Datenzombies auf Wanderschaft

Der CCC hat da eine Idee: Mit einem Datenbrief sollen alle Bürger einmal pro Jahr von Unternehmen und Behörden informiert werden, welche Daten sie da jeweils von ihnen gespeichert haben. Klingt erst mal nach einer ganz guten Idee, wer weiss schließlich schon, wer welche Daten von einem gespeichert hat? Eben. pflaumensaft hat da ein paar mögliche Szenarien zusammen getragen, die so einen Datenbrief dann aber doch eher nicht so toll aussehen lassen.

Die Diskussion zum dem Beitrag ist teilweise tatsächlich konstruktiv, teilweise aber auch einfach nur dämlich. Klar, die Beispiele mögen konstruiert sein, um mögliche Schwachstellen aufzuzeigen – aber es geht ja eben darum, mögliche Schwachstellen zu finden, bevor aus der Idee ein Gesetz wird. Und mindestens zwei Argumente sollten mal genauer betrachtet werden: die falsche Zustellung und die zusätzliche Datensammlung, durch den Datenbrief.

Das Post mal falsch zugestellt wird kommt vor, es kommt sogar relativ häufig vor, gerade wenn man ein Postfach hat. Nicht umsonst hängt bei den Postfächern auch immer ein Briefkasten für falsch zugestellte Sendungen, den wir auch regelmäßig nutzen (ich würde mal schätzen so drei Sendungen pro Monat dürften das sein). Ich weiss nicht, was in den Briefen drin ist, aber die kommen teilweise von Banken oder Versicherungen und enthalten aller Wahrscheinlichkeit nach Daten, von denen der eigentliche Empfänger auf keinen Fall möchte, dass sie Fremde in die Finger bekommen. Post für Vormieter hatte ich früher auch regelmäßig bekommen – und natürlich ungeöffnet zurück gehen lassen. Es ist also durchaus zulässig und alles andere als abwegig davon auszugehen, dass eine gewisse Anzahl dieser Datenbriefe beim falschen Empfänger landet und in Anbetracht der Tatsache, dass diese Briefe möglicherweise sehr sensible Daten enthalten, muss man für solche Fälle entsprechende Überlegungen anstellen. Man kann die Datenhaltung natürlich einfach noch weiter verteuern und die Unternehmen dazu verpflichten, die Datenbriefe per persönlichem Einschreiben zu verschicken. Was ein Spaß, hoffentlich wird der Termin für den Datenbriefversand dann nicht Ende des Jahres sein – im Dezember sind Postfilialen doch sowieso schon überfüllt – wenn dann noch die ganzen Leute dazu kommen, die sich ihre Dateneinschreiben abholen müssen, weil sie noch einen Job haben… Aber mit Sicherheit werden das mit der Zeit immer weniger Menschen sein, die da anstehen, weil sie noch einen Job haben und während der Zustellung nicht daheim sind.

Und das zweite wirklich heftige Problem, das pflaumensaft da anspricht: viele Unternehmen werden die Erstellung und den Versand des Datenbriefes von speziellen Dienstleistern machen lassen und bei diesen Dienstleistern entstehen dadurch noch viel größere Datensammlungen mit noch viel mehr Daten über jeden einzelnen. Und je größer eine Datensammlung, desto attraktiver wird diese. Und je attraktiver so eine Datensammlung ist, desto mehr Aufwand wird jemand betreiben, der an diese Daten ran will.

Klar, die Abwicklung über solche Dienstleister hätte wohl auch Vorteile für den Bürger. Man bekäme dann vielleicht statt 148 Datenbriefen pro Jahr nur noch 10 von verschiedenen „Datenbrief-Dienstleistungs-Zentren“, in den die Daten verschiedener Unternehmen zusammen gefasst werden. Damit werden die Briefe aber wohl noch brisanter, stehen doch noch mehr Infos da drin.

Aber noch ist ja genug Zeit das ganze Thema zu diskutieren und vor allem auch darüber zu reden, über welche Daten überhaupt informiert werden müssen. Mich interessiert zum Beispiel überhaupt nicht, dass Amazon meine Adresse und Bankverbindung gespeichert haben – habe ich ja schließlich selbst eingetragen und kann ich auch sehen und ändern. Und Amazon speichert meine Bestellungen? Okay, juckt mich auch nicht – auch diese Daten kann ich ja jederzeit einsehen. Was mich interessieren würde, wäre dann mehr, welche Daten Amazon über mich vielleicht noch aus anderen Quellen gespeichert oder anhand meiner Aktivitäten erstellt hat. Das müssen die mir aber nicht jedes Jahr per Post mitteilen – wäre doch schon in Ordnung, wenn ich die Daten in meinem Kundenaccount einsehen kann und gut ist.

Oder als Beispiel eine Site wie J.B.O. Fans, die User können sich registrieren und dabei Daten eingeben oder es lassen. Die Daten können sie jederzeit einsehen und ändern und auch löschen lassen. Sollen wir da dann in Zukunft jedes Jahr einen Brief an alle User schreiben – dazu bräuchten wir erst mal zusätzlich deren Postanschriften – mit genau den Daten, die sie selbst eingegeben haben und jeder einsehen und ändern können? Ist das nicht ein wenig sinnfrei? Wir bauen ja keine Geheimdatenbanken im Hintergrund, keine „Bewegungsprofile“ und wir verknüpfen da auch nix mit anderen Datenbanken – alle Daten, die wir von den Usern haben sind genau die, die sie eingeben haben und einsehen können.

Wozu würde es denn führen, wenn selbst solche sinnfreien Datenbriefe verschickt werden müssten? Die Empfänger dieser Briefe werden desensibilisiert, schließlich stünde dann in mindestens 50% der Datenbriefe, die man so bekommt eh nur belangloser Kram drin, den man doch sowieso schon kennt. Wenn die dann auch noch alle gesammelt zum Jahresende eintreffen, dann würde wohl ein sehr großer Anteil dieser Datenbriefe ungelesen (und ungeschreddert) im Altpapier landen. Juhu, ein gewaltiger Haufen Kosten für Behörden und Unternehmen und das alles für neue Berge an Altpapier, die sich zu durchforsten tatsächlich mal lohnen könnte. Das hilft uns aus der Kriese ;)

Muss es wirklich ein pauschaler Datenbrief sein? Wir wäre es zum Beispiel, wenn Unternehmen verpflichtet werden, z.B. beim Ankauf von Daten immer diejenigen zu informieren, deren Daten sie gekauft haben? Und eine Verpflichtung bei Zusendung von Werbung immer eine Info anzufügen, woher die Adresse stammt und eine kostenlose Möglichkeit (0800er- oder zumindest Festnetz-Nummer, Fax, eMail…) zu schaffen und bei jedem Kontakt darüber zu informieren, über die man eine Übersicht aller über einen selbst gespeicherten Daten anfordern kann mit entsprechenden Pflichten, wie schnell diese Anfragen beantwortet werden müssen?