Interview: "Privatsphäre heisst nicht, etwas verstecken zu müssen"

Balthasar Glättli, Nationalrat und Fraktionsvorsitzender der Grünen Partei, ist eine exponierte ­Figur bei Datenschutz­themen und bringt mehrjährige Berufserfahrung aus der IT-Branche mit sich. Als Mitglied der staatspolitischen Kommission setzt er sich politisch auch mit dem Datenschutz in der Schweiz auseinander. Gerade die Revision des Schweizer Datenschutzgesetzes (DSG) ist derzeit aktuell und soll 2020 einen Abschluss finden. Glättli traf sich zum Gespräch mit "Swiss IT Magazine" in der Time Lounge am HB Zürich.

"Swiss IT Magazine": Herr Glättli, als Nationalrat und Fraktionsvorsitzender führen Sie ein Leben in der Öffentlichkeit. Wie setzen Sie Ihre eigene Privatsphäre und ihren persönlichen Datenschutz durch?
Balthasar Glättli: Wenn man von Datenschutz spricht, muss man sich bewusst machen, dass "Privatsphäre" nicht zwingend heisst, dass man etwas verstecken muss. Es geht darum, die Kontrolle darüber zu haben, welche Informationen in welchen Kontext gehören. Bruce Schneier (US-Amerikanischer IT-Security-­Veteran, Anm. d. Red.), für mich ein Vorbild in ­Sachen Sicherheit und Privacy, sagte vor Jahren: "Privacy is not about Secrecy, it’s about Control of the ­Context."


Sie gestalten Ihren eigenen Datenschutz also kontextbedingt in verschiedenen Rollen?
Natürlich bin ich eine öffentliche Person, zu dieser Person gehört aber eben nur das, was mit meiner Rolle als Politiker zu tun hat. Ich posiere beispielsweise nie mit meiner jungen Tochter für Bilder, sie soll später selbst entscheiden können, ob sie eine öffentliche Person sein will und welche Rolle sie dort einnimmt. Bei mir selbst sieht man in der Rolle des Politikers online aber natürlich die politische Gesinnung, damit man weiss, für was ich stehe, auch wenn das grundsätzlich besonders schützenswerte Daten wären. Ich respektiere meinerseits aber alle, die ihre politische Haltung als Privatsache sehen. Privat ist bei mir hingegen meine Wohnung; ich hätte viele Home-Stories mit Journalisten machen können und habe alle abgelehnt.

Sie haben 2013/2014 öffentlichkeitswirksam Ihre eigenen Bewegungs- und Kommunikationsdaten eines halben Jahres herausgegeben. Was haben Sie aus der Aktion gelernt?
Je näher der Moment kam, an dem der Datensatz öffentlich wurde, desto mulmiger wurde es mir damals. Anfangs hatte ich mir in der Rolles des Aktivisten gesagt, dass das eine gute Sache ist. Letztlich sieht man dabei aber viele Muster meines Lebens, wie etwa, wo ich mich bewege. Das geht nicht zwingend die ganze Welt etwas an. Die Aktion sollte unter anderem aber genau auch zeigen, wie viel man da täglich von sich preisgibt. Bei der Kommunikation war es so, dass ich meine Kommunikationspartner schützen musste und daher viele Namen fehlen. Aber bereits die vorliegenden Daten haben zu Fragen geführt, wie etwa, warum ich mit einzelnen Personen aus der Fraktion viel mehr Kontakt habe als zu anderen und wer das wohl sein könnte. Ziel der Aktion war aber auch zu zeigen, wie mächtig Metadaten sind. Das Sammeln von Metadaten ist für mich der Prototyp des Überwachungsstaates und wir sammeln diese auf Vorrat (Abstimmung zur Vorratsdatenspeicherung 2016, Anm. d. Red.). Aber damals kam das Referendum nicht zu Stande, darum konnten wir nicht einmal eine Abstimmung verlieren – was offen gestanden wohl auch passiert wäre (lacht). Das Sammeln auf Vorrat ist in der Schweiz zwar gesetzeskonform, in meinen Augen aber eine Verletzung der Grundrechte.

Die DSGVO ist nun seit etwa einem Jahr in Kraft. Wie sieht Ihre Bilanz für Bevölkerung und KMU in der Schweiz nach diesem Jahr aus?
Die Einführung der DSGVO hat vielen erst bewusst gemacht, wie viele Daten überhaupt gesammelt werden. Daher hatte das sicher einen erzieherischen und aufrüttelnden Charakter. Viele Unternehmen wurden aber durch Berater, die Dienstleistungen verkaufen wollten, unnötig verunsichert. Zahlreiche Schweizer Firmen haben auch gemerkt, dass sie keinerlei interne Datenschutz-Massnahmen haben. Viele der in diesem Umfeld aufgetauchten Probleme hatten mit langjährigen unbewussten Verstössen gegen das geltende Schweizer Datenschutzgesetz zu tun und nichts mit der ­DSGVO. Man hat einfach Daten gesammelt, ohne zu überlegen, auf welcher Basis man das darf und hat das Einsichtsrecht, welches auch in der Schweiz gilt, nie in Arbeitsprozessen umgesetzt. Das wären alles Punkte, die eine anständige Firma, auch ohne die EU-Regelung, bereits umgesetzt haben müsste. Insofern war die Einführung der Richt­linie wichtig. Aber es fand auch eine gewisse Abstumpfung der Benutzer statt, da die DSGVO sehr stark auf deren expliziter Zustimmung aufbaut. Dass man sich überall durch eine Kaskade von Zustimmungs-Buttons klicken muss, führt auch dazu, dass man überhaupt nicht mehr liest, wozu man ja sagt.


Der bekannteste DSGVO-Fall von Zuwiderhandlungen ist eine 50-Millionen-­Busse gegen Google, ausgesprochen von der französischen Datenschutz­behörde CNIL. Ist die Busse gerechtfertigt und umsetzbar?
Wenn man gegen diese Internet-Giganten eine reale Chance haben will, müssen die Strafen sehr hoch ausfallen. Bei der Revision des DSG in der Schweiz ist derzeit der Vorschlag auf dem Tisch, dass man bei solchen Fällen kein Verwaltungsverfahren und keine Verwaltungsbussen gibt, sondern ein Strafverfahren eingeleitet wird. Entsprechend sind die Bussen im aktuellen Vorschlag des Bundesrates lächerlich tief. Diese Problematik stellt sich aber auch ausserhalb des Datenschutzes, sobald man es mit solch riesigen Konzernen zu tun hat.

Man vernimmt Stimmen, die sagen, dass Google, Microsoft, Amazon und Facebook die DSGVO massgeblich (mit)verfasst hätten. Können die Grös­sen überhaupt noch kontrolliert ­werden?
Ich glaube, dass man die Grossen bis zu einem gewissen Mass kontrollieren kann, ja. Aber das geht nicht, indem man sie wie bisher walten lässt. Das Geschäftsmodell des Überwachungskapitalismus und dessen Quelle des Reichtums ist die Ausbeutung von Privatinformationen. Es baut darauf auf, dass man das Internet und die zahlreichen Online-Dienste technisch ohne einen Anspruch auf Privatsphäre designt hat. Man hätte das von Beginn an anders machen können – zum Beispiel mit Verschlüsselung auf der Transport­ebene, sodass erst gar keine unverschlüsselten Inhalte transportiert werden. Aber man rechnete damals wohl nicht damit, dass diese Dienste die heutige Grösse und Alltagsrelevanz erreichen.


Deren Relevanz ist heute aber eine Realität, was macht man denn nun mit den Internet-Giganten?
Eine Möglichkeit für mich ist die Zerschlagung dieser Konzerne, wie man das in den USA etwa mit Standard Oil im letzten Jahrhundert gemacht hat. Ich denke, dass man sich diese Frage stellen muss, insbesondere dann, wenn immer mehr Dienste integriert werden. Zweitens muss man sich aber auch fragen, was die Alternativen zum Businessmodell des Überwachungskapitalismus sind. Kunden und Bürgern muss bewusst werden, dass gleichbleibender Komfort, kostenlose Angebote und Datenschutz kaum alle drei zusammen gehen.

Kommen wir zum Datenschutz in der Schweiz – wie ist der derzeitige Stand der Revision des Datenschutzgesetzes (DSG) in Bundesbern?
Ich wurde 2011 als Nationalrat gewählt und kam sogleich in die staatspolitische Kommission. Das hat mich damals sehr gefreut, weil der Datenschutz damals dieser Kommission zugeteilt wurde. Die Revision des DSG war schon dann geplant. Man hatte seit 1993 ja nur kleine Anpassungen am DSG vorgenommen, meist aufgrund anderer Gesetze. Im Kern ist es noch immer das gleiche Gesetz. Also habe ich mich regelmässig nach der Revision erkundigt, wurde aber stets vertröstet. Nachdem ich im dritten oder vierten Jahr dann etwas stärker insistiert habe, hiess es, dass man gerne noch die DSGVO abwarten würde. Der Prozess, bis die Revision in die Vernehmlassung gehen konnte, zog sich darum dermassen in die Länge, dass ich stellenweise unsicher war, ob ich das noch miterleben werde. Man hat in Bern sehr sklavisch abgewartet, wie es mit der DSGVO laufen wird.


Weil die DSGVO und das DSG mit der Europaratsrichtlinie die gleiche Basis haben?
Ja, aber das Problem ist ein anderes: Die Basis für das Gesetz ist die besagte Europaratsrichtlinie (welche von der Schweiz mitverfasst wurde, Anm. d. Red.). Der relevante Punkt für die Schweiz und ihre Unternehmen, die mit EU-Bürgern Geschäfte machen, ist, dass die EU und die Schweiz ihre Datenschutzgesetze je als gleichwertig einstufen. Nicht gleich, nur gleichwertig. Man spricht hier von der sogenannten Äquivalenz. Die verpflichtenden Massnahmen, die erfüllt werden müssen, kommen aus der Europaratsrichtlinie. Bei der Umsetzung ist man zwar relativ frei, gewisse Punkte müssen dann aber zwingend erfüllt werden. Daher ist die Basis für das DSG nicht die DSGVO, sondern eben die Europaratsrichtlinie. In meinen Augen war es falsch, so lange zu warten, da wir nun in grosse Zeitnot kommen. Die Kommission hat den Prozess dann nochmal verschlechtert: Man hat die Vorlage aufgeteilt und den Teil, der die Schengen-Bedingungen mit zwingenden Fristen umfasst, vorgezogen. Die Anpassungen wurden also wieder auf Basis des alten Datenschutzgesetzes gemacht und heute muss man deswegen, bei einer weiteren Revision, diesen ganzen Teil erneut ins Gesetz basteln. Das führt nicht zu einer Beschleunigung.

Welche Auswirkungen hat das für die Betriebe?
Die konservative Seite hat stets gebremst und argumentiert, dass man bei der Ausarbeitung auf die Interessen der kleineren KMU achten müsse, während die Linke eine schnelle Umsetzung vorangetrieben hatte. Man muss sich aber bewusst sein: Eine Nicht­anerkennung der Äquivalenz wäre primär für KMU ein Problem, nicht für die grossen Konzerne. Diese internationalen Unternehmen haben die DSGVO sowieso schon zu 100 Prozent implementiert. Vereinfacht gesagt: Solange es die Äquivalenz gibt, kann sich eine kleine Schweizer Firma an die Schweizer Gesetzgebung halten und ist dann fein raus, auch gegenüber der EU. Wenn die Äquivalenz nicht gegeben ist, führt das dazu, dass sie zusätzlich auch noch die DSGVO sklavisch umsetzen muss. Das haben in der Politik und in der Wirtschaft viele noch nicht verstanden.


In der DSGVO wird auch das Thema Daten-Portabilität, also die Übertragbarkeit von Daten, thematisiert. Es gibt heute eine Reihe von Projekten, welche personenbezogene Daten in den Besitz der Betroffenen bringen wollen.
Das ist in meinen Augen nicht wirklich möglich, da man Daten nicht besitzen kann.

Dann geht es bei diesem Ansatz lediglich um die Hoheit über die eigenen Daten, nicht deren Besitz?
Genau, das ist ein wichtiger Unterschied. Bei der Umsetzung wird es dabei letztlich Branchen-Standards benötigen, damit diese Daten brauchbar sind. Da muss auch ein Umdenken der Firmen stattfinden, weg von Silos und hin zu Ökosystemen. Unternehmen müssen aufhören, einfach Daten zu sammeln und abzuschliessen, sondern lernen, wie man mit den Daten umgeht, die man bewusst sammelt. Der Privatbesitz von Daten ist für mich genauso falsch wie der von Wissen. Patente etwa machen nichts anderes, als die Ökonomie der Wissensgesellschaft, die eine Ökonomie des Überflusses ist, in eine Ökonomie der Knappheit zu zwingen. Materielle Objekte sind natürlicherweise knapp, Wissen verhält sich aber anders. Daten sind der Sand und der Zement der Wissensgesellschaft und Wissen ist ja das, was die Daten interessant macht. Daher ist die Idee von geistigem Eigentum einer Wissensgesellschaft eigentlich völlig fremd. Es ist nur ein Versuch, die alte Ökonomie der Knappheit in ein Zeitalter des Überflusses hineinzuretten. Wenn wir das Potential unserer Wissensgesellschaft erschliessen wollen, sollten wir nicht Menschen überwachen und ausbeuten, wir sollten das Privat-Eigentum von Wissen abschaffen.


Sie schreiben auf Ihrem Blog, dass man den Schutz der Privatsphäre als fundamentalen Teil der Demokratie verstehen muss und nennen dabei das Grundsatzurteil des deutschen Bundesverfassungsgerichts von 1983. Warum ist Datenschutz für eine funktio­nierende Demokratie so dermassen wichtig?
Hier geht es primär um den Schutz der Privatsphäre vor dem Staat. In diesem berühmten Grundsatzurteil hat das deutsche Bundesverfassungsgericht festgehalten, dass eine freie Willensbildung zum Fundament einer Demokratie gehört. Dazu gehört, dass ich etwa über Dinge sprechen kann, die nicht mehrheitsfähig sind oder dem Interesse der Mehrheit entsprechen. Vor dem Hintergrund von Nazi-Deutschland und der DDR war das eine hochbrisante Aussage, denn sie hat festgehalten, dass Demokratie nur funktioniert, wenn ich einen geschützten Rahmen habe, der den Staat nichts angeht. Das wurde in Deutschland, eben wegen der Vergangenheit, sehr hochgehalten. Es gab im Zusammenhang mit Terrorismus schon oft Anstrengungen, das zu kippen, was immer wieder gebremst werden konnte. Erst heute findet der grosse Lausch­angriff über die digitale Ebene statt. Das ist ein falscher Paradigmenwechsel – man müsste die Idee des damaligen Urteils ins digitale Zeitalter retten, denn unsere Handys und Computer sind heute unsere digitalen Wohnzimmer, in denen wir nicht abgehört werden wollen, weil wir dort kommunizieren. Als Vergleich: Facebook etwa ist wie ein Stammtisch, wo mich mein Umfeld hören kann, Twitter ist, wie wenn ich ein Pergament male und auf die Strasse gehe – hier besteht natürlich weniger Anspruch auf Privatsphäre. Es muss aber möglich sein, zu diskutieren, was ich richtig finde und was ich auf meinen Stimmzettel schreibe, ohne dass der Staat das weiss. Das ist der Grund für die informationelle Selbstbestimmung. Die Keimzelle der Demokratie ist der unüberwachte Diskurs zwischen Privat­personen.

Balthasar Glättli

Balthasar Glättli ist seit 2011 Nationalrat der Grünen aus dem Kanton Zürich. Im Dezember 2013 wurde er zum Fraktionspräsidenten gewählt und ist damit von Amtes wegen auch Mitglied der Geschäftsleitung der Grünen Schweiz. Er vertritt die grünen Anliegen in der Staatspolitischen Kommission (SPK-N), der Sicherheitspolitischen Kommission (SiK-N) und im Büro des Nationalrates. Seit Jahren engagiert er sich auch auf verschiedenen Ebenen des Mieterinnen- und Mieterverbands und präsidiert derzeit den Mieterinnen- und Mieterverband Deutschschweiz (MVD). Er verfügt über sieben Jahre Berufserfahrung in der IT-Branche. (win)