(PM) Potsdam, 28.03.2012 - Die Datenschutzgrundverordnung (Entwurf hier abrufbar) hat bereits jetzt eine spannende Entstehungsgeschichte. Bereits zum Ende 2011 waren Details bekannt geworden und schon damals regte sich Kritik. Die Datenschutzgrundverordnung, die von einer Richtlinie für den Datenschutz im öffentlichen Bereich flankiert wird, trägt dem Umstand Rechnung, dass die letzte EU-Datenschutzverordnung (95/46/EG) unmittelbar vor den Fortschritten des Web 2.0 entstand und daher – mit Recht – nicht mehr als zeitgemäß angesehen werden kann. Daher erscheint es auf den ersten Blick konsequent, dass die Verordnung sehr tief in die Rechte der verantwortlichen Stellen eingreift. Ein wesentlicher Punkt ist etwa Artikel 20 der Verordnung der auf Profiling basierende Maßnahmen basierende Maßnahmen einschränkt und sie nur noch zur Erfüllung eines Vertrages, aufgrund ausdrücklicher Erwähnung in einer Rechtsvorschrift oder auf Grundlage einer Einwilligung zulässig ist. Auch wenn die Verordnung einwilligungsunabhängige Erlaubnistatbestände weiterhin vorsieht, ist doch eine Renaissance der Einwilligung zu erkennen.

Der Kritikpunkt

Laut Horizont.net gibt WFA-Geschäftsführer Stephan Loerke Reformbedarf in puncto Datenschutz zwar zu. Aber: „Die Datenschutz-Bestimmungen müssen die legitimen Rechte der Menschen auf Privatsphäre schützen und zugleich Geschäftschancen gewährleisten. Diese Balance wird mit dem vorliegenden Entwurf nicht erreicht.� (Quelle: Horizont.net)

Chancen des Modells Selbstverpflichtung

Die Branche ruft nun nach einer Selbstverpflichtungserklärung. Das Modell der Selbstverpflichtung im Bereich des Datenschutzes ist nicht unbekannt. In England galt lange Zeit der sog. Banking Code als maßgebliches Instrumentarium zur Steuerung des Datenflusses zwischen Banken und Auskunfteien. Die Probleme der Selbstverpflichtung liegen aber auf der Hand. Das Internet überwindet regionale, geographische und kontinentale Grenzen. Reine Selbstverpflichtungserklärungen werden daher ebenso wenig helfen, wie nationale Gesetze. Insofern ist der Ansatz einer verbindlichen EU-Verordnung ein erster Schritt in die richtige Richtung.

Die Besorgnis der Werbeindustrie das Online Behavioral Targeting stehe vor dem Aus sind völlig unbegründet. Der Entwurf lässt Raum für intelligente, wirtschaftliche und datenschutzfreundliche Lösungen. Denn es steht außer Frage, dass die user ihr Internetverhalten nicht ändern werden oder wollen. Es fällt ihn aber bekanntermaßen viel leichter in OBT einzuwilligen, wenn dem eine Selbstverpflichtungserklärung gegenübersteht, die erhebliche Schadenersatzansprüche für den Fall des Verstoßes in den Raum stellt. Ein solcher Ansatz ist neben der Verordnung möglich und fördert das eigentliche Anliegen der Verordnung und des Datenschutzes: Eine Stärkung des Selbstbestimmungsrechts. Wenn die Verordnung also den Betroffenen das Recht zurückgeben will, selbst über den Umgang mit ihren Daten zu entscheiden, muss die Werbeindustrie genau diesen Ansatz annehmen und Anreize schaffen, die das Selbstbestimmungsrecht hin zum jeweiligen Unternehmen führen. Das geht nur mit unmissverständlichen und klagbaren Garantien, die aber im Rahmen des geltenden Privatrechts leicht einzuführen sind.

Unternehmen gleicher Branchen können sich zusammensetzen, eine Selbstverpflichtungserklärung abgeben und im Rahmen dieser Selbstverpflichtungserklärung einen verbindlichen Sanktionskatalog festlegen. Hierin könnte versprochen werden, dass jeder Betroffene, der eine Einwilligung zugunsten dieser Branche abgibt, im Falle eines Verstoßes gegen die Selbstverpflichtungserklärung Anspruch auf Zahlung eines Strafschadensersatzes hätte. In einem zweiten Schritt müssten die Unternehmen die Garantien nur noch umsetzen. Hier kann eine simple Rechtsberatung helfen. Aber auch nur dann ist das Modell der Selbstverpflichtung sinnvoll und dann kann es auch neben der Verordnung bestehen.

Fazit

Die Erfahrungen mit der Richtlinie 95/46/EG zeigen eines: Kein Vorschlag wird in seiner ursprünglichen Version umgesetzt. Insofern gehören Lobbyismus und Brandbriefe zur Entstehungsphase jedes Normenwerkes dazu. Doch der Ansatz einer Selbstverpflichtungserklärung ist selbst mit dieser Erstversion nicht unvereinbar. Es wird nun entscheidend darauf ankommen, was die betroffenen nichtöffentlichen verantwortlichen Stellen daraus machen. Datenschutzrecht ist immer eine Frage der Umsetzung in der Praxis.