Digitale Vulnerabilität – und warum sie uns alle betrifft: Ein blinder Fleck im Datenschutzrecht

von Luisa Schmied

Die fortschreitende Digitalisierung bringt Vorteile, aber auch neue Herausforderungen mit sich. Eine dieser Herausforderungen ist die adäquate Adressierung ‚digitaler Vulnerabilität‘ – der Verletzlichkeit von Menschen im Rahmen digitaler Infrastrukturen.

Vulnerabilität als menschliche Eigenschaft

Um Formen digitaler Vulnerabilität einordnen zu können, ist es sinnvoll, sich zunächst mit dem allgemeinen Konzept der Vulnerabilität auseinanderzusetzen. Vulnerabilität bezeichnet grundsätzlich die Eigenschaft, verletzlich zu sein. Der Begriff bezieht sich auf Situationen, in denen das Risiko von Gefahren, also der Möglichkeit eines negativen Ereignisses durch verschiedene Faktoren und Prozesse, erhöht ist. Das Ausmaß der Vulnerabilität kann dabei anhand der Wechselwirkung zwischen Risikoexposition (wie groß die Gefahr ist) und Bewältigungskapazität/Resilienz (wie gut man damit umgehen kann) gemessen werden. Eine einflussreiche Vulnerabilitätstheorie stammt von Martha Fineman. Sie geht davon aus, dass Vulnerabilität ein grundlegender Bestandteil des Menschseins ist – also alle Menschen betrifft. Vulnerabilität kann sich danach entweder strukturell – etwa durch gesellschaftliche Bedingungen wie soziale Ungleichheiten – oder situativ – etwa in bestimmten Lebenslagen wie Alter oder Krankheit – äußern. Daraus leitet Fineman eine gesellschaftliche Verantwortung ab: 

Die Gesellschaft muss auf die aus der Vulnerabilität resultierenden Abhängigkeiten reagieren – also Menschen unterstützen, wenn sie vulnerabel sind. Dazu unterscheidet Fineman zwei Arten der Abhängigkeit, um der Vulnerabilität des Menschen erfolgreich zu begegnen:

1. Die unvermeidliche Abhängigkeit, die jedem Mensch aufgrund seines verkörperten Wesens innewohnt. Damit beschreibt Fineman die nicht vermeidbare Abhängigkeit, die daraus entsteht, dass Menschen im Laufe ihres Lebens auf andere Menschen angewiesen sind, sei es z. B. als Kind, im Rahmen von Fürsorge und Schutz oder im Krankheitsfall/Alter auf Hilfe oder Pflege.
2. Daneben beschreibt sie die abgeleitete Abhängigkeit. Diese ergibt sich aus dem Zugang zu ausreichend materiellen, institutionellen und physischen Ressourcen, die Menschen benötigen, um ihren Vulnerabilitäten zu begegnen und ein selbstbestimmtes Leben zu führen.

Ausgehend von den beschriebenen Abhängigkeiten ergibt sich eine Verantwortung, die nicht nur beim Individuum, sondern maßgeblich bei der Gesellschaft und ihren Institutionen liegt. Wenn Vulnerabilität nicht als individuelle Schwäche, sondern als universelle menschliche Bedingung verstanden wird, entsteht daraus die Grundlage für einen solidarischen Schutz. Dieser Schutz zielt darauf ab, allen Menschen gleiche Teilhabechancen zu ermöglichen – und schafft so mehr gesellschaftliche Gerechtigkeit.

Digitale Vulnerabilität: Risiken moderner Datenverarbeitung

Digitale Infrastrukturen sind die Grundlage moderner digitaler Dienste und Anwendungen und damit für das Funktionieren von Wirtschaft, Staat sowie zentraler Bereiche wie das Bildungs- oder Gesundheitssystem unverzichtbar. Ohne sie wären Anwendungen wie KI-Systeme, soziale Medien, digitale Zahlungssysteme oder Cloud-Dienste nicht denkbar.

Der Rede von Vulnerabilität im Rahmen dieser digitalen Infrastrukturen liegt die Annahme zugrunde, dass digitale  Technologien aufgrund ihrer Omnipräsenz automatisch neue Verletzlichkeiten erzeugen – sie eröffnen zwar Teilhabechancen (z. B. durch digitale Assistenzsysteme), vergrößern aber zugleich die Angriffsfläche für Grundrechtseingriffe, etwa in Form von  Datenschutzverletzungen oder Diskriminierungen durch algorithmische Entscheidungen und die Exposition gegenüber Vulnerabilitätsfaktoren. Vulnerabilitäten im digitalen Raum entstehen z. B. dort, wo datengetriebene Plattformen intrusiv in die Privatsphäre der Menschen hineinwirken. Die Möglichkeit zur Erfassung personenbezogener Daten hat zur Entstehung neuer Geschäftsmodelle geführt, die auf der Erstellung umfassender Identitätsprofile durch Tracking und Profiling der Nutzenden basieren. Über Tracking-Tools wird individuelles Verhalten der Nutzenden bis ins Detail aufgezeichnet und über Profiling-Techniken werden diese persönlichen Aspekte im Detail interpretiert, was Rückschlüsse auf die wirtschaftliche Lage, persönliche Vorlieben und Interessen sowie auf zukünftiges Verhalten zulässt. Neben dem Ziel, damit die Kundenbindung zu erhöhen oder personalisierte Werbung zu schalten, entstehen Informations- und Machtasymmetrien zwischen Plattformen und Nutzenden. Mit der Verbreitung intelligenter Technologien wächst zunehmend das Potenzial, menschliches Verhalten gezielt und oft unbemerkt zu lenken und zu beeinflussen (z. B. durch Nudging). Dabei ist oft nicht klar, welche Risiken oder Schäden damit verbunden sein können.

Die Adressierung von digitaler Vulnerabilität im Recht

Versteht man Vulnerabilität als individuelle Eigenschaft, greift die übliche rechtliche Kategorisierung in feste Gruppen, z. B. nach Alter, Geschlecht oder aufgrund einer Behinderung (vgl. Art. 21 GRCh, Art. 3 Abs. 3 GG; § 1 AGG), zu kurz, um dem tatsächlichen Schutzbedarf im jeweiligen Einzelfall gerecht zu werden. Vulnerabilität innerhalb dieser Gruppen ist zwar mit einer höheren Wahrscheinlichkeit gegeben, dennoch können verschiedene Mitglieder dieser Gruppen durch unterschiedlich stark ausgeprägte Vulnerabilitäten gekennzeichnet sein. Auch außerhalb dieser Gruppenkategorien ist eine erhöhte Vulnerabilität nicht ausgeschlossen. Verletzlichkeit ist folglich nicht universell durch Zugehörigkeit zu einer Gruppe, sondern im Kontext des speziellen Anwendungsbereichs zu betrachten. Das Festhalten an generischen Gruppenkategorien birgt die Gefahr, nicht alle Vulnerabilitätsaspekte adäquat zu adressieren. Dies sollte aber vor dem Hintergrund eines effektiven Grundrechtsschutzes, der auch den Schutz besonders vulnerabler Personen zum Ziel hat, ausschlaggebend sein.

Gerade im digitalen Raum wird die Schwierigkeit deutlich, individuelle Schutzbedürfnisse angemessen zu berücksichtigen. Insbesondere der rechtliche Schutz der eigenen Daten und der Kontrolle darüber, was mit ihnen passiert, stellt eine komplexe Herausforderung dar. Beim Versuch, den Begriff der Vulnerabilität als Rechtsbegriff zu greifen, wird dessen Unbestimmtheit deutlich. Trotzdem könnte ein rechtliches Konzept von Vulnerabilität dort besonders hilfreich sein, wo es darum geht, individuelle, situative und kontextbezogene Schutzbedürfnisse besser zu erfassen – also über pauschale Gruppenzuweisungen hinauszugehen und den Schutzbedarf differenzierter zu denken. Die Datenschutzgrundverordnung (DSGVO) begegnet Vulnerabilität insbesondere durch eine inhaltliche Kategorisierung besonders sensibler Daten im Rahmen des Art. 9 DSGVO. Aufgrund ihres engen Bezugs zu Grundrechten und Grundfreiheiten unterwirft die Verordnung bestimmte Datenarten – etwa Gesundheitsdaten – einem besonderen Schutzregime, das über die allgemeinen Verarbeitungsgrundsätze hinausgehende Anforderungen stellt. Eine kontextbezogene Betrachtung individueller oder situativer Schutzbedürftigkeit erfolgt hingegen nicht, sodass der Schutzrahmen auf typisierte Datenkategorien beschränkt bleibt. Die Regelungssystematik der Verordnung orientiert sich zudem primär an idealtypischen, durchschnittlich informierten Nutzenden. Eine ausdrückliche Berücksichtigung vulnerabler Personen ist in der DSGVO im Wesentlichen auf den Schutz von Kindern beschränkt, z. B. in Form von Art. 8 DSGVO. Dies erfasst den Schutzbedarf im Rahmen digitaler Vulnerabilität jedoch nicht ausreichend differenziert. Es bleibt die Notwendigkeit einer adäquaten Adressierung von digitaler Vulnerabilität, um z. B. älteren Menschen oder solchen mit kognitiven Beeinträchtigungen entsprechenden Selbstschutz zu ermöglichen. Insbesondere im Verbraucherschutzrecht wurden solche Vulnerabilitäten bereits erkannt und adressiert, um Personen wirksam vor Ausnutzung aufgrund körperlicher oder geistiger Einschränkungen, hohen Alters oder situativer Leichtgläubigkeit zu schützen (Verbot unlauterer geschäftlicher Handlungen nach § 3 Abs. 4 UWG). Im Kontext digitaler Technologien werden vulnerable Personen als Nutzende oder Verbrauchende oft nicht mitgedacht. Um einem individuellen Ansatz von Vulnerabilität gerecht zu werden, muss der klassische Diskriminierungsschutz auf Grundlage von abschließenden Merkmalslisten um eine Diversitätsperspektive ergänzt werden, die anhand der Vulnerabilitäten im Kontext des konkreten Gegenstandsbereichs entwickelt wird. Zur Ableitung entsprechender Schutzmaßnahmen sind neben den schutzbedürftigen Individuen auch die gefährdenden Situationen und Kontexte zu identifizieren.

Begegnung von Vulnerabilität durch die Stärkung von Resilienzen

Die Stärkung von Resilienz (Bewältigungskapazität) ist ein wichtiger Ansatz, um Vulnerabilität zu begegnen. Die klassischen Lösungsansätze zur Steigerung der Bewältigungskapazität im Schutzbereich der informationellen Selbstbestimmung beziehen sich vor allem auf die Förderung von Privacy Literacy. Privacy Literacy beschreibt das Wissen über die Funktionsweisen digitaler Anwendungen und die daraus resultierende Fähigkeit, selbstbestimmt Datenschutzentscheidungen zu treffen. Ein angemessenes Schutzniveau kann damit jedoch nicht gewährleistet werden, da einerseits nicht alle Menschen gleichermaßen von entsprechenden Bildungsmaßnahmen erreicht werden können und andererseits nicht alle über die gleichen Ressourcen verfügen, sich entsprechend über Schutzvorkehrungen zu informieren und diese auch umzusetzen. Die informationelle Selbstbestimmung im Datenschutz ist ein Grundrecht, das allen Menschen unabhängig von ihren individuellen Fähigkeiten, ihrem sozioökonomischen Hintergrund oder der jeweiligen digitalen Umgebung zugänglich sein muss. Die Möglichkeit der Selbstbestimmung darf nicht auf Personen beschränkt werden, die ohne fremde Hilfe über die notwendigen Mittel verfügen, um sie auszuüben, wie z.B. die Fähigkeit, Datenschutzeinstellungen vorzunehmen oder Datenschutzhinweise zu lesen. Ausschlaggebend für die Stärkung von Resilienz im Kontext der informationellen Selbstbestimmung ist die Fähigkeit der Menschen, Risiken und Vorteile ihres Verhaltens im Digitalen einzuschätzen, um auf dieser Grundlage eine informierte Entscheidung zu treffen. Ein wichtiger Hinweis darauf, ob Menschen in der Lage sind, mit digitalen Risiken umzugehen (also eine entsprechende Bewältigungskapazität besitzen), ist der Grad an Transparenz von digitalen Angeboten. Dabei ist es nicht nur zentral, dass Informationen überhaupt bereitgestellt werden, sondern vor allem, dass sie für alle Menschen zugänglich und verständlich sind. Nur so können sie nachvollziehen, was mit ihren Daten geschieht, welche Rechte sie besitzen und welche Folgen bestimmte Entscheidungen, etwa das Akzeptieren von Cookie-Bannern, haben könnten. Deshalb sollte das geltende Recht den Fokus verstärkt darauflegen, eine Transparenz zu gewährleisten, die sich an der konkreten Situation und den Fähigkeiten der betroffenen Personen orientiert. Ziel ist es, auch vulnerablen Personen eine informationelle Selbstbestimmung zu ermöglichen – also die Kontrolle darüber, welche persönlichen Daten sie preisgeben und wie diese verwendet werden. Transparenz muss so gestaltet sein, dass auch vulnerable Personen in digitalen Kontexten bewusst und selbstbestimmt handeln können.

Kernthesen:

1. Es besteht die Notwendigkeit einer adäquaten Adressierung von digitaler Vulnerabilität, um allen Menschen einen entsprechenden Selbstschutz zu ermöglichen.
2. Ein effektiver Schutz vulnerabler Personen erfordert einen kontextbasierten Ansatz, der situationsbedingte Gefährdungslagen mit einbezieht.
3. Situationsgerechte Transparenz ist eine zentrale Voraussetzung der Selbstbestimmung und muss daher als Schutzstrategie stärker fokussiert werden.

Über die Autorin