Internationale Regelungen

Seit 1980 existieren mit den OECD Guidelines on the Protection of Privacy and Transborder Data Flows of Personal Data international gültige Richtlinien, welche die Ziele haben, die mitgliedstaatlichen Datenschutzbestimmungen weitreichend zu harmonisieren, einen freien Informationsaustausch zu fördern, ungerechtfertigte Handelshemmnisse zu vermeiden und eine Kluft insbesondere zwischen den europäischen und US-amerikanischen Entwicklungen zu verhindern.

1981 verabschiedete der Europarat mit der Europäischen Datenschutzkonvention eines der ersten internationalen Abkommen zum Datenschutz. Die Europäische Datenschutzkonvention ist bis heute in Kraft und hat völkerrechtlich verbindlichen Charakter für alle 46 Staaten (Stand: 30. Juli 2013), die sie ratifiziert haben. Die Konvention steht Staaten weltweit offen. Erster Beitrittsstaat außerhalb Europas ist Uruguay, für den die Konvention zum 1. August 2013 in Kraft trat. (Dagegen sind die Datenschutzrichtlinien der Europäischen Union nur für die EU-Mitgliedstaaten verbindlich und somit auch nur von diesen in nationales Recht umzusetzen.)

Vereinigte Staaten

Der Datenschutz ist in den Vereinigten Staaten kaum rechtlich durch Gesetze oder andere Vorschriften geregelt. Der Zugriff auf private Daten ist in vielen Fällen gesellschaftlich akzeptiert, z. B. eine Bonitätsprüfung vor der Vereinbarung eines Arbeitsverhältnisses oder vor der Anmietung einer Wohnung. Es gibt zwar Regelungen für einzelne Teilbereiche, z. B. den Children’s Online Privacy Protection Act (COPPA, deutsch: „Gesetz zum Schutz der Privatsphäre von Kindern im Internet“) und im Bereich Krankenversicherung den Health Insurance Portability and Accountability Act (HIPAA), jedoch keine umfassende Regelung für den Umgang mit persönlichen Daten.

Ein möglicher Grund dafür ist, dass in den USA der Regierung wenig zugetraut wird, personenbezogene Informationen wirklich zu schützen. Es wird argumentiert, in vielen Fällen kollidiere der Datenschutz mit den Vorgaben im 1. Zusatzartikel zur Verfassung der Vereinigten Staaten (First Amendment), der die Meinungsfreiheit regelt. Auch sei schon in vielen Staaten der Welt der Datenschutz als Instrument zur Unterdrückung der Meinungsfreiheit eingesetzt worden.

Der Oberste Gerichtshof der Vereinigten Staaten hat zwar im Fall Griswold v. Connecticut 1965 die Verfassung dahingehend interpretiert, dass sie dem Einzelnen ein Recht auf Privatsphäre zugesteht. Dennoch erkennen nur sehr wenige US-Bundesstaaten ein Recht des Individuums auf Privatsphäre an. Eine der wenigen Ausnahmen ist Kalifornien. In Artikel 1, Abschnitt 1, der kalifornischen Verfassung ist ein unveräußerliches Recht auf Privatsphäre festgelegt und die kalifornische Gesetzgebung hat diesen Grundsatz in einigen rechtlichen Regelungen zumindest ansatzweise umgesetzt. So verpflichtet beispielsweise der California Online Privacy Protection Act (OPPA) aus dem Jahr 2003 Betreiber kommerzieller Websites oder Onlinedienste, die über ihre Websites personenbezogene Informationen über Bürger des Staates Kalifornien sammeln, auf selbigen Seiten einen auffälligen Hinweis über ihre Umgangsweise mit den Daten zu platzieren und diese – inhaltlich jedoch nicht näher vorgegebenen – selbstgesetzten Datenschutzrichtlinien auch einzuhalten.

Das US-Handelsministerium entwickelte zwischen 1998 und 2000 das (freiwillige) Safe-Harbor-Verfahren, mit dem US-Unternehmen im Umgang mit europäischen Geschäftspartnern einfacher die Einhaltung der Datenschutzrichtlinie der EU-Kommission (95/46/EC) belegen können sollen.

Es gibt in den USA keine umfassende unabhängige Datenschutzaufsicht, lediglich die im Bereich Handel tätige Federal Trade Commission (FTC), die sich gelegentlich auch mit Datenschutzproblemen befasst. Die FTC schreitet jedoch nur dann ein, wenn ein Unternehmen seine selbst gesetzten Datenschutzrichtlinien nicht einhält; es gibt jedoch keinerlei Mindestvorgaben über die Existenz oder Ausgestaltung einer solchen Selbstverpflichtung. Verpflichtet sich also ein Unternehmen nicht freiwillig zum Datenschutz, schreitet auch die FTC nicht ein, da ja kein Verstoß gegen irgendwelche Vorschriften vorliegt.

Im Gegensatz zu europäischen Regelungen gibt es in den USA keinerlei rechtliche Vorgaben über die Aufbewahrungsdauer gesammelter personenbezogener Daten. Es gibt des Weiteren kein Recht auf Auskunft gegenüber Behörden oder Unternehmen, welche Daten zur Person gespeichert sind (mit Ausnahme des Freedom of Information Act), sowie kein Recht auf Berichtigung falscher Daten. Sämtliche bestehenden Datenschutzregelungen beziehen sich nur auf Bürger der USA und solche, die sich langfristig in den USA aufhalten, nicht auf Daten, die aus dem Ausland kommen.

Der damalige Bundesbeauftragte für den Datenschutz, Peter Schaar, hat daher die im März 2008 zwischen der Bundesrepublik Deutschland und den USA vereinbarte Erweiterung des im Prümer Vertrag geregelten innereuropäischen automatisierten Datenaustausches auf die USA kritisiert.

Im März 2017 setzten Senat und Repräsentantenhaus weite Teile des Datenschutzes für US-Amerikaner außer Kraft, um es Telekommunikationsanbietern zu erlauben, auch ohne ausdrückliche Zustimmung ihrer Kunden und Nutzer, gesammelte Geodaten, Informationen über Finanzen, Gesundheit, Kinder und Bewegungsmuster im Internet ihrer Nutzer für Werbezwecke ausnutzen zu können. Weiterhin dürfen die Konzerne die Informationen ihrer Nutzer nun direkt an Dritte verkaufen.

Europäische Union

Der Schutz personenbezogener Daten ist in der Europäischen Union ein Grundrecht. Mit der Richtlinie 95/46/EG (Datenschutzrichtlinie) hatten das Europäische Parlament und der Europäische Rat 1995 Mindeststandards für den Datenschutz der Mitgliedsstaaten festgeschrieben. Die Richtlinie galt jedoch nicht für den Bereich der justiziellen und polizeilichen Zusammenarbeit, die sogenannte Dritte Säule der Union. In Deutschland wurde die Richtlinie im Jahr 2001 mit dem Gesetz zur Änderung des Bundesdatenschutzgesetzes und anderer Gesetze in nationales Recht umgesetzt. Geregelt wurde auch die Übermittlung von personenbezogenen Daten an Drittstaaten, die nicht Mitglied der EU sind, oder einem Vertragsstaat des Abkommens über den europäischen Wirtschaftsraum angehören: Gemäß Artikel 25 war die Übermittlung nur dann zulässig, wenn der Drittstaat ein „angemessenes Schutzniveau“ gewährleistet. Die Entscheidung, welche Länder dieses Schutzniveau gewährleisten, traf die Kommission, die dabei von der sogenannten Artikel-29-Datenschutzgruppe beraten wurde. 2015 wurde gemäß Entscheidung der Kommission von folgenden Drittstaaten ein angemessenes Schutzniveau gewährleistet: Andorra, Argentinien, Färöer, Guernsey, Isle of Man, Israel, Jersey, Kanada, Neuseeland, Schweiz, Uruguay sowie bei der Anwendung der vom US-Handelsministerium vorgelegten Grundsätze des „Sicheren Hafens“ und bei der Übermittlung von Fluggastdatensätzen an die US-Zoll- und Grenzschutzbehörde (CBP).

Insbesondere die Entscheidung über die Zulässigkeit der Übermittlung von Fluggastdatensätzen an die US-amerikanischen Zollbehörden ist stark umstritten. Der Europäische Gerichtshof (EuGH) hat auf Grund einer Klage des Europäischen Parlaments diese Entscheidungen der Kommission und des Rates annulliert.

Ergänzt wurde die allgemeine Datenschutzrichtlinie durch die bereichsspezifische Datenschutzrichtlinie für elektronische Kommunikation.

Vom EU-Parlament wurde mit den Stimmen von Christdemokraten und Sozialdemokraten am 14. Dezember 2005 eine Richtlinie über eine obligatorische Vorratsdatenspeicherung von Verkehrsdaten der Telekommunikation und des Internets gebilligt. Diese Richtlinie verpflichtete die Mitgliedstaaten zur Einführung von Mindestspeicherungsfristen von sechs Monaten (Internet) bzw. einem Jahr (Telefonie). Diese Richtlinie über die Vorratsdatenspeicherung wurde von Bürgerrechtsorganisationen und Datenschutzbeauftragten kritisiert und war ebenfalls Gegenstand einer Klage vor dem Europäischen Gerichtshof. Am 8. April 2014 wurde sie durch den EuGH für ungültig erklärt. Die Ungültigerklärung wurde zum Zeitpunkt des Inkrafttretens der Richtlinie wirksam.

Im Zuge der EU-Datenschutzreform veröffentlichte die EU-Kommission im Januar 2012 den Entwurf der europäischen Datenschutz-Grundverordnung, die die bisherige Richtlinie ersetzt und in allen Mitgliedsstaaten unmittelbar rechtsverbindlich ist. Der Entwurf gab vor allem unter deutschen Datenschutzexperten Anlass zu eindeutigen Stellungnahmen Auch die deutschen Datenschutzbehörden diskutierten diesen Entwurf seit seiner Veröffentlichung kontrovers, wobei auch datenschutzkritische Stimmen öffentlich Kritik daran geäußert haben („Ulmer Resolution“). Die folgenden Beratungen im EU-Parlament waren gekennzeichnet durch intensive Lobby-Arbeit insbesondere von Seiten der US-Regierung und von US-amerikanischen IT-Unternehmen, wobei insgesamt über 3100 Änderungsanträge eingebracht wurden. Trotzdem gelang im Europäischen Parlament, mit dem Grünen Europaabgeordneten Jan Philipp Albrecht als Berichterstatter, die Erarbeitung einer gemeinsamen Verhandlungsposition, die im Oktober 2013 im Innen- und Justizausschuss und im März 2014 im Plenum mit überwältigender Mehrheit angenommen und am 12. März 2014 durch das Plenum bestätigt wurde. Nach umfangreichen Verhandlungen zwischen EU-Ministerrat, Europäischem Parlament und Europäischer Kommission, dem sogenannten Trilog, verabschiedeten der Rat am 8. April 2016 und das Parlament am 14. April die finale Fassung. Am 25. April 2016 trat die Datenschutz-Grundverordnung in Kraft. Seit dem 25. Mai 2018 gilt sie unmittelbar in allen EU-Mitgliedstaaten.

Den Mitgliedstaaten ist es grundsätzlich nicht erlaubt, den von der Verordnung festgeschriebenen Datenschutz durch nationale Regelungen abzuschwächen oder zu verstärken. Allerdings enthält die Verordnung für bestimmte Aspekte des Datenschutzes Öffnungsklauseln für die nationale Gesetzgebung.

Deutschland

Der Datenschutz ist nach der Rechtsprechung des Bundesverfassungsgerichts ein Grundrecht (Recht auf informationelle Selbstbestimmung). Danach kann der Betroffene grundsätzlich selbst darüber entscheiden, wem er welche persönlichen Informationen bekannt gibt.

Dieses Grundrecht wird im Grundgesetz allerdings nicht explizit erwähnt. Dagegen wurde in den meisten Landesverfassungen eine Datenschutzregelung aufgenommen, so in Berlin (Art. 33), Brandenburg (Art. 11), Bremen (Art. 12), Mecklenburg-Vorpommern (Art. 6 Abs. 1 und 2), Nordrhein-Westfalen (Art, 4 Abs. 2 sowie die Verbürgung der Einrichtung des Datenschutzbeauftragten in Art. 77a), Rheinland-Pfalz (Art. 4a), Saarland (Art. 2 Abs. 2), Sachsen (Art. 33), Sachsen-Anhalt (Art. 6 Abs. 1) und Thüringen (Art. 6).

Auf Bundesebene regelt das Bundesdatenschutzgesetz (BDSG) den Datenschutz für die Bundesbehörden und den privaten Bereich (d. h. für alle Wirtschaftsunternehmen, Institutionen, Vereine etc. gegenüber natürlichen Personen). Daneben regeln die Datenschutzgesetze der Länder den Datenschutz in Landes- und Kommunalbehörden. Datenschutzrechtliche Regelungen finden sich darüber hinaus in etlichen weiteren Gesetzen, etwa dem Telekommunikationsgesetz und dem Telemediengesetz, die jeweils für ihren Anwendungsbereich speziellere Regelungen zum Datenschutz enthalten. Diese bereichsspezifischen Regelungen gehen dem Bundesdatenschutzgesetz jeweils vor, das BDSG gilt nur ergänzend.

Die öffentlichen Stellen des Bundes sowie die Unternehmen, die geschäftsmäßig Telekommunikations- oder Postdienstleistungen erbringen, unterliegen der Aufsicht durch den Bundesbeauftragten für den Datenschutz. Die Landesbehörden werden durch die Landesdatenschutzbeauftragten kontrolliert. Die privaten Unternehmen (bis auf Telekommunikation und Post) unterliegen der Aufsicht der Datenschutzaufsichtsbehörden für den nicht-öffentlichen Bereich, die beim Landesdatenschutzbeauftragten oder bei den Landesbehörden (z. B. Innenministerium) angesiedelt sind. Nach einem Vertragsverletzungsverfahren der EU-Kommission gegen die Bundesrepublik Deutschland und einer Verurteilung durch den EuGH sind die Datenschutzaufsichtsbehörden der Länder unabhängig. Sie werden von den Landtagen gewählt und vom Präsidenten des Landtags ernannt, entlassen und abberufen.

Österreich

Rechtsgrundlage für den Datenschutz ist in Österreich das Datenschutzgesetz (DSG). Die Einhaltung des Datenschutzes kontrolliert die Datenschutzbehörde, die seit 1. Januar 2014 von Andrea Jelinek geleitet wird.

Möglich ist aber auch die zivilrechtliche Durchsetzung des Datenschutzes bei den ordentlichen Gerichten (insbesondere Löschung und Richtigstellung von fehlerhaften Daten).

Schweiz

Ähnlich wie in Deutschland regelt das Datenschutzgesetz des Bundes den Datenschutz für die Bundesbehörden und für den privaten Bereich; auf die kantonalen Behörden ist das jeweilige kantonale Datenschutzgesetz anwendbar.

Kontrolliert wird die Einhaltung des Datenschutzgesetzes im Bund durch den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten und sein Sekretariat.

Für die Kontrolle der Einhaltung der kantonalen Datenschutzgesetze sind die Kantone zuständig. Sie sind dem Eidg. Datenschutzbeauftragten nicht unterstellt, sondern kontrollieren unabhängig.

Ein bemerkenswerter Unterschied zu den Regelungen in beispielsweise Deutschland und Österreich ist die Tatsache, dass in der Schweiz zusätzlich zur Auskunftspflicht auch eine Informationspflicht existiert (Art. 14 u. Art. 18a): Werden Personendaten von Bundesorganen bearbeitet oder besonders schützenswerte Personendaten oder Persönlichkeitsprofile von privaten Personen bearbeitet, dann müssen grundsätzlich die betroffenen Personen aktiv durch den Inhaber der Datensammlung informiert werden. Ähnlich wie es in Deutschland und Österreich definiert ist, sind auch in der Schweiz jegliche Daten, die eine Profilbildung erlauben (Art. 3d), den besonders schützenswerten Daten gleichgestellt.

Beim Zugriff auf Telekommunikationsinformation bestehen für die Justizbehörden je nach Art der Kommunikation unterschiedliche Regelungen je nachdem ob es sich nur um reine Kontaktdaten, das Abhören der Sprachkommunikation oder den E-Mail-Verkehr handelt. Staatsanwälte brauchen eine richterliche Bewilligung für den Zugriff auf die ersten beiden Arten von Kommunikationsinformation. Zudem dürfen Telekomdienstleister Kontaktdaten nur maximal über sechs Monate aufbewahren. E-Mails jedoch werden anders behandelt als Telefongespräche. E-Mails werden bisher wie schriftliche Korrespondenz (Briefpost usw.) behandelt. Strafverfolger können auf den gesamten Mailverkehr von privaten Konten zugreifen, welcher in der Schweiz bis zu zehn Jahre durch die Telekomdienstleister gespeichert bleibt. Dazu braucht es weder eine richterliche Bewilligung noch eine rechtzeitige Benachrichtigung der überwachten Person, welche vom Siegelungsrecht Gebrauch machen könnte. Der Schweizer Öffentlichkeit wurde diese kontroverse Regelung erst in Zusammenhang mit der bereits erfolgten Auswertung des Mailverkehrs von Peter Lauener, ehemaligem Kommunikationsbeauftragtem von Bundespräsident Alain Berset, bekannt. Die Strafprozessordnung wird nun angepasst.

Kirche

In der Kirche hat das Persönlichkeitsrecht als Vorläufer des Datenschutzes eine sehr lange Tradition. So wurden bereits 1215 n. Chr. Seelsorge- und Beichtgeheimnis im Kirchenrecht schriftlich verankert. Heute schützt für den Bereich der römisch-katholischen Kirche das weltweit gültige kirchliche Gesetzbuch Codex Iuris Canonici (CIC) das Recht auf Schutz der Intimsphäre in Canon 220. In Deutschland gelten die Datenschutzgesetze von Bund und Ländern im Bereich der öffentlich-rechtlichen Kirchen (einschließlich Caritas und Diakonie) teilweise nicht, da die Kirchen diesbezüglich ein Selbstbestimmungsrecht haben. In der Evangelischen Kirche in Deutschland (EKD) gilt das EKD-Datenschutzgesetz (DSG-EKD), in der römisch-katholischen Kirche in Deutschland die Gesetz über den Kirchlichen Datenschutz (KDG) und in der alt-katholischen Kirche die Ordnung über den Schutz von personenbezogenen Daten (Datenschutz-Ordnung, DSO) im Bereich des Katholischen Bistums der Alt-Katholiken in Deutschland. Allerdings gilt das allgemeine Datenschutzrecht, wenn die Kirchen außerhalb des karitativen oder sonst zum kirchlichen Auftrag gehörenden Bereichs in Formen des Privatrechts tätig werden.

Datenschutz und Informationsfreiheit

Datenschutz steht grundsätzlich im Konflikt mit der Forderung nach Informationsfreiheit. Informationsfreiheit bedeutet, dass Informationen der öffentlichen Verwaltung (Verwaltungstransparenz) und Politik dem Bürger öffentlich gemacht werden (Öffentlichkeitsprinzip). Diese Informationen unterliegen jedoch auch dem Datenschutz und sollten daher vertraulich behandelt werden. Dieser Zielkonflikt wird sehr unterschiedlich gelöst. In Schweden wird das Öffentlichkeitsprinzip traditionell weitaus höher bewertet als der Datenschutz. Selbst hochprivate Daten wie die Einkommensteuererklärung sind öffentlich. In Deutschland bestand traditionell eine geringe Bereitschaft öffentlicher Verwaltungen zur Veröffentlichung von Informationen. Erst 2006 wurde diese Haltung durch das Informationsfreiheitsgesetz gelockert. Die Abwägung zwischen den Belangen von Informationsfreiheit und Datenschutz wurde in § 5 Informationsfreiheitsgesetz weitgehend zu Gunsten des Datenschutzes vorgenommen:

Ähnliche Konflikte ergeben sich auch auf Unternehmensebene. Hier kollidiert ein eventueller Auskunftsanspruch von Kunden oder Dritten mit dem Datenschutz. So hatte etwa der Mobilfunkbetreiber T-Mobile den Wunsch eines Kunden, den Absender von Werbe-SMS zu erfahren, mit dem Hinweis auf Datenschutz abgewiesen – und wurde erst durch ein Urteil des Bundesgerichtshof (Az. I ZR 191/04) dazu gezwungen.

Kosten des Datenschutzes

Datenschutz verursacht Kosten und steht damit im Konflikt zu dem Ziel von Unternehmen und Verwaltungen, kosteneffizient zu arbeiten. Datenschutz kann (wenn auch in geringerem Umfang) zu Kostenersparnissen beitragen.

Ihnen entstehen unter anderem Kosten:

• für den Datenschutzbeauftragten und seine Organisation (z. B. Sachmittel, Mitarbeiterschulungen)
• dadurch, dass die betriebliche Datenverarbeitung durch den Datenschutz komplizierter und damit teurer wird (z. B. Zugriffsrechtverwaltung, Lösch-, Archivierungs- und Sperrfunktionen)
• durch die Bearbeitung der Anfragen von Dritten über gespeicherte Daten und Korrektur- oder Löschforderungen
• durch die Dokumentation und Prüfung der vorgenommenen Maßnahmen des Datenschutzes

Dazu kommen indirekte Kosten, zum Beispiel in Form von Mehrfacheingaben von Daten, wenn eine automatisierte Datenübernahme unzulässig ist (z. B. darf das Finanzamt nicht automatisiert Adressänderungen der Steuerpflichtigen vom Einwohnermeldeamt übernehmen). Auch sind Nutzungen von Daten, die zu Geschäftschancen führen, aufgrund des Datenschutzes teilweise nicht zulässig. So dürfen z. B. Banken nicht den Zahlungsverkehr ihrer Kunden daraufhin auswerten, ob diese Geschäftsverbindungen zu Wettbewerbern haben, und ihnen daraufhin Produktangebote unterbreiten.

Von noch größerer Bedeutung sind volkswirtschaftliche Kosten, welche daraus entstehen, dass bei Nichtexistenz von perfekter Information eine wesentliche Abweichung von den Annahmen eines vollkommenen Marktes vorliegt. Datenschutz, der (sonst wäre er inhaltsleer) den Fluss an Informationen mindert, verringert automatisch die volkswirtschaftliche Effizienz (hierzu und zu weiteren Literaturhinweisen vgl. Maennig 2006). Im Extremfall wird das Verbergen von Informationen mit Hinweis auf den Datenschutz als Versuch interpretiert, sich oder sein Unternehmen zum Schaden Anderer bzw. der Gesellschaft falsch oder unvollständig darzustellen, indem beispielsweise unangenehme Informationen unterdrückt werden. Als typisches Beispiel werden Gesetze genannt, die finanzielle Informationen schützen. Diese machen es beispielsweise Personen und Unternehmen mit Insolvenzhistorie möglich, sich ebenso positiv darzustellen wie andere Personen und Unternehmen. Wenn sie daraufhin Kredite, Kreditkarten etc. erhalten, besteht die Gefahr, dass die Zahl der zukünftigen „defaults“ und somit das Kreditrisiko steigt – mit der Folge von höheren Risikomargen für alle, auch die Unbescholtenen.

Aufgrund der mit Datenschutz einhergehenden volkswirtschaftlichen Kosten lautet die ökonomische Antwort auf die Frage nach dem Datenschutz nicht ja oder nein; vielmehr wird nach einer optimalen Menge und Ausgestaltung des Datenschutzes gesucht.

Zu Kostenersparnissen können z. B. beitragen:

• Geringere Datenmengen aufgrund des Prinzips der Datensparsamkeit
• Effizientere EDV-Systeme aufgrund systematischerer DV-Organisation und -Dokumentation

Der Kostenaspekt wird seit den Anfängen des Datenschutzes thematisiert. Eine Studie von 1985 wies für die Zeit von 1977 bis 1985 datenschutzinduzierte Kosten von

• bis 0,3 Millionen Mark bei fast allen kleinen und einigen mittleren Unternehmen,
• 0,3 bis 0,6 Millionen Mark bei dem überwiegenden Teil der mittleren Unternehmen und
• 1 bis 3 Millionen Mark bei den meisten Großunternehmen auf.

Einige wenige Großunternehmen wiesen Kosten von mehr als 20 Millionen Mark auf. Aufgrund immer weiter verschärfter Datenschutzregelungen sind die Kosten heute um ein Vielfaches höher.

Auch fehlender Datenschutz verursacht Kosten in teils erheblicher Höhe bei den Organisationen. Als direkte Kosten sind hier z. B. Bußgelder für die Nichteinhaltung von Datenschutzbestimmungen zu nennen. Verstöße gegen Datenschutz sind potentiell geeignet, das Image der Organisation zu beschädigen und damit das Geschäft zu schädigen.

Datenschutz und Kriminalitätsbekämpfung

In der Öffentlichkeit vielfach diskutiert ist der Konflikt zwischen Datenschutz und Kriminalitätsbekämpfung. Ein weitgehender Zugriff der Strafverfolgungsbehörden auf personenbezogene Daten (auch von Unschuldigen/Unverdächtigen) erleichtert diesen die Arbeit. Ein Datenschutz ist hier jedoch besonders wichtig, da ein Überwachungsstaat mit dem Prinzip eines Rechtsstaates unvereinbar ist. Der Schutz der Grundrechte der Einwohner bedarf der gesetzlichen Regelung der Zugriffs- und Speichermöglichkeiten der Strafverfolgungsbehörden auf persönliche Daten. Der Umfang dieser Möglichkeiten und damit verbunden das Verhältnis zwischen Nutzen (Sicherheit) und Schaden (Eingriff in die Freiheits- und Bürgerrechte) ist politisch hoch umstritten. Während die einen auch bei kleineren Eingriffen das Bild eines Überwachungsstaates bemühen, lautet ein pauschales Schlagwort der Gegenseite „Datenschutz ist Täterschutz“.

Für die Abwägung der Interessen des Datenschutzes und der Kriminalitätsbekämpfung muss die konkrete Maßnahme betrachtet werden. Ansatzpunkte für eine Bewertung sind:

• Schwere der Eingriffe in den Datenschutz
• Grad der Eignung der Maßnahme zur Verbesserung der Kriminalitätsbekämpfung

Die Themen, an denen sich die Diskussion um Datenschutzes und Kriminalitätsbekämpfung festmacht, wechselte im Laufe der Zeit. In den 1970ern wurde die Rasterfahndung und ab den 1990er Jahren die Videoüberwachung intensiv diskutiert. Heute macht sich die Diskussion z. B. an DNA-Reihenuntersuchungen, der Einführung von biometrischen Daten (Fingerabdruck, Gesichtsmaße, zukünftig eventuell Irisscan) und RFID-Chips in den Reisepass (Biometrischer Reisepass) fest.

Am 24. Februar 2012 entschied das Bundesverfassungsgericht in Karlsruhe, dass Polizei und Nachrichtendienste bei ihren Ermittlungen nicht auf Passwörter und PIN-Codes zugreifen dürfen.

Zurzeit stehen auch die infolge eines Abkommens zwischen der EU und den USA bei Flugreisen übermittelten Passenger Name Records in der Kritik, bei der vor Flugantritt personenbezogene Daten des Passagiers an die USA übermittelt und dort für mindestens 15 Jahre gespeichert werden. Ein ähnliches Abkommen wurde bereits 2006 vom EuGH gekippt, allerdings kurz darauf wenig verändert wieder auf den Weg gebracht.

Datenschutz und Wissenschaft

Auch wissenschaftliche Datensammlungen unterliegen dem Datenschutz. Hier kann ein Konflikt zwischen der Forschungsfreiheit und Datenschutz entstehen. Unproblematisch ist aus Datenschutzsicht die Verwendung pseudonymisierter oder gar anonymisierter Daten. Vielfach werden in der Wissenschaft jedoch auch personenbezogene Daten genutzt. In diesen Fällen wäre eine konsequente Anwendung der datenschutzrechtlichen Vorschriften manchmal ein Verbot der wissenschaftlichen Forschungen. Um dies zu vermeiden, bestehen Sonderregelungen für wissenschaftliche Forschungen. Auf internationaler Ebene bestehen die Europarat-Empfehlung zum Schutz personenbezogener Daten für Zwecke der wissenschaftlichen Forschung und Statistik (Nr. R [83] 10), auf nationaler Ebene gibt es Ausnahmetatbestände im BDSG für wissenschaftliche Forschung. So z. B. in Bezug auf die Einwilligung der Betroffenen (§ 4a (2)), der Datenerhebung (§ 13 (2) Ziffer 8), der Datenspeicherung, -veränderung und -nutzung (§ 14 (2) Ziffer 9 bzw. (5) Ziffer 2) oder der Löschung und Sperrung (§ 20 (7) Ziffer 1).

Dennoch stellt die Einhaltung des Datenschutzes in vielen wissenschaftlichen Forschungen einen Kostenfaktor und eine Einschränkung bei der Erhebung und Nutzung von Daten dar.

Datenschutz und Medizin

In der Medizin besteht ein besonderes Maß an Vertraulichkeit (siehe Ärztliche Schweigepflicht). Es handelt sich bei Gesundheitsdaten nach Art. 9 Abs. 1 Datenschutz-Grundverordnung (DSGVO) um „besondere Kategorien von personenbezogenen Daten“. Ob die Datenschutzvorschriften einen ausreichenden Schutz bieten, ist strittig.

Konfliktfelder sind hier der Datenaustausch zwischen Ärzten, Krankenkassen, Krankenhäusern und anderen Dienstleistern im Gesundheitswesen. Eine wirksame und kostengünstige Behandlung (z. B. die Vermeidung von Doppeluntersuchungen) setzt Wissen über Vorerkrankungen, bisherige Diagnose und Behandlung und Medikamentennutzung voraus. Für die diesbezüglich kritische Diskussion siehe: Elektronische Gesundheitskarte.

Während der COVID-19-Pandemie in Deutschland wurde ein Jahr lang nicht erkannt, dass es eine Korrelation gibt zwischen dem Einkommen eines Menschen und seinem Risiko, an Covid-19 zu erkranken und daran zu sterben. Am 20. April 2021 veröffentlichte das Robert Koch-Institut, dass in der Hochphase der zweiten Welle die Sterblichkeit in benachteiligten Gebieten um bis zu siebzig Prozent höher war als anderswo. In den USA und in Großbritannien wurde diese Korrelation früher diskutiert. Der wissenschaftliche Dienst des Bundestages schrieb 2021 in einem Bericht für die Grünen, das Thema werde in Deutschland „eher zurückhaltend behandelt“. Laut Datenreport 2021 des Statistischen Bundesamtes ist die gesundheitliche Ungleichheit in Deutschland „nur selten untersucht worden“.

Genetik

Im Zuge immer weiter fortschreitender, leichterer und perfekter auch persönlicher Genanalysen mit der Erstellung sogenannter genetischer Fingerabdrücke wird auch hier der Datenschutz der „genetischen Privatsphäre“ immer wichtiger.