Aufsatz : Bericht aus dem datenschutzrechtlichen Forschungslabor (Teil 1) : aus der RDV 2/2017, Seite 68 bis 72

Rechtlich stellt das teil- bzw. das hochautomatisierte Fahren eine ganze Reihe sehr diffiziler Fragen,^[3] die nicht nur rechtsgebietsübergreifend, sondern auch im Lichte internationaler Vorgaben, etwa des Wiener Übereinkommens über den Straßenverkehr und der EU-Richtlinie Intelligente Verkehrssysteme betrachtet werden müssen.^[4] Haftungsrechtlich müssen die Konsequenzen eines Unfalls unter den (potentiell) beteiligten Akteuren (Kfz-Fahrer, Kfz-Halter, Kfz-Hersteller, Hard- und Softwarehersteller der eingesetzten Informationstechnik, Kfz-Versicherer) sachgerecht (Gefährdungs- und Verschuldenshaftung) zugewiesen werden.^[5]

Aus dem verfassungsrechtlich garantierten Recht auf informationelle Selbstbestimmung lässt sich gegebenenfalls ein Anspruch auf spurenfreie Mobilität^[6] ableiten, was der dem autonomen Fahren funktionsimmanenten massiven Datengenerierung^[7] diametral zuwiderläuft. Auch das Recht auf Vertraulichkeit und Integrität informationstechnischer Systeme betrifft „intelligente“ Fahrzeuge, und es stellt sich die Frage, welche Konsequenzen dies für den Zugriff auf die im Fahrzeug generierten Daten hat.^[8]

Ob und wie weit es sich bei den im Fahrzeug generierten Daten um personenbezogene Daten handelt, ist ebenso näher zu untersuchen, wie zwischen den in unterschiedlichem Kontext (z.T. auch sicherheitsrelevanten) generierten Datenkategorien^[9] weiter differenziert werden muss.^[10] Im Forschungsprojekt adressiert werden soll neben diesen Fragen auch, wie die Informationen zur Datenverarbeitung im automatisierten/autonomen Fahrzeug aufbereitet sein müssen, um Gegenstand einer ggf. relevanten informierten Einwilligung sein zu können.

Problematisch ist auch, wer die verantwortliche Stelle für die Datenverarbeitung ist und ob die Datenspeicherung lokal (innerhalb des Fahrzeuges, offline) stattfindet oder eine Übermittlung der Daten nach außen (online) stattfindet.^[11] In Ansehung der insoweit bestehenden technischen Gestaltungsmöglichkeiten wird die künftig in der DS-GVO verbindliche Vorgabe des „Privacy by Design“ (Art. 25 DSGVO) eine zentrale Rolle spielen. Jene Vorgaben gilt es, im Forschungsprojekt durch die Entwicklung praktischer Leitlinien für die technische Entwicklung der Hard- und Softwaremodule der Kooperationsplattform KOFFI umzusetzen.

Wichtige Aufgabe des Teilbereichs Recht im Gesamtvorhaben wird auch sein, den Konsortialpartnern aktuelle Entwicklungen in der Gesetzgebung und innerhalb der rechtspolitischen Diskussion so früh wie möglich zu kommunizieren. Das betrifft beispielsweise die Debatte um das sogenannte Dateneigentum, die auch und gerade mit Blick auf im Fahrzeug generierte Daten sowohl auf nationaler wie auf europäischer Ebene geführt wird.^[12] Ob und wie weit die zu erwartenden Regelungen der e-Privacy Verordnung^[13] datenschutzrechtliche Vorgaben zum automatisierten/autonomen Fahren vorsehen wird, lässt sich derzeit noch nicht abschließend sagen.

Der Gesetzesentwurf der Bundesregierung vom 27.1.2017 zur Anpassung des Straßenverkehrsgesetzes (StVG)^[14] sieht Regelungen für hoch- oder vollautomatisierte Fahrsysteme vor und regelt dabei auch die im Forschungsprojekt besonders betrachtete Übergabe-/Übernahmesituation. Der Gesetzesentwurf enthält in § 63a StVG-E auch spezielle Vorgaben zur Datenverarbeitung in diesen Kraftfahrzeugen. Aufzuzeichnen ist nach Abs. 1 Satz 1 der Vorschrift jedenfalls der Status des Systems, also ob das KFZ gerade durch den Fahrzeugführer (Mensch) gesteuert wird oder ob dies mittels hoch- oder vollautomatisierter Fahrfunktionen (Maschine) geschieht. Dadurch soll sichergestellt werden, dass der Fahrzeugführer sich nicht pauschal auf ein Versagen des automatisierten Systems berufen kann. Gleichzeitig soll die Regelung dem Fahrzeugführer ermöglichen, einen gegen ihn erhobenen Schuldvorwurf positiv zu entkräften, sollte z.B. ein Unfall ausschließlich auf ein Systemversagen zurückzuführen sein.^[15]

Klärungsbedürftig und im Forschungsprojekt zu untersuchen wird sein, wie weit es sich bei zukünftigen Vorgaben um bereichsspezifische Datenschutzbestimmungen handelt und in welchem Verhältnis sie zu Bestimmungen der DS-GVO und/oder der e-Privacy Verordnung sowie den Vorschriften des Datenschutz-Anpassungsgesetzes zur Umsetzung der Vorgaben aus der DS-GVO stehen.

II. Big Data im Bildungsbereich – Forschungsprojekt „Learning Analytics für Prüfungsleistungen und Studienerfolg“ (LAPS)

Mit dem zunehmenden Einsatz von IKT in Hochschulverwaltung und Hochschullehre wächst auch die Menge der erhobenen Studierendendaten. Das betrifft nicht nur personenbezogene Bestands- und prüfungsrelevante Daten, sondern kann auch im Zusammenhang mit Evaluationen von Lehrveranstaltungen (vgl. etwa § 5 Abs. 1 LHG BW) stehen oder Daten über die Nutzung der in Forschung und Lehre eingesetzten Softwareplattformen (Lehr- und Lernplattformen wie ILIAS, Moodle, Stud.IP, Apps sowie Classroom-Management-Systemen) betreffen.

Geht es im Bildungskontext um die Sammlung, Auswertung und Interpretation einer zunächst unspezifisch erhobenen größeren Datenmenge, spricht man von Educational Data Mining (EDM).^[16] Ziel von EDM, das bereits seit Mitte der neunziger Jahre als Begriff etabliert ist, Arbeits-, Lehrund Lerntechniken auf Muster hin zu untersuchen, die Aussagen zu möglicher Optimierung der Prozesse erlauben.^[17] Während EDM eher die strategisch/operative Ebene adressiert, fokussiert der modernere Begriff der Learning Analytics (LA) mehr die individuelle Perspektive von Lehrendem und Lernendem und bezweckt vor allem, individuelle Lernprozesse zu verbessern und Lernerfolg soweit als möglich auch prognostizieren zu können.^[18]

Die Erhebung von Lernprozessdaten zur Anpassung von Lernpfaden ist ein Konzept, das im angloamerikanischen Raum schon länger eingesetzt und in der Bildungsforschung dort bisweilen auch sehr kontrovers diskutiert wird. So hat der E-Learning Experte Niall Sclater (für die Situation in Großbritannien) in einem Beitrag unter dem Titel „A taxonomy of the ethical and legal issues of learning analytics v0.1”^[19] im Jahr 2015 insgesamt 86 kritische Punkte herausgearbeitet, die er den übergreifenden Aspekten der

• „Validity of Data“ (u.a. Minimierung unvollständiger oder unzutreffender Daten),
• „Ownership and control of Data“ (u.a. die Frage, welche Daten der Institution und welche Daten den Studierenden “gehören”),
• „Awareness“ (Transparenz; welche Informationen erhalten die Studierenden zu Funktion und Fähigkeit des LA-Systems),
• „Consent and opting out“ (u.a. die Frage, ob ein Einwilligungsvorbehalt auch anonymisierte Datensätze erfassen soll und ggfls. wann und wie weit opt-out Erklärung möglich ist),
• „Student Access“ (Frage, ob und wie weit Studierende Zugriff auf Analyseergebnisse haben),
•  „Privacy“ (welche (sensiblen) Daten dürfen nicht in Analyse einfließen, Weitergabe der Daten an Dritte),
• „Action“ (welche Handlungspflichten werden ausgelöst, wenn LA schlechte Lernergebnisse oder sogar das Scheitern des Studierenden prognostiziert),
• „Adverse Impact“ (wie kann sichergestellt werden, dass Prognosen die individuell/persönliche Lebenssituation hinreichend berücksichtigen können) und
• „Stewardship“ (u.a. die Frage, ob und wie weit sich ein Recht auf Vergessenwerden auf die Datensätze auswirkt) zugeordnet hat.

In Deutschland steht die Diskussion um datenschutzrechtliche und ethische Implikationen von Learning Analytics noch am Anfang.^[20] Vor diesem Hintergrund steht das vom Ministerium für Wissenschaft, Forschung und Kunst Baden-Württemberg geförderte Forschungsprojekt „Learning Analytics für Prüfungsleistungen und Studienerfolg“ (LAPS). An der Hochschule der Medien Stuttgart soll untersucht werden, wie über die Entwicklung einer speziellen LearningAnalytics-Software die Beratung von Studierenden verbessert und dadurch das Risiko von Studienabbrüchen verringert werden kann.

Technisch möglich ist es, durch Analyse soziographischer Daten und Prüfungsleistungen von bereits exmatrikulierten Studierenden auf das Risiko eines Studienabbruchs von aktuell immatrikulierten Studierenden zu schließen. Mit diesen Informationen könnte die Beratung von Studierenden in bestimmten Semesterlagen verbessert werden. Die technischen Möglichkeiten müssen indes im Spannungsfeld zwischen informationeller Selbstbestimmung, Verantwortung und der Gefahr einer Stigmatisierung der Studierenden gesehen werden.

Vor diesem Hintergrund und dem Konzept des „Privacy by Design“ (Art. 25 DS-GVO) Rechnung tragend, sollen projektbegleitend datenschutzrechtliche sowie ethische Fragen adressiert und Lösungsansätze bereits auf Softwareentwicklungsebene implementiert werden. Zusätzlich soll ein Leitfaden für die prediktorbasierte Beratung und Begleitung von Studierenden erstellt werden, der die besondere Beratungssituation beim Einsatz von Learning-Analytics-Systemen berücksichtigt.

III. Social Media und polizeiliche Kriminalprävention: „Präventive digitale Sicherheitskommunikation (PräDiSiKo)“

Ein weiteres Forschungsvorhaben betrifft das vom Bundesministerium für Bildung und Forschung geförderte Verbundprojekt „Präventive digitale Sicherheitskommunikation“ (PräDiSiKo).^[21] Dabei geht es um die Schaffung einer reichweitenstarken Kommunikationsplattform, die der Polizei erlaubt, kriminalpräventive Botschaften, etwa zum Thema „Zivilcourage“, nachhaltiger an die Bevölkerung zu kommunizieren als dies durch klassische Medien erreicht werden kann. Untersucht wird in dem Projekt auch, ob erzählerische Szenarien (interaktive Inhalte und Filmsequenzen) vermittelt über Social Media Plattformen (eher) geeignet sind, die Bevölkerung für sicherheitsrelevantes Handeln zu sensibilisieren.

Zum interdisziplinären Forschungsverbund gehören Wissenschaftlerinnen und Wissenschaftler der Leibniz Universität Hannover, der Deutschen Hochschule der Polizei (DHPol), Vertreterinnen und Vertreter der Polizeilichen Kriminalprävention der Länder und des Bundes (ProPK) sowie des Bundeskriminalamts. Beteiligt sind weiter das Landeskriminalamt Niedersachsen, ein mittelständiges Unternehmen (Marketingagentur) und das Institut für Digitale Ethik (IDE) an der Hochschule der Medien Stuttgart.

Wichtiger Teilaspekt des Forschungsprojekts ist es, die Kommunikationsplattform technisch so zu entwickeln, dass sie ethischen und rechtlichen Vorgaben gerecht wird (Privacy and Ethics by Design). Bedienen sich Behörden für die Öffentlichkeitsarbeit angesichts des enormen Reichweitepotentials der Nutzung kommerzieller Dienste (etwa des Marktführers Facebook), wirft dies eine Reihe rechtlicher Fragen auf. Staatliche Stellen haben aufgrund des Rechtsstaatsprinzips und ihrer gesellschaftlichen Vorbildfunktion eine besondere Verantwortung. Zu sehen ist allerdings, dass (nicht nur von jungen Menschen) die Möglichkeit zum Dialog Behörde – Bürger über neue Kommunikationswege ganz einfach erwartet wird.

Im Forschungsprojekt werden inhaltliche Vorgaben für den Online-Dialog zwischen Polizei und Bevölkerung (Gebot der Neutralität und Sachlichkeit) herauszuarbeiten sein. Weiter muss das Handeln zur Kriminalprävention in sozialen Online-Medien von der Nutzung neuer Kommunikationsplattformen zu Fahndungszwecken^[22] abgegrenzt und dies auch technisch umgesetzt werden. Auch im kriminalpräventiven Bereich ist aber zu fragen, wie weit die Aufgaben und Befugnisse der Polizeibehörden reichen und das Tätigwerden über soziale Online-Medien rechtmäßig ist.^[23]

Ob die Behörden Datenschutzverstöße der kommerziellen Dienste (mit-) zu verantworten haben, ist in der Rechtsprechung noch nicht abschließend geklärt.^[24] Die Nutzung sozialer Medien für die externe Kommunikation durch öffentliche Stellen ist jedenfalls nicht per se datenschutzrechtswidrig, sondern es muss im Einzelfall und mit Blick auf die genaue Ausgestaltung (etwa die Einbindung von Schnittstellen, API) en Detail geprüft werden.^[25] Vor diesem Hintergrund muss die weitere, auch unionsrechtliche Entwicklung beobachtet und neue Vorgaben (bspw. die zu erwartende EuGHEntscheidung zu Facebook-Insights) müssen technisch gegebenenfalls sofort umgesetzt werden.

IV. Ausblick

Die dargestellten Forschungsprojekte zum automatisierten Fahren, zu Big Data im Bildungsbereich und zum Einsatz von Social Media in der kriminalpräventiven polizeilichen Arbeit betreffen sehr unterschiedliche, nicht nur datenschutzrechtliche Fragen. Sie zeigen beispielhaft die mit fortschreitender Technisierung verbundenen Herausforderungen der Gesellschaft, die nur im interdisziplinären Zusammenwirken sachgerecht adressiert werden können. In den Projekten zu erwartende Forschungsergebnisse können gegebenenfalls zur Diskussion um „Dateneigentum“ oder das Konzept „Privacy by Design“ beitragen. Im zweiten Teil dieses Beitrags (erscheint 5/2017) sollen daher die bis dahin gewonnenen Erkenntnisse vorgestellt und bewertet werden.

_{[1] Informationen zum Projekt sind abrufbar auf der Seite des Instituts für Digitale Ethik unter http://www.digitale-ethik.de/forschung/forschungsprojekte/koffi/.}

_{[2] BMBF, Bekanntmachung vom 05.05.2015, abrufbar unter: https://www.bmbf.de/foerderungen/bekanntmachung.php?B=1045.}

_{[3] Überblick bei Kremer, RDV 2014, 240; Lutz, NJW 2015, 119; Schrader/Jänich, NZV 2015, 313.}

_{[4] Im Zusammenhang mit Vorgaben des UN/ECE-Weltforums für die Harmonisierung der Regelungen für Kraftfahrzeuge vgl. jüngst (23.12.2016) den „Proposal for draft guidelines on cyber security and data protection (Guideline on measures ensuring cybersecurity and data protection of connected vehicles and vehicles with Automated Driving Technologies)“, UN Doc. ECE/TRANS/WP.29/2017/46.}

_{[5] Zu haftungsrechtlichen Fragen vgl. Kütük-Markendorf/Essers, MMR 2016, 22; Borges, CR 2016, 272; Schrader, NJW 2015, 3537.}

_{[6] Weichert, SVR 2014, 201 (203).}

_{[7] Je nach Anzahl und technischer Ausgestaltung der im KFZ eingesetzten Sensorsysteme entstehen pro Fahrminute mehr als ein Gigabyte Daten.}

_{[8] Brisch/Müller-ter Jung, CR 2016, 411}

_{[9] Differenziert werden können Bewegungs- und Umfelddaten, Zustands- und Verhaltensdaten, sowie Komfortdaten. Vgl. dazu bspw. das Positionspapier der Vereinigung der Bayerischen Wirtschaft e. V (vbw), Automatisiertes Fahren, Datenschutz und Datensicherheit, S. 3. Dokument online abrufbar unter: https://www.vbw-bayern.de/ vbw/Aktionsfelder/Recht/IT-Recht-Datenschutz/vbw-Positions-Automatisiertes-Fahren-Datenschutz-und-Datensicherheit.jsp.}

_{[10] Dazu Lüdemann, ZD 2015, 247 (250); Schwartmann/Ohr, RDV 2015, 59 ff}

_{[11] Vgl. hierzu die Gemeinsame Erklärung der Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder und des Verbandes der Automobilindustrie (VDA) vom 26.01.2016, abrufbar unter: https://www.vda.de/de/themen/innovation-und-technik/vernetzung/gemeinsame-erklaerung-vda-und-datenschutzbehoerden-2016.html.}

_{[12] Vgl. dazu auch Weichert, SVR 2016, 361 (363).}

_{[13] Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation und zur Aufhebung der Richtlinie 2002/58/EG, COM(2017) 10 final (10.01.2017)}

_{[14] Bundesrat Drucksache 69/17 vom 27.01.2017.}

_{[15] So jedenfalls die Gesetzesbegründung, Bundesrat Drucksache 69/17, S. 17/18.}

_{[16] Ebner/Schön, Das Gesammelte interpretieren – Educational Data Mining und Learning Analytics, in: Ebner/Schön (Hrsg.), Lehrbuch für Lernen und Lehren mit Technologien. Online verfügbar unter http:// l3t.tugraz.at/index.php/LehrbuchEbner10/article/view/119/117, S. 2.}

_{[17] Ebner/Schön, a.a.O. S. 2}

_{[18] Vgl. Siemens. What Are Learning Analytics? Elearnspace, August 25, 2010, http://www.elearnspace.org/blog/2010/08/25/what-are-learning-analytics/. Zum Ganzen auch ALMazroui, A survey of Data mining in the context of E-learning, in: International Journal of Information Technology & Computer Science (IJITCS), 7(3), 8-18. URL: http://www.ijitcs.com/volume%207_No_3/Yousef+Almazroui.pdf; Nithya/Umamaheswari/Umadevi, A Survey on Educational Data Mining in Field of Education, International Journal of Advanced Research in Computer Engineering & Technology (IJARCET), Volume 5 Issue 1, January 2016, S. 69-78, http://ijarcet.org/wp-content/uploads/IJARCET-VOL-5-ISSUE-1-69-78.pdf .}

_{[19] Der Artikel ist online verfügbar unter: https://analytics.jiscinvolve.org/wp/2015/01/30/a-taxonomy-of-the-ethical-and-legal-issuesof-learning-analytics-v0-1/.}

_{[20] Vgl. Bericht des Ausschusses für Bildung, Forschung und Technikfolgenabschätzung (18. Ausschuss) gemäß § 56a der Geschäftsordnung, „Digitale Medien in der Bildung“, BT Drucksache 18/9606 v. 08.09.2016, S. 42 ff.}

_{[21] Informationen zum Projekt abrufbar unter: http://www.praedisiko.polizei-beratung.de/.}

_{[22] Hierzu vgl. etwa Gerhold, ZIS 2015, 156; Schiffbauer, NJW 2014, 1052.}

_{[23] Vgl. auch die Überlegungen bei Hepp/Fasel, Neue Chancen des Dialogs mit dem Bürger, Kriminalistik 2012, 96-98; May/Arnd, Polizei und soziale Netzwerke, Kriminalistik 2013, 384-387, Oermann/Staben, Mittelbare Grundrechtseingriffe durch Abschreckung?, Der Staat 52 (2013), 630-661.}

_{[24] Einschlägige Verfahren betreffen derzeit nur nicht-öffentliche Stellen, vgl. OVG Schleswig-Holstein, Urteil vom 04.09.2014, Az. 4 LB 20/13 zum Analysedienst Facebook-Insights, der vom Betreiber einer Unternehmensseite (Fanpage) nicht ohne weiteres deaktiviert werden kann. Am 25.2.2016 hat das Bundesverwaltungsgericht dem EuGH u.a die Frage vorgelegt, wie die datenschutzrechtlich verantwortliche Stelle bei mehrstufigen Informationsanbieterverhältnissen (Facebook, Fanpage-Betreiber) näher zu bestimmen ist, BVerwG, 1 C 28.14. Zur Problematik bei öffentlichen Stellen Caspar, Nutzung des Web 2.0 – zwischen Bürgernähe und Geschwätzigkeit? Einsatz von Web 2.0-Plattformen durch öffentliche Stellen am Beispiel der Polizei ZD 2015, 12-17.}

_{[25] Vgl. dazu den Leitfaden des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland Pfalz „Handlungsrahmen zur Nutzung Sozialer Medien durch öffentliche Stellen“, abrufbar unter https://www.datenschutz.rlp.de/de/aktuelles/detail/news/detail/News/handlungsrahmen-zur-nutzung-sozialer-medien-durch-oeffentliche-stellen-des-landesbeauftragten-fuer-den/.}