Viel Lärm um nichts?! 5 Jahre DSGVO

Durch die weit verbreitete öffentliche Meinung, dass speziell im Internet der Datenschutz nicht immer gewährleistet ist, war es an der Zeit, eine konsequentere Datenschutzregelung in der EU zu schaffen. Dann kam sie 2018 endlich, die sagenumwobene DSGVO, und dann war es den meisten auch wieder nicht recht. Hat sich der ganze Aufwand nun wenigstens gelohnt?

Same same but different

Mit Pauken und Trompeten ging die DSGVO heute vor fünf Jahren an den Start und weder Juristen noch Webseitenbetreiber, noch alle anderen Menschen bei klarem Verstand, konnten die fünf Buchstaben noch hören. DSGVO hätte eigentlich das Unwort des Jahres 2018 werden sollen, aber wie so oft hatte Deutschland noch andere Probleme. Dabei war sie doch der große Hoffnungsträger der Datenschützer und ließ so viele Jahre auf sich warten. Alleine das Kräftemessen im Vorhinein war beispiellos.

Dabei kam mit der DSGVO der Datenschutz nicht über Nacht, das wird oft verkannt. Für viele schien es nämlich so, als hätte es vor der DSGVO einen rechtsfreien Raum oder nur einen rudimentären Datenschutz (in Deutschland) gegeben. Dem ist aber nicht so, denn mit dem damaligen Bundesdatenschutzgesetz (BDSG), was im Übrigen immer noch parallel zur DSGVO besteht, bestand bereits ein solides und wirksames Instrument für die Grundlagen im Datenschutz. Die vielfach als Novum angepriesenen Betroffenenrechte wie der Auskunftsanspruch oder das Recht auf Löschung sind jedoch nicht erst mit der DSGVO ins Gesetz gekommen. Sie bestanden auch vormals. Genau wie Bußgeldvorschriften. Nur hatte das BDSG keine gute PR-Abteilung und das Durchsetzungsvermögen eines Fischstäbchens. Die DSGVO wollte und sollte nun endlich mal Muckis beweisen.

Grand Canyon zwischen Theorie und Realität

Bevor sie überhaupt über die Startlinie ging, kamen aber schon die ersten Zweifel, denn: Was sollen die epischen Artikel bedeuten, wie sind sie auszulegen und wer soll das Ganze dann am Ende umsetzen, bezahlen und kontrollieren? Etwa fünf Jahre nach der Einführung der DSGVO sind viele deutschen Unternehmen weiterhin der Auffassung, dass diese praktisch nicht vollständig umsetzbar sei. Die Justiz quittiert das Ganze mit lebensfremden Entscheidungen, denn sowohl Anwält:innen als auch Richter:innen müssten ihre Komfortzone verlassen, um die fehlende notwendige fachliche und technische Expertise für das noch junge und komplexe Datenschutzrecht aufzuholen, welches zum Zeitpunkt neuer Innovationen schon wieder veraltet scheint.

Astronomische Bußgelder wurden in den Raum geworfen, die Unternehmen abschrecken sollten. Doch: Wo kein Kläger, da kein Richter. Auch wenn Ulrich Kelber, Bundesbeauftragter für Datenschutz und Informationsfreiheit in einem DSGVO-Jubiläumstermin bekräftigte, dass seine Behörde alle Anfragen und Beschwerden ernst nimmt und bescheidet, ist das noch lange nicht überall in Europa so. Und genau das muss sich jetzt die EU ebenfalls als Retourkutsche anhören.  

Im Sommer 2020 erklärte der EuGH das sogenannte Privacy Shield für ungültig, und damit die rechtliche Grundlage, auf die diverse Übertragungen personenbezogener Daten zwischen EU und USA gestützt wurden. Wie berichtet wird, dreht die US-Regierung den Spieß um, und fragt danach, wie es eigentlich um die Privatsphäre, Bürgerrechte und Spionage in EU-Staaten steht. Und der Vorwurf ist durchaus berechtigt, denn anders als in Deutschland gelangen viele Beschwerden in anderen Ländern direkt in die runde Ablage. „Beschwerde nehmen und Wegschmeißen ist auch 'ne Lösung“, kommentierte der bekannte österreichische Datenschutzaktivist Max Schrems gestern in einem Webinar von Privacy Provided. Mehr als 85 Prozent der durch sein Zentrum für digitale Rechte, Noyb, angestoßenen Fälle seien noch nicht entschieden. „Der Gesetzgeber hat gesprochen, aber nationale Gerichte und Behörden finden immer wieder neue Wege, um nicht zuzuhören“, so Schrems.

Große Klappe, nichts dahinter

Somit wandelte sich der einst gefürchtete DSGVO-Tiger zu einem zahmen Kätzchen und die Entscheider:innen in Unternehmen fragen sich heute nicht mehr mit Schweißperlen auf der Stirn, wie sie die Mammutaufgabe DSGVO-Konformität bewältigen können, sondern wie sehr das Leben am Limit ohne DSGVO-Compliance noch vertretbar und bezahlbar ist oder was wohl eine Verlegung des Sitzes nach Irland kosten würde.

Es war nicht alles schlecht. Tatsächlich, und das ist ein positiver Aspekt, haben sich mit der DSGVO viele Menschen und Unternehmen überhaupt zum ersten Mal intensiv mit dem Thema Datenschutz auseinandergesetzt. Die DSGVO und der Datenschutz sind sogar ein bisschen salonfähig geworden und in den Fokus der Öffentlichkeit gerückt. Internetnutzer entscheiden sich natürlich gerne und seit einigen Jahren vermutlich auch bewusster für eine datenschutzfreundliche Variante. Das Ganze muss aber auch bequem sein und wenn es das nicht ist, dann geht doch lieber Usability und Schnelligkeit vor.

Dass sich Unternehmen nun mit dem (lästigen) Thema Auskunftspflichten beschäftigen müssen, steht auf einem anderen Blatt. Nicht von der Hand zu weisen, sind jedoch weiterhin die Zweifel, der Frust und die Resignation – denn konträr zur neuen Awareness glauben vier von zehn Deutschen (38 Prozent) nicht, dass ihre eigenen Daten durch die gesetzlichen Regelungen besser geschützt seien. Wie man’s macht, macht man’s offenbar verkehrt, denn typisch Deutsch hat irgendjemand immer was zu meckern. Brauchen wir jetzt also mehr oder weniger Datenschutz?

Sündenbock Datenschutz

Technologische Innovationen seien aufgrund der Umsetzung der neuen Vorgaben auf der Strecke geblieben, war und ist eines der Kernargumente gegen die DSGVO. Mehr als die Hälfte der befragten Unternehmen erklärte, dass direkte Vorgaben oder Unklarheiten in der Auslegung der Verordnung Projekte zum Scheitern gebracht hätten. So gesehen war die DSGVO doch für etwas gut: nämlich aus Ausrede für alles. Homeschooling und digitalere Schulen?! Geht nicht, wegen des Datenschutzes. Die elektronische Beantragung von Dings oder Bums in deutschen Behörden? Geht nicht. Wegen Datenschutz. Ob es de facto Geldmangel, Corona oder schlicht Faulheit waren, die Innovationen hemm(t)en, sei mal dahingestellt. Die DSGVO ist es jedenfalls fast immer gewesen.

Die letzten fünf Jahre haben gezeigt, dass die Abschreckung trotz Rekordbußgelder fehlt. Meta, Google und Co. kalkulieren die Peanuts nun einfach noch besser ein und legen schon einmal ein kleines Sümmchen für kommende Strafen zurück. Und dann… einfach weiter machen wie bisher..?! Kritische Geschäftsmodelle wie TikTok konnte auch die DSGVO bislang nur bedingt verhindern.