Andreas Horber hat in den vergangenen Wochen viel von Bayern gesehen. Er war ganz im Norden in Coburg, 20 Kilometer von der Grenze zu Thüringen entfernt, und weit im Westen in Waldaschaff. Er reiste von München aus in ein Dorf im Spessart mit 4000 Einwohnern und vielen Fachwerkhäusern. Er besuchte Marktoberdorf im Allgäu und Marktheidenfeld bei Würzburg. Am Abend fuhr er jedes Mal mit einem unguten Gefühl nach Hause.
Denn immer wieder habe er folgende drei Sätze gehört: "Wir haben keine Lust mehr." "Es reicht langsam." "Wir können nicht mehr." Horber leitet in München das Referat für Laienmusik im Bayerischen Musikrat. Diese Organisation vertritt rund eine Million Hobby- und Profimusiker in Bayern. In den vergangenen Wochen hatte Horber aber viel mit einem sehr sperrigem Thema zu tun: Er musste Chöre, Blaskapellen und Musikvereine darüber informieren, was sich für sie verändert, wenn diesen Freitag die europäische Datenschutzgrundverordnung in Kraft tritt.
Denn von da an hat jeder das Recht, zu erfahren, welche Daten von ihm erhoben und für was sie genutzt werden. Jeder kann die Löschung verlangen. Ohne Einwilligung dürfen persönliche Daten nicht mehr weitergegeben werden. Ziel der Verordnung ist ein besserer und einheitlicher Datenschutz in ganz Europa. Gleichzeitig bedeutet das Gesetz mehr Bürokratie - nicht nur für große Firmen, sondern auch für Vereine, kleine Betriebe und Verbände.
Und die sind verunsichert. Beim Zahnarzt heißt es plötzlich, man solle ins Wartezimmer gehen, bis der Patient vor einem mit der Anmeldung fertig sei. Im Fitnesscenter liegt der Aktendeckel mit den persönlichen Trainingsplänen nicht mehr auf dem Pult, sondern muss erst aus der verschlossenen Schublade geholt werden. Sogar bei der Apotheke müssen Kunden ein zweiseitiges Formular unterschreiben, damit sie ihre Kundenkarte weiter nutzen können. Und in den Büros raten Chefs ihren Mitarbeitern, den Computer lieber zu sperren, wenn sie den Schreibtisch verlassen.
Auch Horber hat auf seiner Tour zu Kapellen und Vereinen viel Unsicherheit gespürt. Er fürchte, dass durch die neuen Regeln immer weniger Menschen Lust haben, sich ehrenamtlich zu engagieren, sagt er. Anfang Mai startete er deshalb eine Petition im Internet. Mehr als 4000 Menschen unterschrieben dort, dass sie bei der Datenschutzgrundverordnung Erleichterungen für Vereine fordern. Statt Bußgelder sollte es für sie Verwarnungen und vor allem eine Beratung geben.
Die neue EU-Datenschutz-Grundverordnung (DSGVO) ist bewusst weit gefasst. Sie betrifft alle, die mit der Erhebung und Verarbeitung sogenannter personenbezogener Daten befasst sind. Dazu zählen Namen und Adressen von Kunden, Mitarbeitern oder Vereinsmitgliedern, aber auch Einträge über ihren Gesundheitszustand, ihre sexuelle Orientierung oder ihre Religion. Entsprechend groß ist der Kreis der Betroffenen. Er reicht von Dax-Konzernen über Handwerksbetriebe und Freiberufler bis zu Vereinen, Kindergärten, Krankenhäusern und der Polizei.
Neu ist vor allem, dass die Verordnung Vergehen gegen den Datenschutz konsequenter bestraft - und dass sie die Betroffenenrechte stärkt. Verbraucher können zum Beispiel bei Unternehmen nachfragen, welche Daten diese von ihnen gespeichert haben. Firmen wiederum sind zu mehr Dokumentation und damit auch Verantwortung im Umgang mit Daten verpflichtet. Je sensibler Daten sind, desto besser müssen sie geschützt werden: eigentlich eine Selbstverständlichkeit. Anders als früher kann es nun bei Verstößen richtig teuer werden. Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes drohen. Auch besteht die Gefahr, dass Abmahn-Büros unvollständige Datenschutzerklärungen auf Vereins- und Firmenwebsites beanstanden. Einige Kanzleien, so ist zu hören, sollen sich angeblich sogar schon mit der passenden Software ausgestattet haben. maxi
Damit die Petition Erfolg hat, müsste Horber noch mehr als zehnmal so viele Unterschriften in den kommenden zwei Monaten sammeln. Er ist zuversichtlich, dass das gelingt - denn der Ärger über das neue Gesetz sei überall groß. "Wenn man drei Juristen fragt, was Vereine alles beachten müssen, bekommt man drei verschiedene Antworten." Zum Beispiel brauchen auch Vereine, wenn mehr als zehn Personen mit der Verarbeitung von personenbezogenen Daten beschäftigt sind, einen Datenschutzbeauftragten. "Aber wer zählt alles dazu? Und wer muss bei einem Verstoß das Bußgeld bezahlen? Haften Vorsitzende mit ihrem privaten Vermögen?"
"Das ist doch keine Grundlage für ein Gesetz"
Es gehe ihm nicht darum, das Gesetz ganz zu kippen, sagt Horber. Er fordere nur, dass das Bußgeld ausgesetzt wird - so wie es die österreichische Regierung beschlossen hat. Unternehmen und Vereine werden dort nur verwarnt, zumindest beim ersten Verstoß. Horber findet das richtig: "Selbst Juristen sagen: Wie man die Verordnung auslegen muss, weiß man erst nach den ersten Urteilen. Das ist doch keine Grundlage für ein Gesetz."
Auch Michael Forster hat in den vergangenen Wochen viele Menschen getroffen, die sich große Sorgen machen. Er ist der Hauptgeschäftsführer des Bundes der Selbständigen, eines Interessenverbandes für kleine und mittlere Unternehmen mit Sitz in München. Auch sein Verband fordert, die Datenschutzgrundverordnung auszusetzen. Forster befürchtet, dass Konkurrenten das neue Gesetz dafür nutzen könnten, einem Unternehmen das Leben schwer zu machen.
"Wenn ein kleiner Betrieb 100 Anfragen auf einmal bekommt, welche Daten er gespeichert hat, tut er zwei Monate nichts anderes, als sich darum zu kümmern. Der geht daran kaputt." Außerdem würden sich Abmahnanwälte bereits darauf spezialisieren, nach Fehlern in den Datenschutzerklärungen auf Homepages zu suchen. Bei Verstößen droht ein hohes Bußgeld. Forster vermutet, dass die ersten Abmahnungen schon vorbereitet seien.
Uli Hesse, der Vorsitzende des TSV München-Ost, hat ausgerechnet, wie hoch eine Strafe für seinen Verein wäre: 40 000 Euro müsste er wohl bezahlen, sollte ein Verstoß geahndet werden. Trotzdem sieht er die Sache gelassen - auch wenn sein Verein das Gesetz noch nicht komplett umgesetzt hat und das bis Freitag auch nicht mehr schafft. "Am Schluss", sagt er, "wird es sicher gar nicht so dramatisch, wie es jetzt klingt." Zum Beispiel muss Hesse noch einen Datenschutzbeauftragten ernennen. Ehrenamtlich wollte diese Aufgabe aus dem Verein niemand übernehmen, jetzt muss er einen Profi suchen. "Aber es ist schwer, jemanden zu finden, der das zu vernünftigen Preisen macht." Experten verlangten Stundensätze von bis zu 900 Euro. Zu viel für einen Sportverein.
4300 Mitglieder hat der Verein, es ist einer der größten in ganz München. Hesse verwaltet Namen, Anschriften, Geburtsdaten, E-Mail-Adressen. In letzter Zeit hätten immer wieder Unternehmen angefragt, die diese Daten kaufen wollten. Hesse habe abgelehnt. "Selbstverständlich gehen wir mit Daten sorgsam um. Das haben wir schon immer so gemacht." Jetzt aber reicht es nicht mehr, sich einer Sorgfaltspflicht bewusst zu sein. Alles müsse schriftlich in einem Verzeichnis festgehalten sein: wer im Verein überall mit Daten arbeitet, wer sie wohin weitergibt.
Protokollpflicht gilt nun auch für die zwölf Kameras, die das Vereinsgelände in Haidhausen überwachen und der Polizei schon so manches Mal geholfen haben, wenn es Diebstähle oder Sachbeschädigungen gab. "Wir müssen jetzt wahrscheinlich für jede Kamera ein Protokoll anfertigen, wann sie was wie lange aufnimmt." Auch er ist sich sicher: Der Aufwand schrecke viele ab, sich in einem Verein zu engagieren. "Es wird ohnehin immer schwerer Ehrenamtliche zu finden. Und das alles wird die Ablehnung sicher verstärken."
