Control the Risks, Not the Processing

Wie können Nutzer:innen informierte und effektiv Datenschutzentscheidungen treffen?

Bereits in unserem Blogpost zum Interview von Max von Grafenstein über den Consenter wurde über die Umsetzung von Einwilligungsprozessen im digitalen Raum berichtet.

Für einen Workshop auf der diesjährigen CHI unter dem Motto „Moving Beyond Clicks: Rethinking Consent and User Control in the Age of AI“ haben Daniel Guagnin und Jörg Pohle ein Konzeptpapier eingereicht, dass sie dort am 14. April vorstellen und diskutieren. Darin setzen sie sich mit den Voraussetzungen auseinander die für einen informierten Einwilligungsprozess notwendig sind:

Control the Risks, Not the Processing.

Die zentralen Thesen des Papiers:

1. Wir müssen unterscheiden zwischen dem Verständnis, das die Betroffenen erlangen müssen, und den Informationen die dafür bereit gestellt werden müssen.
2. Das Verständnis, das vermittelt, erzeugt oder hervorgerufen werden muss, betrifft die Risiken für Grundrechte und Freiheiten – sowie den Nutzen – im Zusammenhang mit der Datenverarbeitung.
3. Eine Information ist dann wirksam, wenn die Risikobewertungen von Laien unter vergleichbaren Bedingungen den Einschätzungen von Experten entsprechen.

Diesen Vergleich der Risikobewertungen von Laien und Experten operationalisieren wir im SID Projekt als Vorschlag die Wirksamkeitsmessung der Informierung.

Was daraus folgt:

Unser Vorschlag hat erhebliche Auswirkungen nicht nur auf die informierte Einwilligung und die Informationen, die in diesem Zusammenhang bereitgestellt werden müssen, sondern auch auf die Rechte der betroffenen Personen, die Ausübung dieser Rechte und die Anforderungen an die Verantwortlichen, wenn diese die Ausübung dieser Rechte ermöglichen sollen (vgl. Artikel 12(2) der DSGVO).

Es ist offensichtlich, dass es bei der Ausübung der Rechte der Betroffenen nicht nur darum geht, die Datenverarbeitung zu kontrollieren oder in die Datenverarbeitung einzugreifen. Vielmehr besteht der Kern dieser Rechte darin, dass betroffene Personen durch den Eingriff in die Datenverarbeitung die Kontrolle über die Risiken ausüben können. Dies erfordert nichts weniger als eine grundlegende Veränderung in der Denkweise und im Design von Kontrollmechanismen.