DSGVO – gut gemeint, aber nicht überall gut gemacht

Jetzt flattern den Menschen in Europa in letzter Zeit eine Vielzahl von „Datenschutzerklärungen“ auf den Tisch; oder sie werden durch Pop-up-Fenster zum Zustimmung für Datenschutzerklärungen gebeten. Diese Datenschutzerklärungen werden entweder „perforiert“ und „schubladisiert“, wandern gleich in die runde Ablage Papierkorb oder werden gelöscht. Menschen, die sich näher mit dem Text dieser Erklärungen beschäftigen, geben oft schnell auf. Der Grund: Diese „Datenschutzerklärungen“ sind von Juristen für Juristen geschrieben. Der Adressat ist gar nicht der Mensch, um dessen Daten es geht. Adressat ist ein anderer Jurist um ihm zu zeigen, dass alles in Ordnung sei. Gerade aber dieser Umgang mit dem Informationsrecht ist nicht in Ordnung. Diese Datenschutzerklärungen sollen nach der DSGVO verständlich sein, sind das aber für einen Nichtjuristen meist nicht. So ist dies auch mit Zustimmungen, insbesondere die, die von großen Datenkonzernen eingeholt werden: unverständlich und in ihren Auswirkungen unklar, aber vermutlich juristisch völlig in Ordnung.

Die andere Seite der Medaille sind die Menschen, die diese DSGVO anzuwenden haben. Das sind mitnichten nur Großkonzerne, sondern auch kleine Handwerker, kleine Selbständige, Vereine mit ehrenamtlichen Vorständen, Verbände, Blogger etc. Die Juristerei diskutiert heftig, wie sich jetzt nach DSGVO richtig zu verhalten. Das Dilemma der DSGVO ist weniger deren Inhalt, sondern deren Unklarheit. Unklare Bestimmungen schaffen Ängste und Unsicherheit, und sind der Sache Datenschutz unzuträglich. Die Bundesrepublik Deutschland hat zwar am 30. Juni 2017 das Bundesdatenschutzgesetzt angepasst. Viele weitere Gesetzte auf Bundes- und Landesebene harren jedoch noch darauf. Eine Quelle weiterer Verunsicherungen: in 5 bis 10 Jahren werden uns die Gerichte sagen, wie wir uns heute richtig verhalten würden. Diese füllen dann die Lücken in den Gesetzen aus.  Die von den Gesetzgebern verursachte Rechtsunsicherheit ist ein Unding!

Die Datenschutzgrundverordnung (DSGVO) trat am 24. Mai 2016 in Kraft. Nach einer Übergangsfrist stellt sie ab dem 25. Mai 2018 verbindliches Recht dar. Sie stellt einen großen Schritt in Richtung mehr Datenschutz in Europa dar. Sie hat aber auch erhebliche Mängel.

Ziel der DSGVO ist der Schutz „natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Verkehr solcher Daten.“ (Art. 1 (1)) Entgegen landläufiger Meinung ist die DSGVO auf den Schutz natürlicher Personen geschränkt.)

Die DSGVO soll mehr Schutz vor Datenmissbrauch, vor diskriminierenden Entscheidungen, unbegründeter Verweigerung von Krediten oder willkürlicher Überwachung im Alltag, etc. bieten. Entscheidender Gedanke der DSGVO ist die Vereinheitlichung des Datenschutzes in der EU, wenngleich den einzelnen Staaten Freiraum für Anpassungen gegeben wird. Dieser Freiraum soll jedoch weder zu einer Verschärfung noch zu einer Verwässerung des Datenschutzes führen.  Hauptziel der DSVGO ist die Stärkung der informationellen Selbstbestimmung der Menschen. Soviel zur Grundidee. Hier bringt die DSGVO auch deutliche Fortschritte.

Die DSGVO behandelt alle, die personenbezogene Daten verarbeiten, nahezu gleich. Österreich hat es verstanden, Ausnahmeregelungen für Privatleute, Handwerker und Freiberufler einzuführen. Deutschland hat dies nicht geschafft. So ist der abgeforderte Aufwand für alle gleich: ob Sportverein oder multinationaler Datenkonzern. Und hier liegt einer der Kritikpunkte an der DSGVO: die mangelnde Fallunterscheidung. Gleiches muss man gleich regeln, ungleiches jedoch ungleich. Eine Organisation, deren „Geschäftszweck“ die Förderung des Jugendfußballs ist, und die zu diesem Zwecke Mitgliederdaten speichert und „verarbeitet“, ist für den Datenschutz anders zu bewerten, als ein Datenmulti wie Google oder Facebook. Und genau hier fehlte den Machern der DSGVO die nötige Problemsensibilität und das erforderliche Fingerspitzengefühl. Alle werden mit den gleichen Regelungen konfrontiert, ganz gleich, ob sie dies leisten können, oder nicht. Somit ist die DSGVO für Vereine und Kleinunternehmer zu aufwendig, für Großkonzerne nicht scharf genug!

Ein Großunternehmen mit professioneller Rechts- und IT-Abteilung wird mit der DSGVO wenig Probleme in der Umsetzung haben. Der Sportverein oder der Handwerker sieht sich hier jedoch erheblichen Unsicherheiten und Risiken ausgesetzt.

Ein Großunternehmen hat i. d. R. Zugang zur Verarbeitungslogik seiner Programme. Der Sportverein und der Selbständige, der Standardsoftware anwendet, hat dies nicht. Er ist jedoch verpflichtet, Auskunft über alle Speicherorte zu geben und eine Löschung sicherzustellen. Wendet er keine Open-Source-Software an, hat er gar keine Chance festzustellen, wo diese Software – ohne sein Zutun – Kopien der Daten ablegt. Den Herstellern von Standardsoftware wurde von der DSGVO nämlich nicht aufgegeben, ihren Kunden die Informationen zur Verfügung zu stellen, die sie eigentlich für die Umsetzung der DSGVO benötigen.

Insgesamt stellt die DSGVO einen Wettbewerbsnachteil für kleine Selbständige und Mittelständler dar und fördert Multinationale Großkonzerne, da diese den Aufwand und die Kosten, die durch die DSGVO entstehen, weit besser tragen können. Die DSGVO bringt den Rechtsberater sprudelnde Umsätze und wird so manches kleine, lokale Unternehmen, geführt von engagierten Menschen zur Aufgabe bringen.

Welche Auswirkungen hat die DSGVO auf die freie Meinungsäußerung? Auch wenn das Risiko nicht so groß ist, wie von manchen großgeschrieben: Alleine die bestehende Verunsicherung hat zur Folge, dass hier ein zusätzliches Hemmnis entstanden ist, das auch wieder insbesondere die kleinen Medienunternehmen und Medienschaffende betrifft. Auch eröffnen die Unklarheiten die Chance, unliebsame Medien mit Prozessen zu überziehen, um ihnen das Leben schwer zu machen. Wer dann den Prozess gewinnt, ist sekundär. Alleine die Rechtsstreite werden kleine Medienschaffende zur Aufgabe zwingen können. Viele dieser Rechtsunsicherheiten wären vom Gesetzgeber einfach in Rechtssicherheit umzuwandeln. Es ist nur die Frage, ist dies gewollt, oder hat die Rechtsunsicherheit hier für Handelnde Vorteile?

Die DSGVO stellt auf die einzelne Person ab. Und wie ist das mit dem Gemeinwohl? Eine ausdrückliche Begünstigung gemeinwohldienlicher Datenverarbeitungen kennt die DSGVO leider nicht. Insofern ist die DSGVO in diesem Sinne gemeinwohlfeindlich.

Ein großes Manko der DSGVO ist die Weigerung der Bundesregierung, das „Abmahnunwesen“ – zumindest gegenüber Privatpersonen und kleinen Unternehmen – abzustellen. Hier wartet die Branche der „Abmahnanwälte“ bereits darauf, reiche Beute zu machen. Dass die Abmahnwelle noch nicht angelaufen ist, liegt auch daran, dass die Rechtsmaterie auch für diese noch unübersichtlich ist und sie sich erst in Stellung bringen müssen.

Und jetzt stellt sich die Frage, ist die DSGVO wirklich geeignet, die „Datenkraken“ in die Schranken zu verweisen. Leider nicht im gewünschten Umfange.

Die DSGVO hat den Schutz personenbezogener Daten zum Ziel. Daten sind jedoch nicht Informationen. Erst durch Zusammenspiel und Interpretation werden Daten zu Informationen. Und hier ist die Krux der DSGVO. „Big Data“ und algorithmische Analyseverfahren beschäftigen sich eben nicht mit einzelnen Daten, sondern darum, aus diesen Informationen zu gewinnen.  Und Big Data befasst sich nicht mit Einzelpersonen, sondern mit Personengruppen, denen dann einzelne Menschen zugeordnet werden. Hierbei werden gigantische Mengen an Daten akkumuliert, kontextualisiert, rekontextualisiert, korreliert etc. Die BDGSV ist auf den Input in diesem Prozess fixiert. Viel wichtiger wäre aber der Output: die gewonnene Information und was damit gemacht wird.

Prof. Dr. Herbert E. Einsiedler,
stellv. Landesvorsitzender der Ökologisch-Demokratischen Partei (ÖDP) Nordrhein-Westfalen und Vorsitzender des Bundesarbeitskreises Wirtschaft und Finanzen der ÖDP

Martin Schauerte,
IT-Service-Manager
Landesvorsitzender der Ökologisch-Demokratischen Partei (ÖDP) Nordrhein-Westfalen