UN-Menschenrechtsexperten haben eine klare Botschaft ausgesendet: Datenschutzgesetze auf dem Papier reichen nicht aus. In einer aus Genf veröffentlichten Erklärung betonten die Experten, dass die Unabhängigkeit der Datenschutzbehörden und ein wirksamer Zugang zu Gerichten wesentlich für den Schutz des Rechts auf Privatsphäre seien, insbesondere wenn mächtige Technologieunternehmen beteiligt sind. Für alle, deren personenbezogene Daten in Unternehmensdatenbanken liegen, ist dieser Punkt von praktischer Bedeutung. Unabhängige Datenschutzbehörden und Datenschutzrechte gehen Hand in Hand, und wenn das eine schwach ist, leidet das andere darunter.

Was die UN-Experten über Aufsicht und Rechtsschutz sagten

Die vom Büro des UN-Hochkommissars für Menschenrechte (OHCHR) veröffentlichte Erklärung dreht sich um ein einfaches Prinzip. Mit den Worten der Experten: „Datenschutzrechte können nicht allein durch Gesetze geschützt werden." Der veröffentlichte Auszug der Erklärung ist kurz, daher beschränken wir diesen Bericht auf das, was die Experten direkt erklärten: dass Aufsichtsbehörden unabhängig sein müssen und dass Menschen Zugang zu Gerichten haben müssen, wenn ihre Rechte verletzt werden.

Es handelt sich um zwei getrennte Schutzmechanismen, die zusammenwirken. Eine Datenschutzbehörde untersucht Beschwerden, prüft Organisationen und kann Sanktionen verhängen. Gerichte bieten Einzelpersonen einen Weg, Rechtsbehelfe zu suchen und Entscheidungen von Unternehmen oder sogar von Regulierungsbehörden selbst anzufechten. Wenn eine dieser Ebenen fehlt oder beeinträchtigt ist, hat eine Person, deren Daten missbraucht wurden, möglicherweise keinen sinnvollen Anlaufpunkt.

Warum Gesetze allein gegenüber mächtigen Technologieunternehmen versagen

Die meisten Länder verfügen inzwischen über eine Form von Datenschutzgesetzgebung. Aber ein Gesetz ist nur so stark wie die Institutionen, die es durchsetzen. Große Technologieunternehmen verfügen über enorme Mengen personenbezogener Daten und über erhebliche rechtliche und finanzielle Ressourcen. Ein einzelner Nutzer, der einem von ihnen gegenübersteht, befindet sich in einer ungleichen Position.

Dieses Ungleichgewicht ist der Grund, warum die Experten Unabhängigkeit und Zugang zur Justiz hervorhoben. Eine Regulierungsbehörde, die unter politischem oder kommerziellem Druck steht, könnte zögern, gegen große Unternehmen vorzugehen. Eine Regulierungsbehörde ohne ausreichende Befugnisse oder Ressourcen könnte dazu nicht in der Lage sein. Und wenn Gerichte zu teuer, zu langsam oder unzugänglich sind, geben Einzelpersonen möglicherweise einfach auf, ihre Rechte durchzusetzen, selbst wenn das Gesetz auf ihrer Seite ist.

In der Praxis bedeutet dies, dass der Text eines Datenschutzgesetzes nur einen Teil der Geschichte erzählt. Wer die Regulierungsbehörde ernennt, wie sie finanziert wird, ob sie gegen Regierungen ebenso wie gegen Unternehmen vorgehen kann und ob Menschen gegen ihre Entscheidungen Berufung einlegen können – all das bestimmt, wie viel Schutz in der Realität tatsächlich besteht.

Wenn Regulierungsbehörden die Unabhängigkeit fehlt: das Beispiel des indischen DPDP-Gesetzes

Indiens Digital Personal Data Protection Act bietet eine nützliche Fallstudie dafür, warum diese Bedenken relevant sind. Als das Gesetz 2023 verabschiedet wurde, konzentrierte sich ein Großteil der öffentlichen Diskussion auf Meldepflichten bei Datenschutzverletzungen, Sanktionen und Einwilligungsanforderungen für Unternehmen. Weniger Aufmerksamkeit erhielt, wie das Gesetz mit Transparenzregeln zusammenspielt. Unser Erklärartikel darüber, wie Section 44(3) des indischen DPDP-Gesetzes den Zugang nach dem RTI-Gesetz beeinträchtigt, untersucht, wie eine einzige Bestimmung die Möglichkeit der Öffentlichkeit einschränken kann, Informationen zu erhalten, was wiederum die Kontrolle darüber begrenzt, wie mit Daten umgegangen wird.

Die Lehre passt zur Warnung der UN-Experten. Ein Datenschutzrahmen kann Einwilligungsregeln und Sanktionen enthalten und dennoch Lücken aufweisen, wenn Ausnahmen die Rechenschaftspflicht schwächen oder wenn die Aufsicht nicht unabhängig ist. Leser, die die Debatte in einem beliebigen Land verfolgen, können dieselben Fragen stellen: Ist die Regulierungsbehörde von den Stellen getrennt, die sie beaufsichtigt? Können Bürger Entscheidungen anfechten? Gibt es Ausnahmeregelungen, die die Transparenz verringern?

Was das für Sie bedeutet

Sie können zwar nicht kontrollieren, wie Ihr Land seine Regulierungsbehörden strukturiert, aber Sie können Schritte unternehmen, damit bestehende Schutzmaßnahmen Wirkung zeigen.

  • Nutzen Sie Ihre gesetzlichen Rechte. Je nachdem, wo Sie leben, können Sie möglicherweise Auskunft über die Daten verlangen, die ein Unternehmen über Sie speichert, Berichtigung oder Löschung beantragen und bestimmten Verwendungen widersprechen. Diese Anträge schaffen auch eine Aktenlage, falls Sie später eine Beschwerde einreichen müssen.
  • Kennen Sie Ihre Aufsichtsbehörde. Finden Sie heraus, welche Datenschutzbehörde für Sie zuständig ist und wie Sie eine Beschwerde einreichen können. Beschwerden sind einer der wichtigsten Wege, über die Regulierungsbehörden von Problemen erfahren.
  • Bewahren Sie Unterlagen auf. Speichern Sie Datenschutzhinweise, Korrespondenz und Screenshots, wenn Sie glauben, dass Ihre Daten missbräuchlich behandelt wurden. Sie sind nützlich, falls ein Streitfall eine Regulierungsbehörde oder ein Gericht erreicht.
  • Achten Sie auf Ausnahmen. Wenn ein neues Datenschutzgesetz vorgeschlagen oder verabschiedet wird, schauen Sie über die öffentlichkeitswirksamen Schutzversprechen hinaus. Ausnahmen und schwache Durchsetzungsbestimmungen bestimmen oft, wie gut es funktioniert.
  • Schichten Sie Ihre Verteidigung. Gesetzliche Rechte wirken, nachdem Daten erhoben wurden. Technische Werkzeuge wirken vorher. Verschlüsselung, starke einzigartige Passwörter, Zwei-Faktor-Authentifizierung und ein VPN zur Begrenzung dessen, was Ihr Netzwerkverkehr preisgibt, können verringern, wie viele Daten überhaupt exponiert werden. Ein VPN ersetzt keine rechtlichen Schutzmaßnahmen, und rechtliche Schutzmaßnahmen ersetzen keine guten Sicherheitsgewohnheiten.

Kernaussagen

Die Erklärung der UN-Experten ist eine Erinnerung daran, dass Privatsphäre sowohl ein technisches als auch ein institutionelles Thema ist. Unabhängige Datenschutzbehörden und Datenschutzrechte sind aufeinander angewiesen: Starke Gesetze brauchen Regulierungsbehörden, die ohne Druck handeln können, und Einzelpersonen brauchen Gerichte, die sie realistisch erreichen können.

Für Leser ist die nützlichste Antwort, Ansätze zu kombinieren. Nehmen Sie Ihre Auskunfts-, Löschungs- und Beschwerderechte wahr, nutzen Sie Verschlüsselung und Datenschutzwerkzeuge, um die Datenexposition zu verringern, und bleiben Sie aufmerksam dafür, wie Gesetze geschrieben und durchgesetzt werden. Um zu sehen, wie schwache Aufsicht und Ausnahmen sowohl Privatsphäre als auch Transparenz in der Praxis untergraben können, lesen Sie unsere Fallstudie zu Indiens DPDP-Gesetz und seiner Auswirkung auf den RTI-Zugang.