Datenschutz durch Selbstvernichtung!

„Diese Nachricht wird sich in fünf Sekunden selbst zerstören!“ James Bond und die TV-Serie „Kobra, übernehmen sie“ haben es vorgemacht: Datenschutz durch Selbstvernichtung. Technisch gesehen ist Idee längst kein Hirngespinst mehr. Laptops, die bei unbefugtem Zugriff die gespeicherten Daten selbst vernichten sind genauso erhältlich wie passwortgesicherte USB-Sticks mit ähnlicher Funktion.

Das Thema Datenschutz ist nun wieder in den Fokus der Öffentlichkeit gerückt, nachdem Verbraucherschützer Millionen von brisaten Verbraucherdatensätzen im Internet ankaufen konnten. Der Wirbel ist groß: Die Bundestagsfraktionen kommen zu einem Krisentreffen zum Thema Datenschutz zusammen und „Datenschutz in die Verfassung“ fordern die Grünen (obwohl der Datenschutz als Grundrecht längst vom BVerfG anerkannt ist und zwar im Volkszählungsurteil, BVerfG 65, 1 = NJW 1984, 419, und zuletzt ausdrücklich im Quellensteuerurteil, BVerfGE 84, 239 = NJW 1991, 2129, 2132, Anm. des Autors).

Der Ruf nach strengerem Datenschutzrecht richtet sich in der öffentlichen Debatte häufig gegen die Nutzung (Adresshandel, Data-Warehousing) personenbezogener Daten. Dabei wird oft vernachlässigt, dass Datenschutz bereits bei der Erhebung und Verarbeitung beginnt (§ 1 Abs. 2 BDSG). An dieser Stelle kommt auch der Grundsatz der Datenvermeidung und Datensparsamkeit ins Spiel. Dieser ist in § 3a BDSG normiert seit der BDSG Novelle 2001.

§ 3a BDSG gibt öffentlichen und privaten Stellen auf bei der Gestaltung und Auswahl ihrer Datenverarbeitungssysteme, keine oder so wenig wie möglich personenbezogene Daten zu erheben, zu verarbeiten oder zu nutzen. Das Konzept „Datenschutz durch Technik“ zielt darauf ab, bereits durch den Einsatz datenschutzfreundlicher Technologie die Gefahren für das informationelle Selbstbestimmungsrecht der Betroffenen zu reduzieren (Systemdatenschutz) und die Entscheidungsfreiheit des Nutzers über seine Daten zu fördern sog. Selbstdatenschutz (Bizer in: Simitis, BDSG Kommentar, § 3a BDSG, Rn. 26).

So kann durch datenvermeidende und datensparsame Programmierung der eingesetzten Software und Hardwarekonfiguration Systemdatenschutz erreicht werden. Datenmeidung bedeutet dabei, dass keine Daten erhoben werden. Datensparsamkeit ist gegeben, wenn möglichst wenig personenbezogene Daten erhoben werden. Anonymisierung und Pseudonymisierung, wie sie in § 3a S. 2 BDSG genannt werden, sind dafür nur Beispiele (Weichert, in: Däubler/Kleber/Wedde/Weichert, BDSG Kommentar, § 3a BDSG, Rn.2).

Der technischen Unterstützung kommt dabei eine große Bedeutung zu, indem zeitlich wiederkehrende Prüf- und Löschungsroutinen eingestellt werden (Bizer in: Simitis, BDSG Kommentar, § 3a BDSG, Rn. 54, 55). Mit Hilfe von Identitätsmanagement kann ferner erreicht werden, dass der betroffene Nutzer von vornherein selbst entscheidet, welche Daten er von sich preisgibt. Damit wird zugleich der Selbstdatenschutz gefördert (eda. , Rn. 45).

Personenbezogene Daten, die nur vorübergehend erhoben und nach der Nutzung anschließend wieder gelöscht werden, ist ein weiteres Beispiel für Datenvermeidung.

Datenschutz durch Selbstvernichtung wäre damit ein Ansatz, Daten von Beginn der Erhebung (von Inhaltsdaten) mit einer Art Haltbarkeitsdatum zu versehen. Der Nutzer könnte entscheiden, wie lange er Informationen digital im Umlauf halten will. Der E-Mail Provider BigString.com hat daraus ein Geschäftsmodell gemacht. Ob sich die E-Mail selbst zerstören soll, wie lange sie „haltbar“ sein oder ob sie weiterleitbar, druckbar oder speicherbar sein soll, bleibt dem Nutzer vor Absendung überlassen. Hat sich die E-Mail einmal selbst vernichtet, ist ihr Informationsinhalt sowohl auf dem Empfänger- wie Absenderserver gelöscht. Auf diese Weise kann der Nutzer bspw. Bankdaten oder Adressdaten in einer Email verschicken und kontrollieren, wie lange diese Daten bei dem Empfänger, jedenfalls in der E-Mail, vorhanden sein sollen (bzgl. Nutzungs- und Bestandsdaten, §§ 14, 15 TMG, S. Heckmann, juris Praxiskommentar-Internetrecht, S. 198 Rn. 41ff.).

Die Open Source Software Schmiede Insophia aus Uruguay geht dagegen einen anderen Weg. Mittels ihrer Website Privnote kann der Nutzer, ohne Anmeldung, direkt Nachrichten verschlüsseln. Privnote erstellt einen Hyperlink der von der Website zum Kopieren und Versand bereit gehalten wird. Die Nachricht wird auf dem Server von Privnote verschlüsselt hinterlegt und kann nur einmal von dem Empfänger des Hyperlinks gelesen werden. Im Anschluss vernichtet sich die Nachricht und wird spurlos vom Server entfernt. Nach dem Versand wird die E-Mail Adresse des Versenders ebenfalls automatisch gelöscht. Einzig die IP Adresse des Nutzers bleibt auf dem Server zurück, worauf hier nicht eingangen werden soll (S. oben, Heckmann, jurisPK Internetrecht).

Selbstvernichtende SMS werden beispielsweise von Staellium UK in Form einer Anwendung angeboten, die SMS nur 40 Sekunden lesbar macht, bevor sie sich vernichtet. Wer im Internet nicht seine wahre Telefonnummer angeben will, kann sich bei Einmalnummer.de für einen beliebigen Zeitraum eine Nummer generieren und die Weiterleitung zu seiner eigenen Nummer einstellen, um sich somit Werbeanrufe zu minimieren.

Beispiele wie diese zeigen, dass Datensparsamkeit durch Vernichtung der personenbezogen Daten ein Weg ist, wie dem Datenmissbrauch technisch vorgebeugt werden kann. Mit der Einführung des Datenschutzaudits in § 9a BDSG hat der Gesetzgeber bereits einen Anreiz zur Verbesserung des Systemdatenschutzes geschaffen, da das Audit die Bemühung und Erfolge um den Datenschutz in einer Stelle wettbewerbswirksam ausweisen kann (Bizer in: Simitis, BDSG Kommentar, § 9a BDSG, Rn. 6). Solange das Datenschutzaudit auf freiwilliger Basis beruht, wird datenschutzfreundliche Technologie weiter zwar einen Wettbewerbsvorteil darstellen, faktisch aber das Nachsehen haben. Es bleibt daher abzuwarten, welche Veränderungen die Novellierung von § 9a BDSG (S. Referentenentwurf zum Bundesdatenschutzauditgesetzes, Sept. 2007) mit sich bringt und ob es nicht doch gelingt dem Datenschutzaudit mehr Nachdruck zu verleihen. Dies wäre unverzichtbar für die passive Durchsetzung vom mehr Datenvermeidung und -sparsamkeit.