Datenschutz im 21. Jahrhundert – Teil 1: Um was geht es beim Profiling?

Profiling, Big Data, Internet der Dinge: Das Datenschutzrecht hinkt der Entwicklung der Informations- und Kommunikationstechnik weit hinterher und schwankt zwischen Überregulierung und Resignation. Das eiserne Festhalten am Verbotsprinzip und die Fetischisierung der Einwilligung versperren den Blick auf die Zukunftsfragen des Persönlichkeitsschutzes.

In einem Annex zu dem jetzt in 5. Auflage erschienenen „Internetrecht“ befasse ich mich mit der Zukunft des Datenschutzrechts ("Datenschutz im 21. Jahrhundert"). In einigen Blogbeiträgen stelle ich meine Überlegungen auszugsweise vor.

Zur vollständigen 5. Auflage in CRonline bei juris:  Härting, Internetrecht, 5. Aufl., 2014

Was ist Profiling eigentlich?

Amazon, Google und Facebook gehören zu den Vorreitern des Phänomens, das man als „Profiling“ bezeichnet. Mit diesem Begriff bezeichnet man die systematische Auswertung des Nutzerverhaltens. Es wird erfasst, für welche Seiten, Bücher, Werbebanner und Suchbegriffe ein Besucher der Website sich interessiert hat. Algorithmen errechnen sodann, welche Suchergebnisse, Waren oder Werbeanzeigen den Besucher voraussichtlich interessieren werden. Der Internetnutzer erhält auf diese Weise „maßgeschneiderte“, zielgerechte („targeted“) Werbung und erfährt (nur noch) das, was ihn mutmaßlich interessiert.

 Die Entwicklung immer intelligenterer Algorithmen steht noch am Anfang. Immer größere Datenmengen („Big Data“) erfassen das Nutzerverhalten, und die Daten werden immer raffinierter ausgewertet und analysiert. Der Besucher einer Nachrichtenseite erhält dann nur noch Nachrichten, die (voraussichtlich) zu seinem Leseverhalten passen. Der Nutzer einer Musikplattform wird laufend mit Musikvorschlägen konfrontiert, die den individuellen Musikgeschmack treffen sollen. Und der Online-Spieler, der sich „Angry Birds“ (des finnischen Spieleanbieters Rovio) als App auf sein Smartphone lädt, muss damit rechnen, dass die App laufend seinen Aufenthaltsort erfasst und auch andere Daten auswertet, die auf dem Mobiltelefon gespeichert sind:

„Als äußerstes Mittel rät Rovio Nutzern, die die Sammlung von Daten oder Werbeanzeigen vermeiden wollen, auf das Spiel zu verzichten: ‘Wenn Du sicher sein möchtest, dass Du von verhaltensbezogener Werbung verschont bleibst, benutze bitte unsere Dienste nicht und halte Dich von ihnen fern.’” (O'Brien, "Data Gathering via Apps Presents a Gray Legal Area", New York Times v. 28.12.2012)

Kritik des Profiling

Das Profiling baut auf der Prämisse auf, dass ein Nutzer Interessen hat, die sich aus seinem Nutzerverhalten mathematisch ableiten lassen – eine Annahme, die nicht unumstritten ist. Eine „Welt der Vorhersagen“, die zu einer „Welt der Vorherbestimmung“ wird, bei der der freie Wille auf der Strecke bleibt, ist gewiss alles andere als wünschenswert. Dies umso weniger, als Kreativität, Flexibiliät und Spontaneität auf der Strecke bleiben könnten.

Wenn zudem Algorithmen geheim bleiben, ist die Grundlage der Beziehung des Nutzers zu einem Online-Dienst weder Transparenz noch Augenhöhe, sondern (blindes) Vertrauen. Und Vertrauen fällt bei einem Unternehmen wie Google schwer, wenn das Unternehmen sich sogar von einem Bewunderer als „undurchsichtig und geheimniskrämerisch wie (Ex-US-Vizepräsident) Dick Cheney“ (Jarvis, What Would Google Do?, New York 2008, S. 97) bezeichnen lassen muss.

Das Gefühl „diffuser Bedrohlichkeit“

Wenn das Verhalten des Internetnutzers systematisch beobachtet, erfasst und analysiert wird, kann dies beim Nutzer ein „diffus bedrohliches Gefühl des Beobachtetseins“ (BVerfG, Urt. v. 11.3.2010 – 1 BvR 256/08 (u.a.), CR 2010, 232 (235) Ziffer C.IV.4.a) m. Anm. Heun) hervorrufen. Hierin liegt eine erhebliche Herausforderung für den Schutz von Persönlichkeitsrechten. Die „diffuse Bedrohlichkeit“ verlangt nach Transparenz. Zu Recht hat das BVerfG in seiner Entscheidung zur Vorratsdatenspeicherung daran erinnert, dass Regelungen zur Information der von Datenerhebungen oder -nutzungen Betroffenen zu den elementaren Instrumenten des grundrechtlichen Datenschutzes gehören.

Hohe Transparenzstandards können dem Nutzer ein selbstbestimmtes Handeln ermöglichen. Der Nutzer, der in verständlicher und ausführlicher Form Informationen darüber abrufen kann, wie ein Anbieter mit Daten umgeht, kann eine informierte Entscheidung darüber treffen, ob er einen Internetdienst nutzen möchte. Dies wird den Gegebenheiten der Netzwelt wesentlich gerechter als eine starre Fixierung auf Einwilligungserfordernisse. Jedes Postulat, der Nutzer möge selbst über die Preisgabe von Daten bestimmen, wird zu einer Fiktion, wenn Einwilligungserklärungen im Massenverkehr vorformuliert werden. Ohne eine Vorformulierung sind Einwilligungen im Netz indes undenkbar.

Transparenz statt Einwilligung

So sehr das heimliche Profiling in das Selbstbestimmungsrecht eingreift, so wenig lässt sich die Einwilligung als probate Antwort auf das Profiling begreifen. Eine Einwilligung schafft per se keine Transparenz und kann allenfalls ein Hilfsmittel sein. Dies gilt umso mehr, als Online-Nutzungen stets Massenvorgänge sind, bei denen sich die Einwilligung notwendig in dem Anklicken einer vorgegebenen Formulierung erschöpft.

Wenn Nutzer gefragt werden, ob sie es für wünschenswert erachten, gefragt zu werden, bevor ein Online-Dienst Daten per Profiling erfasst, werden sie dies stets mehrheitlich bejahen. Zugleich werden sie mehrheitlich wünschen, dass Dienste kostenfrei bleiben. Einwilligungserfordernisse, die dazu führen, dass Dienste kostenpflichtig werden, kommen daher allenfalls vordergründig den Bedürfnissen der Nutzer entgegen.

Das Unbehagen, das die Profilbildung bei Google, Apple und Facebook vielen Nutzern bereitet, ist auch – ähnlich wie beim Scoring - auf die fehlende Durchschaubarkeit der Methoden zurückzuführen, mit denen die Profilbildung erfolgt. Mittelfristig wird der Druck auf die großen Plattformbetreiber wachsen, die Türen der „Geheimküchen“, in denen die Algorithmen nach und nach verfeinert werden, ein Stück weit zu öffnen:

“Die Verpflichtung von Unternehmen, ihre Entscheidungskriterien offenzulegen (nicht notwendig die Algorithmen, aber die Faktoren, die in die Algorithmen einfließen) , markiert eine Trennlinie zwischen Recht und Technologie. Fairness und Gerechtigkeit gebieten es, dass der Betroffene informiert wird über die Grundlagen von Entscheidungen, die ihr Leben beeinflussen, dies insbesondere wenn es um Entscheidungen geht, die von Maschinen vorgenommen werden, die mit undurchsichtigen Kriterien arbeiten“. (Tene/Polonetsky, "Big Data for All: Privacy and User Control in the Age of Analytics", 11 Nw. J. Tech. & Intell. Prop. 239 (2013), 271)

In vielen Bereichen des Verbraucherschutzes setzt der Gesetzgeber auf Informationen. Das Datenschutzrecht hinkt dieser Entwicklung hinterher.

Transparenz führt zu einer Verstärkung der Selbstbestimmung auf Seiten des Nutzers. Zugleich wird das Vertrauen in Kommunikationsdienste und damit in eine Infrastruktur gestärkt, die für den freien Informationsaustausch und die freie Entfaltung der Persönlichkeit in der Informationsgesellschaft einen hohen Stellenwert hat. Es geht nicht nur um die individuelle Grundrechtsausübung, sondern auch um eine Stärkung der Verlässlichkeit und Durchschaubarkeit von Kommunikationsinfrastruktur.