Mythen der EU-Datenschutzreform: "Pseudonyme Nutzung"
Niemand wird ernsthaft bestreiten, dass es ein Bedürfnis gibt, Internetdienste unter Verwendung eines Pseudonyms zu nutzen. Dienste mit einem "Klarnamenzwang" stehen daher zurecht unter kritischer Beobachtung (vgl. Härting, "ULD ./. acebook: Jetzt will Weichert gesperrten Nutzern helfen", CRonline Blog v. 17.12.2012).
Fehlanzeige auf EU-Ebene
Die Förderung der pseudonymen (oder anonymen) Nutzung von Diensten muss zu den Zielen einer ernsthaften Modernisierung des Datenschutzrechts gehören. Daher ist es bezeichnend für die Einfallslosigkeit der EU-Kommission, dass in ihrem Entwurf einer DS-GVO der Begriff der Pseudonymität gar nicht vorkommt. Für Deutschland würde dies sogar einen Rückschritt gegenüber geltendem Recht bedeuten (§§ 3 Abs. 6 a BDSG und 15 Abs. 3 TMG).
Der Berichtsentwurf des Europaabgeordneten Albrecht bemüht sich an einigen Stellen, Sonderregelungen für eine pseudonyme Nutzung zu schaffen und schlägt in Änderungsantrag 105 vor allem Erleichterungen bei der Einwilligung vor:
"Ist die Zustimmung der betroffenen Person im Zusammenhang mit der Verwendung von Diensten der Informationsgesellschaft zu erteilen, wobei die personenbezogenen Daten nur in der Form von Pseudonymen verarbeitet werden, kann die Zustimmung mit Hilfe automatisierter Verfahren erfolgen, die gemäß Absatz 4c einen technischen Standard mit allgemeiner Gültigkeit in der Union verwenden, der den betroffenen Personen ermöglicht, ihre Wünsche ohne die Erhebung von Identifizierungsdaten auszudrücken."
Diensteanbieter sollen durch Erleichterungen bei der Einwilligung dafür belohnt werden, dass sie auf "Klarnamen" verzichten. Gut gemeint, aber nicht durchdacht, da zugleich weitreichende Einwilligungsverbote gelten sollen, die den Anbietern eine Datenverarbeitung auch dann untersagen sollen, wenn eine Zustimmung vorliegt. Dabei nehmen grüne Politiker bewusst in Kauf, dass Dienste wie Twitter und Facebook demnächst nur noch kostenpflichtig angeboten werden können (Härting, “Twitter in Europa demnächst kostenpflichtig? – Brüsseler Diskussion um Einwilligungsverbote”, CRonline Blog v. 22.1.2013).
Frage: Warum fällt es den Brüsseler Protagonisten so schwer, vernünftige Regelungen zu schaffen, die die pseudonyme Nutzung von Online-Diensten fördern?
Hintergrund
Ursache: Das Problem liegt in dem Verbotsprinzip, kombiniert mit einem unendlich weiten ("absoluten") Verständnis des Begriffs der "Personenbezogenheit" von Daten. Und dieses Problem ist alles andere als neu. Der heutige Bundesdatenschutzbeauftragte Peter Schaar vertrat bereits 2002 in seiner Untersuchung zum "Datenschutz im Internet" (Schaar, "Datenschutz im Internet, München 2002, S. 59, Rdnr. 162) die Auffassung, dass das Pseudonym im Normalfall den Personenbezug nicht aufhebt. Dies ist die logische Folge der von den Datenschützern überwiegend vertretenen Auffassung vom "absoluten" Begriff des Personenbezugs. Eine theoretische Möglichkeit, den Schleier des Psudonyms zu lüften, gibt es immer.
Wirkung: Wenn auch pseudonyme Daten Personenbezug aufweisen, gilt für jede pseudonyme Nutzung das unnachsichtige Verbotsprinzip: Die Verarbeitung pseudonymer Daten ist nicht grundsätzlich erlaubt, sondern verboten.
Sinnvoller Ansatz: Pseudonyme Nutzungen wird man nur dann sinnvoll fördern können, wenn man sich von dem starren Verbotsprinzip verabschiedet und differenzierte Regelungen schafft, die nach der Intensität des Eingriffs in die Privatsphäre unterscheiden.
Das "Schwarz-Weiß-Schema" des Verbotsprinzips
Das Verbotsprinzip kennt als einzig wirksame "Belohnung" die Erlaubnis und damit vielfach zugleich die vollständige Befreiung des Verarbeiters von Regulierungen ("Schwarz-Weiß-Schema"). Dies führt dazu, dass der Verordnungsgeber sich entscheiden muss, ob die pseudonyme Nutzung zu einer Befreiung von den Fesseln des Datenschutzrechts führt ("Weiß") oder pseudonyme Daten genauso dem Verbotsprinzip unterworfen bleiben sollen wie (andere) Daten mit Personenbezug ("Schwarz"). Im Spektrum dieses "Schwarz" und "Weiß" sind die Albrecht-Vorschläge kaum mehr als ein wenig Kosmetik, die in der Praxis weitgehend folgenlos bleiben würde.
Transparenz statt Verbot
Auch für Pseudonyme Daten gibt es Regulierungsbedarf. Der Online-Nutzer, der ein Pseudonym verwendet und nicht weiß, was mit den "Datenspuren" geschieht, die die Nutzung hinterlässt, verspürt ein “Gefühl des ständigen Überwachtwerdens” und damit eine “diffuse Bedrohlichkeit” der Datenspeicherung (BVerfG, Urt. v. 11.3.2010 – 1 BvR 256/08 (u.a.), CR 2010, 232 (239) Ziffer V.3.a)aa) m. Anm. Heun; hierzu ausführlich Härting, "EU-Datenschutz: Europaparlament und Art. 29-Gruppe fordern Präzisierung des Anwendungsbereichs", CRonline Blog v. 11.11.2012). Jedenfalls Transparenzverpflichtungen müssen daher auch für eine solche Form der Datenverarbeitung gelten. Wenn man indes an dem starren, kommunikationsfeindlichen Verbotsprinzip festhält, behandelt man weiterhin alles gleich. Und schneidet sich die grundlegende Überlegung ab, welche Regelungen denn jenseits von Verboten und "Schwarz-Weiß-Denken" sinnvoll, angemessen und erforderlich sind.