„Privacy by default“ gilt Datenschützern seit Längerem als neue Devise für den Privatsphärenschutz im Internetzeitalter. Anbieter von Diensten mit nutzergenerierten Inhalten, etwa soziale Netzwerke, sollten demnach verpflichtet werden, standardmäßig möglichst datenschutzfreundliche Voreinstellungen anzubieten. Personenbezogene Daten sollten nur dann erhoben werden dürfen, wenn der Nutzer diese Voreinstellungen aktiv geändert hat.
In eine ähnliche Richtung geht auch der Entwurf eines Gesetzes zur Änderung des Telemediengesetzes, den der Bundesrat Anfang August vorgelegt hat. Diensteanbieter von sozialen Netzwerken sollen demnach standardmäßig „die höchste Sicherheitsstufe gemäß dem Stand der Technik“ voreinstellen. Der Nutzer selbst soll dies zwar ändern können, aber nur aktiv und im vollen Bewusstsein der Konsequenzen, wozu auch erweiterte Informationspflichten der Anbieter beitragen sollen.
Besonderes Gewicht wird in dem Entwurf darauf gelegt, inwiefern von Nutzern in einem Profil eingestellte Inhalte außerhalb des jeweiligen Netzwerks auffindbar sind. Nach dem Willen der Autoren sollen Suchmaschinen solche Postings standardmäßig nicht auffinden können. Man sollte also beispielsweise bei Facebook eingeloggt sein müssen, um Daten aus anderen Facebook-Profilen finden zu können – es sei denn, der Nutzer hat dies ausdrücklich autorisiert, wofür er allerdings älter sein soll als 16 Jahre. Die entsprechende Vorschrift soll nicht für Twitter oder Blogs gelten, sondern nur für geschlossene Netzwerke, bei denen die Nutzer normalerweise nicht beabsichtigen, dass ihre Beiträge von einer möglichst großen Öffentlichkeit wahrgenommen werden.
Außerdem enthält der Entwurf eine Art digitales Radiergummi: Anbieter sollen verpflichtet werden, einen „Löschknopf“ anzubieten, dessen Betätigung eine sofortige Löschung des Profils und sämtlicher damit verbundener Daten zur Folge haben soll. Technisch soll die Löschung allerdings vom Anbieter vorgenommen werden, der „Löschknopf“ ist also in Wirklichkeit nur ein Benachrichtigungsknopf. Loggt ein Nutzer sich zwei Jahre lang nicht ein, sollen ebenfalls alle Daten automatisch verschwinden. Differenziert wird dabei zwischen Profilinhalten und solchen Beiträgen, die Nutzer auf Pinnwänden Dritter oder in Form von Kommentaren in Foren vorgenommen haben. Sofern Veröffentlichungen eines Nutzers „in Zusammenhang mit den Veröffentlichungen anderer Nutzer“ stehen, soll es genügen, wenn die betreffenden Einträge fortan anonymisiert erscheinen. So soll gewährleistet sein, dass beispielsweise der Diskussionsverlauf in einer Kommentarspalte nachvollziehbar bleibt, auch wenn einzelne Autoren sich von dem entsprechenden Dienst abgemeldet haben.
Die Stoßrichtung ist klar: Es geht um mehr Transparenz und mehr Selbstbestimmung. Ob das wirklich mit Vorschriften für die Auffindbarkeit von Inhalten in Suchmaschinen erreicht werden kann, sei dahingestellt. Interessant ist der Entwurf trotzdem, nicht zuletzt, weil nicht mehr konsequent zwischen personenbezogenen Daten und sonstigen nutzergenerierten Inhalten unterschieden wird. Nach Ansicht des Bundesrats sollen Nutzer möglichst weitgehend über „ihre“ Daten und deren Verwendung selbst bestimmen können, seien es personenbezogene Daten oder nicht. Oder anders ausgedrückt: Jeglicher user generated content wird behandelt wie ein personenbezogenes Datum, allein aufgrund der Tatsache, dass er mit einem Profil verknüpft ist. Bei den meisten Inhalten wird es jedoch einzig und allein diese Verknüpfung sein, die den Personenbezug erst ausmacht. Warum die Löschung des eigenen Profils also zu einer Löschung von sämtlichen damit verbundenen nutzergenerierten Inhalte führen soll, ist datenschutzrechtlich allein kaum zu begründen. Darauf deutet auch die Einschränkung der Löschungspflichten für Kommentare auf Pinnwänden anderer Nutzer hin.
Von dieser Frage aus gelangt man schnell zu einer ähnlichen: Ist überhaupt die Sichtbarkeit der Inhalte für Dritte das Kernproblem? Oder doktert man nicht an Symptomen herum, wenn man Nutzer zwar bestimmen lässt, welche Inhalte für wen sichtbar sind, ihnen jedoch kein Instrumentarium an die Hand gibt, um zu beeinflussen, welche Daten von den Diensteanbietern gespeichert und verwendet werden? Wenn ein Anbieter, sobald der Nutzer sich angemeldet hat, protokolliert, welche Seiten der Nutzer besucht hat, und diese Daten mit sonstigen Angaben verknüpft, stellt dies schließlich eine viel größere Bedrohung für die informationelle Selbstbestimmung des Einzelnen dar als die Sichtbarkeit geposteter Fotos in den Ergebnislisten einer Bildersuche. Anders ausgedrückt: Das Hauptproblem des Datenschutzes ist wohl kaum der user generated content, also der Inhalt, den ein Nutzer freiwillig und absichtlich veröffentlicht. Sondern es sind die Daten, die über das Nutzungsverhalten des Einzelnen gesammelt werden, ohne dass dieser es überhaupt bemerkt.
Der selbstverantwortliche user ist ein schönes Leitbild. Verantwortung übernehmen kann jedoch nur, wer Verantwortung hat. Wer also die Möglichkeit hat, das, wofür er verantwortlich ist, nach den eigenen Vorstellungen zu beeinflussen. So lange Diensteanbieter Daten über das Nutzungsverhalten unbemerkt im Hintergrund erheben, nützen auch die besten Privacy-Einstellungen wenig. Ein wirksamer Datenschutz darf nicht erst dort ansetzen, wo Daten für andere Nutzer sichtbar werden. Sondern er muss dort eingefordert werden, wo die Daten von den Anbietern erhoben werden.
Dass der Vorschlag des Bundesrats umgesetzt wird, ist jedoch ohnehin nicht zu erwarten. Die Bundesregierung schreibt in ihrer Stellungnahme wiederholt, dass sie die Vorschläge der Europäischen Kommission zur Neuregelung des europäischen Datenschutzrechts abwarten möchte. Sie werde sich dann für ein vollständiges Löschungsrecht auf EU-Ebene einsetzen. Nicht zuletzt, weil gerade Facebook bekanntlich in Irland sitze und das deutsche Datenschutzrecht deshalb womöglich gar nicht anwendbar, mit Sicherheit aber nicht durchsetzbar sei.
Wann der Bundestag über diesen Gesetzentwurf diskutieren wird, ist derzeit noch nicht absehbar.