Barcelona ist in Europa Vorreiter beim Thema Smart City. Allerdings plant die Stadtverwaltung ohne große IT- und Internet-Anbieter. Francesca Bria, die verantwortliche Leiterin, will so die Privatisierung der Daten verhindern und sie vielmehr als gesellschaftliches Vermögen behalten und auswerten.

“Es gibt keine digitale Revolution ohne Demokratie”, sagte Francesca Bria, Chief Technology and Digital Innovation Officer der Stadt Barcelona, auf einer Podiumsdiskussion während der Konferenz Re:publica 17 diese Woche in Berlin. “Deshalb denken wir die Digitalisierung Barcelonas zunächst aus der Sicht der Bürger – und starten bei unseren Überlegungen ben nicht mit der Technologie und dem was theoretisch möglich wäre.”

Der spanische Staat hat die Digitalisierung der Städte beschlossen und die Richtlinien dafür vorgegeben. Doch die Verantwortung für die Umsetzung liegt bei den einzelnen Stadtverwaltungen. Gemeinsam mit ihrem Team überdenkt Bria seit ihrer Ernennung vor fast genau einem Jahr, die bisherige Smart-City-Agenda. “Wir überlegen uns, was die Bürger wirklich brauchen. Von da aus starten wir.”

Das Ziel sei es, die Infrastruktur eigenständig aufzubauen und sie selber zu betreiben. “Wenn die Plattform steht, geben wir Unternehmen aus Barcelona und der Umgebung die Möglichkeit, ihre Software und ihre Apps hier anzubieten.”

Damit sieht sie sich im Widerspruch zu den Angeboten der großen IT-Hersteller. “Smart City ist ein im Grunde ein Konzept, dass sich die Anbieter auf Grund ihrer Technologien ausgedacht haben”, erklärt Bria. Indirekt haben das die Analysten von Gartner schon vor rund zwei Jahren bestätigt.

Fazit ihrer umfasenden Smart-City-Studie war schon damals: “Die größte Erkenntnis ist, dass die meisten Investitionen in das Internet der Dinge in Städten von der Industrie und Wirtschaft kommen und nicht vom öffentlichen Sektor getätigt werden.” Dies bedeute allerdings auch, dass sich die Wirtschaftlichkeitsberechnungen an betriebswirtschaftlichen ausgerichtet werden und daher Dienstleister mit Netzwerkbetreibern zusammenarbeiten, “um die richtigen Daten, und nicht nur Massendaten, aus dem IoT zu erhalten und zügig sowie marktorientiert intelligente Dienste anzubieten.”

Hier grätscht Bria dazwischen: “Aber so denken wir nicht. Die Technologie ist ganz sicher ein Teil einer smarten Stadt. Aber wir denken, dass die Demokratie die Technologie führen soll – und nicht umgekehrt.” Damit geht sie noch über die von Gartner vor zwei Jahren aufgestellte Forderung hinaus, dass Kommunen und Stadtverwaltungen die “große Aufgabe der Governance” zufallen müsse.

Um die zu erfüllen, müüssten die Kommunen “Grundsatzentscheidungen über Datenbesitz, Identitätsmanagement von Daten, Persönlichkeitsrechten, dem Stand von Urheberrechten und Lizenzkriterien, sowie der Förderung von wissensbasierten Innovationen durch gleichberechtigten Zugriff und Verständnis von Kerndaten und Informationen” treffen.

Diese Grundsatzentscheidungen hat Barcelona offenbar bereits getroffen: Die Provider seien als Partner der Stadt herzlich willkommen, erklärt Bria. “Aber wir werden uns nicht von den Providern abhängig machen. Oder uns von ihnen die Regeln diktieren lassen.”

Die Entscheidung in Barcelona sei, dass sich die Politik gegen die Disruption der Stadt und für eine “technische Souveränität” ausgesprochen habe. “Wir wollen Nachhaltigkeit, soziales Wohnen, schlaue Verkehrsteuerung”, betont Bria. “Deshalb werden wir nicht mit Plattformen wie Uber oder AirBnB arbeiten und damit die Daten der Stadt an Unternehmen herausgeben.” Denn sie sei der Überzeugung, dass die Daten der Stadt den Menschen gehören: “Daten dürfen nicht privatisiert werden!”

Der Bundesrat hat seine Zustimmung für ein Gesetz zum Datenschutz gegeben, mit dem das nationale Recht an die europäische Datenschutzgrundverordnung (DSGVO) angepasst werden soll („Datenschutz-Anpassungs- und -Umsetzungsgesetz EU“).

Hierzu Klaus Müller, Vorstand des Verbraucherzentrale Bundesverbands (vzbv):

„Der vzbv begrüßt, dass im Laufe des parlamentarischen Prozesses die Entwürfe des Bundesministeriums des Innern sowie der Bundesregierung in wesentlichen Punkten nachgebessert wurden. Anders als im Referentenentwurf vorgesehen, können Unternehmen den Nutzungszweck von erhobenen Daten nicht über die Vorgaben der Datenschutzgrundverordnung hinaus ändern. Außerdem wurden die bisherigen verbraucherschützenden Regelungen zum Kreditscoring in das neue Gesetz überführt.

Aber dass Unternehmen Verbraucherrechte einschränken können, ist aus Sicht des vzbv inakzeptabel. Dazu gehört, dass sie unter bestimmten Bedingungen Daten von Verbrauchern verarbeiten können, ohne sie darüber informieren zu müssen. In manchen Fällen dürfen sie gar davon absehen, Daten zu löschen. Es ist mehr als fraglich, ob solche Einschränkungen überhaupt mit Europarecht vereinbar sind. Leider gelingt es dem Gesetzgeber somit nicht, Rechtssicherheit für alle Beteiligten zu schaffen.“

 

Der Bundestag hat Änderungen am Bundesdatenschutzgesetz verabschiedet, mit denen die hiesigen Regelungen an EU-Vorgaben angepasst werden sollen. Kritik kommt von Opposition und Datenschützern.

Lange hatte die Bundesregierung an ihrem umstrittenen Entwurf für ein neues Bundesdatenschutzgesetz gefeilt, mit dem die Vorgaben der EU-Datenschutzgrundverordnung und der Richtlinie zur Datenverarbeitung bei Polizei und Justiz mit nationalem Recht in Einklang gebracht werden sollen. Am 27. April wurde der Entwurf dann mit den Stimmen der Koalitionsparteien im Bundestag verabschiedet. »Frühzeitig und als erstes Land in Europa schafft Deutschland damit Rechtsklarheit«, hieß es anschließend zufrieden bei der Bundesregierung.

Die Änderungen sind allerdings umstritten, auch wenn einige kritisierte Punkte wie die deutliche Einschränkung der Informationsansprüche von Bürgern kurzfristig noch etwas entschärft wurden. Ursprünglich war geplant, dass Unternehmen die Lösch- und Auskunftsanfragen ablehnen können, wenn der Aufwand, diesen nachzukommen, für sie unverhältnismäßig hoch ist. Jetzt gibt es Ausnahmen nur noch für Unternehmen, die mit den betroffenen Bürgern ausschließlich oder überwiegend analog kommunizieren, also vor allem sehr kleine Firmen und lokale Geschäfte. Das Problem: Laut der EU-Datenschutzgrundverordnung, die zumindest an einigen Stellen kleine Spielräume lässt, sind in diesem Punkt keine nationalen Anpassungen erlaubt.

Andere stark kritisierte Punkte wurden nicht mehr verändert. So dürfen Krankenkassen und Versicherungen ihre Leistungsentscheidungen künftig automatisiert – also mit Computern und Algorithmen – treffen und müssen nicht mehr jeden Einzelfall von Mitarbeitern prüfen lassen. Auch werden die bisherigen Regelungen im Bundesdatenschutzgesetz zu besonders schützenswerten Informationen wie biometrischen Daten, Gesundheitsdaten oder Daten zur ethnischen Herkunft oder sexuellen Orientierung aufgeweicht – hier gibt es mehr Ausnahmen als bisher. Und die Kontrollmöglichkeiten für Aufsichtsbehörden bei Berufsgeheimnisträgern werden eingeschränkt. Dazu zählen nicht nur Ärzte und Anwälte, sondern auch Steuerberater, Apotheker und private Versicherungen.

Einschreiten der EU droht

Ebenfalls eingeschränkt wird die Kontrolle des Bundesdatenschutzbeauftragten über den Bundesnachrichtendienst und andere Behörden, obwohl die EU-Vorgaben hier effektive Durchsetzungsbefugnisse vorsehen. Ebenso könnte die Absenkung der Hürden für eine private Videoüberwachung öffentlich zugänglicher Bereiche noch Probleme mit der EU mit sich bringen. Hier schlägt ein Sicherheitsinteresse künftig den Datenschutz. Der Gesetzgeber nehme es sehenden Auges hin, dass der Europäische Gerichtshof die deutschen Regelungen korrigiert, warnt etwa Frank Spaeing, Vorsitzender der Deutschen Vereinigung für Datenschutz, und attestiert der Bundesregierung eine »Missachtung digitaler Grundrechte«.

Beim Bitkom heißt es, das neue Bundesdatenschutzgesetz sei inhaltlich kein großer Wurf, aber auch nicht besonders bedenklich. »Die wirklich wichtigen Fragen für die Datenverarbeitung im Unternehmen sind bereits abschließend in der EU-Verordnung geregelt, wie zum Beispiel das Gros der Rechtsgrundlagen für die Verarbeitung einschließlich der Bedingungen für die Einwilligung und auch alle Vorgaben zu Verträgen und den internen Datenschutzprozessen«, so Bitkom-Geschäftsleiterin Susanne Dehmel. Ärgerlich sei lediglich, dass die Regelung zur Datenverarbeitung im Beschäftigtenverhältnis über die formalen Anforderungen der EU-Verordnung hinausgeht und »damit eher noch bürokratische Hürden aufbaut«.

Vor allem kleine und mittelständische Betriebe haben noch erhebliche Defizite und scheitern schon bei der Beantwortung grundlegender Fragen der neuen Datenschutzverordnung.

48 Prozent der deutschen Unternehmen sehen sich schlecht auf die neue Datenschutzverordnung vorbereitet, die in knapp einem Jahr in Kraft tritt. Im Vergleich mit anderen europäischen Ländern liegt Deutschland damit auf dem letzten Platz, wie eine Studie des Information-Management-Spezialisten Veritas hervorgeht.

Die EU-Datenschutzgrundverordnung, kurz DSGVO oder englisch General Data Protection Regulation, GDPR, tritt am 25 2018 in Kraft. Damit sollen Datenschutz-, Aufbewahrungs- und Governance-Gesetzgebung innerhalb der Europäischen Union harmonisiert werden. In der Praxis bedeutet das, vor allem dass bei personenbezogenen Daten Unternehmen nachweisen können müssen, wo diese gespeichert sind und wer sie auf welche Weise verarbeitet. Die Verordnung gilt jedoch auch für Organisationen, die Daten von EU-Bürgern Speichern, also auch für Google, Facebook, Amazon oder aber auch kleinere Anbieter, die innerhalb der EU Services oder Produkte anbieten.

Weltweit betrachtet bezweifeln 47 Prozent, die Deadline einhalten zu können. Unternehmen, die gegen die Vorgaben verstoßen drohen im Ernstfall Strafzahlungen in Höhe von 20 Millionen Euro oder vier Prozent des Gesamtumsatzes wobei die höhere Summe angesetzt wird. Für Unternehmen erwächst hier ein neues Risiko: 18 Prozent der Unternehmen befürchten im Fall einer Strafzahlung, gänzlich vom Markt zu verschwinden. 21 Prozent befürchten andere Folgen wie etwa Stellenabbau.

Auch die Außenwirkung bereitet Unternehmen Kopfzerbrechen. Das gilt vor allem für den Fall, wenn ein Compliance-Verstoß aufgrund der Verpflichtung, Datenlecks zu melden, an die Öffentlichkeit gelangt. 19 Prozent der Befragten gehen davon aus, dass negative Berichte in Medien oder sozialen Netzwerken Kunden veranlassen könnten, zur Konkurrenz zu wechseln. In Deutschland fürchten sich sogar 24 Prozent vor schlechter Presse – der globale Spitzenwert. Weitere zwölf Prozent erwarten den Wertverfall der Unternehmensmarke, in Deutschland sind es 15 Prozent.

Wo liegen die Daten?

Schon die erste Frage, die sich im Zuge der DSGVO stellt, können viele Unternehmen nicht mehr beantworten: Wo lagern Daten, was enthalten diese und inwieweit sind sie relevant? Zusätzlich befürchten 39 Prozent, dass ihr Unternehmen Daten nicht treffsicher identifizieren und in der IT-Landschaft lokalisieren kann.

Die Richtlinie schreibt aber Unternehmen vor, personenbezogene Daten auf Anfrage innerhalb einer sehr kurzen Frist zu lokalisieren und dem Antragsteller innerhalb von 30 Tagen eine Kopie seiner Daten zur Verfügung zu stellen oder diese, falls gewünscht, zu löschen.

32 Prozent der Befragten gaben an, keine Technologie zu besitzen, mit der Daten verwaltet werden können. Was wiederum die effektive Suche nach den Daten erschwert.

Bei 42 Prozent der befragten Unternehmen weltweit sind keine Prozess definiert, nach denen Daten klassifiziert werden. Dies ist aber notwendig, um zu entscheiden, ob Daten gespeichert oder gelöscht werden müssen. Gemäß der DSGVO steht Unternehmen auch zu, Daten zu behalten. Das ist jedoch nur dann der Fall, wenn die betroffene Person über die Gründe informiert wurde. Sind diese jedoch erfüllt, müssen die fraglichen Informationen sofort gelöscht werden.

Noch gut ein Jahr haben Organisationen Zeit, sich auf die DSGVO vorzubereiten. Deutsche Unternehmen sehen sich zu 36 Prozent vorbereitet. Im Vereinigten Königreich, den USA und Frankreich seien etwa 60 Prozent der Befragten laut eigenen Angaben in der Lage, rechtzeitig alle Regelungen erfüllen zu können. Für alle anderen werden in den nächsten Monaten noch Investitionen zukommen. Im Schnitt gehen Unternehmen von 1,3 Millionen Euro Mehrkosten durch die DSGVO aus. Deutsche Unternehmen veranschlagen im Schnitt 820.000 Euro. Allerdings könnte diese Zahl noch steigen.

“Wir stellen eine deutliche Steigerung der Beratungsanfragen fest, die sich fast ausschließlich auf die Anwendung der in nächstem Jahr wirksam werdenden Datenschutz-Grundverordnung (DSGVO) beziehen”, erklärt Thomas Kranig, Präsident des Bayerischen Landesamtes für Datenschutzaufsicht.

Laut Kranig seien es vor allem größere Unternehmen, die bereits geeignete Prozesse etwa für das Löschen von nicht mehr erforderlichen Daten installiert haben.

“Viel problematischer ist die Situation bei kleinen und mittelständischen Unternehmen, die zum Teil noch gar nicht realisiert haben, dass und welche Anforderungen in Zukunft auf sie zukommen”, warnt Kranig.

Jedoch mache es für einen Betroffenen es keinen Unterschied, ob sein Persönlichkeitsrecht durch ein großes oder kleineres Unternehmen verletzt wird. Die Verbraucher werden durch die DSGVO gestärkt die Betroffenenrechte gegenüber allen Verantwortlichen geltend machen. “Auch die Datenschutzaufsichtsbehörden stehen in den Startlöchern, um zeitnah nach Wirksamwerden der DSGVO im Mai 2018 ihre Prüfungsaktivitäten zu intensivieren. Abwarten und nichts tun, ist mehr als riskant”, warnt der Datenschutzexperte.

“Wenn geschäftliche Beziehungen zur Region existieren, gilt die DSGVO”, erklärt Andreas Bechter, Senior Product Manager bei Veritas. Ein Verdrängen der Anforderungen mache keinen Sinn. “Jetzt wäre es an der Zeit, einen Berater einzubeziehen, der den aktuellen Stand evaluiert und dem Unternehmen hilft eine Compliance-Strategie zu entwickeln. Den Kopf in den Sand zu stecken ist keine Alternative – es geht um Arbeitsplätze, Reputation und das Wohlergehen des Unternehmens.”

Für den Veritas 2017 GDPR Report wurden Anfang dieses Jahres 900 Führungskräfte in Unternehmen mit mindestens 1000 Mitarbeitern in Europa, Asien und den USA befragt .