DAT416 Datenschutzerklärungen und das neue DSG (Luka Nenadic, Teil 1)

Sprecher: Willkommen bei den Datenschutz-Plaudereien.

Sprecher: Aktuelles, Bemerkenswertes und Persönliches rund um den Datenschutz und verwandte Themen.

Martin Steiger: Guten Tag, mein Name ist Martin Steiger.

Martin Steiger: Heute verbinden wir in den Datenschutz-Plaudereien unser Kernthema, den Datenschutz, mit der Wissenschaft.

Martin Steiger: Und ich freue mich sehr, dass ich Luka als Spezialgast habe.

Martin Steiger: Luka erzählt Euch am besten selbst, wer er ist und welche Wissenschaft er im Zusammenhang mit dem Datenschutz betreibt.

Martin Steiger: Hoi, Luka, schön, dass Du heute dabei bist.

Martin Steiger: Hallo, Martin, danke vielmals, dass ich dabei bin.

Luka Nenadic: Ich freue mich sehr, jetzt mal nicht als Zuschauer, sondern als Gast dabei zu sein – bei einem schönen Podcast.

Luka Nenadic: Ich bin Doktorand an der ETH Zürich, genauer am Center for Law & Economics.

Luka Nenadic: Ich habe in Zürich Jus studiert und habe mich aber dann noch ein bisschen in wirtschaftlichen und statistischen Themen weitergebildet.

Luka Nenadic: Und das Wissen, das ich mir da ein bisschen angeeignet habe, habe ich jetzt bei unserem neuesten Forschungsprojekt zum Thema Datenschutzgesetz, also der Revision im Jahr 2023,

Luka Nenadic: zum Anlass genommen, zu messen, wie sehr sich die Datenschutzerklärungen durch die Revision des DSG verändert haben.

Luka Nenadic: Und ich beschäftige mich in meiner Forschung eigentlich nicht nur mit dem Datenschutz, obwohl das heute das Kernthema ist, aber ich frage mich allgemein, wie neue Technologien, Verträge oder allgemein Rechtstexte das Internet beeinflussen.

Luka Nenadic: Aber eben, zurück zum heutigen Thema.

Luka Nenadic: Das ist das Paper, das heisst:

Luka Nenadic: Overcoming Language Barriers: Multilingual Analysis of the 2023 Swiss Privacy Law's Impact.

Luka Nenadic: Das hat sicher ein bisschen knackiger sein können,

Luka Nenadic: aber das ist häufig so, dass man in eher IT-bezogenen

Luka Nenadic: Forschung recht deskriptiv die Forschung im Titel benennt.

Luka Nenadic: Aber eigentlich geht es darum, dass wir um die 35'000 Websiten

Luka Nenadic: alle angeschaut haben, bevor und nach der Revision des DSG,

Luka Nenadic: und mithilfe von KI angeschaut haben, was die Inhalte sind,

Luka Nenadic: welchen Einfluss das DSG hatte, bzw. die Revision.

Luka Nenadic: Ich freue mich, in den nächsten Minuten noch ein bisschen mehr darüber zu erzählen.

Martin Steiger: Der Hintergrund, nach meinem Verständnis, ist ja, dass wir mit dem neuen – oder jetzt nicht mehr so neuen – DSG, also dem heutigen Datenschutzgesetz, eine Informationspflicht allgemein über die Beschaffung von Personendaten bekommen haben.

Martin Steiger: Die gab es früher noch nicht. Früher war es der Grundsatz der Erkennbarkeit.

Martin Steiger: Und mit dieser Informationspflicht war ein naheliegender Schluss, dass man eigentlich eine Datenschutzerklärung veröffentlichen muss.

Martin Steiger: Eine allgemeine Datenschutzerklärung.

Martin Steiger: Und der naheliegende Ort, um das zu veröffentlichen, ist natürlich die Website.

Martin Steiger: Das kennen wir vermutlich alle.

Martin Steiger: Das scrollt man ab, und im Footer steht dann irgendwie Datenschutz, Datenschutzerklärung.

Martin Steiger: Es gibt auch noch eine Diskussion, wie man das nennen soll.

Martin Steiger: Es soll ja eine einseitige Information sein und nicht irgendeinen AGB-Charakter haben.

Martin Steiger: Auf Englisch dann fast schon irreführend: Privacy Policy.

Martin Steiger: Das führt dann zu Fehlübersetzungen, und dann wird es wie eine Datenschutz-AGB.

Martin Steiger: Und es gibt auch ganz kuriose Sachen – eben eine Mischung aus Impressum mit irgendwelchen komischen Disclaimern und so weiter.

Martin Steiger: Aber ja, man hatte Anpassungsbedarf, definitiv.

Martin Steiger: Eigentlich gibt es mit der DSG keine Online-Präsenz mehr,

Martin Steiger: sage ich, ohne eine veröffentlichte Datenschutzerklärung.

Martin Steiger: Unabhängig ist aus meiner Sicht dann das Thema Cookie-Banner.

Martin Steiger: Aber erzähl doch jetzt einfach mal: Was habt Ihr eben angeschaut?

Martin Steiger: Ihr habt schon gesagt, dass Ihr ganz viele Websites angeschaut habt.

Martin Steiger: Was haben wir angeschaut und – vor allem spannend – was haben wir herausgefunden?

Martin Steiger: Gab es überhaupt Auswirkungen?

Martin Steiger: Ich habe subjektiv das Gefühl, es hat Auswirkungen.

Martin Steiger: Man sieht viel mehr Datenschutzerklärungen.

Martin Steiger: Ich habe das auch gesehen im Zusammenhang mit Datenschutzpartner.

Martin Steiger: Wer es kennt, weiss, dass ich nicht nur als Anwalt, sondern auch bei Datenschutzpartner engagiert bin.

Martin Steiger: Dort haben wir einen sogenannten Datenschutz-Generator,

Martin Steiger: eine ein bisschen irreführende Bezeichnung, eigentlich ein Datenschutzerklärungsgenerator.

Martin Steiger: Und dort haben wir natürlich auch den Einfluss des neuen DSG bemerkt.

Martin Steiger: Aber genug geredet, Luka, go ahead.

Luka Nenadic: Genau, Martin – kurz gesagt, Deine Intuition stimmt.

Luka Nenadic: Es gibt mehr und mehr Datenschutzerklärungen.

Luka Nenadic: Und zwar ist es konkret so, dass wir die 35'000 Websiten in drei Gruppen verteilt haben.

Luka Nenadic: Zuerst eine EU-Gruppe, das ist unsere Kontrollgruppe, wo wir gesagt haben:

Luka Nenadic: Okay, das sind Websiten aus Deutschland, Frankreich, Italien und Österreich,

Luka Nenadic: und wo man eigentlich nicht wirklich grosse Veränderungen erwarten würde,

Luka Nenadic: weil es Websiten sind, die schon längst dem DSGVO-Regime unterstehen,

Luka Nenadic: und wo man eigentlich nicht erwarten würde, dass die Schweizer Datenschutzrevision etwas ändern würde.

Luka Nenadic: Aber dann haben wir in der Schweiz auch zwei Gruppen von Websiten erstellt,

Luka Nenadic: wo wir, vereinfacht gesagt, die Schweiz-Gruppe und die Schweiz-und-EU-Gruppe benannt haben.

Luka Nenadic: Und die Schweiz-Gruppe ist die Gruppe von Websiten, die eigentlich – oder fast nur – Nutzer in der Schweiz haben.

Luka Nenadic: Und bei der Schweiz-und-EU-Gruppe: Das sind primär Schweizer Websiten, die aber auch einen gewissen Anteil an Besuchern haben.

Luka Nenadic: Und dann haben wir uns zuerst die Frage angeschaut, wie es mit der Präsenz von Datenschutzerklärungen aussieht – und diese hat sich in der EU nicht verändert.

Luka Nenadic: Das hat uns eigentlich Mut gegeben, dass unsere Methoden gut funktionieren, weil etwas anderes uns sehr überrascht hat.

Luka Nenadic: Aber sowohl in der lokalen Schweiz-Gruppe als auch in der Schweiz-und-EU-Gruppe

Luka Nenadic: hat sich die Präsenz von Datenschutzerklärungen um ungefähr 5 Prozentpunkte erhöht.

Luka Nenadic: Das heisst, wir waren bei ungefähr einem Drittel, ein bisschen mehr.

Luka Nenadic: Und das hat sich auf 40 – ein bisschen mehr als 40 Prozent – der Websiten erhöht.

Luka Nenadic: Dabei ist natürlich wichtig zu sagen, dass das von unserer Methode abhängt.

Luka Nenadic: Das ist natürlich nicht perfekt.

Luka Nenadic: Das ist eine automatisierte Methode, die jede Website aufruft und versucht, eine Datenschutzerklärung zu finden.

Luka Nenadic: Und da passiert es immer wieder, dass entweder das falsche Dokument genommen wird,

Luka Nenadic: oder umgekehrt die Datenschutzerklärung nicht gefunden wird.

Luka Nenadic: Typischerweise in den Fällen, die Du erklärt hast, weil es ein Mischmasch-Dokument gibt,

Luka Nenadic: von irgendwie Lizenz, Datenschutzerklärung, Lieferungen, und weiss ich, was alles noch drin ist.

Luka Nenadic: Das heisst, der erste Befund, den wir hatten,

Luka Nenadic: der zweite ist, dass die Datenschutzerklärungen ziemlich viel länger wurden.

Luka Nenadic: So um die 10 bis 15 Prozent sind im Schnitt länger geworden in der Schweiz-Gruppe,

Luka Nenadic: wiederum keine Änderungen in der EU.

Luka Nenadic: Und dann, interessanterweise, haben wir auch mehr explizite Hinweise auf das Schweizer Datenschutzgesetz gesehen.

Luka Nenadic: Da haben wir eine Erhöhung von auch so um die 5 Prozentpunkte gesehen.

Luka Nenadic: Und Hinweise auf die DSGVO hingegen sind eher mehr oder weniger gleich geblieben.

Martin Steiger: Zahlmässig ist das aber eigentlich recht mager, würde ich jetzt so sagen.

Martin Steiger: Habe ich das richtig verstanden?

Martin Steiger: Also haben weniger als die Hälfte der Websites eine Datenschutzerklärung, die Ihr angeschaut habt.

Martin Steiger: Oder Ihr habt auf weniger als die Hälfte der Websites eine gefunden.

Martin Steiger: Es sind zwar mehr als mit dem alten DSG, aber immer noch weniger als die Hälfte.

Luka Nenadic: Genau, das ist unser Finding, und wir haben auch eine gewisse Anzahl von Websiten in einem früheren Projekt manuell überprüft.

Luka Nenadic: Das heisst, der Scraper, also der automatische Mechanismus, der sie herunterlädt, funktioniert relativ gut.

Luka Nenadic: Aber ich würde trotzdem sagen: Die absoluten Werte würde ich jetzt nicht so stark überinterpretieren, weil es natürlich sein kann, dass wir ein paar verpasst haben. Was wirklich das Kern der Forschung, oder des ersten Teils des Befundes, war, ist, dass es wirklich eine Erhöhung gibt.

Martin Steiger: Ich frage mich jetzt gerade: Wir haben ja in der Datenschutzverordnung die Modalitäten der Informationspflicht.

Martin Steiger: Dort steht gerade, dass man die Information in einer leicht zugänglichen Form den betroffenen Personen mitteilen muss.

Martin Steiger: Und da ist auch mein Gedanke: Wenn man das richtig macht, hat Euer Crawler das vermutlich auch gefunden.

Martin Steiger: Natürlich, für Euch forschungsmässig, finde ich es interessant, dass es eine Zunahme gegeben hat,

Martin Steiger: dass sie auch länger geworden sind.

Martin Steiger: Wobei ich es auch dort erwartet habe,

Martin Steiger: dass die deutlich länger geworden sind.

Martin Steiger: Wie ist denn die Verteilung? Kannst Du da

Martin Steiger: allenfalls etwas dazu sagen?

Martin Steiger: Die Verteilung haben wir

Luka Nenadic: angeschaut nach

Luka Nenadic: Grösse der

Luka Nenadic: Website, das heisst, wie viele

Luka Nenadic: Leute, die mehr oder weniger

Luka Nenadic: die Website besuchen,

Luka Nenadic: nach Sprache

Luka Nenadic: und da

Luka Nenadic: haben wir dann

Luka Nenadic: erst auf dem nächsten Niveau

Luka Nenadic: der Analyse, wo wir uns angelangt haben,

Luka Nenadic: wie viele von den effektiven Datenschutzrechten,

Luka Nenadic: oder Data Subject Rights – heisst es auf Englisch –

Luka Nenadic: also von den Ansprüchen der Betroffenen,

Luka Nenadic: werden explizit in der Datenschutzerklärung erwähnt.

Luka Nenadic: Das ist klar eine Voraussetzung im EU-Recht,

Luka Nenadic: in der Schweiz wird das, so wie wir es sehen, häufig gemacht, aber es wird nicht explizit vom neuen DSG verlangt.

Luka Nenadic: Und da haben wir gesehen, dass eigentlich die grösseren Websites, also die, die von mehr Leuten besucht werden,

Luka Nenadic: deutlich mehr von diesen Ansprüchen explizit nennen.

Luka Nenadic: Und wir sehen auch bei den Sprachen gewisse Unterschiede.

Luka Nenadic: Aber da ist es schwierig, im Detail wirklich grosse Aussagen zu machen,

Luka Nenadic: weil wir einen starken Fokus haben,

Luka Nenadic: liegen wir auf deutschen Datenschutzerklärungen,

Luka Nenadic: weil wir die am häufigsten in der Schweiz finden.

Luka Nenadic: Und dadurch haben wir zwar, im Wissen zum Beispiel auf Italienisch,

Luka Nenadic: haben wir eine gewisse stärkere Präsenz

Luka Nenadic: von diesen expliziten Datenschutzrechten

Luka Nenadic: von den Betroffenen.

Luka Nenadic: Aber das ist auch etwas,

Luka Nenadic: wo wir dann natürlich sagen,

Luka Nenadic: das könnte auch daraus folgen,

Luka Nenadic: dass wir einfach eine weniger grosse Menge

Luka Nenadic: an Websiten beobachtet haben.

Martin Steiger: Ja, trotzdem spannend, weil es natürlich nicht so ist: Wenn solche Gefühle bestätigt werden – das empirisch-wissenschaftlich dann erfassen zu können – ist das doch noch ein anderes Thema.

Martin Steiger: Ich persönlich empfehle übrigens bei den Datenschutzerklärungen – wo auch nur das DSG gilt – dass man die Rechte, die die betroffenen Personen haben, in der einen oder anderen Form ausdrücklich erwähnt.

Martin Steiger: Ich finde, das kann man auch aus dem DSG herauslesen.

Martin Steiger: Also Artikel 19 Absatz 2 DSG.

Martin Steiger: Es sagt ja, man muss den betroffenen Personen die Informationen mitteilen,

Martin Steiger: die erforderlich sind, damit sie ihre Rechte nach dem DSG geltend machen können.

Martin Steiger: Und ich gehe jetzt einfach davon aus, die typische betroffene Person,

Martin Steiger: die kennt die Rechte und so weiter nicht.

Martin Steiger: Also, man muss ihr sagen: Hey, Du hast Auskunftsrecht,

Martin Steiger: Du hast auch noch andere Rechte, Du kannst Dir so und so geltend machen.

Martin Steiger: Also konkret, indem Du die oder jene Verantwortliche kontaktierst,

Martin Steiger: Und wenn etwas nicht funktioniert, dann kannst Du Dich in erster Linie an eine Datenschutzaufsichtsbehörde wenden, also in der Schweiz an die EDStB.

Martin Steiger: Aber da gibt es natürlich ganz unterschiedliche Meinungen, überhaupt über den Inhalt dieser Datenschutzerklärungen.

Martin Steiger: Aber machen wir weiter, Luka. Was haben wir denn sonst noch angeschaut? Was haben wir sonst noch herausgefunden?

Luka Nenadic: Der Hauptpunkt, den wir eigentlich herausgefunden haben – jetzt habe ich das eigentlich schon vorgerufen mit den Ergebnissen – mit den individuellen, subjektiven Rechten, wie eben den Anspruch auf Datenportabilität oder das Auskunftsrecht, und so weiter.

Luka Nenadic: Dort haben wir eigentlich durch die Revision gesehen, dass die signifikant die Nennung der Ansprüche in den Datenschutzerklärungen erhöht hat.

Luka Nenadic: Also wir haben nicht nur gesehen, dass es mehr Datenschutzerklärungen gibt, dass die länger werden,

Luka Nenadic: Es ist nicht ein Gugus, das da einfach rein getan wird, weil es die Leute nicht verstehen oder weil man einfach zeigen will, dass man länger geworden ist, oder weiss ich was.

Luka Nenadic: Sondern es ist wirklich so, dass man das hauptsächlich unter anderem auch genutzt hat, um die datenschutzrechtlichen Ansprüche in den Datenschutzerklärungen expliziter zu erwähnen.

Luka Nenadic: Und konkrete Details, für die, die interessiert sind, können gerne im Paper nachgelesen werden, aber eben jetzt zum Beispiel die explizite Nennung vom Datenschutzverantwortlichen, die ist in der EU relativ konstant geblieben, so um die 16 bis 80 % von den Datenschutzerklärungen.

Luka Nenadic: In der Schweiz haben wir in beiden Gruppen Erhöhungen gesehen, und zwar von 73 % auf 77 % in der Schweiz.

Luka Nenadic: Das ist die lokale Schweizer Website.

Luka Nenadic: Bei der Schweiz und der EU-Website haben wir ungefähr eine Erhöhung von 3 % gesehen, also von 80 % auf 83 %.

Luka Nenadic: Das klingt vielleicht nicht mal nach riesigen Änderungen auf den ersten Blick, aber was wir dann herausfinden wollten, ist, ob das statistische Fehler sind oder nicht signifikante, einfach auf den ersten Blick relevant aussehende Änderungen.

Luka Nenadic: Und mit dieser Methode – für Leute, die es kennen, der Difference in Differences – haben wir [das] verwendet.

Luka Nenadic: Und dort sieht man, dass durchgehend bei allen Ansprüchen eine signifikante Erhöhung der Nennung stattgefunden hat.

Luka Nenadic: Also das ist vielleicht nicht riesig in absoluten Zahlen, aber wir können sagen, dass eben diese Änderung – und zwar, wir haben angesprochen, dass wir schon

Luka Nenadic: August, also die 1. August-Woche und Anfang Oktober, das ist also ein paar Wochen vor und einen Monat nach Inkrafttreten des DSG – haben wir diese Änderungen gesehen.

Luka Nenadic: Und es ist natürlich auch so, dass wir möglichst sicherstellen wollten, dass wir wirklich Änderungen betrachten, die wegen des DSG passiert sind.

Luka Nenadic: und nicht sonstige Änderungen, die vielleicht später passieren werden.

Luka Nenadic: Aber gleichzeitig kann es sicherlich auch sein, dass gewisse Websiten erst später oder eben früher

Luka Nenadic: Datenschutzerklärungen geändert haben.

Martin Steiger: Also, Hinweis an unser Publikum: Das Paper wird selbstverständlich in den Shownotes verlinkt.

Martin Steiger: Muss jetzt also niemand googeln oder den KI-Chatbot anwerfen,

Martin Steiger: sondern das ist im Idealfall auf der Podcast-Plattform, in der Podcast-App, bei der Nutzung ein Klick entfernt,

Martin Steiger: wenn dort die Shownotes angezeigt werden, wie wir es auch noch mit weiteren Informationen.

Martin Steiger: Luka, habt ihr allenfalls auch geschaut, was genau sonst noch der Inhalt ist?

Martin Steiger: Also ich denke zum Beispiel an das Datum.

Martin Steiger: Was mir da natürlich auffällt, ist, dass heute noch ganz viele Datenschutzerklärungen

Martin Steiger: dort drin «Aktualisiert am 25. Mai 2018» steht.

Martin Steiger: Das war ein entscheidendes Datum für die Datenschutz-Grundverordnung, für die DSGVO.

Martin Steiger: In der Schweiz ein wenig weniger, aber ich sehe es zum Teil auch.

Martin Steiger: Dort steht «Aktualisiert 1. September 2023», also wo das neue DSG in Kraft getreten ist.

Martin Steiger: Das ist für mich auch so – Klammern auf – das Thema: Sollen wir das Datum reinschreiben oder nicht?

Martin Steiger: So als Faustregel würde ich sagen: Bitte nur reinschreiben, wenn man sie aktuell hält.

Martin Steiger: Weil sonst an einem gewissen Punkt zeigt man dann wieder den historischen Charakter der Datenschutzerklärung.

Martin Steiger: Obwohl ja jede den Anspruch hat, immer aktuell zu sein, immer vollständig zu sein.

Martin Steiger: Sonst würde das mit dieser Informationspflicht, wenn wir streng sind, nicht funktionieren.

Martin Steiger: Aber habt ihr auch so etwas zum Beispiel angeschaut?

Martin Steiger: Überhaupt die Auswertung?

Martin Steiger: Wir haben natürlich auch das KI-Thema, das hier im Hintergrund steht.

Martin Steiger: Ist es jetzt 2023 gewesen, als ihr das angeschaut habt?

Martin Steiger: Also wenn man zurückblickt, irgendwie eine völlig andere Zeit. Wie ist das gewesen?

Luka Nenadic: Zwei, ich denke, sehr gute Punkte. Also der erste mit dem Datum.

Luka Nenadic: Wir haben für so um die 13'000, 14'000 Datenschutzerklärungen, die wir hatten für Oktober 2023,

Luka Nenadic: ziemlich genau, vielleicht weniger als die Hälfte,

Luka Nenadic: ein Datum, wann es zuletzt aktualisiert wurde.

Luka Nenadic: Und da haben wir gesehen – aber das ist wichtig –

Luka Nenadic: das sind sowohl die Schweizer als auch die EU-Websiten,

Luka Nenadic: die meisten, oder eben fast 50 %, sind im Jahr 2023 aktualisiert worden.

Luka Nenadic: Und davon sind speziell 20 %, also so um die Tausend und gute 50,

Luka Nenadic: nach dem 1. September aktualisiert worden.

Luka Nenadic: Also auch da, mit der Auswertung des Datums, sieht man,

Luka Nenadic: dass es immer wieder explizit erwähnt wird.

Luka Nenadic: Und wenn es erwähnt ist, sind doch recht viele

Luka Nenadic: nach der Revision ausdrücklich geändert worden.

Luka Nenadic: Es gibt aber auch die Spezialfälle,

Luka Nenadic: die ich lustig, aber auch eventuell problematisch finde,

Luka Nenadic: wo eigentlich immer das heutige Datum angezeigt wird.

Luka Nenadic: Das ist eigentlich nicht mein Verständnis von einem «zuletzt aktualisiert»-Datum, aber das sieht man auch ab und zu.

Luka Nenadic: Dann das Thema KI.

Luka Nenadic: Wir haben uns nur mit ADMS, also mit Automated Decision Making,

Luka Nenadic: Ich habe das Erste noch hinzugefügt, weil ich als zweiten Hut zu meinem ETH-Hut auch noch bei der Digitalen Gesellschaft dabei bin und dabei wir uns mit Automated Decision Making Systems beschäftigen.

Luka Nenadic: Aber, Klammern zu, da geht es eigentlich darum, dass, falls ein automatisiertes Entscheidungssystem

Luka Nenadic: zum Einsatz kommt, das eigentlich genannt werden müsste.

Luka Nenadic: Und da haben wir eigentlich gesehen, dass es auch grundsätzlich zum Beispiel viel häufiger erwähnt wird

Luka Nenadic: in grösseren Websiten, also von mehr Leuten besuchten, und dass dieser Anspruch

Luka Nenadic: grundsätzlich auch nach der Revision, bzw. der Anspruch auf Information nach der Revision des DSG,

Luka Nenadic: grundsätzlich häufiger erwähnt wird in den Datenschutzerklärungen.

Sprecher: Haben Dir die Datenschutz-Plaudereien gefallen?

Sprecher: Wir freuen uns über Deine Bewertung, Deinen Kommentar oder Deine Rückmeldung.