Jusletter IT

Nach einer verbreiteten, technisch ausgerichteten Umschreibung bedeutet Big Data der «Einsatz grosser Datenmengen aus vielfältigen Quellen mit einer hohen Verarbeitungsgeschwindigkeit zur Erzeugung wirtschaftlichen Nutzens».¹ Bezweckt wird mit Big Data die Sammlung und Auswertung umfassender Datenbestände verschiedenster Herkunft in Hochleistungsdatenbanken.²

Bisher hat sich das rechtliche Schrifttum mit Big Data kaum beschäftigt; erst in den letzten Monaten finden sich erste Beiträge zu Big Data, die insbesondere deren Problematik mit Blick auf die Datenschutzgesetzgebung thematisieren. Bezug genommen wird dabei auf schon heute für das Datenschutzrecht schwierige Erscheinungen wie das «Data Warehousing» und das «Data Mining»; Datenschutzrechtler sehen bei Big Data eine Verschmelzung dieser beiden Erscheinungsformen mit den weitreichenden Möglichkeiten des «Cloud Computing».³

Big Data erlaubt insbesondere detaillierte Datenanalysen. Für solche Analysen ist die Art der Daten (z.B. Text, Bild, Video) irrelevant; ebenso kommt es nicht auf die Qualität der Daten an (z.B. strukturierte oder unstrukturierte Daten). Schliesslich spielt die Herkunft der Daten (z.B. unternehmensintern oder extern aus verschiedenen Quellen generiert) keine Rolle; es lassen sich insbesondere auch Daten, die im Internet frei zugänglich sind (z.B. aus sozialen Netzwerken), heranziehen.⁴ Die Entwicklung neuer Analyseinstrumente (etwa Hadoop als verteiltes Filesystem mit Prozessoren zur Suche von Daten in einem grossen Datenbestand) unterstützt die praktische Nützlichkeit von Big Data.

Bereits heute sind die Einsatzzwecke für Big Data-Anwendungen vielfältig: Im geschäftlichen Bereich stehen Analysen mit Blick auf die Einsatzplanung von Personen, die Früherkennung bzw. Fehlerkennung von Markttrends oder die «Competitive Intelligence» im Vordergrund.⁵ Anwendungsbereiche im privaten Bereich sind etwa elektronische Gesundheitsdaten oder Kreditinformationen.⁶

Die erhebliche quantitative Veränderung der Datenverarbeitung durch Big Data hat zweifelsfrei auch qualitative Veränderungen zur Folge; mit der Analyse einer viel grösseren Zahl von Daten steigen tendenziell die Datenschutzrisiken, was eine Verbesserung der IT-Sicherheitsinfrastrukturen notwendig macht.⁷ Insbesondere hat die durch Big Data neu geschaffene Form der ökonomischen Wertschöpfung mittels Datenauswertung und Datenzugriff im privaten Bereich und im öffentlichen Sektor zur Folge, dass nicht nur die übliche Erstverwendung, sondern verstärkt auch die Zweitverwendung von Daten gewisse Risiken zu verursachen vermag.⁸ Nicht übersehen lässt sich aber, dass vorerst noch gesicherte empirische Grundlagen fehlen, welche das Datenschutzrisiko durch Big Data konkret belegen.

Neue Analysemethoden von Daten setzen voraus, dass die Daten genau gesammelt, aufbewahrt und verwendet werden; je grösser die Anzahl an Datenbeständen ist, umso wahrscheinlicher treten dabei auch mehr «Messfehler» auf, doch erscheint es gleichzeitig als plausibel, dass kleinere «Messfehler» bei viel ausgedehnteren Datenanalysen weniger problematisch sind. Immerhin lässt sich nicht übersehen, dass die Verfügbarkeit von mehr Daten nicht zwingend bedeutet, dass deren Verarbeitung zu mehr Einsicht führt; wie allgemein bei Informationen kann der Umfang des Datenbestands entweder zu Konfusionseffekten (Unklarheiten wegen Prioritäten) oder zu Kassandraeffekten (fehlende Bereitschaft, die Informationen zur Kenntnis zu nehmen) führen.⁹

Die Datenanalysen durch Big Data stellen zudem einen Schritt weg von der herkömmlichen Kausalitätsdiskussion dar: Im Vordergrund steht bei Vorliegen einer umfassenden Datenverfügbarkeit nicht mehr die Frage nach dem «warum», sondern die Frage nach dem «was».¹⁰ Das Schrifttum spricht deshalb von einer Entwicklung, die von der Kausalitätsdiskussion weg führt zum Konzept der Korrelation.¹¹

Big Data zeichnet sich dadurch aus, dass eine grosse Datenaggregation stattfindet, die es erlaubt, aus an sich reinen Sachdaten auch Schlüsse auf Personen zu ziehen.¹² Big Data macht Datensammlungen «more granular, more revealing, and more invasive».¹³ Die Möglichkeit, aus Sachdaten letztlich ein Personenprofil zu erstellen, führt zu einer Situation, die als «database of ruin» bezeichnet wird.¹⁴

Datenschutzgesetze basieren auf dem Konzept der Erfassung von Personendaten. Mit Big Data verursacht indessen auch die Analyse von Sachdaten, die einen Personenbezug zulassen, einen datenschutzrechtlichen Handlungsbedarf. Die Konkretisierung der Anwendung vorhandener Normen ist aber komplex, weshalb zum Teil resigniert festgestellt wird, Big Data liege im «datenschutzrechtlichen Niemandsland».¹⁵

Eine zusätzliche Problematik mit Blick auf die Anwendung von Datenschutzgesetzen liegt darin, dass die Technik andere Klassifizierungen verwendet als das Datenschutzrecht mit den Personen- und Sachdaten. In der Technik wird z.B. differenziert zwischen «human-generated data» und «sensor-generated data» (Internet of Things, Geo-Informationen). Eine Parallelisierung der Begrifflichkeit ist kaum möglich.

Big Data ist regelmässig als strukturierte Datensammlung ausgestaltet, der entsprechende Begriff von Art. 11a DSG ist mithin erfüllt.¹⁶ Ausschlaggebend für die Anwendung des DSG ist somit die Frage, ob die Datenmenge sowie die eingesetzten Datenanalysemethoden zu einer hohen Wahrscheinlichkeit der Identifizierbarkeit einer Person führen.

Wie erwähnt erfolgt im Kontext von Big Data in der Regel vornehmlich eine Sammlung von Sachdaten. Selbst wenn es sich ursprünglich um Personendaten handelt, sind sie oft anonymisiert, die Problematik besteht aber darin, dass vielfach eine Re-Individualisierung möglich ist. Die Identifizierung einer Person ist überdies umso wahrscheinlicher, je mehr Daten vorhanden sind, d.h. eine sehr grosse Menge zwar anonymisierter Daten lässt gegebenenfalls deren Zuordnung zu einer bestimmten Person zu.¹⁷

Studien in den Vereinigten Staaten haben den Nachweis erbracht, dass mit lediglich drei relativ einfachen demographischen Merkmalen, nämlich Geschlecht, Geburtsdatum und fünfstelliger Postleitzahl, zwischen 61% und 87% der amerikanischen Bevölkerung sich eindeutig identifizieren lassen.¹⁸ Überdies haben andere Untersuchungen dargelegt, dass anonyme Gen-Sequenzen, die auf öffentlich zugänglichen Forschungs-Datenbanken verfügbar sind, durch Kombination mit wenigen anderen Daten eine «Deanonymisierung» erlauben.¹⁹

Die Anwendung des DSG setzt nicht voraus, dass die Bestimmtheit der Person vorliegt, sondern notwendig ist nur die Bestimmbarkeit der Person (Art. 3 lit. a DSG).²⁰ Reicht deshalb die Menge der vorhandenen Daten aus, um eine Person ohne übermässigen Aufwand zu bestimmen, ist die Datenschutzrelevanz gegeben, weil die mögliche Identifizierung einer Person ein datenschutzrechtlich erfasster Prozess ist.²¹

In der Diskussion um die Datenschutzproblematik von Big Data finden sich Hinweise auf das Vorliegen von mindestens drei Paradoxen, die eine kurze Erläuterung verdienen, nämlich (in Anlehnung an Richards und King) das «Transparency Paradox», das «Identity Paradox» und das «Power Paradox»:²²

(i) Transparency Paradox: Big Data-Analysen bezwecken durch die Sammlung vieler Daten, solche Daten für eine grössere Zahl von Personen transparent und zugänglich zu machen. Die Sammlung der Daten an sich ist indessen unsichtbar und die Instrumente und Techniken sind kaum nachzuvollziehen, insbesondere im Lichte der physischen, technischen und rechtlichen «Layers», auf denen Daten gesammelt werden. Dieser Wiederspruch ist unbefriedigend; zwar mag es Geschäftsgeheimnisse von Unternehmen, die grosse Datensammlungen anlegen, geben, doch wenn gestützt auf solche Datensammlungen auch Entscheide zu Individualpersonen gefällt werden, dann müssten diese Personen wissen, auf welcher Basis es zu solchen Entscheiden gekommen ist.²³

In der Lehre wird deshalb für die Einführung eines «Technological Due Process» plädiert, und zwar mit Bezug auf staatliche Stellen wie auf Unternehmen.²⁴ Die Überwachungsfunktionen in einem komplexen Big Data Analyse-System dürfen nicht geheim sein, insbesondere wenn «decisions are made about individuals by a Kafkaesque system of opaque and unreviewable decision-makers».²⁵

(ii) Identity Paradox: Big Data bezweckt, Identifizierungen zu ermöglichen, doch wird dabei die Identität von Individuen gefährdet (sog. informelle Integrität). Insbesondere kann die Souveränität über die eigenen persönlichen Daten einen Schaden nehmen, die sich im Datenschutzkontext traditionell ausdrückt durch das Recht, allein gelassen zu werden.²⁶ Letztlich geht es um das Recht einer Person, festzulegen, wer sie sein will.

Die Gefahr von Big Data besteht somit darin, durch die Identifikation eine Macht über die Offenlegung der Identität zu erreichen, welche Beeinflussungs- und Überzeugungsfunktionen auszuüben vermag.²⁷ Diese Faktoren können die Kraft und Qualität einer Demokratie beeinträchtigen.

(iii) Power Paradox: Big Data ist ein machtvolles Instrument, das es den Datenanalysten erlaubt, sich ein klareres und schärferes Bild vom Verhalten der Personen, deren Daten gesammelt worden sind, zu machen.²⁸ Big Data schafft also Gewinner und Verlierer; dabei ist es wahrscheinlich, dass insbesondere die staatlichen Stellen und Unternehmen, welche Big Data-Analysen betreiben, zu den Gewinnern gehören.²⁹

Durch die Schaffung von Privatheit, Transparenz und Personenautonomie sowie durch den Schutz der Identität ist ein gesundes Gleichgewicht zwischen der Macht derjenigen, welche die Daten generieren, und der Stellung derjenigen, die durch Interferenzen und entsprechende Entscheide betroffen sein können, herbeizuführen.³⁰ Gleichzeitig sind utopische Diskussionen über Big Data herunterzubrechen auf pragmatische Überlegungen zu angemessenen Interessenausgleichen zwischen potentiell widerstreitenden geschäftlichen und privaten Zielvorstellungen.

Wie erwähnt besteht die Problematik von Big Data darin, dass an sich «unproblematische» Sachdaten angesichts der Datenmenge die Identifizierung von Personen ermöglichen, auch wenn die einzelnen Daten keinen direkten Personenbezug aufweisen, oder dass sich anonymisierte Daten re-individualisieren lassen.³¹ Entscheidend sind insoweit die angewendeten Analysemethoden, die je nach technologischer Perfektion zur Bestimmbarkeit einer Person führen. Wie ebenfalls schon angesprochen, sind diese Analysemethoden regelmässig nicht ausreichend transparent.³²

Gerade im Lichte der Tatsache, dass der Grundsatz der Datenminimierung³³ im Kontext von Big Data nicht spielt, ist mit der heutigen datenschutzrechtlichen Anknüpfung an Personendaten dem beschriebenen technologischen Phänomen der potentiellen Identifizierbarkeit von Personen kaum beizukommen. Ob die Anonymisierung, d.h. der Prozess der Eliminierung von Identifikationsmerkmalen zwecks Schaffung anonymisierter Datenbestände,³⁴ im Rahmen von Big Data die betroffenen Personen vor einem Profiling oder Targeting schützt, erscheint deshalb als zumindest zweifelhaft.³⁵ Sollen Datenanalysten umfassend dem Datenschutzrecht unterstellt sein, liesse sich dementsprechend erwägen, dessen Anwendungsbereich zu erweitern.

Die Sammlung von Sachdaten bzw. deren Analyse hätte in einem erweiterten Konzept die datenschutzrechtlichen Prinzipien einzuhalten, wenn die Kombination von Daten einen Personenbezug ermöglicht oder wenn eine Deanonymisierung von Daten den Personenbezug nicht auszuschliessen vermag. Ein solches Konzept wäre aber eine erhebliche Abweichung von allen bisherigen Datenschutz-Konzepten und angesichts des in vielen Ländern tieferen Datenschutzniveaus als in der Schweiz und in der EU nur schwer zu verwirklichen.

Schon heute stellt sich im Online-Verkehr oft die Frage, ob die Einwilligung eines Nutzers/Kunden, dass Daten gesammelt werden dürfen, tatsächlich in ausreichender Weise erfolgt, insbesondere wenn die Erkennbarkeit der Datenbeschaffung (Art. 4 Abs. 4 DSG) den gesetzlichen Anforderungen kaum entspricht; datenschutzrechtlich würde – neben dem Vorliegen überwiegender privater oder öffentlicher Interessen – die Einwilligung an sich eine Datensammlung legitimieren (Art. 13 Abs. 1 DSG).³⁶ Die anwendbaren Datenschutz-Regulierungen sind auf den Websites der Unternehmen oder der sozialen Netzwerke aber oft nicht ausreichend klar positioniert und dargestellt, was Zweifel an der Unmissverständlichkeit der Einwilligung als berechtigt erscheinen lässt;³⁷ zudem erweist es sich als zweifelhaft, ob ein reiner Klick ein genügendes Einverständnis darstellt, selbst wenn eine Lektüre der Datenschutz-Regulierungen unterblieben ist.

Noch problematischer ist die Situation bei Verwendung Allgemeiner Geschäftsbedingungen (AGB), die auch Datenschutz-Regulierungen enthalten. Dass eine solche Einwilligung rechtsgenüglich dem Kriterium der Voraussehbarkeit der Verwendung von Daten entspricht, ist nach verbreiteter Auffassung eher unwahrscheinlich.³⁸ Der die AGB anklickende Nutzer/Kunde wird in aller Regel kein informiertes Einverständnis geben, was rechtlich betrachtet Zweifel an der AGB-Unterwerfungsbereitschaft aufkommen lässt.

Angesichts von Sinn und Zweck der Einwilligung ist deshalb zu fordern, dass sie transparent erfolgt und dass der Kunde weiss, welche Datenkategorien und welche Anzahl von Daten den Big Data-Analysen zugeführt werden sollen. Im Zusammenhang mit Big Data muss mithin gefordert werden, dass die Einverständniserklärung des Nutzers/Kunden nur dann als rechtsgültig zu erachten ist, wenn die Einzelheiten der Datenschutz-Regulierungen zur Kenntnis genommen worden sind und wenn keine unerwarteten Datenbearbeitungsmöglichkeiten in versteckter Weise eine Personenidentifizierung erlauben.³⁹

«Accountability» (zurückgehend auf das lateinische accomptare, d.h. Rechenschaft ablegen)⁴⁰ bedeutet, transparent zu machen, wie die Datenbearbeitung und Datenauswertung erfolgen, sowie für die Einhaltung der offen gelegten Grundsätze einzustehen. Wie erwähnt besteht gerade ein Paradox in der heutigen Diskussion zu Big Data darin, dass zwar beliebig viele Daten gesammelt werden, die Analysemethoden indessen geheim bleiben.⁴¹

«Accountability» knüpft beim Datenbearbeiter an und will ein Datenschutz-Konzept entwickelt sehen, das konkret vorgibt, dass die Grundsätze der Verhältnismässigkeit, Geeignetheit und Zweckbindung einzuhalten sind.⁴² Beim Datenbearbeiter ist das Verständnis dafür zu wecken, dass Datenauswertungen, die einen Persönlichkeitsbezug zulassen, nur unter restriktiven Voraussetzungen als sachgerecht gelten können. Zudem sind die Datensammlungsvorgänge transparent zu machen, was zu einem differenzierten Konzept der Privatheit führen kann.⁴³

«Accountability» lässt sich durch das Aufstellen von verbindlichen Grundsätzen sowie insbesondere durch die Überprüfung der Einhaltung dieser Grundsätze konkretisieren.⁴⁴ Als erforderlich erweisen sich deshalb die Einrichtung von Risikoeinschätzungsinstrumenten und der Erlass von Richtlinien zur Data Governance. Sinnvoll ist in diesem Kontext die Erarbeitung und Inkraftsetzung von Verhaltenskodizes sowie die Schaffung von Überwachungsorganen. Denkbar ist auch, dass (private) Zertifizierungsdienste die Datenschutzkonzepte von Big Data-Anbietern prüfen und entsprechende Labels ausstellen.⁴⁵

Big Data Analysen bringen Vorteile und Nutzen mit sich, jedenfalls für die Unternehmen, welche die Daten sammeln, oft aber auch für die Individuen. Aus diesem Grunde stellt sich die Frage, ob nicht ein rechtlicher Rahmen geschaffen werden könnte, der dazu führt, dass beide Seiten an diesem Nutzen partizipieren und daraus Vorteile ziehen können (sog. «sharing the wealth strategy»).⁴⁶ Unternehmen sollten bereit sein, mit den Individuen den Nutzen zu teilen, der aus der Generierung ihrer Daten entstanden ist.

Neben der Schaffung ausreichender Transparenz wären insbesondere Zugangsformate einzurichten, welche es den Einzelnen ermöglichen, selber Zugriff auf die Daten zu haben, die Daten gegebenenfalls zu ändern und die Daten auf andere Server zu verschieben (Datenportabilität).⁴⁷

(a) Als notwendig erweist sich dazu die Schaffung neuer Geschäftsmodelle im Rahmen zu entwickelnder technischer Systeme in Form eines «multi-layered construct»;⁴⁸ gleichzeitig geht mit einem solchen Konzept wohl eine Verstärkung des Eigentumsgedankens an den Daten einher.⁴⁹ Acht Elemente lassen sich dabei in Betracht ziehen:⁵⁰

(i) Die Individuen sind das Zentrum der Sammlung von Personendaten, und zwar mit Blick auf deren Verwaltung und deren Gebrauch.

(ii) Die Offenlegung von Daten hat selektiv zu erfolgen und das Ausmass nicht zu überschreiten, das aus der Sicht des Datenherrn als angebracht erscheint.

(iii) Kontrollmechanismen hinsichtlich Zweck und Dauer des primären und sekundären Gebrauchs von Daten sind einzuführen; denkbar wäre etwa der Abschluss von «owner data agreements» oder die Einrichtung technischer Vorkehren.

(iv) Die Datenportabilität ist sicherzustellen, damit der Einzelne über den konkreten Verbleib der Daten bestimmen kann.

(v) Die Einrichtung eines Identitätsmanagement ist unumgänglich, um zu gewährleisten, dass eine Offenlegung der Identität an nicht berechtigte Dritte vermieden wird.

(vi) Hohe Sicherheitsvorkehrungen zur Abwehr von illegalen Drittangriffen auf Datenbestände sind zu treffen.

(vii) Individuen sollen nicht Monopolstrukturen mit Blick auf die Herausgabe von Daten oder dem Abschluss kommerzieller Transaktionen ausgesetzt sein.

(viii) Durchsetzungsmechanismen sind vorzusehen, um dem Prinzip der «Accountability» tatsächlich Nachachtung zu verschaffen.

(b) Ein solches Konzept kommt nicht umhin, den Gedanken des «Eigentums» an den Daten, der zu einem besseren Schutz der Privatheit von Informationen beizutragen vermag, zu stärken («propertization»⁵¹). Bestehen entsprechende Eigentumsrechte, hätten es die Individuen grundsätzlich in der Hand, die Bearbeitung von Daten durch vertragliche Nutzungsbedingungen (z.B. Verwendungsbeschränkungen) zu steuern. Notwendig wäre dafür aber der Abschluss eines individuellen Vertrages, der konkret ausgehandelte Anordnungen zur Art der Nutzung von Daten enthält; zudem dürfte kein Verhandlungsungleichgewicht zwischen den Vertragsparteien bestehen. Aus diesem Grunde ist Vorsicht geboten mit einer vollständigen Überlassung der Datenschutzrealisierung an den Markt, doch lassen sich gewisse Grundregeln durchaus formulieren:⁵²

(i) Gewisse Beschränkungen des Rechts von Individuen, auf ihre Privatheit vollständig zu verzichten, sind gesetzlich vorzusehen (Begrenzungen im Gebrauch von Daten).

(ii) Regeln sind zu verankern, welche die Unternehmen, die Daten analysieren, verpflichten, Transparenz hinsichtlich der Datensammlungen zu schaffen (Default Rules).

(iii) Individuen müssen das Recht haben, die Beteiligung an einer Nutzungsgemeinschaft hinsichtlich von Big Data-Analysen zu beenden (Recht auf «Marktaustritt»).

(iv) Im Falle von Marktmissbräuchen haben Unternehmen, die Big Data-Analysen durchführen, Schadenersatz zu bezahlen (Bestehen einer Haftungsordnung).

(v) Institutionen sind zu schaffen, welche die Korrektheit der Marktvorgänge überwachen, insbesondere hinsichtlich der Privatheits-Vorgaben der Individuen und der angemessenen Aushandlung von Nutzungsbedingungen (Organisation für die Aufrechterhaltung von Marktmechanismen).

(c) Schliesslich erweist es sich als unabdingbar, dass personenbezogene Datendienstleistungen zwei technisch ausgerichtete Erfordernisse erfüllen: Einerseits haben Unternehmen, die Big Data-Analysen durchführen, für einen hohen Datensicherheits-Standard einzustehen und andererseits muss der Einzelne in der Lage sein, seine Privatheits-Rechte auch tatsächlich durchzusetzen.⁵³ Das Eigentums- bzw. Nutzungsrecht lässt sich ebenso durch technische Massnahmen sicherstellen, etwa in der Form des «Digital Rights Management» (DRM) Systems; DRM wird traditionell von Rechteinhabern (bzw. Verwertungsgesellschaften) zur besseren Durchsetzung von Urheberrechten gegenüber unerlaubten Internet-Downloads eingerichtet; denkbar ist der Einsatz eines DRM-Systems aber auch zur Sicherstellung der Privatheit gewisser Informationen.⁵⁴

Staatliche Datenschutzregulierungen sind regelmässig wenig flexibel; Gesetzgebungsprozesse nehmen zudem oft erheblich Zeit in Anspruch, was dazu führt, dass die rechtlichen Anordnungen im Zeitpunkt des Inkrafttretens technologisch bereits überholt sind.⁵⁵ Dieser Regulierungsansatz vermag deshalb den Anliegen der Sachgerechtigkeit und Vorhersehbarkeit der Rechtsanwendung nicht mehr ausreichend Genüge zu tun.

Verhaltenskodizes sind auch geeignete Instrumente, um über den konkreten Anwendungsbereich der Datenschutzgesetzgebung hinaus Verhaltenserwartungen zu formulieren, die nach verbreiteter Auffassung von den Unternehmen einzuhalten sind; denken lässt sich etwa an ethische Vorgaben.

Verhaltenskodizes in privaten Unternehmen und in staatlichen Stellen müssen dementsprechend an Bedeutung gewinnen. Zwar haben solche Kodizes die Schwäche, dass sie sich nicht gerichtlich durchsetzen lassen und es zum Teil auch an wirklichen Sanktionen fehlt, doch wirkt oft der moralische Druck der Branche, von den Kodizes nicht abzuweichen.⁵⁶ In anderen Bereichen (z.B. Medien, Internet) haben sich Kodizes durchaus bewährt.⁵⁷

Sektorspezifische Regulierungen haben gegenüber allgemeinen Normen regelmässig den Nachteil der beschränkten Anwendbarkeit. In gewissen Bereichen und Marktsegmenten ist aber ohne spezifische Regulierungen kaum auszukommen. Im Vordergrund steht das elektronische Gesundheitswesen (E-Health); die weite Verfügbarkeit vieler Daten über einen Patienten ist nicht nur im Interesse der Spitäler und Ärzte, sondern auch im Interesse des Patienten selber, und zwar sowohl im Kontext eines konkreten Krankheitsfalles wie mit Blick auf die Forschung.⁵⁸

Weitere Bereiche, die mit Sonderregeln zu erfassen wären, betreffen z.B. die immer bedeutender werdenden Transaktion über das Internet of Things⁵⁹ und die Kreditinformationen im Finanzbereich.⁶⁰

Die Durchsetzung von im Datenschutzgesetz niedergelegten Ansprüchen ist für den Einzelnen oft komplex, zeitintensiv und relativ teuer. Aus diesem Grunde sind Vorkehren zu treffen, um die Rechtsdurchsetzung (z.B. Auskunftsanspruch, Schadenersatz) effizienter zu gestalten; im Vordergrund stehen insbesondere prozessuale Anordnungen, z.B. (i) ausreichende Verfahrensgarantien bei der Rechtsdurchsetzung (Recht auf Gehör, Recht auf gehörige Notifikationen sowie Beweisantretungs- und Zeugenpräsentationsmöglichkeiten, Recht auf Begründung eines Entscheids und Recht auf Anfechtung des Entscheids bei einer höheren Instanz), (ii) die Einrichtung eines Systems der angemessenen Gewaltenteilung, (iii) die Unabhängigkeit von Gerichten und Mediationsstellen sowie (iv) die Implementierung von Regeln, die den Besonderheiten des Verfahrens um Datenoffenlegung angemessen Rechnung tragen.⁶¹

Big Data ist ein Phänomen, das sich nicht aus der Realität wegdenken lässt; das Phänomen hat in veränderter Form auch schon Vorgänger, wenn man etwa an George Orwell’s «Big Brother» denkt. Heute ist Big Data vornehmlich eine US-Erscheinung; je nach gesellschaftlicher Philosophie bedeutet Verfügbarkeit von Daten aber nicht, dass ein Zugriff auf diese Daten immer auch gerechtfertigt ist.

Ganz abgesehen von der Problematik grenzüberschreitender Datenlieferungen⁶² sind die heutigen Datenschutzgesetze nicht ausreichend für die neuen Herausforderungen und Risiken von Big Data gewappnet. Diese Einsicht bedeutet aber nicht, dass nun hektisch vorzunehmende Datenschutz-Gesetzanpassungen erforderlich sind. Vielmehr wäre es angebracht, grundsätzlich darüber nachzudenken, welche Ziele berechtigte Anliegen wie Persönlichkeitsschutz und informationelle Selbstbestimmung anzustreben beabsichtigen.

Mit einer solchen Optik treten neue Elemente in den Vordergrund, etwa die Sicherstellung der Kompatibilität von Datenverarbeitungen mit der ursprünglichen Zweckbestimmung, die Ausrichtung datenschutzrechtlicher Normen auf eine sachgerechte Risikoorientierung (organisatorische und technische Massnahmen), die Schaffung einer angemessenen Data-Governance-Kultur sowie die Implementierung von Rechenschafts- und Verantwortungsprinzipien («Accountability»). Solche Konzepte gehen über die traditionellen Datenschutzgesetze hinaus und verlangen sowohl eine breite, zivilgesellschaftliche Diskussion über die Legitimität von Datenbearbeitungen als auch eine intellektuelle Offenheit für ein neues weit verstandenes Datenrecht.

---

 

Prof. Dr. iur. Rolf H. Weber ist Ordinarius für Privat-, Wirtschafts- und Europarecht an der Universität Zürich, Visiting Professor an der Hong Kong University und praktizierender Rechtsanwalt in Zürich.