Ein gängiges Narrativ in der Praxis hört sich in etwa so an: "Die Leute behaupten zwar Datenschutz sei ihnen wichtig, aber in Wirklichkeit geben sie im Internet doch eh alles preis." Auch in der Wissenschaft gibt es einige Studien, die dies immer wieder zu belegen scheinen, dass wir generell leichtfertig mit unseren und anderen persönlichen Daten umgehen und wir "den Datenschutz" zwar für wichtig halten, ihn im Alltag aber vernachlässigen. Zum Beispiel kam ein "Pizza-Experiment" mit 3000 Studierenden einer US-Universität aus dem Jahr 2017 zu dem Schluss, dass eine Gratispizza als Anreiz zur Preisgabe der E-Mail-Adressen von drei Kommilitonen genügte (Athey et al. 2017).

Für die Abweichung von Absicht und Handeln der Menschen in Bezug auf den Datenschutz wurde das griffige Schlagwort "Privacy Paradox" geprägt (Norberg et al. 2007). Der Begriff wird auch heute noch bemüht, um Menschen als vermeintliche "Datenschutz-Schlawiner" zu entlarven (z.B. Krempl 2020). Es ist jedoch unklar, warum diese Abweichung im Bereich Datenschutz als "unerwartet" und "widersprüchlich" deklariert wird, während wir ein scheinbar irrationales Verhalten auch in vielen anderen Bereichen unseres Lebens beobachten. Zum Beispiel würden wohl die wenigsten von uns behaupten, dass ihnen der Umweltschutz egal ist. Gleichzeitig fahren wir mit dem Auto zur Arbeit oder unternehmen Flugreisen in ferne Länder. Wir nehmen also trotz unserer Einstellung negative Folgen für die Umwelt in Kauf. Offenbar ist der Umweltschutz also nur ein Faktor unter vielen, die unser Verhalten beeinflussen. Auch aus der Datenschutz-Brille ist es daher interessanter das individuelle Verhalten zu verstehen, als es lediglich bei Labels wie "paradox" zu belassen.

Zunächst spielt der Datenschutz vermutlich nicht für jede Person die gleiche Rolle. Wie immer gibt es nicht das eine "Individuum", sondern jeder hat unterschiedliche Datenschutz-Präferenzen und für jeden hat Datenschutz einen anderen Stellenwert. Marketing-Fachleute denken seit langem in verschiedenen Kundensegmenten, warum sollte man also beim Datenschutz alle über einen Kamm scheren. Auch im Datenschutz gibt es verschiedene "Typologien". Alan Westin unterscheidet z.B. zwischen Datenschutz-Fundamentalisten, -Pragmatikern und völlig Unbesorgten. Während der Unbesorgte vielleicht freimütig die Fotos seiner Kinder im Internet teilt, würde der Fundamentalist vermutlich keine Internet-Verbindung ohne entsprechende Verschlüsselung benutzen und Whatsapp meiden. Im Jahr 2002 hat Sheehan 889 Personen in den USA repräsentativ ausgewählt und mit einem Fragebogen typologisiert. Fazit: 16% waren völlig unbesorgt, 81% waren Pragmatiker und 3% waren Fundamentalisten. Im erwähnten "Pizza-Experiment" fanden sich vielleicht bei den unter den Anfang 20-jährigen Studierenden nur wenige Datenschutz-Fundamentalisten, aber ein hoher Anteil an unbesorgten Personen mit wenig negativen Vorerfahrungen.

Aber selbst der Ansatz, Individuen entsprechend ihrer Datenschutz-Einstellung zu typologisieren, kommt an seine Grenzen.

Einstellungen von Menschen sind keine stabilen Konstrukte und wir kennen unsere Präferenzen oftmals selbst nicht genau. Das gilt auch für unsere Datenschutz-Einstellungen und -Präferenzen (Acquisti et al. 2015). Vielmehr handeln wir auch im Bereich Datenschutz unter grosser Unsicherheit – oftmals spontan und in unübersichtlichen Situationen. Was das Akzeptieren eines Cookie-Banners auf einer Webseite für Konsequenzen für unseren Datenschutz hat, wissen wir nicht. Es hatte zumindest gestern keine negativen. Erschwerend kommt hinzu, dass wir selten die freie Wahl für oder gegen mehr Datenschutz haben. Stattdessen tauschen wir häufig unsere Daten und unseren Datenschutz gegen ein anderes Gut. 

Die Entscheidung für mehr Datenschutz bedeutet also oft den Verzicht auf etwas anderes (z.B. Funktionalität oder Komfort). Ohne die Einwilligung ins Werbetracking können wir die Online-Ausgabe unserer Zeitung vielfach gar nicht nutzen. Google bietet nur die Möglichkeit zur Zustimmung als alleinige "Entscheidungsmöglichkeit" vor der erstmaligen Nutzung der Suchmaschine – die Nicht-Zustimmung bedeutet, die Suchmaschine nicht benutzen zu können. Die Entscheidung gegen den Datenschutz kann auch mit dem grossen Wert des Tauschgutes zusammenhängen: Eine Gratispizza kann unter Umständen für einen 20-jährigen Studierenden in der teuren Silicon-Valley-WG sehr wertvoll im Vergleich zu drei Uni-E-Mail-Adressen von Kommilitonen sein. Vielleicht ist die Entscheidung gegen mehr Datenschutz sogar im Interesse des Individuums selbst: das Teilen von Inhalten auf Social Media ist schlicht nötig, um soziale Beziehungen zu pflegen.

Auch der Kontext spielt eine Rolle: um welche Personendaten geht es in welcher Situation und was passiert damit? Wohl die wenigsten würden das Passwort für ihr E-Mail-Konto teilen, die individuellen Nutzungsdaten beim Besuch einer Website sehen aber vermutlich die meisten von uns wenig kritisch. Die Videoüberwachung ist an der Tankstelle sozial akzeptiert, im Sanitärbereich auf dem Campingplatz jedoch schwer vorstellbar. Und auch wer unsere Daten haben will, beeinflusst unsere Entscheidung: Im Pizza-Experiment hat die Uni nach den E-Mail-Adressen der Kommilitonen gefragt. Vielleicht wären die Studierenden bei einem privaten Unternehmen kritischer gewesen. Dass wir in einem bestimmten Kontext spezifische Normen an die Beachtung unserer Privatsphäre anlegen und keinen Verstoss dagegen erwarten, bezeichnet Helen Nissenbaum als "Kontextuelle Integrität" (Nissenbaum 2011).

Manchmal werden unsere Datenschutz-Entscheidungen auch zu unseren Ungunsten beeinflusst, ohne dass wir dies bewusst merken. Mit "Nudges", also kleinen, aber relevanten Stupsern, lässt sich unser Verhalten in unübersichtlichen Situationen beeinflussen. In Form von "Dark Pattern" sind diese für uns nachteiligen Stupser online überall anzutreffen. Ein grüner Knopf hier und eine voreingestellte Checkbox dort sind oftmals nicht so gestaltet, dass sie unser Interesse repräsentieren (z.B. Holland 2020). Zwischen 2005 und 2014 hat Facebook z.B. immer mehr Nutzerdaten auch für nicht Mitglieder öffentlich sichtbar gemacht, wenn Nutzer einfach nur auf "Akzeptieren" geklickt haben (Acquisti et al. 2015).

Um auf den Beginn des Textes zurückzukommen: dem Individuum pauschal ein widersprüchliches Datenschutz-Verhalten zu unterstellen und dies pauschal als "Privacy Paradox" abzustempeln, wird der Komplexität der Realität also nicht gerecht. Stattdessen spielen zahlreiche Faktoren eine Rolle: Unterschiede zwischen Menschen, der jeweilige Kontext und die jeweiligen Personendaten sind von grosser Relevanz. Sogar die detaillierte Ausgestaltung der Entscheidungssituation bis hin zur Frage, welcher Knopf auf der Webseite "grün und gross" ist, kann sehr relevant sein. In einer aktuellen Studie zur Effektivität von Datenschutzhinweisen konnten wir zeigen, dass diese hinter einem Link (wie erwartet) nicht geklickt werden. Wenn die Datenschutzhinweise jedoch sehr sichtbar, kompakt und in einfacher Sprache formuliert waren, wurden sie durchaus wahrgenommen (Ebert et al. 2021).

Was bedeutet dies nun für Organisationen, die Datenschutzaspekte bei ihren Produkten und Dienstleistungen berücksichtigen müssen oder wollen? Die Ausgestaltung des Datenschutzes ist offenbar kein ausschliesslich juristisches Thema, dass über Compliance-Checklisten abgebildet werden kann. Vielmehr wäre es wünschenswert, bei den Gestaltungentscheidungen auch die Individuen selbst und ihre Perspektive miteinzubeziehen. Dazu sollten auch anderen Disziplinen wie etwa die Mensch-Computer-Interaktion oder die Verhaltenspsychologie involviert werden. "Privacy by Design" heisst also auch, sich interdisziplinär mit den Individuen und ihren Interessen auseinanderzusetzen.

Dr. Nico Ebert ist Studienleiter des MAS Business Engineering und Dozent für Wirtschaftsinformatik an der School of Management and Law der Zürcher Hochschule für Angewandte Wissenschaften ZHAW sowie Fellow der DIZH (Digitalisierungsinitiative der Zürcher Hochschulen). Er forscht und lehrt in den Bereichen Datenschutz und Informationssicherheit. 

Unter "DSI Insights" äussern sich regelmässig Forscherinnen und Forscher der "Digital Society Initiative" (DSI) der Universität Zürich. Die DSI fördert die kritische, interdisziplinäre Reflexion und Innovation bezüglich aller Aspekte der Digitalisierung von Wissenschaft und Gesellschaft.