... also mein Eindruck ist, da setzt
sich zumindest in der deutschen Diskussion oder europäischen Diskussionen da setzt
sich gerade so eine bestimmte Richtung durch. Aber es gibt auch andere Ansätze,
die zum Beispiel, die rückwärts versuchen entlang des Rechtes zu rekonstruieren, was
eigentlich mal das Datenschutzproblem war und die dann immer individualisiert Fragen
stellen und sagen, wie können wir zum Beispiel das Risiko so einfache Rechnung wie das
Risiko der einzelnen Person mal die Anzahl der betroffenen Personen und so könnte man
eben auch an Datenschutz herangehen und dann hat man nur rein individuell
natürlich immer das Problem, was man dann lösen muss. Das funktioniert insofern
nicht, wie wir eben gesehen haben, es kann natürlich eine ganze Menge Leute zu einer
Datenverarbeitung zustimmen, deren Konsequenzen dann alle anderen auch noch
mit trifft. In dem Sinne funktioniert der individualistische Ansatz dann nicht. Aber
da gibt es einen Zoo. Aber ich glaube,
Ich glaube das ist meiner Ansicht nach, das sehr gut begründet ist.
Herald: Das Internet hat eine Frage.
Signal-Angel: Das Internet fragt: Gibt es bzw. kennst du eine politikerverständliche
Übersicht von Chaos-nahen politischen Forderungen bezüglich Datenschutz und
Datensicherheit mitsamt ihren Begründungen?
Rainer: Moment eine was? Eine Politiker kompatible?
Signal-Angel: ...Politikerverständliche Übersicht von Chaos-nahen politischen
Förderungen. Forderungen, Entschuldige.
Rainer: Ja. Naja, ich meine, ich kann zum
Beispiel darauf verweisen jetzt vor 2 Monaten war die Bits und Bäume in Berlin.
Da gab's einen Forderungskatalog. Da spielte auch Datenschutz und
Datensicherheit eine Rolle und auch in der Begründung dabei. Da war zum Beispiel auch
der CCC auch dran beteiligt und das FIfF. Aber andersrum auch
Nachhaltigkeitsorganisationen BUND und so weiter. Das ist sehr kurz und knackig.
Ich glaube das könnte auch verstanden werden und es wäre auch Chaos-Umfeld. Ich glaube
allerdings, also das denke ich jetzt gerade, verschiedene Leute oder auch
verschiedene Politiker*innen haben verschiedene Vorstellungen, was eigentlich
das Problem ist. Deswegen weiß ich noch nicht so richtig, inwiefern so eine
Handreichung verständlicherweise da wirklich helfen würde, die allgemein ist,
sondern eher zu fragen: Was daran ist unklar, um das dann wirklich konkret zu
erklären. Aber mein Eindruck ehrlich gesagt, ich verstehe die Motivation der
Frage, aber mein Eindruck ist so ein bisschen, dieses Unverständnis das hat
eher was mit fehlendem Mut zu tun, mal zu sagen, was weiß ich, wir müssen da jetzt
mal harte Grenzen ziehen. Es hat weniger mit Verständnis zu tun, als mit nicht
verstehen wollen. Da hilft auch eine Handreichung nicht.
Applaus
Rainer: Also die Antworten, was notwendig
wäre, die werden immer, immer klarer, aber das ist glaube ich eine politische Frage.
Und das ist ja auch einer der Gründe, warum wir hier sind, glaube ich.
Herald: Mirkofon zwei, bitte.
Frage: Ich wollte nochmal einhaken, du
hast ja gerade auch bei dem Thema Algorithmenethik sozusagen gesagt, das ist
so eine Stellvertreterdebatte oder bzw. eine Debatte, man will eigentlich nicht
über das Eigentliche reden, nämlich was Regulierung sein soll. Ich würde Dir
insofern zustimmen, dass die Debatte natürlich ablenken soll davon, dass man
nicht weiß, wie man mit Technik umgeht. Ich glaube allerdings, jetzt mal die
Gegenthese, dass man in Deutschland allgemein sehr regulierungswillig ist, in
der Politik was Technik angeht, aber ich glaube, man weiß nicht, was man regulieren
soll. Also du hast mehrfach selber auch so Begriffe wie Massenmanipulation,
Wahlmanipluation genannt, darüber wird unglaublich viel gesprochen. Ich glaube
aber, es hat keiner gerade in der Politik eine Idee, wie man damit umgehen soll und
wenn dann mal so ein Vorschlag wie Botregulierung eingebracht wird, ist es
halt auch Quatsch. Deswegen jetzt meine konkrete Frage: Wie würdest du damit
umgehen? Also ich arbeite selber im politischen Betrieb und überlege mir also auch
immer, wie kann man eigentlich diese Debatten in die richtige Richtung lenken.
Wie würdest du damit umgehen, dass man eben nicht über Algorithmenethik als
Ablenkungsthema redet sondern, dass man sich mit den tatsächlichen Fragen, nämlich
was sind sinnvolle Regulierungen beschäftigt, gerade eben unter dem Aspekt,
dass technisches Unverständnis in großen Teilen leider herrscht?
Rainer: Tatsächlich eine sehr, sehr interessante Frage. Ich glaube, da steckt
noch ein bisschen Arbeit drin, diese, zum Beispiel diese Schutzzielfragen auch mal
wirklich auszubuchstabieren und da gibt es auch Ansätze, zum Beispiel Martin Rost
jetzt gerade für diese KI-Debatte. Wo man konkret fragen kann: können denn bestimmte
Systeme Garantien aussprechen für grundrechtliche Fragen. Ich habe mal so
ein Zitat da rein gepackt, irgendwie so "Deep-Learning-Systeme sind also nicht
prüfbar, nicht evaluierbar, ändern ihre Eigenschaften, liefern keinerlei
Begründung, sind leicht zu manipulieren, willkürlich aufgebaut und immer ungenau."
Das klingt jetzt nach einem coolen System, wenn man Bilder sortieren will, das klingt
nach einem nicht so guten System, wenn man Straßenschilder erkennen möchte und ich
glaube die Aufgabe bestünde darin, diese Fleißarbeit auszubuchstabieren, was zum
Beispiel diese Schutzziele für die einzelnen Systeme und das macht teilweise
das Standarddatenschutzmodell auch schon, diese Ergebnisse zu zirkulieren und da
gibt es tatsächlich gute Arbeiten und ich glaube mittlerweile wäre es sogar möglich,
können wir uns danach nochmal verbinden, dass da vielleicht die richtigen
Informationen an der richtigen Stelle mal landen, weil ich glaube, die sind
mehrheitlich schon da. Es hat immer auch etwas mit erklären zu tun. Aber wenn der
Wille da ist so zu agieren - also eine Regulierwilligkeit sehe ich jetzt nicht so
richtig - aber gut, wenn das tatsächlich so ist, dann müsste man da wahrscheinlich
genau diese Papers, die es dazu gibt und so weiter ein bisschen aufbereiten und
dann an die richtigen Stellen bringen als Hinweise. Wie gesagt, das heißt aber eben
auch, dass bestimmte Akteure dann eben auch etwas abgeben müssen oder nicht mehr
zulässig sind oder bestimmte Geschäftsmodelle nicht mehr möglich sind.
Also wenn Politiker*innen damit einverstanden sind, dann kann man da auch
was machen.
Herald: Mikrofon 1 bitte.
Frage: Hi, ich habe auch eine Frage zu Regulierung: Und zwar aus einer
soziologischen Perspektive ist es so, dass bei Regulierungen immer auch die
Regulierten mitarbeiten. Das läuft im politischen Betrieb ganz oft über Aufrufe
für Comment-Letters, also das Bundesministerium für Verkehr und bla hat
was über Fahrzeugdaten veröffentlicht und die haben sehr sehr dezidiert politische
ökonomische Benefits bei den Herstellern gesehen und dann sind alle aufgerufen
worden innerhalb eines halben Jahres ihre ihre Meinung dazu zu posten. Und bei sowas
haben natürlich starke Akteure die du auch genannt hast, also Techgiants, immer einen
strukturellen Vorteil. Also wenn du dich für eine starke Regulierung aussprichst, hast
du da schon irgendwie Vorstellungen wie man diesen Bias an der Stelle ausschaltet;
also das die starken weiterhin auch privilegiert bleiben selbst wenn es
Regulierungen gibt.
Rainer: Tja, das ist die Königinnenfrage
an der Stelle. Naja, es hat natürlich immer was damit zu tun, wer wird da
befragt, wer hat die Möglichkeiten? Ich kenne es ja selber auch irgendwie: Egal ob
es Sachverständigen Anhörungen sind oder irgendwie Eingaben die gemacht werden
können. Die Firmen schicken ihre Leute in der Arbeitszeit dahin, um das zu tun und
die NGOs gucken halt wo sie ihre Ehrenamtlichen abziehen können, um
vielleicht jemanden... Tja, das ist ein großes Problem. Ich glaube da ist
tatsächlich so eine grundsätzliche.. Da wage ich mir jetzt auch ein bisschen aus
dem Fenster aber so eine grundsätzliche Herangehensweise gefragt. Das betrifft ja
die Frage wie unsere Demokratie funktioniert. Das ist nichts was
irgendwie... ich meine von Diesel bis hin zu... fange ich gar nicht erst an. Das
ist keine Datenschutzfrage sondern eine Demokratiefrage. Und ich weiß nicht.
Da gibts ja ganz viele Ideen: mit Lobbyregister und was es da alles gibt.
Vermutlich müsste man da; wir alle die Aktivitäten in diesen digitalen
Rechtsfragen tätigen. Vermutlich wäre es sogar eine langfristige und nachhaltige,
Keyword, nachhaltige Lösung zu sagen, bei all unseren Aktivitäten nehmen wir 10%
weg und packen die in LobbyControl und so weiter, um diese Strukturen da irgendwie
zu stärken. Das wär mein Eindruck, weil teilweise, wenn man sich anguckt wie so
Digitalrat und KI Enquete usw. zusammengesetzt sind. Klar, wenn ich Leute
vor einem bestimten Hintergrund einlade, ist mir klar, dass ich dann diese Antwort
kriege. Das ist jetzt ein bisschen so Frage: Wie kriege ich mehr Leute aus der
Wissenschaft rein? Und mehr Betroffene, usw.? Und deswegen tut es mir leid, dass
es vielleicht eine nicht so hilfreiche Antwort ist, aber ich glaube das eine ist
eine Demokratie Frage und da gibts jede Menge zu tun! Und auch deswegen sollte uns
das interessieren, weil ansonsten unsere ganze Arbeit da auch teilweise ins Leere
läuft, weil dann eben das kaputte System das alles wieder auffrisst. Das glaube ich
so ein Punkt.
Herald: Ich merke, die Diskussion, die
brennt. Leider läuft uns die Zeit ein bisschen davon. Wo finden dich die Leute
hier auf dem Kongress?
Rainer: Ihr findet mich entweder unter
dieser E-Mail-Adresse oder aber z.B. am FIfF-Stand, hier CCL, nullte Etage.
Hier drunter. Ich werde danach
einfach auf den Knopf drücken und runterfahren, dann findet man mich da.
Gelächter
Dankeschön
Herald: Genau. Applaus.
Applaus
35C3 Outro Musik
Untertitel erstellt von c3subtitles.de im Jahr 2020. Mach mit und hilf uns!