Das Datenschutzrecht ist in der Politik angekommen: Parteien und Politiker sowie Interessengruppen versuchen, Abstimmungen und Wahlen mit Methoden zu beeinflussen, die aus der digitalen Werbung für Dienstleistungen und Waren stammen.
Mit Analytics, Artificial Intelligence, Big Data, Microtargeting, Profiling und Tracking wird versucht, Stimmbürger und Wähler gezielt anzusprechen. Sie sollen dazu gebracht werden, im Sinn der jeweiligen politischen Akteure abzustimmen oder zu wählen – oder allenfalls auch gerade nicht abzustimmen oder nicht zu wählen.
Im Abstimmungs- und Wahlkampf sind ohne weiteres besonders schützenswerte Personendaten über politische und weltanschauliche Ansichten betroffen. Mit einem neuen Leitfaden erklären die staatlichen Datenschutzbeauftragten in der Schweiz, inwiefern das schweizerische Datenschutzrecht «auf die digitale Bearbeitung von Personendaten im Zusammenhang mit Wahlen und Abstimmungen» anwendbar ist.
Themen im Leitfaden sind insbesondere die Analyse von beschafften Daten (Big Data und Predictive Analysis) bis hin zu Persönlichkeitsprofilen sowie die «Zuweisung von Informationen», das heisst Microtargeting und Personalisierung. Angesprochen werden unter anderem Parteien und sonstige Interessengruppen sowie Datenhändler und Datenplattformen.
Weiter wiederholt der Leitfaden die allgemeinen datenschutzrechtlichen Grundsätze wie beispielsweise Erkennbarkeit, Richtigkeit, Verhältnismässigkeit und Zweckbindung. Dazu gehört auch die Gewährleistung der Datensicherheit mit technischen und organisatorischen Massnahmen.
Digitaler Wahlkampf nur mit ausdrücklicher, informierter und selbstbestimmter Einwilligung
In einem politischen Zusammenhang ist fast immer eine ausdrückliche, informierte und selbstbestimmte Einwilligung der betroffenen Personen erforderlich (mit Hervorhebungen):
«[…] Im politischen Kontext dürfen Daten über Personen […] bearbeitet werden, wenn diese ausdrücklich, selbstbestimmt und hinreichend informiert in deren Anwendung eingewilligt haben.
Die Akteure des politischen Meinungsbildungsprozesses bearbeiten Daten nur zu den Zwecken, in dem Umfang und mit jenen Methoden, für die eine Einwilligung vorliegt. Eine ausdrückliche Einwilligung liegt namentlich dann vor, wenn sich die betroffenen Personen auf der Webseite eines Akteurs registriert haben und sich ausdrücklich (z.B. durch Setzen eines entsprechenden Häkchens) damit einverstanden erklären, dass ihre hinterlegten Daten entsprechend bearbeitet werden. Erklärungen, mit denen Personen lediglich in genereller Weise Nutzungsbedingungen annehmen, sind hingegen keine ausdrücklichen Einwilligungen. Das gleiche gilt für Äusserungen, mit denen Anliegen und Inhalte der Akteure beispielsweise auf sozialen Plattformen abonniert oder kommentiert werden. Einwilligungen können sich zudem nur auf die eigenen Daten beziehen. Die Bearbeitung der Daten von Drittpersonen setzt wiederum deren Einwilligung voraus.
Selbstbestimmt ist die Einwilligung, wenn die Betroffenen hinsichtlich der Aktivierung oder Desaktivierung einzelner Aspekte und Funktionalitäten der digitalen Applikationen (z.B. durch setzen entsprechender Häkchen) differenziert einwilligen können und dadurch eine echte Wahl haben, nicht nur ob, sondern auch in welchem Mass sie ihre Daten zur Verfügung stellen. Zudem müssen die Betroffenen jederzeit die Möglichkeit haben, ihre Einwilligung zu widerrufen und die Löschung ihrer Daten zu verlangen. Die Erfüllung dieser Ansprüche setzt seitens der Akteure Investitionen in datenschutzfreundliche Technologien voraus.
Eine informierte Einwilligung setzt voraus, dass interessierte Personen vor der Registrierung fair und vollständig über die Bearbeitung ihrer Daten und die Funktionsweise der dafür eingesetzten Analysemethoden inklusive automatisierte Programme und künstliche Intelligenz ins Bild gesetzt werden. Zu informieren sind sie auch über ihre Rechte, wie beispielsweise jenes des jederzeitigen Widerrufs. Fair bedeutet, dass die Information sprachlich leicht verständlich, rasch auffindbar und übersichtlich vermittelt wird. Vollständig sind Online-Texte, welche die Zwecke und Wirkungsweisen der digitalen Bearbeitungsmethoden und Technologien in mehreren adressatengerechten Erklärungstiefen zugänglich machen und insbesondere über die Dauer der Bearbeitung und die allfällige Weitergabe der Daten Auskunft geben. Die Kaskade der Informationen beginnt mit einer gut sichtbaren Kurzinformation auf der Registrierungsseite, welche die wichtigsten Punkte der Datenbearbeitung erklärt. Jeder dieser Punkte enthält weiterführende Links, die den Leser auf die jeweils relevanten Passagen der einschlägigen Bearbeitungsreglemente und Datenschutzbestimmungen führen. Zur fairen Information gehört insbesondere im politischen Kontext, dass die Betroffenen nicht mit irreführenden oder falschen Angaben zu Absendern und Quellen getäuscht oder im Falle von Individualkommunikation im Ungewissen darüber gelassen werden, ob sie mit einem menschlichen Wesen oder einem automatisierten Programm interagieren. Weiter muss für sie erkennbar sein, ob eine Online-Zuweisung von Informationen personalisiert oder an jedermann erfolgt. Gegebenenfalls muss aufgrund der Nutzungsbedingungen nachvollziehbar sein, unter Beizug welcher Technologien resp. Verfahren und nach welchen Kriterien personalisierte Zuweisungen erfolgen. Zur vollständigen Information gehören auch Angaben über die Bearbeitung von Daten, die mit Informationen aus sozialen Medien angereichert und ausgewertet werden (‹Social Match›).»
Die Erläuterungen zur ausdrücklichen Einwilligung wecken keinen Widerspruch. Bei Akteuren im digitalen Raum gibt es viele Missverständnisse, was unter «ausdrücklich» zu verstehen ist. So versuchen viele Datenschutzerklärungen, allein schon die weitere Nutzung der betreffenden Website zur Einwilligung zu erklären. (Nein, das ist keine rechtswirksame Einwilligung!)
Die Erläuterungen zur informierten und selbstbestimmten Einwilligung hingegen gehen an der Erfahrung vorbei, dass betroffene Personen ausführliche Informationen – auch in mehrstufiger und möglichst nutzerfreundlicher Form – mehrheitlich wegklicken und Wahlmöglichkeiten kaum verwenden. Was nützen solche Funktionen und Informationen, wenn sie von Personen, die sich beruflich mit Datenschutz befassen, erstellt und dann fast ausschliesslich von anderen Personen, die sich ebenfalls beruflich mit Datenschutz befassen, gelesen werden?
Der eigentliche Datenschutz – der Schutz von Personen – bleibt auf der Strecke. Betroffene Personen, die tatsächlich Schutz benötigen, können ihre Rechte – wenn überhaupt – nur mit viel finanziellem, persönlichem und zeitlichem Einsatz durchsetzen. Der Entwurf für das revidierte Datenschutzgesetz sieht in dieser Hinsicht punktuelle Verbesserungen vor, verzögert sich aber allenfalls bis 2021 und orientiert sich letztlich am Irrweg der Datenschutz-Grundverordnung (DSGVO).
Bild: Pixabay / TBIT, Public Domain-ähnlich.