Datenschutz schützt nicht die Daten selbst, sondern die Menschen, auf die sich die Daten beziehen. Wer nicht weiß, wer was über ihn weiß, richtet sein Verhalten vorsichtshalber danach aus. Wer fürchtet, dass seine Teilnahme an einer Demonstration gespeichert und später gegen ihn verwendet wird, bleibt vielleicht zu Hause. Datenschutz sichert also die Freiheit, sich unbefangen zu verhalten und zu äußern.

Das Bundesverfassungsgericht hat das 1983 im Volkszählungsurteil als Recht auf informationelle Selbstbestimmung beschrieben: Jeder Mensch darf grundsätzlich selbst bestimmen, wer welche seiner persönlichen Daten erfährt und wofür sie verwendet werden. Das Recht folgt aus dem Grundgesetz, aus Menschenwürde und freier Entfaltung der Persönlichkeit. Es gilt nicht schrankenlos: Bei überwiegendem Allgemeininteresse darf der Staat aufgrund eines Gesetzes Daten erheben.

Davon zu trennen ist die Datensicherheit. Sie schützt Daten technisch vor Verlust, Diebstahl und Veränderung, etwa durch Verschlüsselung und Datensicherung. Ein sicherer Server, auf dem ein Unternehmen Daten ohne Erlaubnis sammelt, verletzt den Datenschutz trotzdem.

In der Europäischen Union gilt seit 2018 die Datenschutz-Grundverordnung (DSGVO) in allen Mitgliedstaaten. In Deutschland ergänzen sie das Bundesdatenschutzgesetz und die Datenschutzgesetze der Länder, die vor allem für Landesbehörden und Schulen gelten.

Die Gesetze binden Unternehmen, Vereine und Behörden, auch Firmen außerhalb der EU, wenn sie ihre Angebote an Menschen in der EU richten. Unabhängige Datenschutzbehörden kontrollieren, und bei einem Verstoß kannst du dich dort beschweren.

Für jede Verarbeitung personenbezogener Daten gelten diese Grundsätze:

Eine Einwilligung muss freiwillig, informiert und eindeutig sein. Du kannst sie jederzeit widerrufen, dann endet die Verarbeitung für die Zukunft.

Betroffene sind die Personen, deren Daten verarbeitet werden. Sie haben unter anderem diese Rechte:

• Auskunft: Du erfährst von einer Stelle, ob sie Daten über dich speichert, welche, wofür, woher sie stammen und an wen sie weitergegeben wurden. Du bekommst eine Kopie, meist innerhalb eines Monats und in der Regel kostenlos. Die Anfrage richtest du an die Stelle, die in ihrer Datenschutzerklärung genannt ist, und gibst an, wer du bist.
• Berichtigung: Falsche Daten müssen korrigiert werden.
• Löschung: Daten müssen gelöscht werden, wenn sie nicht mehr nötig sind oder du die Einwilligung widerrufen hast. Ausnahmen sind zum Beispiel gesetzliche Aufbewahrungspflichten.
• Widerspruch: Du kannst einer Verarbeitung widersprechen.
• Beschwerde: Du kannst dich an die Datenschutzbehörde wenden.

Rechte allein genügen nicht, die Systeme müssen so gebaut sein, dass sie sich einhalten lassen. Dafür gibt es Schutzziele:

• Transparenz: Betroffene und Kontrollstellen können nachvollziehen, welche Daten wann und wofür verarbeitet werden.
• Intervenierbarkeit: Betroffene können eingreifen, also Auskunft, Berichtigung, Löschung oder Widerspruch tatsächlich durchsetzen. Das System braucht dafür zum Beispiel eine Löschfunktion.
• Nichtverkettbarkeit: Daten, die für verschiedene Zwecke erhoben wurden, werden nicht ohne Weiteres zusammengeführt. Mit einer gemeinsamen Kennnummer ließen sich sonst Profile bilden. Man verhindert das durch getrennte Datenbanken oder durch ein Pseudonym, einen erfundenen Code statt des Namens.

Datenschutz begrenzt, was über Personen bekannt wird. Die Informationsfreiheit geht in die andere Richtung: Sie gibt jedem das Recht, amtliche Informationen von Behörden einzusehen, zum Beispiel Gutachten oder Verträge der Verwaltung, meist ohne ein besonderes Interesse nachweisen zu müssen. Die Bürgerinnen und Bürger sollen nachvollziehen können, wie der Staat entscheidet. Der Bund und viele Länder haben dafür Informationsfreiheits- oder Transparenzgesetze.

Das Recht hat Grenzen. Personenbezogene Daten, Geschäftsgeheimnisse und die öffentliche Sicherheit bleiben geschützt. Treffen beide Rechte aufeinander, wird abgewogen.

Datenmissbrauch heißt, dass personenbezogene Daten entgegen den Regeln oder gegen die Interessen der Betroffenen verwendet werden. Typische Fälle:

• Weitergabe oder Verkauf von Daten ohne Rechtsgrundlage.
• Identitätsdiebstahl: Jemand schließt Verträge mit den Daten eines anderen.
• Datenpanne: Durch Fehler oder Angriff gelangen Daten nach außen. Die Stelle muss die Datenschutzbehörde und oft auch die Betroffenen informieren.
• Profilbildung: Aus verknüpften Daten entsteht ein Profil, das zum Nachteil genutzt wird, etwa für die Ablehnung eines Vertrags.

Verantwortliche müssen mit Bußgeldern rechnen, die bei schweren Verstößen sehr hoch sein können, und mit Schadensersatz.