Kann man das Datenschutzrecht überhaupt visuell vermitteln? Ich gebe zu, dass ich da anfangs meine Zweifel hatte. Doch dank eines Auftrags, den ich im Frühjahr bearbeiten durfte, weiß ich inzwischen: Es funktioniert tatsächlich! Das hat mich dazu inspiriert, mal eine Art visuelles Glossar zu diesem Rechtsgebiet anzulegen, das mittlerweile 54 unterschiedliche Motive umfasst. Die einfach gehaltenen Bilder eignen sich einerseits zum Nachzeichnen, sollen andererseits aber auch dazu anregen, eigene Visualisierungsideen für Seminare oder Vorträge zu entwickeln. In diesem Beitrag stelle ich Ihnen die Bildersammlung vor. Ergänzend gibt es ein paar Hintergrundinformationen zu ihrer Entstehung.
Der Beitrag wurde zuletzt im Januar 2022 bearbeitet.
Meine Bildvokabeln sind stärker rechtlich ausgerichtet als die meisten Icon-Sammlungen zum Datenschutz, die man in Bilddatenbanken findet. Die Sammlung ist jedoch weit davon entfernt, das Datenschutzrecht vollständig abzudecken. Neben einigen wesentlichen (Grund-)Begriffen, an denen man im Datenschutzrecht nicht vorbeikommt, habe ich in erster Linie die Akteure, die Datenschutzgrundsätze und die Rechte der betroffenen Person visualisiert.
Personenbezogene Daten im Mittelpunkt
Ist im Datenschutzrecht von Daten die Rede, sind immer personenbezogene Daten gemeint, also Informationen, die sich auf konkrete Menschen beziehen. Da die Daten das Rechtsgebiet bestimmen, wollte ich beim Visualisieren nicht nur für die Daten selbst ein Bild finden, sondern nach Möglichkeit auch kenntlich machen, wenn sich andere Begriffe auf sie beziehen. So ist die betroffene Person z. B. der Mensch, um dessen Daten es im konkreten Fall geht. Da die Daten Informationen sind, lag es nahe, das Informations-I als Bild zu wählen:
Bei der Visualisierung der personenbezogenen Daten steht der Bezug auf die Person im Mittelpunkt und bei der Visualisierung der betroffenen Person die Person selbst. Hier ist das Informations-I nur ein Mittel der Kennzeichnung. Hat man diese beiden Begriffe kennengelernt, versteht man auch, wenn das Informations-I bei der Visualisierung anderer Begriffe auftaucht, z. B. bei der Datenverarbeitung, die jeden Umgang mit personenbezogenen Daten umfasst:
Bei der Suche nach einem Bild für die Datenverarbeitung dachte ich zuerst an Zahnräder. Der Automat schien mir hier die Sache aber aus zwei Gründen besser zu treffen. Zum einen weckt er die gewünschte Assoziation, dass die betroffene Person keinen Einfluss darauf hat, was mit ihren Daten geschieht, zum anderen wird die Vielfalt der umfassten Verarbeitungsvorgänge mit den verschiedenen Knöpfen zumindest angedeutet. Ein Nachteil des Motivs ist freilich, dass es als Icon zu komplex ist und sich auch nicht sinnvoll vereinfachen lässt, so wie ich es unten für andere komplexe Motive vorschlage.
Unten werden Ihnen noch weitere Bildvokabeln mit dem Informations-I begegnen, z. B. bei den Grundsätzen der Datenminimierung, Speicherbegrenzung und Richtigkeit. Für die konsequente Verwendung des Icons spricht viel, weil Begriffe auf diese Art und Weise in Beziehung zueinander gesetzt werden, was hilft, Zusammenhänge zu verstehen. Andererseits gibt es aber auch Kontexte, in denen die gewünschte Assoziation schneller und besser durch ein ganz anderes Motiv hervorgerufen wird. Man denke nur an den Begriff des Datenschutzes. Je nach Kontext kann mal die eine und mal die andere Visualisierung geeigneter sein:
Es ist immer eine Abwägung im Einzelfall: Wo ist die wiederkehrende Verwendung desselben Motivs hilfreich? Und wann gibt es gute Gründe, ein ganz anderes Bild zu verwenden?
Weitere Grundbegriffe im Datenschutzrecht
Ergänzt man die vier vorgestellten Begriffen noch um ein paar weitere, ergibt sich bereits eine kleine Sammlung mit wichtigen Grundbegriffen des Datenschutzrechts:
Die Suche nach Bildideen für die verantwortliche Stelle gestaltete sich insofern schwierig, als der Begriff sehr weit gefasst ist: Für den Datenschutz verantwortlich kann ein Unternehmen sein, eine Behörde, ein Verein, eine Stiftung, aber auch eine Religionsgemeinschaft oder eine natürliche Person als Einzelunternehmen. Ein einziges Motiv kann diese Vielfalt nur schwer abbilden. Verwendet habe ich schon den Chefsessel als Metapher für Verantwortung. Dieses Bild hat allerdings den Haken, dass sich ein Alltagsgegenstand nicht wirklich gut als handelnder Akteur eignet, der die verantwortliche Stelle ja ist. Entschieden habe ich mich deshalb im Rahmen meiner Bildersammlung für das Gebäude mit Hut, wobei der Hut hier im Sinne von „den Hut aufhaben“ ebenfalls für Verantwortung steht.
Gebäude werden in Infografiken gerne als Akteure eingesetzt, wenn kommuniziert werden soll, dass nicht ein einzelner Mensch an einem Vorgang beteiligt ist, sondern z. B. ein Unternehmen oder eine Behörde. Von daher deckt die Bildvokabel nicht nur ein wesentliches Spektrum möglicher verantwortlicher Stellen ab, sondern ist den Adressat*innen zudem als Akteur vertraut. Unpassend kann sie nur wirken, wenn ein konkreter Sachverhalt visualisiert werden soll, in dem ein(e) Einzelunternehmer*in oder ein kleinerer Verein verantwortliche Stelle ist. Dann kann es unter Umständen besser sein, ein anderes Motiv einzusetzen.
Zwei Visualisierungsprobleme kommen hier zusammen, die eng miteinander verknüpft sind: Auch wenn ein Begriff verschiedene Aspekte/Inhalte umfasst, muss man sich immer für ein Motiv entscheiden und kann nicht – wie es mittels Sprache möglich ist – ein entsprechendes Spektrum vorgeben. Meist wählt man dann ein Motiv für den „klassischen“ bzw. „typischen“ Fall. Die Folge kann allerdings sein, dass das Motiv bei der Darstellung eines konkreten Sachverhalts, der nicht den klassischen Fall wiedergibt, unpassend wirkt.
Auftragsverarbeitung und Auftragsverarbeiter
Verarbeitet die verantwortliche Stelle die personenbezogenen Daten nicht selbst, sondern beauftragt sie eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle damit, so liegt eine Auftragsverarbeitung vor. Mein Visualisierungsvorschlag zu diesem Begriff kombiniert den Aspekt des Vertragsschlusses mit einem Zahnrad, das für die Datenverarbeitung steht. Der Automat von oben kommt also nicht zum Zuge, obwohl es auch hier um Datenverarbeitung geht. Anders als beim Datenschutz-Beispiel ist der Grund nicht, dass der Inhalt besser und schneller durch das Zahnrad transportiert wird, sondern dass der Fokus bei der Auftragsverarbeitung auf dem Aspekt der Beauftragung, also dem Vertragsschluss, liegt und dieser den ohnehin schon recht komplexen Automaten noch komplexer gemacht hätte. Umgekehrt muss das Bild für die Auftragsverarbeitung nicht vermitteln, dass die Datenverarbeitung sehr viele unterschiedliche Vorgänge umfasst.
Auf einem Blatt Papier platziert haben wir dann gleich auch ein Bild für den Auftragsverarbeitungsvertrag.
Und wie stellt man den Auftragsverarbeiter als handelnden Akteur dar? Zum Beispiel indem man ein Gebäude mit dem Bild für die Auftragsverarbeitung kombiniert:
Akteure kennzeichnen
Oben hatte ich mit dem Informations-I im Kreis die betroffene Person als die Person gekennzeichnet, auf die sich die Daten beziehen. Ähnlich bin ich beim Auftragsverarbeiter vorgegangen: Hier habe ich das Gebäude mit dem Vertragsschluss-Motiv als die Stelle gekennzeichnet, mit der ein Auftragsverarbeitungsvertrag geschlossen wurde. Dieses Prinzip der Kennzeichnung lässt sich auch bei anderen Akteur*innen im Datenschutzrecht einsetzen. So gibt es beispielsweise noch den Empfänger, bei dem es sich um eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle handelt, der personenbezogene Daten offengelegt werden. Hier bietet sich das geöffnete Schloss als Kennzeichnung an – je nach Kontext in Kombination mit einem Menschen oder einem Gebäude:
(Fokus Person)
(Fokus Unternehmen)
Die Kennzeichnung mit einem Icon im Kreis kann immer dann eine visuelle „Lösung“ sein, wenn sich das kennzeichnende Element nicht auf andere Weise in das Bild integrieren lässt, so wie z. B. der Hut bei der verantwortlichen Stelle oder die Lupe bei der Aufsichtsbehörde:
Nicht zu vergessen: der/die Datenschutzbeauftragte. Ihm/Ihr können Sie das Schutzschild mit Schloss ans Revers heften:
Datenschutzgrundsätze
Grundlegende Prinzipien sind bei der Vermittlung eines Rechtsgebietes ja immer besonders wichtig für das Verständnis. Im Datenschutzrecht sind sie in Art. 5 DSGVO geregelt. Wie Sie sehen werden, habe ich den ersten Grundsatz (Rechtmäßigkeit, Transparenz, Treu und Glauben) in zwei Bilder aufgeteilt, denn als Dienstleisterin für Verständlichkeit liegt mir der Grundsatz der Transparenz natürlich besonders am Herzen, sodass es auf keinen Fall reichte, dass das Bild für die Rechtmäßigkeit ihn mitumfasst.
Rechtmäßigkeit, Transparenz, Treu und Glauben: Personenbezogene Daten müssen in rechtmäßiger und nachvollziehbarer Weise sowie nach Treu und Glauben verarbeitet werden.
Transparenz (der Datenschutzerklärung)
Datenminimierung: Es dürfen nur solche personenbezogenen Daten verarbeitet werden, die für den jeweiligen Zweck der Verarbeitung notwendig sind.
Zweckbindung: Personenbezogene Daten müssen für festgelegte, eindeutige und legitime Zwecke erhoben werden. Sie dürfen nicht in einer Weise verarbeitet werden, die mit diesen Zwecken nicht zu vereinbaren ist.
Richtigkeit: Personenbezogene Daten müssen sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein.
Speicherbegrenzung: Personenbezogene Daten müssen so gespeichert werden, dass die Identifizierung der betroffenen Personen nur so lange möglich ist, wie es für die Zwecke, für die die Daten verarbeitet werden, erforderlich ist.
Integrität und Vertraulichkeit: Es sind geeignete technische und organisatorische Maßnahmen zu ergreifen, damit personenbezogene Daten weder unbefugt oder unrechtmäßig verarbeitet werden noch aus Versehen verloren gehen oder Schaden nehmen.
Rechenschaftspflicht: Die verantwortliche Stelle muss nachweisen können, dass sie die o. g. Grundsätze einhält.
Bei der Entwicklung von Bildideen für komplexe Inhalte gibt es häufig zwei unterschiedliche Zielrichtungen: Einerseits besteht der Bedarf, ein Bild zu finden, das den Inhalt erklärend veranschaulicht, andererseits werden möglichst einfache Icons benötigt, die sich schnell zeichnen lassen. Gerecht werden können Sie diesem Widerspruch, indem Sie zwei verschiedene Varianten eines Motivs verwenden. Zuerst führen Sie mit der erklärenden Variante einen Begriff ein und später nutzen Sie für ihn der Einfachheit halber, wo es passt, nur noch die reduzierte Variante. Bei den Datenschutzgrundsätzen kann das z. B. so aussehen:
Einwilligung und Widerruf
Manchmal erklären sich Bilder auch dadurch, dass sie andere Bilder „neutralisieren“ bzw. in ihr Gegenteil verkehren. Ein schönes Beispiel dafür sind im Datenschutzrecht Einwilligung und Widerruf. Bei der Einwilligung erklärt die betroffene Person ihre Zustimmung zur Datenverarbeitung. Als Bild bietet sich das Häkchen in einer Sprechblase an. Beim Widerruf erklärt die Person, dass die einmal erteilte Einwilligung nicht mehr gelten soll. Da wiederum eine Erklärung notwendig ist, passt auch hier die Sprechblase. Deren Inhalt wäre eigentlich ein durchgestrichenes Häkchen. Durchgestrichenes lässt sich jedoch häufig nur noch schwer in Bildern erkennen. Deshalb habe ich mich auf das verneinende Kreuz beschränkt. Für sich genommen ist dieses Bild unklar, setzt man es jedoch zum Bild für die Einwilligung in Beziehung, wird die „neutralisierende“ Wirkung des Widerrufs deutlich.
Ausschluss bestimmter Datenverarbeitungen
Während beim Widerruf eine zustimmende Erklärung zurückgenommen wird, gibt es auch Rechte der betroffenen Person, die darauf zielen, dass bestimmte Datenverarbeitungen von vornherein nicht stattfinden. So heißt es in Art. 22 Abs. 1 DSGVO:
„Die betroffene Person hat das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.“
So etwas zu visualisieren ist deshalb schwierig, weil man einerseits den Inhalt ins Bild setzen muss (hier: die ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung), zugleich aber auch kenntlich zu machen ist, dass der dargestellte Inhalt gerade nicht gelten soll. Häufig bleibt einem dann nichts anderes übrig, als das zu tun, was sich beim Widerruf noch vermeiden ließ, nämlich das zentrale Motiv durchzustreichen. Die Kunst besteht darin, dies so zu tun, dass an der Nichtgeltung kein Zweifel besteht, das zentrale Motiv aber trotzdem noch gut zu erkennen ist.
Rechte der betroffenen Person
Die Rechte der betroffenen Person sind in den Art. 12 ff. DSGVO geregelt. Meinen Visualisierungsvorschlag für den Widerruf haben Sie schon kennengelernt. Danach folgen Bildideen für die anderen Rechte.
Beim Widerruf erklärt die betroffene Person, dass ihre zuvor erteilte Einwilligung in die Datenverarbeitung nicht mehr gelten soll.
Das Bild für das Recht auf Datenlöschung ist dasselbe wie für den Grundsatz der Speicherbegrenzung, denn das Recht ist eine Konsequenz aus dem Grundsatz. Welche Bedeutung im konkreten Fall gemeint ist, wird sich aus dem Kontext ergeben.
Mit dem Widerspruchsrecht kann sich die betroffene Person dagegen wehren, dass ihre Daten zu einem bestimmten Zweck verarbeitet werden. Relevant ist das z. B. dann, wenn sie Direktwerbung durch die verantwortliche Stelle unterbinden will.
Das Recht auf Datenübertragbarkeit (Datenportabilität) soll betroffenen Personen die Mitnahme ihrer Daten bei einem Anbieterwechsel erleichtern.
Beim Recht auf Einschränkung der Verarbeitung geht es darum, dass personenbezogene Daten zwar nicht gelöscht werden, die datenverarbeitende Person oder Stelle sie aber nicht mehr wie gewohnt nutzen darf.
Recht auf Datenauskunft
Recht auf Datenberichtigung
Recht, keiner automatisierten Entscheidung unterworfen zu werden
Sonstige Bildideen zum Datenschutzrecht
Abschließend noch eine bunte Mischung weiterer Bildideen zu Begriffen, an denen man im Datenschutzrecht nicht vorbeikommt. Falls Sie Begriffe vermissen: Die Sammlung erhebt keinen Anspruch auf Vollständigkeit.
Bei der unbefugten Offenlegung kehrt das geöffnete Schloss wieder, das bereits beim Empfänger zum Einsatz kam. Wolke und Blitz machen kenntlich, dass die Datenweitergabe hier eine negative Konnotation hat, es verwirklicht sich nämlich ein Risiko, dessen Eintritt durch den Datenschutz gerade verhindert werden soll.
Bei der Datenschutz-Folgenabschätzung werden die Risiken analysiert, die einzelne Datenverarbeitungsvorgänge für die persönlichen Rechte und Freiheiten der betroffenen Person haben. Das Ziel ist, im nächsten Schritt angemessene Schutzmaßnahmen ergreifen zu können.
Mit dem Begriff Privacy by Design ist gemeint, dass bei der Entwicklung von technischen Produkten der Datenschutz von vornherein mitberücksichtigt werden soll.
Beim Begriff Privacy by Default geht es um datenschutzkonforme Voreinstellungen.
Bei der Datenpanne kehrt der Automat von der Datenverarbeitung wieder, der Alarm schlägt, wenn bei der Datenverarbeitung etwas schiefgegangen ist.
Um die technischen und organisatorischen Maßnahmen (TOM) zu visualisieren, die zum Schutz der personenbezogenen Daten von der verantwortlichen Stelle zu treffen sind, habe ich mich für das Häkchen auf dem Schutzschild entschieden, weil diese Maßnahmen zu erledigen sind, noch bevor überhaupt Daten verarbeitet werden. Für das „Erledigt haben“ fand ich das Häkchen ganz passend.
Alle TOMs sind im Verarbeitungsverzeichnis aufzuführen, das deshalb ebenfalls auf dem Deckblatt mit dem Schutzschild versehen ist.
Und da die verantwortliche Stelle mit dem Verarbeitungsverzeichnis nachweist, dass sie personenbezogene Daten datenschutzkonform verarbeitet, tauchte das Schutzschild mit Haken oben auch schon beim Grundsatz der Rechenschaftspflicht auf.
Die Bilder für die vorvertraglichen Maßnahmen und die Erfüllung eines Vertrages sind im Kontext von Art. 6 Abs. 1 Buchstab. b) DSGVO relevant. Danach ist eine Datenverarbeitung rechtmäßig, wenn sie erforderlich ist, um a) einen Vertrag zu erfüllen, dessen Vertragspartei die betroffene Person ist, oder b) vorvertragliche Maßnahmen durchzuführen, die auf Anfrage der betroffenen Person erfolgen.
Und noch ein paar weitere Ideen ohne Kommentierung:
Seit Ende Januar 2022 finden Sie alle hier vorgestellten Zeichnungen in meiner Bilddatenbank Bildvokabeln Recht.