Das Szenario: Ein fast 16-jähriges Mädchen mit einer chronischen Erkrankung suchte auf den Rat ihrer Hausärztin hin eine Spezialklinik für eine gründliche Diagnostik auf. Dort erfolgte seitens der Klinik die Empfehlung, sie dort über mehrere Wochen hinweg vor allem auch psychotherapeutisch zu behandeln. Das Mädchen war nach dem Tod ihrer Eltern bei ihrer Tante und ihren Onkel aufgewachsen, die seit mehreren Jahren in Scheidung lebten, das Mädchen lebte seither bei ihrem Onkel. In der Klinik gab sie gegenüber dem für sie zuständigen Oberarzt an, dass sie nicht wolle, dass ihrer Tante Auskunft über ihren Zustand erteilt werde, weder mündlich noch schriftlich. Die Antwort des Arztes auf diese Bitte: das ginge auf keinen Fall, die Tante sei schließlich trotz der Trennung von ihrem Mann gemeinsam mit ihm für das Mädchen sorgeberechtigt und deshalb müsse das Krankenhaus ihr Auskunft geben. Der später zugezogene Chefarzt versuchte sich gegenüber dem aufgebrachten Teenager mit einem Kompromissvorschlag. Wenn die Tante anrufe könne man ihr ja am Telefon keine Auskunft geben, das sei von Seiten des Krankenhauses zu rechtfertigen. Eine im Krankenhaus ansässige Psychologin, die das Mädchen mitbehandeln sollte, folgte ebenfalls dieser Linie und bestand darauf, dass die ärztliche Schweigepflicht keinesfalls gegenüber Minderjährigen gelte. Das Mädchen brach die vorgesehene stationäre Behandlung daraufhin ab, bevor sie begonnen hatte. Ihr fehle unter diesen Umständen das nötige Vertrauen.

Schweigepflicht gilt auch für Minderjährige

An diesem Beispiel sind gleich mehrere Problemfelder in der Organisation von Datenschutz und Informationssicherheit zu besichtigen - die im Übrigen auf jedes andere Unternehmen übertragbar sind: anstelle von Patientendaten kann man auch „Kundendaten“ einsetzen, und „Einhaltung der ärztlichen Schweigepflicht“ durch „Compliance“ ersetzen.

Zunächst zum inhaltlichen Hintergrund. Es ist unstreitig, dass die ärztliche Schweigepflicht auch gegenüber Minderjährigen gilt, sobald diese über eine ausreichende Einsichtsfähigkeit verfügen, siehe dazu die am Ende dieses Artikels eingefügten Links. Eine ausreichende Einsichtsfähigkeit beginnt in der Regel ab einem Alter von 15 oder 16 Jahren.

Es kommt dabei nicht darauf an, ob die Entscheidung einer Minderjährigen bei neutraler Beurteilung als richtig oder falsch, vernünftig oder unvernünftig anzusehen ist. Genauso wie man Erwachsenen jederzeit das Recht auf unvernünftige Entscheidungen in Bezug auf ihren Körper oder ihr Leben zugesteht, muss dies auch für Minderjährige gelten, sofern sie über die nötige Einsicht hinsichtlich möglicher Folgen verfügen.

In dem geschilderten Fall konnte man ohne weiteres von der Einsichtsfähigkeit des Teenagers ausgehen.

Schwachpunkt Datenschutzmanagement

Hier lag also der erste Schwachpunkt des Krankenhauses in der Organisation des Datenschutzes. Es war den beteiligten Ärzten offensichtlich nicht bekannt, wie sich die formale Lage in einem solchen Fall darstellt. Soweit ersichtlich gab es weder im Rahmen des Qualitätsmanagements noch durch den Datenschutzbeauftragten eine entsprechende Vorgabe, die den Ärzten auch vermittelt worden wäre. Ein weiterer Schwachpunkt lag darin, dass es ebenso offenkundig keinen vorab definierten und etablierten Ablauf für den Umgang mit Streitfällen in Bezug auf die ärztliche Schweigepflicht gab.

Wie es besser geht?

Die Klinikleitung muss im Rahmen ihrer Organisationsverantwortung dafür sorgen, dass das ärztliche wie auch das pflegerische Personal um seine Pflichten im Zusammenhang mit ärztlicher Schweigepflicht weiß und entsprechend handeln kann. Es müssen krankenhausintern Anweisungen erstellt werden, die regeIn, wie in Bezug auf die Übermittlung von Patientendaten an dritte Stellen und Personen vorzugehen ist. Das Qualitätsmanagement bietet in diesem Zusammenhang den formalen Rahmen, um die entsprechenden Prozesse zu definieren und die nötigen Leitlinien für die Compliance vorzugeben. Es würde sich anbieten, in diesem Rahmen nach der Definition der Prozesse zur Umsetzung eine interne Richtlinie zu erlassen, die genau festlegt, welche Informationen mit oder ohne Einwilligung des Patienten an welche Stellen übermittelt werden dürfen und in welcher Form: Elektronisch, in Papierform, telefonisch. Insofern kann die Klinikleitung ihre diesbezügliche Verantwortung an die Qualitätsmanager und die Datenschutzbeauftragten delegieren. In Frage kommt weiterhin die Einbeziehung der Rechtsabteilung für die Klärung von Rechtsfragen und der IT-Verantwortlichen. Letztere müssen für die technische Umsetzung der rechtlichen und organisatorischen Vorgaben in der IT-Infrastruktur des Krankenhauses sorgen (Verschlüsselungsverfahren bei elektronischer Übermittlung etc.).

Zu dieser Definition der Anforderungen gehört auch die Definition eines Verfahrens des Umgangs mit Konfliktfeldern. So wäre im oben geschilderten Fall denkbar gewesen, dass der zuständige Arzt mangels eigener Sachkenntnis verpflichtet ist, die Rechtsabteilung des Krankenhauses für eine Entscheidung hinzuzuziehen, anstatt diese selber zu treffen. Auch das muss im Wege einer verbindlichen Vorgabe seitens der Klinikleitung geregelt werden.

Verlässliche Abläufe etablieren

Sind die Anforderungen definiert, müssen die Abläufe etabliert werden, die sicherstellen, dass die Anforderungen in der Praxis auch umgesetzt werden. So ist denkbar, einen Ablauf dahingehend zu etablieren, dass jeder Patient beziehungsweise die Sorgeberechtigten bei der Aufnahme oder im Erstgespräch gefragt werden, welcher Angehörige und oder Verwandte Auskunft über den Zustand des Kindes oder des Jugendlichen erhalten darf - oder eben auch nicht und dieses dann in der Patientenakte vermerkt wird. Damit sollte auch eine allgemeine Übersicht über die Weitergabe von Informationen z.B. an mitbehandelnde Ärzte verbunden werden und die Erteilung ggfls. notwendiger Einwilligungserklärungen. Ein solches Vorgehen lässt sich relativ problemlos in die übrigen Formalien einbinden, die bei der Aufnahme in einem Krankenhaus Routine sind. Felder, die in diesem Zusammenhang mitbearbeitet werden müssen, sind u.a. die Festlegung von Verantwortlichkeiten für die Erstellung der Unterlagen, die Bereitstellung der Unterlagen in das Kliniknetzwerk und die Schaffung der Möglichkeit für verschiedene Stellen, auf diese auch zuzugreifen.

Führungsaufgabe!

Auch der Aufbau solcher Strukturen für rechtskonforme Abläufe liegt in der Verantwortung der Leitung des Krankenhauses; für die Umsetzung müssen dann andere Stellen eingebunden werden.

Im nächsten Schritt müssen die Anweisungen und die vorgegebenen Abläufe unter dem ärztlichen und pflegerischen Personal bekannt gemacht werden. Jede noch so gut gemachte Anweisung nützt nichts, wenn diejenigen, die sie umsetzen, nichts davon wissen. Nach unserer langjährigen Erfahrung eignen sich regelmäßige Schulungen am besten dazu, ein Bewusstsein für die Notwendigkeit von Datenschutz und Informationssicherheit zu vermitteln. Wichtig ist dabei, dass die Darstellung anhand von Beispielen aus der Praxis erfolgt und einmal jährlich erfolgt. Praktikabel ist auch das Andocken dieser Themen an ohnehin stattfindende Schulungen zum Qualitätsmanagement, Hygiene, Arbeitssicherheit o.ä.

Nach erfolgreichem Aufbau dieser Schritte geht es dann noch darum, das System auch lebendig zu halten und in Abständen auf das Funktionieren zu überprüfen. Ebenso muss überprüft werden, ob Änderungen an der formalen Gestaltung erforderlich sind, etwa weil sich Gesetze geändert haben.

Fazit

Es mag ein seltener Einzelfall sein, dass ein Teenager auf der Nichtweitergabe von ärztlichen Informationen an einen Angehörigen besteht. Die finanziellen Folgen für die Klinik waren aber in dem Behandlungshonorar für einen sechswöchigen Aufenthalt messbar. Müßig ist es zu erwähnen, dass das Vertrauen der Patienten ein entscheidendes Qualitätsmerkmal eines Krankenhauses ist. Müßig ist es auch zu erwähnen, dass sich die Etablierung eines qualitativ guten Datenschutzmanagements nicht nur auf Fragen der ärztlichen Schweigepflicht bezieht, sondern auf alle Themenfelder, die in der Organisation eines Behandlungsverhältnisses eine Rolle spielen.

Die hier dargestellte Vorgehensweise lässt sich im Grunde auf alle Bereiche des Aufbaus eines Datenschutz- und Informationssicherheitsmanagements übertragen. Immer kommt es darauf an, zunächst die Prozesse zu beleuchten, diese sofern nötig umzustellen und dann die Vorgaben für einen rechtskonformen und/oder technisch sicheren Ablauf zu definieren, die nachfolgend umgesetzt werden. Entscheidend ist auch das Zusammenspiel verschiedener Stellen in einem Unternehmen, die die einzelnen Bausteine aufeinander abgestimmt entwickeln und umsetzen.

Auswahl weiterführender Links zum Thema

http://www.aerztekammer-berlin.de/10arzt/30_Berufsrecht/08_Berufsrechtliches/06_Behandlung_von_Patienten_Pflichten_Empfehlungen/35_Merkblatt_Schweigepflicht.pdf

https://www.aerztekammer-bw.de/10aerzte/40merkblaetter/10merkblaetter/schweigepflicht.pdf

http://www.info-krankenhausrecht.de/Rechtsanwalt_Arztrecht_Medizinrecht_Schweigepflicht_Schweigepflicht_01.html#tocitem9

http://www.arzt-wirtschaft.de/schweigepflicht-gilt-auch-fuer-minderjaehrige-patienten/

Willkommen im Jahr 2016 und willkommen zu einer weiteren Folge des Gastbeitrages von Hans-Christian Schellhase:

Im heutigen vierten Teil unserer Serie zu „vernetzten Autos“ werden wir uns damit beschäftigen, inwieweit Daten im Zusammenhang mit Connected Cars erhoben, verarbeitet und genutzt werden dürfen. Wir werden uns heute also mit den sog. Erlaubnistatbeständen und den Problemen rund um die Einwilligung in die Verarbeitung personenbezogener Daten beschäftigen.

Erlaubnis und Einwilligung

Da es sich bei den Fahrzeugdaten um personenbezogene Daten im Sinne von § 3 Abs. 1 Bundesdatenschutzgesetz (BDSG) handelt, dürfen diese nach § 4 Abs. 1 BDSG nur erhoben, verarbeitet und genutzt werden, soweit hierfür eine gesetzliche Erlaubnis oder Anordnung besteht oder der Betroffene eingewilligt hat.

Erlaubnistatbestände

Spezielle Erlaubnistatbestände für die Erhebung und Verarbeitung von Daten rund um das vernetzte Auto existieren im BDSG nicht. Eine Legitimation für die bereits in den vorangegangenen Beiträgen zum Thema umrissenen Datenvorgänge kann sich daher nur aus den allgemeinen Erlaubnistatbeständen ergeben. Hier kommen vor allem § 28 Abs. 1 Satz 1 Nr. 1 und Nr. 2 BDSG in Betracht.

Danach ist die Erhebung und Verarbeitung von Daten als Mittel für die Erfüllung eigener Geschäftszwecke zulässig, wenn es entweder

- für die Begründung, Durchführung oder Erfüllung eines rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses mit dem Betroffenen (Nr. 1)
- oder zur Wahrung berechtigter Interessen der verantwortlichen Stelle erforderlich ist und kein Grund zur Annahme besteht, dass das schutzwürdige Interesse des Betroffenen an dem Ausschluss der Nutzung oder Verarbeitung besteht (Nr. 2).

Bei vielen Anwendungen rund um das vernetzte Auto fehlt es bereits an dem für beide Erlaubnistatbestände erforderlichen Tatbestandsmerkmal „als Mittel zur Erfüllung eigener Geschäftszwecke“. Als Mittel zur Erfüllung eigener Geschäftszwecke dient eine Datenverwendung, wenn sie lediglich akzessorischen Charakter hat und nicht selbst den Kern des geschäftlichen Interesses darstellt.

Damit scheiden von vornherein alle Anwendungen aus, bei denen die Erhebung und Verwendung der Daten selbst im Vordergrund steht. Hierzu gehören etwa die Fernüberwachung der Fahrzeugfunktionen durch den Hersteller zum Zwecke der Produktbeobachtung, aber auch Location Based Services, wie Navigationssysteme, die auch im ausgeschalteten Zustand Positionsdaten übermitteln.

Aber auch Anwendungen, die sich auf den ersten Blick über § 28 Abs. 1 Satz 1 Nr. 1 BDSG legitimieren lassen, sind nicht unproblematisch. Dies zeigt etwa ein Blick auf die Telematikversicherung.

Sofern eine wirksame vertragliche Regelung vorliegt, scheinen hier die Erhebung und Verarbeitung der erforderlichen Daten grundsätzlich gedeckt. Voraussetzung für § 28 Abs. 1 Satz 1 Nr. 1 BDSG ist jedoch, dass im Zweifel ein Nachweis möglich ist, wonach eine entsprechende Datenverarbeitung zur Wahrung berechtigter Interessen des jeweiligen Anbieters von „Smart Services“ erforderlich ist. Je deutlicher ein Anbieter also sein Angebot in Bezug auf Leistungen ausweitet, zu deren Erbringung die Verarbeitung personenbezogener Daten aus dem Fahrzeug erforderlich ist, und diese Leistungen auch im Vertrag bzw. in Merkblättern hinreichend konkret beschreibt, desto mehr an Verarbeitung ist durch § 28 Abs. 1 Satz 1 Nr. 1 BDSG gedeckt. Dies gilt aber nur, wenn Versicherungsnehmer und Fahrer personenidentisch sind.

Die Grenze der Erforderlichkeit wird aber dann überschritten, wenn mithilfe der übermittelten Daten die Erstellung von Bewegungsprofilen ermöglicht wird.

Totalüberwachung unzulässig

Eine detaillierte Überwachung jeder einzelnen Fahrt ist demnach unzulässig, kann allerdings dadurch vermieden werden, dass die personenbezogenen Daten pseudonymisiert und von einem beauftragten Unternehmen ausgewertet werden, so dass sie der Versicherungsgeber ausschließlich in Gestalt der ermittelten Score-Werte erfährt. Solange die Versicherung kein Profil des bzw. der Fahrer, sondern nur einen Score-Wert sowie ggf. Informationen über Sonderereignisse erhält, kann ein fahrverhaltensbezogener Telematiktarif unter Berücksichtigung von § 28b BDSG (Scoring) rechtskonform ausgestaltet werden.

Ist der Fahrer nicht der Versicherungsnehmer, entfaltet § 28 Abs. 1 Satz 1 Nr. 1 BDSG jedoch keine Legitimationswirkung. Der Betroffene ist in diesem Fall nicht Vertragspartei, es fehlt an dem erforderlichen rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Verhältnis. Unter bestimmten Voraussetzungen können zwar auch Daten Dritter vom Erlaubnistatbestand gedeckt sein, das rechtsgeschäftliche Schuldverhältnis müsste dies aber zwingend erfordern. Bei der Telematikversicherung ist dies jedoch nicht der Fall, das Versicherungsverhältnis erfordert keine Weitergabe der Daten Dritter. Im Gegenteil, es kann problemlos durchgeführt werden, wenn ausschließlich der Versicherungsnehmer das Fahrzeug führt.

Die Vertragsparteien können auch nicht die Einbeziehung Außenstehender vereinbaren. Dies wäre ein unzulässiger Vertrag zu Lasten Dritter.

Ein solches Ergebnis kann auch nicht über eine weite Auslegung des Erlaubnistatbestands erreicht werden. Dies ist mit Sinn und Zweck der gesetzlichen Regelung absolut unvereinbar. Andernfalls könnte der Versicherungsnehmer den Fahrer überwachen und von diesem Bewegungs- und Fahrprofile erstellen.

Da es in der Praxis eher die Regel als die Ausnahme ist, dass Fahrzeuge von verschiedenen Personen gefahren werden, vermittelt der Erlaubnistatbestand des § 28 Abs. 1 Satz 1 Nr. 1 BDSG im Ergebnis auch in diesen auf den ersten Blick unproblematischen Fällen keine ausreichende Rechtssicherheit.

In Konstellationen mit mehreren Betroffenen, scheidet in der Regel auch eine Rechtfertigung nach § 28 Abs. 1 Satz 1 Nr. 2 BDSG aus. Es fehlt insoweit am Tatbestandsmerkmal, dass „kein Grund zur Annahme bestehen darf, dass mit Weitergabe gegen schutzwürdige Interessen des Betroffenen verstoßen wird“.

Das schutzwürdige Interesse kann gerade dann erheblich sein, wenn Daten erhoben werden, die deutliche Schlüsse auf das Fahrverhalten zulassen bzw. dieses Fahrverhalten unmittelbar protokollieren. Je mehr die Daten auf eine individuelle Verhaltensweise des jeweiligen Fahrers schließen lassen, die der Betroffene Dritten nur zurückhaltend mitteilen würde, desto größer ist die Gefahr, dass die Datenverarbeitung wegen entgegenstehender schutzwürdiger Interessen des Betroffenen nicht zulässig ist.

Wenn dem Betroffenen selbst keine konkreten und spürbaren Vorteile aus dem Datenumgang entstehen, kann nicht unterstellt werden, dass er kein schutzwürdiges Interesse am selbstbestimmten Umgang mit seinen Daten hat.

Es bleibt nur die Einwilligung

Das schutzwürdige Interesse fehlt auch nicht deshalb, weil an manchen Diensten, etwa Staumeldungen, möglicherweise ein gesamtgesellschaftliches Interesse besteht. Da es sich bei dem Recht auf informationelle Selbstbestimmung um eine individuelle Grundrechtsposition handelt, kann hierin nur auf Grund einer hinreichend konkreten und verfassungskonformen Grundlage eingegriffen werden. Fehlt es daran, verbleibt einzig der Weg einer wirksamen Einwilligung nach § 4 Abs. 1 BDSG.

Eine solche kommt auch im Falle eines autonom fahrenden Fahrzeuges in Betracht. Denn datenschutzrechtlich wird man über § 28 Abs. 1 S. 1 Nr. 1 BDSG mangels Erforderlichkeit eine Datenerhebung und Speicherung aus autonom fahrenden Fahrzeugen ebenso wenig rechtfertigen können, wie über § 28 Abs. 1 S. 1 Nr. 2 BDSG. Schließlich würde dies zu einem völligen Entzug der Handlungsfreiheit des Betroffenen führen.

eCall

Hinsichtlich des Notrufsystems „eCall“ ist ein Umgang mit den übermittelten Daten im Rahmen des sog. Basissystems nach § 28 Abs. 1 S. 1 Nr. 2 BDSG legitimiert. Bei Aktivierung des Systems werden nach dem sog. Mindestdatenschutz nur die zur Notfallrettung erforderlichen Daten übermittelt, die von der Notrufstelle ausschließlich für die Dauer der Rettungsmaßnahmen gespeichert und genutzt werden dürfen. Diese Legitimation besteht auch über das Nicht-Abschalten-Können der Notruffunktion hinaus fort, dürfte doch die Verkürzung der Reaktionszeit der Notrufdienste, die Senkung von Todesfällen und Verhinderung von Folgeunfällen im eigenen Interesse des Halters bzw. Fahrers liegen. Zugleich ist der Schutzzweck des eCall nicht auf den Fahrer allein beschränkt, sondern erstreckt sich auch auf seine Mitfahrer sowie auf die übrigen Verkehrsteilnehmer. Probleme mit dem Datenschutz können sich allerdings mit Blick auf die zusätzlichen Dienste ergeben, die auf dem Basisnotrufsystem aufsetzen. Diese sind datenschutzrechtlich jeweils nur über eine Einwilligung gemäß § 4 Abs. 1 BDSG legitimiert.

Einwilligung überhaupt möglich?

Für die Zulässigkeit der Datenverarbeitung ist somit in vielen Fällen auf die Einwilligung abzustellen. In der Praxis ist beim vernetzten Auto eine wirksame Einwilligung jedoch kaum möglich. Dies gilt bereits mit Blick auf den Kreis der Betroffenen.
Die Einwilligung ist höchstpersönlicher Natur. Sie rechtfertigt einen Grundrechtseingriff und kann daher nur durch den Grundrechtsinhaber selbst erklärt werden. Die Abgabe durch einen Bevollmächtigten scheidet somit aus. Wenn das Fahrzeug somit von mehreren Personen geführt wird oder sich neben dem Fahrer weitere Personen im Fahrzeug befinden, müsste im Grunde jede dieser Personen einwilligen. Die Einwilligung entfaltet damit etwa bei der Telematikversicherung nur im Verhältnis zwischen Versicherungsnehmer und Versicherungsgeber Wirkung. Gleiches gilt für alle anderen Anwendungen, bei denen das Auto von wechselnden Personen gesteuert wird bzw. mehrere Personen im Auto sitzen.
Auch die gesetzlichen Formanforderungen sind in der Praxis kaum zu erfüllen. So bedarf die Einwilligung nach § 4a BDSG grundsätzlich der Schriftform. Da dies für jede Datenverwendung gilt, lässt sich diese Anforderung schon wegen des weiten Kreises potenziell Betroffener kaum realisieren. Auch die die Schriftform ersetzende qualifizierte elektronische Signatur scheidet vor diesem Hintergrund aus.

Freiwilligkeit fraglich ...

In vielen Fällen dürfte zudem die geforderte Freiwilligkeit der Einwilligung fraglich sein.
Das ist dann der Fall, wenn bestimmte Dienstleistungen oder Produkte für die Betroffenen, die derartige Datenverarbeitungen ablehnen, nicht mehr zur Verfügung stehen oder wenn die Nutzung eines Diensts an die Zustimmung zur weiteren Datenanalyse geknüpft wird, wie dies bei Anwendungen von US-Anbietern oftmals der Fall ist.

... und die informierte Einwilligung

Problematisch ist das Instrument der Einwilligung schließlich unter dem Gesichtspunkt der „informierten Einwilligung”. Der Betroffene muss hier wissen, worin er einwilligt, um die Tragweite seiner Entscheidung abzusehen. Dies setzt voraus, dass er ausreichende Informationen darüber hat, welche Daten Gegenstand der Einwilligung sind, wie diese verwendet werden und durch wen die Verwendung erfolgt. Das ist im Kontext des vernetzten Fahrens praktisch nicht mehr möglich. Bei hoher Komplexität der Datenverarbeitungsvorgänge, wie sie für moderne Technikentwicklungen typisch sind, ist der Einwilligende kaum in der Lage, die Konsequenzen seiner Entscheidung abschätzen zu können. Auch unter diesem Gesichtspunkt sind in der Praxis viele Einwilligungserklärungen angreifbar.

Ausblick auf Teil 5 – Beschäftigtendatenschutz

Weitere datenschutzrechtliche Probleme können sich ergeben, wenn es sich beim jeweiligen Fahrzeug um einen Dienstwagen handelt, der dem Arbeitgeber gehört, aber vom Arbeitnehmer genutzt wird. Welche rechtlichen Gesichtspunkte hier zu beachten sind, lesen Sie im fünften und letzten Teil unserer Serie.

Fernseh-Premiere für meine Co-Geschäftsführerin Anna Cardillo - vor einiger Zeit bat der WDR um ein Interview zu Datenschutzthemen und das - wir finden sehr gelungene ... - Ergebnis können Sie hier sehen:

http://www1.wdr.de/themen/verbraucher/themen/digital/datenschutz-116.html

Im unserer Serie zu „vernetzten Autos“ werden wir uns heute damit auseinandersetzen, welche Regelungen für die rechtliche Bewertung von Connected Cars eine Rolle spielen und vor welchen Herausforderungen der Datenschutz bei Connected Cars wirklich steht. Alles in allem werden wir gleich ein bisschen tiefer in die Jurisprudenz einsteigen ... hier ist der dritte Teil unseres Gastautors Hans-Christian Schellhase.

Rechtsgrundlagen

Sofern bei Connected Cars keine bereichsspezifischen Normen vorrangig die Datenverarbeitung regeln, findet das Bundesdatenschutzgesetz (BDSG) Anwendung - jedenfalls dann, wenn personenbezogene Daten nach § 3 Abs. 1 BDSG erhoben werden.

Gesetz über Intelligente Verkehrssysteme (IVSG)

Zunächst kommt als speziellere Regelung das „Gesetz über Intelligente Verkehrssysteme (IVSG)” in Betracht. Das IVSG enthält keine Bestimmungen zum Umgang mit personenbezogenen Daten, vielmehr verweist es im Hinblick auf personenbezogene Daten auf bundesgesetzliche Erlaubnistatbestände. Im IVSG finden sich also keine bereichsspezifischen Datenschutzregelungen, die dem BDSG vorgehen würden.

Telemediengesetz (TMG) und Telekommunikationsgesetz (TKG)

Zwar finden sich bereichsspezifische Datenschutzregeln im TMG und im TKG; die typischen Gefahren, die vom vernetzten Fahrzeug für das Grundrecht auf informationelle Selbstbestimmung ausgehen, werden von den Datenschutzregelungen des TMG und TKG jedoch nicht erfasst. Beide bilden damit auch keine speziellere Regelung.

eCall-Verordnung

Die eCall-Verordnung kommt als bereichsspezifische Vorrangregelung bis zu ihrem Inkrafttreten am 31. März 2018 nicht als Rechtsgrundlage in Betracht. Darüber hinaus gelten ihre Datenschutzbestimmungen nur für das Basissystem, alle Zusatzdienste werden von der Verordnung nicht erfasst.

Bundesdatenschutzgesetz (BDSG)

Die Rechtsgrundlage, auf der sich die Datenverarbeitung im vernetzten Auto datenschutzrechtlich bewegt, kann daher nur das Bundesdatenschutzgesetz (BDSG) sein. Zudem sind die Daten, die beim Betrieb eines Connected Cars anfallen, in der Regel personenbezogene Daten nach § 3 Abs. 1 BDSG.

Personenbezogene Daten?

Die Fahrzeugsensoren erfassen – wie bereits beschrieben – umfassend Daten des Fahrzeugs und der Umgebung. Diese Daten betreffen somit zunächst keine natürliche Person, sondern das jeweilige Fahrzeug. Solche sachbezogenen Daten sind im Grundsatz nicht personenbezogen.
Ein Bezug dieser Daten zu einer bestimmten Person besteht jedoch insoweit, als sie durch die Verknüpfung mit weiteren Informationen Rückschlüsse auf den Halter oder Nutzer des Fahrzeuges zulassen. Beispielsweise können Daten zum Reifendruck oder zur Abnutzung von Bremsen Rückschlüsse etwa auf nachlässige Kontrollen oder eine aggressive Fahrweise zulassen, sofern Daten über den Halter und/oder Fahrer hinzugezogen werden. Diese Daten sind dann nicht mehr rein sach-, sondern personenbezogen.

Bei personalisierten Anwendungen, wie dem automatischen Notruf oder der Telematikversicherung, ergibt sich die Möglichkeit der Herstellung des Personenbezugs aus dem Identifikationszeichen, mit dem die Sensordaten versehen sind. Beim automatischen Notruf ist etwa die Fahrzeugidentifikationsnummer Bestandteil des Datensatzes, der an die Rettungsstelle übermittelt wird.

Bei der Telematikversicherung werden die Sensordaten zwar pseudonymisiert, damit der Messdienstleister keinen Personenbezug herstellen kann. Die Personenbeziehbarkeit muss jedoch nicht für alle in die Prozesskette eingebundenen Beteiligten gleichermaßen gegeben sein. Es reicht aus, wenn sie bei einem Beteiligten gegeben ist. Im Rahmen der Telematikversicherung verfügt der Versicherer über den Schlüssel zur Auflösung. Andernfalls könnte das Versicherungsverhältnis nicht durchgeführt werden.

Der Personenbezug ist auch bei allen übrigen Sensordaten gegeben. Die Personenbeziehbarkeit ergibt sich daraus, dass es objektiv für andere möglich ist, direkt oder indirekt einen Bezug zu einer Person herzustellen. Die Daten aus der Bordelektronik etwa lassen sich durch Hersteller, Vertragshändler, Werkstätten oder Kfz-Sachverständige ohne großen Aufwand auslesen, einfach durch Anschließen des Fahrzeugs an das elektronische Auslesegerät. Damit können die technischen Daten zumindest dem Fahrer, Halter oder Eigentümer zugeordnet werden. Liegen Verknüpfungsdaten vor, sind auch Bezüge zu Mitfahrern und weiteren Personen denkbar.

Personenbezogene Daten!

Zwar werden Sensordaten nicht in jedem Fall mit einer natürlichen Person verknüpft, auf die Beurteilung der Personenbeziehbarkeit hat dies jedoch keinen Einfluss. Das Datenschutzrecht stellt für die Frage ob ein Datum personenbezogen ist oder nicht, u.a. auf den Zeitpunkt der Erhebung ab. Besteht zu diesem Zeitpunkt objektiv die Gefahr eines Personenbezugs, ist das jeweilige Datum als personenbezogen zu qualifizieren, auch wenn sich die Gefahr später nicht realisiert. Andernfalls käme es zu Schutzlücken.

Darüber hinaus ist wichtig, dass sich die unterschiedliche Sensitivität von Sensordaten nicht in der Qualifizierung einer Information als personenbezogenes Datum niederschlagen kann, sondern allenfalls in der Beurteilung des Schutzbedarfs, der Schutzstufe der jeweiligen Information.

Anonymisierte Weiterverarbeitung

Die Erhebung von Daten, die anonymisiert weiterverarbeitet werden sollen, unterliegt beim Vernetzten Auto ebenfalls dem Datenschutzrecht. Zwar entfällt der Personenbezug, wenn die Daten anonymisiert werden, etwa bei anonymisierten Navigationsdaten, um Stauinformationen in Echtzeit zu generieren oder um Karten-Updates zu erstellen. Bei der Übermittlung der Daten an den Anbieter ist für diesen jedoch anhand von IP-Adressen, SIM-Kartennummern oder ähnlichen Kennungen zwangsläufig erkennbar, von welchem Fahrzeug die Daten stammen und welcher Person sie somit zuzuordnen sind. Da der Anbieter die Übertragung dieser Metadaten durch das Fahrzeug veranlasst, erhebt er also personenbezogene Daten. Dabei ist es unerheblich, ob die Daten zur Kenntnis genommen oder sonst inhaltlich genutzt werden sollen. Eine spätere Anonymisierung durch den Anbieter des Dienstes ist demnach nicht ausreichend.

Herausforderungen für den Datenschutz

Die Herausforderungen für den Datenschutz beim vernetzten Auto liegen mithin darin, dass es sich bei Sensordaten um personenbezogene Daten handelt, aus denen hochdetaillierte Profile des Fahrers, des Mitfahrers und ggf. anderer Personen im Fahrzeugumfeld erstellt werden können.
Die Datenerhebung und -verarbeitung findet zudem unmerklich und allgegenwärtig statt.
Darüber hinaus besteht die Gefahr, dass der spätere Datenumgang nicht vom ursprünglichen Erhebungszweck gedeckt ist. Zu guter Letzt bringt die umfassende Vernetzung erhebliche Risiken für die Datensicherheit mit sich.

Gefahr hochdetaillierter Profile

Die anfallenden personenbezogenen Daten sind kritisch, weil sich aus ihnen differenzierte Bewegungs-, Verhaltens- und Persönlichkeitsprofile ableiten lassen. Tiefe und Aussagekraft der Profile sind dabei deutlich höher als bei Profilen, die auf Grundlage der Auswertung von Internetspuren erstellt wurden. Grund hierfür sind Datendichte, Datenqualität und Erhebungsdauer.

Jeder einzelne der in einem modernen Mittelklassefahrzeug verbauten Sensoren produziert bei sekundengenauer Auslesung 31,5 Mio. Datenpunkte pro Jahr. Wenn man davon ausgeht, dass jedes Steuergerät mindestens über einen Sensor verfügt, sind dies pro Fahrzeug mehr als 2,5 Mrd. Datenpunkte pro Jahr. Heruntergerechnet auf eine durchschnittliche Nutzung des Autos von einer Stunde pro Tag, sind dies immer noch mehr als 100 Mio. Datenpunkte pro Jahr, die im Auto anfallen. Deren Qualität ist hoch, da es sich um gemessene und mithin manipulationsarme Daten handelt. Diese Daten werden zudem über längere Zeiträume erfasst, weshalb zufällige Schwankungen im Datenbestand ausgeglichen werden.

Der stete Datenstrom, der das Auto verlässt, erlaubt im Ergebnis hochdetaillierte Einblicke in das Verhalten, die Beziehungen, die Vorlieben, die Persönlichkeitsstruktur, das Kommunikationsverhalten und – je nach verwendeten Sensoren – in die Gesundheit des Fahrers und anderer Personen. Eine einzelne Beobachtung mag dabei für sich genommen harmlos sein, werden jedoch solche Daten zusammengeführt, alles mit allem kombiniert und ausgewertet, kann dies zu folgenschweren Verletzungen der Privatsphäre führen. Dieses Risiko erhöht sich weiter, wenn die ausgelesenen Daten mit Daten aus anderen Quellen verknüpft und kombiniert werden. Das wirtschaftliche Potenzial derartiger Daten – nicht nur für Werbezwecke – und damit der Anreiz, diese zu nutzen, liegt damit auf der Hand.

Kenntnis- und Kontrollverlust

Diese Gesamtproblematik wird verschärft, wenn Daten durch zwischengeschaltete Dienstleister fernausgelesen werden. Alle Daten laufen so über mehrere Stationen und gelangen in den Machtbereich von wechselnden und teilweise unbekannten Akteuren. Der Fahrer und Halter des vernetzten Fahrzeugs hat dann keine Kenntnis (und geschweige denn Kontrolle) mehr darüber, wer wann welche Automobildaten ausliest. Dies ist mit dem Grundrecht auf informationelle Selbstbestimmung nicht vereinbar.

Mit den erhobenen Daten lassen sich nicht nur Profile erstellen, sondern auch Verhaltensweisen prägen. Sollte sich etwa die Telematikversicherung durchsetzen, können Betroffene allein durch die Prämiengestaltung der Versicherung unter ökonomischen Zugzwang geraten, der Überwachung zuzustimmen.

Unmerkliche und allgegenwärtige Datenerhebung

Die datenschutzrechtliche Problematik wird zusätzlich durch die mangelnde Transparenz verschärft.

Der Betroffene kann sein Recht auf informationelle Selbstbestimmung nur wahrnehmen, wenn er um die Datenerhebung und Datenverwendung weiß. Sensoren erheben die Daten allerdings automatisch, lautlos und unsichtbar, der Weg der Daten ist damit ausgesprochen intransparent. Der Betroffene hat damit kaum eine Möglichkeit, zu überblicken, wer wann welche Daten ausliest und wofür diese verwendet werden.

Ausfluss der mangelnden Transparenz hinsichtlich der Datenerhebung und Datenverarbeitung ist zudem, dass für den Betroffenen schwierig zu erkennen ist, wer für die Einhaltung der Datenschutzregeln verantwortlich ist.

§ 3 Abs. 7 BDSG sieht vor, dass jede Person oder Stelle, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag vornehmen lässt, eine verantwortliche Stelle ist. Im Kontext des vernetzten Autos gerät diese Regelung an ihre Grenze, denn sie ist auf überschaubare Sachverhalte und Rechtsverhältnisse angelegt. Die Komplexität, die aus der Vielzahl von Beteiligten und Rechtsbeziehungen sowie der Masse an Datenvorgängen gekennzeichnet ist, kann hiermit jedoch nicht hinreichend erfasst werden. Bei Datenverarbeitungsprozessen mit einer Vielzahl von Beteiligten ist kaum feststellbar, wer wann welche Datenverarbeitung initiiert oder veranlasst hat.

Die Schwierigkeit, Verantwortung zuzuordnen, erhöht sich zukünftig weiter, wenn im Zuge des autonomen Fahrens hochkomplexe flüchtige Sensornetze entstehen, in denen Fahrzeuge und Umwelt noch gewaltigere Mengen von Daten untereinander spontan austauschen oder wenn Sensordaten ins Ausland transferiert und dort verarbeitet werden.

Aufhebung der Zweckbindung

Die beschriebenen riesigen Datenmengen sind per se schon missbrauchsgefährdet. Mit einem etwaigen Herauslösen der Daten aus ihrem ursprünglichen Kontext stellt sich jedoch ein weiteres Problem: die Verletzung des Zweckbindungsgrundsatzes.

Personenbezogene Daten dürfen nur zu Zwecken verwandt werden, zu denen sie erhoben worden sind. Dieser Grundsatz ist mit Big Data-Anwendungsbereichen, wie dem vernetzten Auto, fast nicht in Einklang zu bringen. Je komplexer die gewünschte Unterstützung durch die IT ist, desto schwieriger wird es, den Zweck der Datenerhebung vorher konkret festzulegen. Vielfältige und wechselnde Zwecke lassen sich nicht im Vorhinein mit der für den Zweckbindungsgrundsatz erforderlichen Genauigkeit eingrenzen. Lernende Maschinen, wie das autonome Fahrzeug, sind daher unter diesen Bedingungen kaum bzw. im Grunde überhaupt nicht darstellbar.

Die Einhaltung des Zweckbindungsgrundsatzes ist aber nicht nur vor dem Hintergrund der technischen Entwicklung problematisch. Verstöße gegen die datenschutzrechtliche Zweckbindung drohen auch durch staatliche Eingriffe, denn das bloße Vorhandensein von umfangreichen Daten weckt auch bei staatlichen Stellen Begehrlichkeiten. So könnten etwa mittels Telematikversicherung erhobene Daten von Gerichten und Strafverfolgungsbehörden genutzt werden, um die Aufklärung von Verkehrsdelikten zu beschleunigen und zu vereinfachen. Zudem sind die beschriebenen möglichen Daten grundsätzlich auch für das Finanzamt und die Sozialbehörden interessant.

Datensicherheit

Die Vernetzung des Autos ist zudem eine gewaltige Herausforderung für die Gewährleistung der Datensicherheit.

In dem Maße, wie Hersteller, Werkstätten und Dienstleistungsanbieter über das Internet auf das Fahrzeug zugreifen können, steigt auch die Wahrscheinlichkeit, dass Online-Kriminelle den Zugang suchen. Welche Gefahren hier drohen, wurde Anfang des Jahres 2015 bekannt, als der ADAC aufdeckte, dass auf Grund von Sicherheitslücken im Connected-Drive-System von BMW mehr als 2 Mio. Fahrzeuge per SMS illegal geöffnet werden konnten. In den USA ist es darüber hinaus vor kurzem gelungen, von außen die vollständige Kontrolle über ein Fahrzeug zu übernehmen. Die Verwendung standardisierter Plattformen und einheitlicher Architekturen, wie sie mit dem eCall eingeführt werden, erhöht die Verletzlichkeit gegen Angriffe von außen dabei zusätzlich.

Weitere Risiken für die Sicherheit drohen von der Komplexität der Anwendungen und den noch unbekannten Wechselwirkungen der Systeme.

Ausblick auf Teil 4 – Erlaubnistatbestände und Einwilligung

Inwieweit nun Daten im Zusammenhang mit vernetzten Autos erhoben, verarbeitet und genutzt werden dürfen, erfahren Sie im nächsten und vierten Teil unserer Serie. Wir entnehmen den zahlreichen Kommentaren, dass wir bei Ihnen eine hinreichende Neugier für die Problematik der umfassend vernetzten Autos geweckt haben – was uns freut und auf Ihr weiteres Interesse hoffen lässt.

Wir teilen unser Büro mit der Coaching-Agentur menschenkenner. Deren Slogan auf unserem neuen gemeinsamen Firmenschild - „Für das Wichtigste im Unternehmen“ – ließ mich spontan denken: das Wichtigste im Unternehmen ist Datenschutz und Informationssicherheit! Hatte ich doch gerade zuvor wieder Meldungen über umfangreiche Datenverluste gelesen. Sicher ... das wäre übertrieben und vermessen zu behaupten, aber in Anbetracht der Folgen der inzwischen tatsächlich allgegenwärtigen Datenpannen könnte man schon auf die Idee kommen. Ich weiß nicht, was die Kolleginnen aus dem Coaching als das Wichtigste im Unternehmen genau im Sinn haben; Datenschutz wird es sicher nicht sein.

Etwas, das Coaching und Datenschutz aber in der Tat gemeinsam als sehr hoch einschätzen, ist die Wichtigkeit von Kommunikation im Unternehmen. Während die Kommunikation quasi das originäre Werkzeug eines Coaches ist, denkt man beim Stichwort Datenschutz allerdings eher nicht daran. Zu Unrecht, denn nach unserer langjährigen Erfahrung als Beraterinnen und externe betriebliche Datenschutzbeauftragte hängt der erfolgreiche Aufbau eines Datenschutz- und Informationssicherheitsmanagements sehr von guter Kommunikation ab; nicht nur zwischen Berater und Mandant, sondern vor allem auch innerhalb des Unternehmens.

Gerade in Bezug auf unbeliebte Themen, und dazu zählen Datenschutz und Informationssicherheit, verläuft die Kommunikation im Unternehmen oft ungefähr wie in dem nachfolgenden Dialog verdichtet skizziert.

Schwierige Dialoge

Geschäftsführung: Wir müssen uns absichern gegen Angriffe auf unser Netzwerk. Sind wir ausreichend abgesichert?
IT-Verantwortliche: Wir sind nicht ausreichend abgesichert. Wir brauchen eine Software, die Zugriffe auf unser Netzwerk protokolliert und automatisiert auswertet.
Geschäftsführung: Das ist zu teuer. Schlagen Sie mir etwas anderes vor.
IT-Verantwortliche: Das muss aber sein.

Auf diese Weise ist das Gespräch über die Notwendigkeit der Etablierung von Informationssicherheit dann oft ganz schnell wieder beendet und beide Seiten sehen sich unverstanden und frustriert. Natür-lich habe ich den Dialog jetzt sehr verkürzt und komprimiert, aber trotzdem ist er in verschiedenen Varianten real. Ein anderes Beispiel, bei der die IT-Abteilung die Initiative ergreift, wäre:

IT-Verantwortlicher: Wir müssen eine Passwortkonvention einführen. Die Passwörter müssen eine Mindestlänge haben und regelmäßig gewechselt werden.
Geschäftsführung: Das geht nicht. Ich will mich nicht mit komplizierten Passwörtern anmelden müssen. Wenn Sie das durchsetzen, müssen Sie mit arbeitsrechtlichen Konsequenzen rechnen.

Nicht mehr real in der heutigen Zeit, meinen Sie? Das dachte ich auch, bis mir kürzlich ein Zuhörer bei einem Vortrag genau das berichtete.

 

 

Raus aus der Sackgasse

Die Unterbrechung solcher totlaufender Kommunikation kann nur gelingen, wenn man sich im ersten Schritt über die Ziele klar wird. Es nützt nichts, seitens der Geschäftsführung an die IT-Verantwortlichen die Anweisung zu geben, sich mal irgendwie um Sicherheit zu kümmern (oder umgekehrt). Das Ziel muss die Geschäftsführung definieren (siehe mein Artikel Datenschutz ist Führungsaufgabe). Schon der Prozess der Festlegung der Sicherheitsziele ist allerdings nur Hand in Hand mit den IT-Verantwortlichen zu organisieren – in der Regel wissen Geschäftsführungen oder Vorstände nichts über die Feinheiten eines möglichen Sicherheitsvorfalls und das Funktionieren von technischen Schutzsystemen. Sofern vorhanden, ist es sinnvoll auch die betrieblichen Datenschutzbeauftragten mit einzubinden. Beide müssen ihr Detailwissen einsetzen, Vorschläge erarbeiten und unterbreiten - in Bezug auf die Zieldefinition als auch später im Hinblick auf die Umsetzung und die einzusetzenden Mittel. Die Entscheidung, welche Ziele erreicht werden sollen und mit welchen Mitteln, obliegt allerdings der Geschäftsführung.

Offene Kommunikation nötig

Ein solches Vorgehen erfordert eine kontinuierliche und offene Kommunikation zwischen IT-Verantwortlichen, Datenschutzbeauftragten und Geschäftsführern, die gerade Schwachstellen und Risiken deutlich benennt. In Bezug auf mögliche Lösungen müssen IT-Verantwortliche dann mitunter auch den Mut haben zu sagen: Ich weiß noch nicht, was die Lösung sein kann. Ich finde es heraus. Notfalls müssen Sie externe Spezialisten hinzuziehen. (Wir erleben es in unserer Beratungspraxis immer wieder, dass man sich diesbezüglich keine Blöße geben will und dann einfach behauptet, ein bestimmtes Problem sei nun mal technisch nicht zu lösen. Das ist falsch. Alle Sicherheitsfragen sind lösbar, es ist lediglich eine Frage des Aufwandes und der Kosten).

Leitung und Vermittlung

Wir werden inzwischen zunehmend nicht nur für die inhaltliche Beratung zu Sicherheitsthemen beauftragt, sondern auch für die Moderation und Leitung der Prozesse zum Aufbau eines Managementsystems zu Datenschutz und Informationssicherheit. Wir sind dabei sowohl im Falle von Meinungsverschiedenheiten moderierend tätig als auch als Projektleitung beim Aufbau und der Umsetzung der Konzepte. Zu beiden Zwecken hat sich als gutes Mittel erwiesen, was wir den „IT-Lenkungskreis“ nennen. In ihm treffen sich in regelmäßigen Abständen unter unserer Leitung alle an einer Entscheidung beziehungsweise deren Umsetzung beteiligte Führungskräfte und Mitarbeiter, bereiten die nötigen Entscheidungen vor und legen die nächsten Schritte fest. Als ebenso wichtig wie die präzise Absprache hat es sich erwiesen, in kleinen Schritten vorzugehen. Man sollte – ohne das große Ganze aus den Augen zu verlieren – sich nicht zu viel auf einmal vornehmen und immer an einer (überschaubaren) Stelle anfangen. Erstmal einen Prozess gründlich analysieren und Schlussfolgerungen ziehen. Nachfolgend können die Ergebnisse auf die nächsten Prozesse übertragen werden.

Wenn dabei Probleme offen angesprochen und Lösungen abgewogen werden, ist ein erster guter Schritt hin zu einem Informationssicherheitssystem im Unternehmen getan.

Letzte Woche fand in Nürnberg die große IT-Messe it sa statt, bei der wir zum zweiten Mal vertreten waren. Am Anfang stand eine lange Fahrt mit dem ICE: Hamburg-Nürnberg, das macht 4,5 Stunden. Zeit, die wir gut zur letzten Vorbereitung und einer Arbeitsbesprechung nutzen konnten.

Am nächsten Tag haben wir unsere „Workstation“ am Stand von Infinigate bezogen, die wir mit den Kollegen von antago teilten.

Mittags folgte der Auftakt der von Infinigate und Sophos organisierten „Roadshow“ zum IT-Sicherheitsgesetz, bei der Anna Cardillo (hauptsächlich) und ich (zu einem kleineren Teil) als Referentinnen gebucht sind. Der Vortrag von Anna traf auf große Resonanz bei den zahlreich vertretenen Teilnehmern der ersten Veranstaltung und folgte unserem bewährten Prinzip „Dialog mit dem Publikum statt Paragrafen von Folien ablesen“. Sehr interessant war auch der anschließende Vortrag von Alexander Dörsam von antago zu Sicherheitsthemen.

Im weiteren Verlauf gab es unzählige interessante Gespräche über Datenschutz, Informationssicherheit, technische Lösungen und Möglichkeiten ... und viel Spaß bei der Sophos Standparty.

Abends schmerzten die Füße und der Kopf rauchte, aber es hat sich gelohnt. Wir sind wieder mal um interessante Einblicke und Erkenntnisse reicher geworden.
Unser Dank gilt den Kolleginnen und Kollegen von Infinigate und Sophos für die hervorragende Organisation, an der wir teilhaben durften!