Einleitung: Eine Meinung ist kein Datum wie jedes andere
Sie haben an einem Dienstagabend mit drei Klicks eine Online-Petition unterschrieben, weil ein Freund sie geteilt hatte. Sie sind einer Chatgruppe von Eltern beigetreten, die sich gegen die Schließung einer Klasse engagieren. Sie haben zehn Euro an eine Umweltschutzorganisation gespendet. Sie sind an einem Samstagnachmittag mit einem Schild in der Hand durch eine Straße voller Kameras gelaufen.
Jede dieser Handlungen ist vollkommen alltäglich, vollkommen legal – und vollkommen nachvollziehbar. Aneinandergereiht ergeben sie etwas, das das europäische Recht mit besonderer Strenge behandelt: Ihre politischen, gewerkschaftlichen, weltanschaulichen oder religiösen Überzeugungen. Artikel 9 der DSGVO zählt sie zu den „besonderen Kategorien personenbezogener Daten", ebenso wie Gesundheitsdaten oder Angaben zur sexuellen Orientierung. Ihre Verarbeitung ist grundsätzlich untersagt, abgesehen von abschließend aufgezählten Ausnahmen.
Das Problem ist nicht, dass Engagement gefährlich wäre. Das Problem ist, dass die Infrastruktur, die es so einfach macht – Petitionsplattformen, soziale Netzwerke, Messenger, Spendenaktionen, Verteiler –, nie dafür ausgelegt war, diese Art von Information zu schützen. Und dass der öffentliche Raum selbst zu einem Raum fortlaufender Aufzeichnung geworden ist.
Dieser Leitfaden fordert Sie nicht zum Schweigen auf. Er zeigt, wo die tatsächlichen Lecks liegen, was das französische Recht erlaubt und was nicht, und welche konkreten Schritte Ihre Angreifbarkeit verringern, ohne Sie aus der Debatte zu nehmen.
Teil 1 – Die vier Kanäle, über die Ihr Engagement zu Daten wird
Kanal 1 – Petitions- und Mobilisierungsplattformen
Eine Online-Petition verlangt mindestens Name, Vorname, Postleitzahl und E-Mail-Adresse. Oft mehr: Alter, Telefonnummer, ein vorangekreuztes Häkchen für den Newsletter. Das Ergebnis ist eine personenbezogene Datenbank, die eine Identität mit einer datierten öffentlichen Stellungnahme verknüpft.
Drei Punkte verdienen Aufmerksamkeit:
- Die Sichtbarkeit. Viele Plattformen zeigen Name, Vorname und Wohnort der Unterzeichnenden öffentlich an. Diese Liste ist von Suchmaschinen indexierbar und bleibt noch Jahre nach Abschluss der Petition einsehbar.
- Die Weiterverwendung. Die Nutzungsbedingungen erlauben es der Plattform häufig, Sie zu „ähnlichen Anliegen" erneut zu kontaktieren. Technisch bedeutet das: Ohne Ihr Wissen entsteht ein Profil Ihrer politischen Neigungen.
- Das Hosting. Einige große Plattformen sind US-amerikanisch. Die Daten verlassen die Europäische Union – mit all den rechtlichen Unsicherheiten, auf die der Gerichtshof der Europäischen Union mehrfach hingewiesen hat.
Offizielle Petitionen bilden eine Ausnahme: Jene des Senats oder der Nationalversammlung unterliegen – ebenso wie die Konsultationen auf der Regierungsplattform – festgelegten und veröffentlichten Aufbewahrungsregeln. Die europäische Bürgerinitiative verlangt in manchen Mitgliedstaaten sogar eine Ausweisnummer – allerdings mit strengen Löschvorgaben.
Kanal 2 – Der gefilmte öffentliche Raum
Eine Demonstration findet per Definition draußen statt. In Frankreich ist der städtische öffentliche Raum von drei getrennten Aufzeichnungsebenen überzogen:
| System | Wer entscheidet | Übliche Speicherdauer |
|---|---|---|
| Kommunale Videoüberwachung | Präfektur (Genehmigung) | In der gängigen Praxis maximal 30 Tage |
| Bodycams der Sicherheitskräfte | Eigener gesetzlicher Rahmen | 6 Monate, außer bei laufendem Verfahren |
| Aufnahmen von Privatpersonen und Medien | Niemand | Unbegrenzt, online |
Die CNIL kontrolliert regelmäßig Videoüberwachungsanlagen und betont, dass der Zweck genau bestimmt sein muss: Eine Anlage, die zur Verhinderung von Sachbeschädigung installiert wurde, ist nicht dazu da, Teilnehmende einer Versammlung zu identifizieren. Der Einsatz von Echtzeit-Gesichtserkennung im öffentlichen Raum bleibt nach französischem Recht verboten, abgesehen von eng begrenzten Ausnahmefällen, und die 2024 verabschiedete europäische KI-Verordnung regelt ihre Nutzung durch Behörden streng.
Bleibt die am stärksten unterschätzte Ebene: die Fotos, die die Teilnehmenden selbst machen. Ein hochauflösendes Bild eines Demonstrationszugs, auf dem vierzig Gesichter erkennbar sind und das in einem sozialen Netzwerk veröffentlicht wird, entzieht sich jeder Kontrolle. Das ist heute die wichtigste Quelle für die Identifizierung von Menschen, die nicht identifiziert werden wollten.
Kanal 3 – Das Telefon, das Sie mitnehmen
Ein Smartphone auf einer Demonstration bedeutet: eine Mobilfunkkennung in einer Funkzelle, spontane WLAN-Verbindungen und eine Messenger-App, die Kontakte synchronisiert. Der Netzbetreiber speichert Verbindungsdaten nach den Vorgaben des französischen Post- und Telekommunikationsgesetzbuchs; sie sind auf richterliche Anordnung zugänglich.
Ein Gerät, das mit einem sechsstelligen Code statt biometrisch gesperrt ist, bleibt die einfachste und wirksamste Maßnahme, wenn man eine Durchsuchung befürchtet: Die französische Rechtsprechung zur Pflicht, einen Entsperrcode herauszugeben, ist restriktiver geworden – ein gewaltsam auf einen Sensor gedrückter Finger wirft dagegen keine dieser Fragen auf.
Kanal 4 – Die Vereine und Bündnisse selbst
Das ist der Kanal, über den am wenigsten gesprochen wird. Ein aktivistisches Bündnis führt Listen: Mitglieder, Freiwillige, Spender, Teilnehmende einer Versammlung, Nummern in einer Messenger-Gruppe. Diese Dateien werden oft in einer geteilten Tabelle verwaltet, ohne Löschkonzept, ohne Verschlüsselung, manchmal auf dem privaten Konto eines Ehrenamtlichen.
Ein Verein ist im Sinne der DSGVO ein Verantwortlicher. Er muss ein Verzeichnis führen, Fristen festlegen und seine Zugänge absichern. Die CNIL veröffentlicht einen Leitfaden speziell für Vereine; er ist kurz und auch für einen ehrenamtlichen Schatzmeister gut verständlich.
Teil 2 – Was das französische Recht konkret sagt
Politische Überzeugungen sind sensible Daten
Artikel 9 Absatz 1 der DSGVO untersagt die Verarbeitung von Daten, „aus denen die politische Meinung, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen". Die hier wichtigste Ausnahme ist Absatz 2 Buchstabe d: Eine Stiftung, ein Verein oder eine sonstige Organisation ohne Gewinnerzielungsabsicht mit politischer, weltanschaulicher, religiöser oder gewerkschaftlicher Zielrichtung darf diese Daten ausschließlich für ihre Mitglieder oder ehemaligen Mitglieder verarbeiten und nicht ohne Einwilligung an Dritte weitergeben.
Praktisch übersetzt: Eine Partei darf ihre Mitgliederdatei führen. Sie darf sie nicht verkaufen, nicht mit kommerziellen Datenbanken abgleichen und nicht durch externes Profiling anreichern. Die CNIL hat die Regeln für die politische Kommunikation, insbesondere in Wahlkampfzeiten, mehrfach präzisiert.
Die Datei über justizielle Vorerkenntnisse ist keine Demonstrantendatei
Wer an einer angemeldeten Demonstration teilnimmt, wird nirgendwo registriert. Eine Eintragung im Verfahren über justizielle Vorerkenntnisse (TAJ) setzt ein Strafverfahren voraus. Ein Polizeigewahrsam ohne Folgen sollte keine dauerhafte Spur hinterlassen: Das Recht auf Löschung existiert, wird beim Staatsanwalt geltend gemacht und im Ablehnungsfall vor dem Haft- und Freiheitsrichter. Die CNIL verfügt außerdem über ein indirektes Auskunftsrecht zu den Dateien von Polizei und Gendarmerie: Ein schriftlicher Antrag mit einer Ausweiskopie löst eine Prüfung durch einen der Kommission angehörenden Richter aus.
Das indirekte Auskunftsrecht ist kostenlos und steht allen offen. Es ist der einzige legale Weg, um zu erfahren, ob Sie in bestimmten Dateien im Bereich der staatlichen Sicherheit geführt werden. Rechnen Sie mit mehreren Monaten Bearbeitungszeit.
Das Recht am eigenen Bild bei Versammlungen
Die Regel ist bekannt, wird aber schlecht angewandt: Eine einzeln und erkennbar in einer Menge abgebildete Person behält ihr Recht am eigenen Bild. Wer eine identifizierbare Nahaufnahme ohne Erlaubnis veröffentlicht, riskiert eine Klage auf Grundlage von Artikel 9 des französischen Zivilgesetzbuchs. Pressefotografen genießen einen gewissen Spielraum im Interesse der öffentlichen Information – private Accounts nicht.
Teil 3 – Die Maßnahmen, die die Angreifbarkeit wirklich verringern
Bevor Sie irgendetwas unterschreiben
- Prüfen Sie, wer der Verantwortliche ist. Ein klares Impressum, ein Sitz in Europa, ein erreichbarer Datenschutzbeauftragter: drei positive Signale in zehn Sekunden.
- Haken Sie Kästchen zur Weiterverwendung grundsätzlich ab. Die Einwilligung muss freiwillig und spezifisch sein; ein vorangekreuztes Kästchen ist keine, und die CNIL ahndet das.
- Nutzen Sie eine eigene E-Mail-Adresse für Ihr Engagement. Ein von Ihrem beruflichen und privaten Postfach getrennter Alias schottet Lecks ab. Wird die Plattform eines Tages kompromittiert, bleibt der Schaden begrenzt.
- Geben Sie Ihre Telefonnummer nur an, wenn sie technisch zwingend erforderlich ist. Für eine Petition ist sie das so gut wie nie.
Für den Austausch innerhalb eines Bündnisses
Der Reflex, eine offene Gruppe in einem Massen-Messenger anzulegen, in der achtzig Nummern für alle sichtbar sind, ist die häufigste Schwachstelle. Einige Grundsätze:
- Einen Messenger mit Ende-zu-Ende-Verschlüsselung bevorzugen, dessen Geschäftsmodell nicht auf Metadaten beruht.
- Selbstlöschende Nachrichten für die Logistik aktivieren: Eine Nachricht über einen Treffpunkt muss keine drei Jahre überdauern.
- Die Sichtbarkeit der Nummern begrenzen: Viele Apps bieten Kennungen oder Benutzernamen an, die das Teilen der eigenen Rufnummer überflüssig machen.
- Für eine punktuelle Nachricht an einen Kontakt, der Ihre Nummer nicht kennen soll, erlaubt ein Dienst für den anonymen SMS-Versand, eine Information zu übermitteln, ohne die eigene Nummer preiszugeben – in gutem Glauben zu nutzen, niemals zur Belästigung oder Bedrohung, was weiterhin strafbar bleibt.
Bündnisse, die mit Listen arbeiten, fahren besser mit einem gemeinsam genutzten Passwort-Manager als mit einer per E-Mail herumgeschickten Textdatei, und sollten Sicherungskopien auf einem hardwareverschlüsselten USB-Stick außerhalb der Vereinsräume aufbewahren. Für Schatzmeister und Schriftführer erspart ein praktischer DSGVO-Leitfaden für Vereine die Mühe, ein Verarbeitungsverzeichnis von null an neu zu erfinden.
Am Tag einer Versammlung
- Die Angriffsfläche des Telefons verkleinern: Code mit mindestens sechs Ziffern, Biometrie deaktiviert, Benachrichtigungen auf dem Sperrbildschirm ausgeblendet, sensible Apps abgemeldet.
- Abschalten, was nicht nötig ist: Deaktiviertes WLAN und Bluetooth begrenzen die ständig an umliegende Sensoren gesendeten Signale.
- Fotos vor der Veröffentlichung schützen: Gesichter Dritter lassen sich auf den meisten Telefonen inzwischen mit zwei Handgriffen verpixeln, und die EXIF-Metadaten (Ort, Uhrzeit, Gerätemodell) lassen sich vor dem Teilen entfernen.
- An physische Hilfsmittel denken: Eine kompakte Powerbank erspart das Anschließen an eine unbekannte öffentliche Ladestation, und eine Signalblocker-Hülle für Smartphones bleibt die einzige materielle Garantie dafür, dass ein Gerät überhaupt nichts mehr sendet.
Eine eigene, nicht vernetzte Actioncam oder Kompaktkamera kann das Telefon beim Dokumentieren eines Ereignisses ebenfalls ersetzen: Die Aufnahmen bleiben offline, solange Sie sich nicht zur Veröffentlichung entschließen, und keine Cloud synchronisiert sie automatisch.
Danach: seine Rechte ausüben
Drei einfache Anträge, per E-Mail oder Einschreiben zu versenden, unter Berufung auf die DSGVO:
| Antrag | Grundlage | Antwortfrist |
|---|---|---|
| Auskunft über meine Daten | Artikel 15 | 1 Monat |
| Löschung | Artikel 17 | 1 Monat |
| Widerspruch gegen Profiling und Werbeansprache | Artikel 21 | 1 Monat |
Bleibt eine Antwort aus, dauert eine Online-Beschwerde bei der CNIL rund fünfzehn Minuten. Spezialisierte Organisationen – La Quadrature du Net, die Ligue des droits de l'Homme, Amnesty International France – veröffentlichen regelmäßig Analysen und nützliche Musterschreiben.
Teil 4 – Das richtige Maß an Vorsicht finden
Absolute Sicherheit gibt es nicht, und sie ist auch nicht das Ziel. Richtig ist, den Aufwand am tatsächlichen Risiko auszurichten – und das ist nicht dasselbe für einen Elternteil, der eine kommunale Petition unterschreibt, für einen Gewerkschaftsvertreter in einem Arbeitskampf oder für jemanden, der sich zu einem Thema engagiert, das berufliche oder familiäre Repressalien nach sich ziehen kann.
| Profil | Hauptrisiko | Prioritäten |
|---|---|---|
| Gelegentlicher Unterzeichner | Werbeansprache, Weiterverkauf von Listen | E-Mail-Alias, Kästchen abwählen |
| Regelmäßig aktives Vereinsmitglied | Leck in der Mitgliederdatenbank | Passworthygiene, DSGVO-Verzeichnis |
| Aktives Mitglied eines Bündnisses | Metadaten, offene Gruppen | Verschlüsselter Messenger, selbstlöschende Nachrichten |
| Exponierte Person (Whistleblower, Konflikt) | Identifizierung, Repressalien | Vollständige Trennung der Identitäten, Rechtsberatung |
Für Whistleblower bietet der französische Rahmen aus dem Gesetz vom 21. März 2022 einen echten Schutz: Der Défenseur des droits ist die zuständige Orientierungsstelle und veröffentlicht einen eigenen Leitfaden. Eine Meldung einzureichen, ohne ihn gelesen zu haben, ist ein häufiger Fehler.
Einige seriöse Lektüren helfen, Abstand zu gewinnen, ohne in Paranoia zu verfallen: Ein Buch über den Schutz der digitalen Privatsphäre von einem Juristen oder Wissenschaftler ist mehr wert als zehn widersprüchliche Online-Tutorials.
Fazit: Sich zu engagieren bleibt ein Recht, kein Geständnis
Die Freiheit, zu demonstrieren, beizutreten, zu unterschreiben und zu spenden, ist durch die Verfassung und die Europäische Menschenrechtskonvention geschützt. Nichts von dem Vorstehenden soll jemanden davon abhalten, sie auszuüben.
Doch ein Recht in dem Bewusstsein auszuüben, welche Spuren man hinterlässt, ist kein Misstrauen: Es ist die Voraussetzung dafür, dass Engagement frei bleibt. Eine Meinung, die in einem Raum geäußert wird, in dem man weiß, wer was aufzeichnet und wie lange, ist eine wirklich frei geäußerte Meinung.
Drei Dinge, die Sie sich merken sollten: eine eigene E-Mail-Adresse für Ihr Engagement, ein per Code statt per Finger gesperrtes Telefon und die stets gestellte Frage „Wer bewahrt diese Liste auf, und bis wann?" an das Bündnis, dem Sie beitreten. Alles Weitere entsteht mit der Zeit.
