Über technischen Datenschutz

Um eine Ausweitung von Überwachung und der Verwendung personenbezogener Daten zu behindern, sollte technischer Datenschutz in folgender Form vorgeschrieben sein:

Alle Systeme, sowohl im privaten als auch im behördlichen Bereich, die personenbezogene Daten verarbeiten, müssen so ausgelegt sein, dass sie für derzeit nicht erlaubte Nutzung von Daten (z. B. Zusammenführung, Auswertung, unbefugter Zugriff) nicht mit vertretbarem Aufwand benutzt werden können – selbst wenn diese Sicherheitsmaßnahmen zusätzliche Kosten verursachen und Nebenwirkungen wie schlechte Erweiterbarkeit zur Folge haben. (Bisher tendieren derartige Schutzvorschriften dazu, „Ausnahmen“ zuzulassen, wenn solche Maßnahmen zusätzliche Kosten verursachen würden, wobei meist die Ausnahme zur Regel und somit der Schutz wirkungslos wird.) Das hieße also nicht nur ein Verbot, ein System gezielt auf Erweiterbarkeit im Bezug auf Data-Mining auszulegen, sondern sogar, eine solche Erweiterbarkeit gezielt aktiv (z. B. durch eine entsprechende Struktur der Datenbanken, an den dafür wichtigen Stellen hart im Programmcode verankerte Systeme usw.) zu behindern. Das würde verhindern, dass durch die Schaffung von eigentlich wünschenswerten Systemen gleichzeitig potenzielle Totalüberwachungsmöglichkeiten geschaffen werden. Denn wenn Schäuble nur einen Knopf drücken muss, um alle Mautdaten für die Fahndung zu verwenden, wird er eher dazu geneigt sein, als wenn dazu das gesamte System teuer quasi komplett ersetzt werden müsste. Ja, so etwas würde die Kosten bei der Verarbeitung personenbezogener Daten stark steigern – umso besser, wenn sich Datensammelei nicht mehr lohnt, ist das auch ein weiterer Schritt zum Datenschutz.

Ich plane, auf Basis dieser Idee eine Petition zu erstellen und beim Petitionsausschuss des Deutschen Bundestags einzureichen. Ideen, Vorschläge, Kommentare und so weiter sind deswegen äußerst willkommen! Insbesondere interessant wären konkrete Entwürfe, wie man z. B. das Mautsystem, Statistiksysteme und ähnliche interessante Anwendungen entsprechend dieser Richtlinien entwerfen könnte.

Bankwerbung mit Kontobewegungen

Vor wenigen Tagen erhielt ich ein Werbeschreiben von der Postbank. Es war an mich persönlich adressiert, was eigentlich kein Wunder ist, da ich dort Kunde bin. Daher hätte ich das Schreiben normalerweise nach kurzer Begutachtung und Feststellung, dass das beworbene Produkt uninteressant ist, in den Papierkorb befördert – wäre mir nicht ein bestimmter Punkt darin aufgefallen: Es wird offensichtlich auf Geldeingänge auf meinem Konto hingewiesen („Glückwunsch – das erste eigene Geld ist da!“). Ich bezweifle, dass diese Formulierung in standardmäßig verschickten Werbeschreiben üblich ist (UPDATE: wohl doch, siehe unten), zumal dieses Schreiben zeitlich in Zusammenhang mit meinem ersten Gehaltseingang steht. Daraus schließe ich, dass die Postbank entweder diese Information von irgendeiner externen Quelle bekommen hat (die Verzögerung von ca. 1,5 Monaten zwischen Gehaltseingang und Werbung spricht auch dafür), oder aber die Informationen über Kontobewegungen ausgewertet und zu Werbezwecken genutzt werden. Auch wenn ich das bereits nicht besonders gut finde, könnte das rein rechtlich völlig in Ordnung sein. Wenn die Daten allerdings aus einer solchen Auswertung stammen, wundert mich eines – wie bereits erwähnt, war die Werbung für mich relativ uninteressant. Das lag daran, dass ich bereits genau das beworbene Konto habe, und dort auch das Geld eingegangen ist. Da Werbung per Post mit Druck- und Transportkosten verbunden ist, nehme ich an, dass eigentlich das System, welches die Werbung produziert, schlau genug gebaut sein sollte, dass bei Geldeingängen auf ein „Postbank Giro start direkt“-Konto keine „Nutzen Sie jetzt unser Postbank Giro start direkt“-Werbung verschickt wird. Daher habe ich den Verdacht, dass diese Daten eventuell auch auf anderen Wegen in das Werbesystem gekommen sein könnten, die Frage ist nur, woher (das würde nämlich bedeuten, dass jemand derartige Daten zu Werbezwecken vermarktet).

Ich habe mal den Datenschutzbeauftragten der Postbank angeschrieben, da die 24/7-Hotline (guter Service, dass es überhaupt sowas gibt, manchmal erledige ich solche Dinge etwas – spät) zur Nachtzeit („Guten Morgen“) wohl recht ahnungslos ist (dass sie mir nichts über die Werbung sagen konnte, ok, aber keine Ahnung, ob die Postbank einen Datenschutzbeauftragten hat ist schon ein starkes Stück!) und die Mitarbeiterin auch nicht besonders freundlich war und meine Bedenken total fehl am Platz fand – ist doch keine große Sache, ist doch völlig in Ordnung, sie sieht meine Gehaltseingänge ja auch, ich solle mich mal nicht so anstellen, ich würde in meinem Leben noch genug Werbung bekommen, wo ich nicht weiß woher die Daten sind (ehrlich gesagt, das hier ist die erste Werbung, wo etwas über meine Kontobewegungen (!) drinstand, und bei normaler Werbung habe ich bisher einen recht guten Überblick über die Datenquellen)

Und bevor sich jemand fragt, warum ich über diesen Mangel an Datenschutz meckere und eben diese Daten dann sogar öffentlich mache: Die konkrete Tatsache, dass ich Gehalt erhalten habe, bedarf meiner Meinung nach derzeit keines besonderen Schutzes, und außerdem ist es meine bewusste und gezielte Entscheidung. Es beunruhigt mich aber allgemein, wenn Kontobewegungen zu Werbezwecken ausgewertet werden.

UPDATE: Der „zentrale Datenschutz“ der Postbank hat auf meine (per unauthentifizierter E-Mail gesendete) Anfrage per Brief geantwortet (sinnvoll, damit nicht jemand an meine Daten kommt, eine Mail ist leicht gefälscht und meine Adresse dort wohl nicht hinterlegt). Es ist wohl tatsächlich so (wie Arne vermutet hat, siehe Kommentare), dass diese Briefe an alle Kunden einer vorab definierten Altersgruppe geschickt wurden. Der Postbank würde ich trotzdem nahelegen, das System so zu optimieren, dass keine Werbung für genau das Konto verschickt wird, welches der Kunde hat. Ich nehme an, fast jeder in der entsprechenden Altersgruppe für „erste Einkünfte“ wird das beworbene Produkt (kostenloses Jugendgirokonto…) haben, wenn er Postbank-Kunde ist, und andere Leute sollten die Werbung nicht bekommen. Ich werde sicherheitshalber bei Gelegenheit mal nachfragen, ob die Postbank wirklich nur an Kunden Werbung schickt – eventuell könnte dieser konkrete Datensatz nämlich auch über den Adresssammel- und Handelsdienst der Post an die Postbank gekommen sein, auch wenn ich nicht davon ausgehe.