Migration und Datenschutz

Daten sind wichtig, um ein besseres Verständnis für Migration zu entwickeln. Jedoch stellen die Erhebung, der Austausch und die Verarbeitung von Daten auch Risiken für den Schutz der Privatsphäre von betroffenen Personen dar, sofern keine geeigneten Schutzvorkehrungen getroffen werden. Daher ist es wichtig, die notwendigen Mittel für eine faktengestützte Migrationspolitik aufzuwenden und gleichzeitig in Bezug auf Datenschutz die Grundrechte und Sicherheit der betroffenen Personen zu gewährleisten.

Die Privatsphäre und Sicherheit einer betroffenen Person hängen entscheidend von der vertraulichen Behandlung personenbezogener Daten ab. Die vertrauliche Behandlung personenbezogener Daten ist insbesondere bei sensiblen Fragen wie der Migration von Kindern, Zwangsprostitution, Menschenhandel oder der Schleusung von Migranten von wichtiger Bedeutung, da die Identifizierung der betroffenen Person eine lebensbedrohende Gefahr darstellen kann. Deshalb müssen Datenverantwortliche dafür Sorge tragen, dass die geltenden Datenschutzgesetze und -vorschriften eingehalten und angemessene Schutzvorkehrungen getroffen werden, um zu verhindern, dass Unbefugte Zugriff auf personenbezogene Daten erhalten.

Definition

Die vertrauliche Behandlung von Migrationsdaten und die Privatsphäre betroffener Personen werden durch Gesetze und Richtlinien sichergestellt, die auf internationalen Prinzipien, Vorschriften und Standards beruhen. Personenbezogene Daten sollten zum Schutz der Privatsphäre von betroffenen Personen im Einklang mit den geltenden Datenschutzgesetzen und -richtlinien verarbeitet werden. Der Datenschutz ist ein dynamisches Rechtsgebiet, das sich mit dem Schutz eines Grundrechts befasst, und zwar dem Recht auf ein Privatleben und eine Familie, das in der Allgemeinen Erklärung der Menschenrechte festgehalten ist. Das Recht auf Datenschutz ist ebenfalls in der Charta der Grundrechte der Europäischen Union und im Vertrag über die Arbeitsweise der Europäischen Union verankert; diese räumt Einzelpersonen das Recht auf Privatsphäre ein, welches sie ausüben, indem sie die Art und Weise der Datenerhebung und -nutzung kontrollieren. 

Der Datenschutz ist nicht nur ein Grundrecht, sondern auch eine zentrale Ethikfrage, mit der sich Institutionen befassen müssen. Forschende, Organisationen und Unternehmen müssen umfassende Angaben zu ihrem Umgang mit Daten im Zuge von Analysen sowie der Erhebung, Speicherung und Verarbeitung von Daten machen. Während dieser Vorgänge muss zu jedem Zeitpunkt der Datenschutz sichergestellt werden; ferner sollten im Einklang mit geltenden Datenschutzgrundsätzen (Europäische Kommission, 2018) lediglich notwendige Daten erhoben und diese nach der Verarbeitung gelöscht werden.

Die folgenden Begriffe wurden gemäß dem IOM-Handbuch zum Datenschutz („Data Protection Manual“; nur auf Englisch) definiert:

• Datenschutz: „die systematische Anwendung institutioneller, technischer und physischer Schutzvorkehrungen im Rahmen der Erfassung, Speicherung, Nutzung und Weitergabe personenbezogener Daten zur Achtung des Rechts auf Privatsphäre“ (IOM, 2011). 

• Personenbezogene Daten: „sich auf eine betroffene, identifizierte bzw. identifizierbare Person beziehende Informationen in elektronischer- oder Papierform“ (IOM, 2011). 

• Betroffene Person: „Einzelperson, die aufgrund der Bezugnahme auf einzelne oder mehrere Angaben direkt oder indirekt identifiziert werden kann. Dazu gehören der Name, eine Identifikationsnummer, materielle Umstände sowie körperliche, geistige, kulturelle, wirtschaftliche oder soziale Eigenschaften“ (IOM, 2011). 

• Einwilligung: „mündliche Erklärung oder Unterschrift einer betroffenen Person, die dadurch zeigt, die Folgen der Datenerfassung und -verarbeitung infolge ihrer Einwilligung ausdrücklich verstanden zu haben. Die Einwilligung ist gegeben, wenn betroffene Personen der Erfassung ihrer personenbezogenen Daten zustimmen, nachdem sie sämtliche relevanten Informationen zur Datenerfassung und -verarbeitung zur Kenntnis genommen haben“ (IOM, 2011); die Einwilligung sollte zum Beispiel im Rahmen von Gesprächen, Anmelde- und Antragsformularen oder auf elektronischem Weg erfolgen.

Wesentliche Entwicklungen

Rechtsquellen

Das Recht auf Privatsphäre ist ein Menschenrecht. Es bestehen internationale, nationale und regionale Rechtsakte zur Achtung und zum Schutz des Rechts auf Privatsphäre. Die folgenden Rechtsakte sind auf internationaler und regionaler Ebene zu finden:  

Internationale Rechtsakte

• Allgemeine Erklärung der Menschenrechte: Sämtliche Rechtsakte im Bereich Datenschutz – sei es auf internationaler, nationaler, regionaler oder kommunaler Ebene – beruhen auf dem Recht auf Privatsphäre, das im Artikel 12 der Allgemeinen Erklärung der Menschenrechte verankert ist: 

„Niemand darf willkürlichen Eingriffen in sein Privatleben, seine Familie, seine Wohnung und seinen Schriftverkehr oder Beeinträchtigungen seiner Ehre und seines Rufes ausgesetzt werden. Jeder hat Anspruch auf rechtlichen Schutz gegen solche Eingriffe oder Beeinträchtigungen.“ 

Ähnliche Formulierungen sind in weiteren internationalen Rechtsakten zu finden, in denen jedoch ergänzt wird, welcher Personengruppe das Recht auf Privatsphäre gewährt wird:

• Internationaler Pakt über bürgerliche und politische Rechte (Artikel 17)

• UN-Kinderrechtskonvention (Artikel 16)

• Internationale Konvention zum Schutz der Rechte aller Wanderarbeitnehmer und ihrer Familienangehörigen (Artikel 14) 

• UN-Behindertenrechtskonvention (Artikel 22)

Regionale Rechtsakte

Europa

• Aus Artikel 8 der Europäischen Menschenrechtskonvention geht hervor, dass „jede Person das Recht auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung und ihrer Korrespondenz [hat]“.

• Die Datenschutzkonvention 108 des Europarats gewährleistet den Schutz von Menschen bei der automatischen Verarbeitung personenbezogener Daten. Als der Europarat die Konvention verabschiedete, war es das weltweit erste multilaterale Übereinkommen im Bereich Datenschutz.

• Die Europäische Datenschutz-Grundverordnung (DSGVO) wurde am 15. April 2016 verabschiedet. Sie ersetzt die Richtlinie 95/46/EG, die der Harmonisierung der Datenschutzgesetze von EU-Mitgliedsstaaten diente. Der Geltungsbereich der DSGVO geht über jenen der vorherigen Richtlinie hinaus, da die Vorschriften Datenverantwortliche auch betreffen, wenn sie Daten von EU-Bürgern außerhalb der EU verarbeiten. Zudem wurden die Bestimmungen im Zusammenhang mit der Einwilligung zur Datenverarbeitung überarbeitet und die Strafen bei Verletzungen der Privatsphäre präzisiert. Ziel der Richtlinie 95/46/EG und der nachfolgenden Richtlinien ist es, den Datenschutz sowie den freien Verkehr personenbezogener Daten zwischen den Mitgliedsstaaten zu gewährleisten. Seit Mai 2018 gilt die DSGVO in allen aktuell 27 Mitgliedsstaaten der Europäischen Union.

• Auch die Charta der Grundrechte der Europäischen Union und der Vertrag von Lissabon befassen sich explizit mit dem Schutz personenbezogener Daten. Die Charta hat für sämtliche Mitgliedsstaaten zwingenden Rechtscharakter. Der Vertrag von Lissabon verpflichtet sämtliche EU-Institutionen bei der Verarbeitung von personenbezogenen Daten zum Schutz der Grundrechte.

• Das Europäische Parlament und der Europäische Rat haben zudem die Verordnung (EG) Nr. 45/2001 auf den Weg gebracht, um das Recht natürlicher Personen auf Privatsphäre bei der Verarbeitung personenbezogener Daten durch EU-Institutionen und -Stellen zu schützen. Im Zuge dieser Verordnung wurde ein Europäischer Datenschutzbeauftragter eingesetzt. Dabei handelt es sich um eine unparteiische Aufsichtsbehörde, welche die Umsetzung der EU-Standards in den Bereichen Datenschutz und Privatsphäre begleitet.

Weitere regionale Rechtsakte

• Amerika - Amerikanische Menschenrechtskonvention (Artikel 11; auf Englisch) 

• Asien – Menschenrechtserklärung (Artikel 21; auf Englisch) des Verbands Südostasiatischer Nationen (ASEAN) 

• Die 2016 verabschiedete ASEAN-Rahmenrichtlinie zum Datenschutz (ASEAN Framework on Personal Data Protection; auf Englisch) ist besonders wichtig für südostasiatische Staaten. Es handelt sich um ein multilaterales Übereinkommen in den Bereichen Datenschutz und Privatsphäre, dessen Ziel es ist, unterschiedliche Vorschriften in Einklang zu bringen. 

• Die Datenschutzrichtlinie (auf Englisch) der Asiatisch-Pazifischen Wirtschaftsgemeinschaft (APEC) wurde 2004 verabschiedet. Eine zweite Fassung der Richtlinie trat 2015 in Kraft. Es handelt sich um eine Reihe von Grundsätzen und Richtlinien, die einen wirksamen Datenschutz, den Informationsfluss sowie den kontinuierlichen Handel und das Wirtschaftswachstum in den 27 Staaten der APEC-Region gewährleisten sollen. Die APEC-Datenschutzrichtlinie bildet die Grundlage für ein freiwilliges System grenzüberschreitender Datenschutzregulierung, das sogenannte APEC Cross-Border Privacy Rules System (CBPR). Ziel des CBPR ist der reibungslose, grenzüberschreitende Austausch personenbezogener Daten. Zugleich wurde zum Schutz und zur Sicherheit personenbezogener Daten eine freiwillige Rechenschaftspflicht eingeführt. Sechs Staaten sind aktuell am CBPR beteiligt: Japan, Kanada, Mexiko, Singapur, die Republik Korea und die Vereinigten Staaten.

• Afrika - Afrikanische Charta der Rechte und des Wohlergehens des Kindes (Artikel 10; auf Englisch)

• Die Rahmenkonvention der Afrikanischen Union zu IT-Sicherheit und Datenschutz (auf Englisch) wurde von den Mitgliedsstaaten der Afrikanischen Union im Jahr 2014 verabschiedet, um zu garantieren, dass diese die Grundrechte natürlicher Personen bei der Verarbeitung personenbezogener Daten achten. Die Konvention legt Grundsätze sowie Pflichten im Rahmen der Verarbeitung personenbezogener Daten fest. 

• Die afrikanische Datenschutzrichtlinie (Personal Data Protection Guidelines for Africa) wurde 2018 in einer gemeinsamen Initiative der Internet Society (ISOC) und der Afrikanischen Union auf den Weg gebracht. Sie wurde verfasst, um die Umsetzung des einschlägigen Übereinkommens – der Convention in the African Union Specialized Technical Committee on Communication and ICT Ministerial Declaration (AU/CCICT-2) – zu erleichtern. Die Richtlinie enthält 18 Empfehlungen, die als Vorlage für die sich in der Entwicklung befindlichen Datenschutzpolitik dienen soll, sowie technisch-operative Leitlinien und bewährte Vorgehensweisen, da es sich beim Datenschutz um ein umfassendes und stets dynamisches Rechtsgebiet handelt.

Datenschutzrichtlinien internationaler und multilateraler Organisationen im Bereich Migration

Vereinte Nationen

• Im Jahr 2018 verabschiedeten die Organisationen der Vereinten Nationen konkrete Leitlinien zum Datenschutz: die Grundsätze der Vereinten Nationen für den Schutz und die Sicherheit personenbezogener Daten.

• Ferner gelten die Richtlinien der UN-Generalversammlung zur Regelung von automatisierten personenbezogenen Dateien, die im Rahmen der Resolution A/Res/45/95 vom 14. Dezember 1990 verabschiedet wurden.

• Im Juli 2015 ernannte der UN-Menschenrechtsrat erstmals einen Sonderberichterstatter zum Recht auf Privatheit. Im Zuge der Resolution 28/16 des UN-Menschenrechtsrats erhält der Sonderberichterstatter unter anderem das Mandat, über behauptete Verletzungen des Rechts auf Privatheit zu berichten und dem Menschenrechtsrat einen jährlichen Bericht vorzulegen.

• Im Oktober 2018 veröffentlichte der UN-Sonderberichterstatter zum Schutz des Rechts auf freie Meinungsäußerung einen Bericht (auf Englisch) zum Thema künstliche Intelligenz (AI) und Menschenrechte, in dem der Sonderberichterstatter zu dem Schluss kommt, dass insbesondere schutzbedürftige Gruppen durch den Einsatz künstlicher Intelligenz bei der Kontrolle von Inhalten im Internet benachteiligt werden. 

• Im Januar 2019 verabschiedet die UN-Generalversammlung die Resolution A/RES/73/179 („Das Recht auf Privatheit im digitalen Zeitalter“), in der sie feststellt, dass insbesondere Frauen sowie Kinder durch Verletzungen und Missbräuche des Rechts auf Privatheit gefährdet sind. 

• Die Generalkonferenz der Organisation der Vereinten Nationen für Bildung, Wissenschaft und Kultur (UNESCO) veröffentlichte 2020 einen ersten Entwurf (auf Englisch) ihrer Empfehlung zur Ethik von künstlicher Intelligenz.

• Im Jahr 2020 veröffentlichte UNICEF Richtlinien zum Schutz personenbezogener Daten, die einen Rahmen für die Verarbeitung personenbezogener Daten in allen UNICEF-Büros weltweit festlegt und sicherstellt, dass die Datenschutzrechte des Einzelnen geachtet und seine/ihre Daten angemessen geschützt werden.

Internationale Organisation für Migration (IOM)

• Die IOM-Richtlinie zur Erhebung von Migrationsdaten ist die Grundlage der Organisation bei der Verwendung von Migrationsdaten. In dieser Richtlinie sind die Standards festgelegt, die zeigen, dass sich die IOM zu einem operativen Rahmen bei der Datenverarbeitung bekennt, um auch weiterhin Rechenschaft, Transparenz und Effizienz bei der Verwendung und dem Austausch von Migrationsdaten zu gewährleisten (IOM, 2017).

• Die IOM verarbeitet personenbezogene Daten von Betroffenen im Einklang mit dem IOM-Handbuch zum Datenschutz, welches Information zur praktischen Umsetzung der IOM-Datenschutzgrundsätze enthält. Diese Dokumente sowie Zusatzmaterialien dienen IOM-Mitarbeitenden als Richtschnur bei der Verarbeitung personenbezogener Daten von Migranten. Das Hauptziel dieser Dokumente ist es, das Recht auf Privatsphäre natürlicher Personen bei der Datenverarbeitung sicherzustellen.

Der Hohe Flüchtlingskommissar der Vereinten Nationen (UNHCR)

• Die Richtlinie zum Schutz personenbezogener Daten von Personen unter UNHCR-Mandat (auf Englisch) legt die Grundsätze und Regeln bei der Verarbeitung personenbezogener Daten von Flüchtlingen, Asylsuchenden und anderen Personen unter UNHCR-Mandat durch das UN-Flüchtlingswerk fest. Ziel der Richtlinie ist es sicherzustellen, dass die Verarbeitung personenbezogener Daten durch das UNHCR im Einklang mit den Richtlinien der UN-Generalversammlung zur Regelung von automatisierten personenbezogenen Dateien (1990) und weiteren internationalen Rechtsakten erfolgt. 

Welternährungsprogramm (WFP)

• Das 2016 veröffentlichte WFP-Handbuch zum Schutz personenbezogener Daten und zur Privatsphäre (auf Englisch) legt die im Rahmen des WFP-Mandats geltenden Grundsätze und operativen Standards zum Schutz der Daten von betroffenen Personen fest. Aus dem Handbuch geht hervor, dass der Datenschutz ein wesentlicher Aspekt der Sorgfaltspflicht ist, welche die Organisation gegenüber betroffenen und in der Zukunft betroffenen Personen wahrnimmt. Das Handbuch wurde für WFP-Mitarbeitende entwickelt, die an der Datenverarbeitung beteiligt sind. 

Internationale Komitee vom Roten Kreuz (IKRK)

• Die IKRK-Datenschutzbestimmungen (auf Englisch) wurden 2015 verabschiedet. Die Datenschutzbestimmungen dienen dem Schutz von Daten betroffener Personen, insbesondere bei bewaffneten Konflikten und humanitären Notständen. Im Rahmen der Bestimmungen wird erkannt, dass der Datenschutz einen wesentlichen Beitrag zum Schutz von Menschenleben und -würde sowie zum körperlichen und geistigen Wohlbefinden leistet. Die Bestimmungen betreffen alle Aktivitäten des IKRK und gelten für betroffene Personen, Mitarbeitende, Geldgeber und Partner. Aufgrund rechtlicher, gesellschaftlicher und technologischer Veränderungen im Datenschutzbereich wurde das Dokument im Jahr 2019 überarbeitet.

Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD)

• Dem Schutz der Privatsphäre und dem grenzüberschreitenden Austausch personenbezogener Daten, einschließlich Migrationsdaten, liegen OECD-Richtlinien zugrunde. Die 1980 verabschiedeten Richtlinien erkennen an, dass eine weitreichende und innovative Nutzung personenbezogener Daten von großem wirtschaftlichen und gesellschaftlichen Nutzen ist, dabei aber auch die Gefahr von Verletzungen der Privatsphäre steigt, weshalb es allgemeiner Richtlinien zur Datenerhebung und -verarbeitung bedarf.
Die OECD hat die Richtlinien 2013 auf Grundlage ihrer Datenschutzgrundsätze (auf Englisch) überarbeitet. Hierin werden die möglichen Schwierigkeiten von Big Data im Zusammenhang mit Datenschutzfragen aufgezeigt. Insbesondere die einst geltenden Bestimmungen für Datenschutzhinweise und Einwilligungen werden hinterfragt. Da der Geltungsbereich dieser Bestimmungen sehr begrenzt ist, haben Datenverantwortliche einen größeren Handlungsspielraum, was zu etwaigem Datenmissbrauch führen kann.

Weltbankgruppe

• Die Datenschutzrichtlinie der Weltbankgruppe (auf Englisch) legt sieben Grundsätze im Einklang mit international geltenden Standards im Datenschutzbereich fest. Die Richtlinie ist die Grundlage der Verarbeitung personenbezogener Daten durch die fünf Organisationen der Weltbankgruppe.

Internationale Datenschutzinitiativen

• Die UN-Initiative Global Pulse wurde 2009 ins Leben gerufen, um zu untersuchen, wie Daten in Verbindung mit Analysetechnik in Echtzeit ausgewertet werden können, um beispielsweise ein besseres Verständnis für die Gefahren und Ungleichheiten im Rahmen menschlicher Mobilität zu erlangen. Der Schutz der Privatsphäre ist eine komplexe, zugleich notwendige Aufgabe bei der Verarbeitung von Daten. Daher wurden im Rahmen der Initiative Datenschutzgrundsätze verfasst, welche Datenverantwortliche befolgen sollten. Ferner wurde eine Beratungsgruppe zum Thema Datenschutz eingesetzt, um wichtige Fragen rund um Privatsphäre, Informationssicherheit und Datenschutz zu erörtern. 

• Das Projekt Datenschutz und humanitäre Hilfe (Data Protection in Humanitarian Action), das gemeinsam von der Initiative Brussels Privacy Hub und dem Internationalen Komitee vom Roten Kreuz (IKRK) ins Leben gerufen wurde, untersucht die Wechselbeziehungen zwischen Datenschutzrecht und humanitärer Hilfe. Auch zeigt das Projekt Schwachstellen bei der Privatsphäre und Sicherheit betroffener Personen auf, weshalb die Verantwortlichen Lösungsvorschläge in Form von Empfehlungen und Richtlinien unterbreiten. Zuletzt wurde ein Handbuch zum Datenschutz bei humanitärer Hilfe (auf Englisch) veröffentlicht. 

• Die Freie Universität Brüssel sowie die Universität Namur und die Universität Tilburg haben im Jahr 2004 die gemeinnützige Plattform Computers, Privacy and Data Protection (CPDP) gegründet. Die jährliche Konferenz bringt Forschende, Rechtsexperten, Entscheidungsträger, Praktiker sowie Funktionäre nationaler und internationaler Organisationen aus aller Welt zusammen; Ziel ist der Ideenaustausch und die Diskussion aktueller Fragen in den Bereichen Datenschutz, Informationssicherheit und Privatsphäre. 

• Die Zeitschrift International Data Privacy Law (IDPL) ist eine von Forschenden begutachtete Publikation mit wissenschaftlichen Artikeln zu aktuellen Fragen im Zusammenhang mit Datenschutz und Privatsphäre und ist nicht auf eine einzelne Region beschränkt.

Methodische Stärken und Schwächen

International wächst das Interesse am Datenschutz. Neue Technologien vereinfachen und beschleunigen die Datenerhebung und -verarbeitung; gleichzeitig stellen sich dadurch in Bezug auf Datenschutz Fragen zu Grundrechten und dem Schutz personenbezogener Daten. 

In den vergangenen Jahren sind mehr als 100 Datenschutzgesetze auf nationaler und regionaler Ebene in Kraft getreten. In den meisten Ländern, darunter einige EU-Mitgliedsstaaten, ist der Datenschutz durch nationale Gesetzgebung geregelt (Clarke, 2011; Rudgard, 2011). Auch internationale und zwischenstaatliche Organisationen haben versucht, im Bereich Datenschutz gesetzliche Rahmenbedingungen zu schaffen; diese werden immer stärker harmonisiert. 

Die Datenerhebung ist wichtig, um Migrationsströme und Trends zu erkennen und humanitäre Unterstützung für bedürftige Personen leisten zu können. Jedoch sollte dabei nicht außer Acht gelassen werden, dass die Grundrechte von Migrantinnen und Migranten geschützt werden müssen. Schutzvorkehrungen sollten getroffen und geeignete Instrumente gefunden werden, um die Datenschutzrechte natürlicher Personen zu schützen.

Die Bedeutung innovativer Migrationsdaten wächst; dazu kommen Bemühungen, die Qualität und den Rhythmus der Datenerhebung zu steigern, um die Ziele für nachhaltige Entwicklung (SDG) der Vereinten Nationen im Bereich Migration zu erreichen. Aus diesem Grund genießen Datenschutzfragen höchste Priorität. Migrationsdaten haben das Potenzial, Informationen zu diversen Aspekten in Echtzeit zu liefern. Somit können politische Entscheidungen auf höchster Ebene gestützt und geeignete Problemlösungen gefunden werden.

An der Datenerhebung und -verarbeitung beteiligte internationale Organisationen und Staaten müssen wirksame und geeignete Schutzvorkehrungen treffen, um die Privatsphäre und Sicherheit der betroffenen Personen im digitalen Raum zu gewährleisten. Um ihrem Auftrag gerecht zu werden, hat die IOM eine interne Datenschutzrichtlinie entwickelt, die bei der millionenfachen Verarbeitung personenbezogener Daten angewandt wird (IOM-Handbuch zum Datenschutz, 2010).

Jedoch wird der Schutz personenbezogener Daten weltweit nicht einheitlich gehandhabt. So entstehen Unterschiede bei der Anwendung des Datenschutzrechts. Unregelmäßigkeiten bei der Umsetzung von Rechtsakten im Bereich Datenschutz spielen Straftätern in die Hände und gefährden den Schutz der Privatsphäre von betroffenen Personen. Darüber hinaus gilt es, den Schutz personenbezogener Daten im digitalen Raum empirisch näher zu untersuchen, damit einschlägige Rechtsakte wirkungsvoll umgesetzt werden können.