Das Ende der Privatsphäre: Der Weg in die Überwachungsgesellschaft

nicht nur auf dem Papier bestehen und seine Defizite – weitgehend folgenlos – in den Tätigkeitsberichten der Datenschutzbehörden beklagt werden.

5.3 Globaler Datenschutz
     
    Spätestens das Internet hat die letzten Zweifel daran ausgeräumt, dass die elektronische Datenverarbeitung eine weltweite Dimension hat (vgl. Kap. 2.2). Datenströme machen vor nationalen Grenzen nicht Halt. Angesichts der dramatisch gesunkenen Übertragungskosten spielt es wirtschaftlich so gut wie keine Rolle mehr, wo die Datenverarbeitung stattfindet, ob ein Computersystem in Deutschland, der Schweiz oder im indischen Bangalore betrieben wird. Auch für die Nutzer und Betroffenen ist es praktisch nicht mehr nachvollziehbar, wo ihre Daten verarbeitet werden. Wer eine deutsche Kunden-Hotline anruft, landet bisweilen in Irland oder auch in Indien.
    Bereits frühzeitig wurden deshalb Initiativen gestartet, um auf internationaler Ebene den Schutz personenbezogener Daten sicherzustellen. Die Datenschutzkonvention des Europarats von 1981 54 war die erste internationale Regelung zum Schutz personenbezogener Daten überhaupt. Wesentliche in ihr niedergelegte Datenschutzprinzipien haben bis heute Gültigkeit und wurden in spätere nationale und internationale Datenschutzregelungen übernommen, etwa der Erforderlichkeitsgrundsatz (es dürfen nur diejenigen Daten erhoben werden, die für eine Aufgabe benötigt werden), die Zweckbindung (die Daten dürfen nur genutzt oder weiterübermittelt werden, soweit dies mit den ursprünglichen Zwecken vereinbar ist, für die sie erhoben wurden) oder der besondere Schutz für sensible persönliche Informationen (etwa über den Gesundheitszustand, politische oder sexuelle Präferenzen).
    Einen weiteren Schub erhielt die Entwicklung des Datenschutzes auf internationaler Ebene durch die EG-Datenschutzrichtlinie von 1995 55 . Diese verpflichtet die EU-Mitgliedsstaaten – sowohl bei der internen als auch bei der grenzüberschreitenden Datenverarbeitung – zur Gewährleistung eines hohen Datenschutzniveaus. Bemerkenswert sind vor allem – auch im Vergleich zur Europaratskonvention – die besondere Betonung einer unabhängigen Datenschutzkontrolle und die Gewährleistung der Rechte der Betroffenen, insbesondere des Rechts auf Auskunft über die gespeicherten personenbezogenen Daten. Allerdings beschränkt sich der Geltungsbereich der Datenschutzrichtlinie auf die »Erste Säule« der EU, also im Wesentlichen auf den Binnenmarkt, und umfasst weder die »Zweite« (Außen- und Sicherheitspolitik) noch die »Dritte Säule« (Polizei und Justiz).
    Unbeschadet der sinkenden technischen Schwellen und der praktisch zu vernachlässigenden Übertragungskosten hat es erhebliche rechtliche Konsequenzen, wo die Datenverarbeitung stattfindet. Zwar gibt es innerhalb der Mitgliedsstaaten der Europäischen Union ein vergleichbar hohes Datenschutzniveau, sodass es letztlich für den Betroffenen nicht entscheidend ist, ob die verantwortliche Stelle ihren Sitz in Berlin, Warschau oder Lissabon hat. Außerhalb der EU gibt es allerdings nur wenige Länder, in denen – gemessen am europäischen Datenschutzrecht – ein angemessener Datenschutz gewährleistet ist. Bisher hat die Europäische Kommission lediglich für Kanada, die Schweiz und Argentinien entsprechende Feststellungen getroffen. Für den Rest der Welt muss fallweise beurteilt werden, ob die personenbezogenen Daten angemessen geschützt sind.
    Dies gilt auch für die Vereinigten Staaten von Amerika, mit denen die EU allerdings eine besondere Abmachung über einen »sicheren Hafen« (Safe Harbor Agreement) 56 getroffen hat. Bei Unternehmen, die sich zur Einhaltung der im Abkommen festgelegten Prinzipien bekennen und ihre Praxis entsprechend überprüfen lassen, wird ein angemessenes Datenschutzniveau angenommen. Die Einhaltung der Verpflichtungen wird durch unabhängige Wirtschaftsprüfungsgesellschaften kontrolliert, und Verstöße können durch die Federal Trade Commission des US-Handelsministeriums mit erheblichen Bußgeldern geahndet werden. Ein wesentliches Manko des Safe-Harbor-Systems besteht allerdings darin, dass wichtige Branchen nicht in den Anwendungsbereich des Abkommens fallen, wie etwa die Banken und die Telekommunikationsunternehmen.
    Aktuell gewinnt die Frage an Bedeutung, wie beim »Outsourcing« der Datenverarbeitung, also bei der Vergabe der Erfassung, Speicherung und Auswertung personenbezogener Daten an externe Firmen, der Datenschutz gewährleistet