Wer Personendaten bearbeitet, muss die betroffenen Personen informieren.
In Apps, auf Social Media-Plattformen und auf Websites erfolgt diese Informationen üblicherweise durch die Veröffentlichung einer Datenschutzerklärung.
Nun hat der schweizerische Verein Privacy Icons eine Sammlung von gleichnamigen «Privacy Icons» veröffentlicht, damit sich betroffene Personen «einfach, schnell und klar informieren können, warum welche Daten über sie […] bearbeitet werden.»
19 Piktogramme in 6 Kategorien und 4 Sprachen
Die Piktogramme beziehungsweise Symbole sind als SVG-Grafiken oder als Webfont kostenlos erhältlich. Für die Verwendung, «um die […] selbst vorgenommenen und in ihrer Datenschutzerklärung erläuterten Bearbeitungen von Personendaten darzustellen», müssen Lizenzbestimmungen eingehalten werden.
Die Lizenzbestimmungen sehen unter anderem vor, dass immer alle zutreffenden «Privacy Icons» verwendet werden müssen. Die Verwendung ist auf die Bearbeitungen, die in den Kurztexten von «Privacy Icons» beschrieben werden, beschränkt. Die Verwendung muss dem Verein Privacy Icons über ein Kontaktformular gemeldet werden. Ausserdem muss ein Styleguide eingehalten werden.
Bislang gibt es 19 Piktogramme, die jeweils auf Deutsch, Französisch, Italienisch und Englisch mit entsprechenden Kurztexten erhältlich sind. Alle Piktogramme gibt es in einer bejahenden und einer verneinenden Variante. Die Symbole verteilen sich auf die sechs Kategorien «Art der Personendaten», «Quelle der Personendaten», «Zweck der Bearbeitung», «Besondere Bearbeitungen», «Weitergabe an Dritte» und «Ort der Bearbeitung».
«Privacy Icons» können eine Datenschutzerklärung, wie sie die europäische Datenschutz-Grundverordnung (DSGVO) und das schweizerische Datenschutzgesetz (DSG) vorschreiben, nicht ersetzen, sondern nur – aber immerhin! – ergänzen.
Verstehen Laien die neuen «Verkehrsschilder für Datenschutz»?
Die «Privacy Icons» wurden von einem Konsortium aus Credit Suisse, Migros, SBB und Swisscom lanciert. Sie hoffen, einen Standard zu etablieren, wie «Verkehrsschilder für Datenschutz» aussehen sollen.
Ob das gelingt, wird sich zeigen. Der Erfolg der «Privacy Icons» wird davon abhängen, was die betroffenen Personen tatsächlich darunter verstehen und in der Folge an tatsächlichem Datenschutz erwarten.
Beim Verständnis der betroffenen Personen habe ich bei der vorliegenden ersten Version der «Privacy Icons» einige Fragezeichen.
Beispiele «Biometrische Daten» und «Keine Datenweitergabe»
So frage ich mich, ob Laien klar ist, dass «biometrische Daten» im Datenschutzrecht eng definiert sind und dadurch beispielsweise nicht jeden Stimmabdruck umfassen.
Genauso frage ich mich, wie vielen Laien bei «Keine Datenweitergabe» klar ist, dass ihre Daten an Auftragsbearbeiter gehen können.
Beispiel «Kein Datenverkauf»
Verunglückt ist meines Erachtens das Icon «Kein Datenverkauf – Wir verkaufen Ihre Personendaten nicht». Personendaten werden bei den meisten heutigen Geschäftsmodellen nicht verkauft oder anderweitig weitergegeben, sondern verwendet, um eigene Daten-basierte Dienstleistungen anbieten zu können.
Ein bekanntes Beispiel sind Google Ads, wo Google (selbstverständlich) nicht die Daten der Nutzerinnen verkauft, sondern auf Grundlage dieser Daten möglichst gezielte Werbung im Auftrag von Kunden ausspielt. Kunden, die Google Ads nutzen und dafür Informationen über ihre eigenen Kundenanfragen an Google übermitteln, verkaufen diese Daten ebenfalls nicht. Insofern weckt das Versprechen, keine Daten zu verkaufen, bei vielen Laien vermutlich falsche Erwartungen.
Beispiel: «Ort der Bearbeitung»
Aussagekräftig sind hingegen die Icons für den «Ort der Bearbeitung», wo momentan zwischen der Schweiz, Europa (Schweiz und EU) sowie «weltweit» unterschieden wird. Die fehlende Erwähnung des Europäischen Wirtschaftsraumes (EWR) anstelle nur der EU wird sicherlich noch korrigiert.
Beim weltweiten Daten-Export könnte zusätzlich zwischen Ländern mit und ohne angemessenem Datenschutz unterschieden werden können, was aber vermutlich der angestrebten Einfachheit widersprechen würde.
Wie sinnvoll sind verneinende «Privacy Icons»?
Das Beispiel vom Ort der Bearbeitung zeigt allerdings, dass verneinende Piktogramme einen beschränkten Nutzen haben. Was ist beispielsweise die Aussagekraft von «Nicht nur Schweiz – Wir bearbeiten Ihre Personendaten nicht nur in der Schweiz»? Wieso wird in diesem Fall nicht das «Europa»- oder «Weltweit»—Piktogramm verwendet?
Dazu kommt, dass datenschutzrechtlich über die Bearbeitung von Personendaten informiert werden muss, nicht über die «Nicht-Bearbeitung». Insofern haben verneinende «Privacy Icons» in erster Linie werbenden statt informativen Charakter.
Überhaupt erinnern die verneinenden Symbole an die irreführenden Deklarationen bei Lebensmitteln. Dort wird beispielsweise bei Produkten, die noch nie Konservierungsstoffe enthielten, mit «ohne Konservierungsstoffe» geworben, oder Produkte, die noch nie tierische Bestandteile enthielten, werden als «vegan» deklariert.
Sind die «Privacy Icons» übersichtlich genug?
Andere Fragezeichen habe ich mit Blick auf die Übersichtlichkeit. Während in den Beispielen auf der «Privacy Icons»-Website jeweils eine kleine Anzahl von Icons zu sehen ist, erreicht man mit gängigen Apps und auf gängigen Websites schnell einmal 10 Icons.
Die Migros beispielsweise muss 12 Piktogramme für ihre Datenschutzerklärung verwenden:
Die Credit Suisse verwendet gar 17 Icons, die sich auf zwei PDF-Seiten verteilen:
Vertrauen in die Lernfähigkeit der betroffenen Personen
In einem Beitrag, der im Jusletter veröffentlicht ???????? wurde, geht der Verein Privacy Icons auf solche Fragezeichen ein und schreibt unter anderem (mit Hervorhebungen):
«Zum einen müssen Privacy Icons nicht selbsterklärend sein, um zu funktionieren. Der Anwender der Icons kann vielmehr davon ausgehen, dass Adressaten deren Bedeutung rasch lernen werden, wenn sie den Icons nur genügend oft begegnen. Denn obwohl sich kaum behaupten lässt, dass ein roter Kreis um eine weisse Fläche für sich allein eine bestimmte Aussage vermittelt, wissen wir alle, dass dieses Zeichen ein allgemeines Fahrverbot zum Ausdruck bringt. Voraussetzung für einen solchen Lerneffekt ist, dass Icons häufig und stets einheitlich verwendet werden. Das Ziel des Projekts bestand deshalb von Anfang an darin, Privacy Icons nicht nur zu entwickeln, sondern auch als faktischen Standard in der Schweiz zu etablieren.
Zum andern kann nicht erwartet werden, dass Privacy Icons in der Lage sind, Datenschutzerklärungen vollumfänglich wiederzugeben und die Darstellung der Datenbearbeitungen durch Text gänzlich durch Bilder zu ersetzen. Vielmehr können Privacy Icons nur dann einen relevanten Beitrag zur Transparenz von Datenbearbeitungen leisten, wenn sie sich auf Kernaussagen beschränken, die es den betroffenen Personen erlauben, sich in wenigen Sekunden einen Überblick über die in Frage stehenden Datenbearbeitungen zu verschaffen. Ist die Zahl der Icons zu hoch oder sind die Aussagen zu komplex, wird dieses Ziel verfehlt. Dies bedeutet zugleich, dass Privacy Icons die klassischen Datenschutzerklärungen in Textform nicht ersetzen, sondern nur ergänzen können. Im Sinn des zunehmend postulierten ‹layered approach› sollen Privacy Icons eine weitere Informationsschicht bilden, die es Unternehmen erlaubt, mit einfachen Mitteln sicherzustellen, dass den betroffenen Personen zumindest der Umstand und die wichtigsten Aspekte der Datenbearbeitung bekannt sind.»
Fazit: Begrüssenswerter Versuch für verbesserte Information
Unabhängig von einigen Fragezeichen sind die «Privacy Icons» ein begrüssenswerter Versuch, die Information von betroffenen Personen über die Bearbeitung ihrer Daten zu verbessern.
Die «Privacy Icons» können insbesondere erleichtern, die DSGVO umzusetzen, denn diese verlangt unter anderem, dass die Information in «verständlicher Form» erfolgen muss. Gleichzeitig setzen die «Privacy Icons» ein starkes Zeichen für eine mehrstufige Informationen im Datenschutzrecht.
Bilder: Verein Privacy Icons.
Vielen Dank für die differenzierte Auseinandersetzung mit den Privacy Icons! Das ist für uns sehr wertvoll im Hinblick auf die Weiterentwicklung der Icons.
Ein paar Überlegungen zu den genannten „Fragezeichen“:
Fragezeichen „Laienverständnis“:
Wir haben uns bei der Entwicklung der Icons entschieden, keine Icons zu erstellen für Aspekte, die gesetzlich vorgeschrieben sind (z.B. Auskunftsrecht) oder so gut wie immer zutreffen. Das ist z.B. der Grund, weshalb es kein Icon für Auftragsbearbeitungen gibt und sie beim Icon „Datenweitergabe“ ausgenommen sind. Sonst müsste das Icon ja praktisch immer dargestellt werden und es würde so seine Aussagekraft verlieren. Auch ist der Beizug von Dienstleistern unserer Einschätzung nach von betroffenen Personen weitgehend akzeptiert und wird nur selten als kritisch empfunden. Generell wollten wir die Gesamtzahl an Icons überschaubar halten und auf Aspekte beschränken, die von betroffenen Personen häufig als irgendwie „heikel“ empfunden werden. Wir hoffen, diese Design-Überlegungen sind nachvollziehbar.
Fragezeichen „verneinende Icons“:
Wir glauben, dass die verneinenden Icons für betroffene Personen einen Zusatznutzen haben können. Unserer Erfahrung nach sind betroffene Personen nämlich nicht nur daran interessiert zu erfahren, was mit ihren Daten gemacht wird, sondern auch, was eben gerade nicht gemacht wird. Zum Beispiel dass eben gerade keine Profilierung vorgenommen wird und keine Daten an Dritte verkauft werden. Die Nutzung der negativen Icons ist aber freiwillig, sie ist nicht vorgeschrieben.
Fragezeichen „Übersichtlichkeit“:
Bisher werden die Icons erst in den allgemeinen Datenschutzerklärungen verwendet, die für viele unterschiedliche Bearbeitungen Anwendung finden. Das führt dazu, dass recht viele Icons dargestellt werden müssen. In einem nächsten Schritt sollen die Icons aber bei verschiedenen Kundenkontaktpunkten eingesetzt werden, wo mit den Icons präzisere Aussagen gemacht werden können, die mit weniger Icons auskommen: Wie werden Daten bearbeitet, die ich bei genau diesem Kontaktformular erfasse? Und wie, wenn ich bei genau diesem Wettbewerb teilnehme? Erst bei solchen Anwendungen wird sich das volle Potential der Icons entfalten.
Auch wenn sich Fragezeichen herleiten lassen, die Privacy Icons zielen in die richtige Richtung: Sie erleichtern betroffenen Personen, sich schnell ein erstes Bild zu machen, welche ihrer Daten wofür bearbeitet werden. Wir sind uns dabei natürlich bewusst, dass die Icons vielfach nicht aus sich selbst heraus verständlich sind – genau wie bei den Verkehrsschildern, wo auch zuerst erlernt werden musste, dass z.B. ein roter Kreis mit weissem Balken „Einbahn“ bedeutet. Die Hoffnung ist aber, dass Kunden den Icons mit einer Regelmässigkeit begegnen, damit sie sie mit der Zeit einordnen können. Das ist zugegebenermassen ein ambitioniertes Ziel, unserer Ansicht nach aber einen Versuch wert. Und mit Migros, Swisscom, SBB, CS sowie (demnächst) Zurich und BKW als Launch-Unternehmen ist der Start doch schon mal vielversprechend.
Übrigens: Die teilweise eingefärbte Darstellung der Icons ist zwar originell und durchaus gelungen, sie verletzt aber den Style Guide… ;)
@Matthias Glatthaar:
Vielen Dank für die ausführliche Rückmeldung!
Ich bin froh, dass der Punkt mit dem Styleguide mit einem Smiley versehen ist … 😅 Jenseits der Berichterstattung werden wir den Styleguide bei der Verwendung in der Datenschutzerklärung einzuhalten versuchen.
PS: Ich hoffe, die Umsetzung bei Datenschutzpartner ist Stylesheet-konform! 😉
https://www.datenschutzpartner.ch/datenschutz/#zusammenfassung
Ja, prima vista habe ich nichts auszusetzen. Toll, dass ihr die Icons auf Datenschutzpartner einsetzt!