Mehr Rechtssicherheit für Cyber­sicher­heits­forschung

20.02.2024. Cyber­sicher­heits­forschende können Datenschutzvorschriften oft nicht befolgen, da sie vor Beginn einer Forschungsaktivität nicht wissen, ob und welche personenbezogenen Daten sie genau verarbeiten werden. Drei Datenschutzexpertinnen des Nationalen Forschungszentrums für angewandte Cybersicherheit ATHENE haben deshalb einen Ergänzungsvorschlag für die DSGVO formuliert. Ihr Anliegen: Die rechtsverbindliche Einführung der Datenschutz-Vorsorge, die ungeplante Datenzugriffe berücksichtigt. Das Positionspapier, in dem sie ihr Konzept erläutern, kann unter https://www.athene-center.de/datenschutz-vorsorge kostenfrei heruntergeladen werden.

Cyber­sicher­heits­forschende machen die Welt sicherer: Sie entwickeln Sicherheitssoftware für Bürgerinnen und Bürger sowie Unternehmen, prüfen bestehende IT-Systeme und melden gefundene Schwachstellen an die Verantwortlichen, damit Sicherheitslücken geschlossen werden. Die Cyber­sicher­heits­forschung leistet damit wichtige Beiträge, um unsere digitale Gesellschaft sicher zu gestalten. Mit dieser Forschung verbunden ist jedoch eine große datenschutzrechtliche Herausforderung: Das europäische Datenschutzrechtsystem sieht nur vorhersehbare – und somit planbare – personenbezogene Da­ten­verarbeitungen vor.  Allerdings finden Cyber­sicher­heits­forschende im Rahmen ihrer Forschung oft zufällig personenbezogene Daten, beispielsweise im Darknet, oder erhalten auf andere Weise ungewollt und ungeplant Zugriff auf solche Daten. Deshalb können sie auch nicht vorhersehen, ob, auf welche Arten und auf wie viele Daten sie während ihrer Arbeit stoßen werden und finden sich daher – sofern sie ungewollt und ungeplant auf personenbezogene Daten zugreifen – in einem datenschutzrechtlichen Dilemma. Dieses ergibt sich aus dem Umstand, dass eine Umsetzung des Datenschutzrechts nach Zugriff auf Daten im europäischen Datenschutzrecht weder vorgesehen ist noch zum Schutz der Rechte und Freiheiten betroffener Personen sinnvoll erscheint. Die Folge: Aus Angst vor Strafen wird die wichtige Arbeit der Cyber­sicher­heits­forschenden ausgebremst.

Neues Rechtsinstrument Datenschutz-Vorsorge

Für dieses Dilemma, vor dem Wissenschaftler und Wissenschaftlerinnen an Universitäten, Hochschulen, Forschungsinstituten und Unternehmen oft stehen, haben die ATHENE-Datenschutzexpertinnen Annika Selzer, Alina Boll und Sarah Stummer einen Ergänzungsvorschlag zur DSGVO ausgearbeitet, der ein neues Instrument des Datenschutzrechts vorschlägt: Die Datenschutz-Vorsorge. Die Idee hinter dem neuen Instrument: Im Vorfeld eines Cyber­sicher­heits­forschungsprojekts Annahmen dazu treffen, welche personenbezogenen Da­ten­verarbeitungen bei der geplanten For­schungs­arbeit (z.B. aufgrund der im Rahmen der For­schungs­arbeit eingesetzten Technologie oder anderer einschränkender Umstände) wahrscheinlich erfolgen könnten. Basierend auf diesen Annahmen ließen sich dann datenschutzrechtliche Kernaspekte im Vorfeld angemessen umsetzen. Unwahrscheinliche Da­ten­verarbeitungen könnten hingegen unberücksichtigt bleiben, ohne gegen geltendes Datenschutzrecht zu verstoßen.

Würde dieses Instrument – so wie im Positionspapier vorgeschlagen – Teil des geltenden europäischen Datenschutzrechtssystems, käme die Cyber­sicher­heits­forschung aus der datenschutzrechtlichen Grauzone, ohne dass die Rechte und Freiheiten betroffener Personen unangemessen eingeschränkt werden.

"Nur durch ein [...] Umdenken im Datenschutzrecht kann letztlich sichergestellt werden, dass wissenschaftliche Forschung rechtssicher durchgeführt und unsere Gesellschaft langfristig von den Vorteilen dieser Forschung profitieren kann", schreiben Annika Selzer und ihre Kolleginnen im Positionspapier. 

Über die Autorinnen

Dr. Annika Selzer, Sarah Stummer, LL.M., und Dipl. jur. Alina Boll haben den Ergänzungsvorschlag der DSGVO erarbeitet und – zum Anlass der zweiten Evaluation der Datenschutz-Grundverordnung – in einem Positionspapier veröffentlicht unter https://www.athene-center.de/datenschutz-vorsorge.

Annika Selzer leitet die Abteilung IT Law & Interdisciplinary Privacy Research am Fraunhofer-Institut für Sichere Informations­technologie SIT. In dieser Abteilung arbeiten auch Sarah Stummer und Alina Boll als Rechtswissenschaftlerinnen. Annika Selzer ist zudem Co-Koordinatorin des Forschungsbereichs Legal Aspects of Privacy & IT Security bei ATHENE. Das Nationale Forschungszentrum für angewandte Cybersicherheit ATHENE ist das größte Forschungszentrum für Cybersicherheit und Privatsphärenschutz in Europa. ATHENE ist eine Forschungseinrichtung der Fraunhofer-Gesellschaft mit ihren beiden Fraunhofer-Instituten SIT und IGD und unter Beteiligung der Universitäten TU Darmstadt, Goethe-Universität Frankfurt und Hochschule Darmstadt.