Datenschutz-Grundverordnung: Die neuen Regeln sollten nicht die Falschen treffen

Die EU-Bürger sollten sich glücklich schätzen, in einer Weltgegend zu leben, in der eingebauter Datenschutz nun eine mit hohen Sanktionen eingeforderte Grundregel ist.

(Foto: dpa)

Die EU hat mit der Datenschutz-Grundverordnung ein Zeichen gesetzt, das in anderen Weltregionen als Vorbild dient. Es wäre schade, wenn gute Ideen vom Treiben gieriger Anwälte überlagert würden.

Daten, so wird gesagt, seien das Öl des 21. Jahrhunderts. Der Spruch ist richtig und falsch zugleich. Daten sind der Treibstoff für die digitale Ökonomie, das stimmt. Doch anders als Öl ist dieser Rohstoff nicht begrenzt. Er wächst nach, und das in einem atemberaubenden Tempo. Viele Daten sind aber persönlicher Natur oder lassen sich mit wenigen Handgriffen Personen zuordnen. Nie war es einfacher als heute für Konzerne und Staaten, die Daten eines Menschen zu Profilen zu verdichten. Die dann, wie im Falle Chinas, in ein Punktesystem münden, das Linientreue und Wohlverhalten im Sinne des Systems sicherstellen soll.

Es ist daher grundsätzlich richtig und auch notwendig, dass ein wirtschaftlich und politisch bedeutender Akteur auf der Weltbühne - die Europäische Union - Regeln schafft. Regeln dafür, welche Rechte dem Einzelnen eigentlich zustehen in Bezug auf seine Daten. Bei allen Mängeln, die man der Datenschutzgrundverordnung (DSGVO) vorwerfen kann und solchen, die sich vielleicht auch noch in der Praxis herausstellen werden: Die EU-Bürger sollten sich glücklich schätzen, in einer Weltgegend zu leben, in der eingebauter Datenschutz nun eine mit hohen Sanktionen eingeforderte Grundregel ist.

Vernünftiger Kompromiss

Aber ist es nicht ein Fehler, den Treibstoff für die Wirtschaft des 21. Jahrhunderts knapp zu halten? Nicht von vornherein, denn es kommt darauf an, wie man es macht. Damit etwa der Verkehr in einer Großstadt flüssiger rollt, muss man nicht wissen, wer sich von A nach B bewegt, es genügt die Information, dass jemand unterwegs ist. Es geht also darum, einen vernünftigen Kompromiss zu finden zwischen dem berechtigten Wunsch nach mehr Daten und dem Recht auf Privatheit der Bürger.

Die Forschung hat gezeigt, dass es gar nicht so einfach ist, Daten tatsächlich zu anonymisieren. Es sollte deshalb weiter nach besseren Methoden dafür gesucht werden. Daten, die sich nur mit hohem Aufwand wieder einzelnen Personen zuordnen lassen, sind aber schon um einiges besser als Datensätze, die alle Informationen enthalten. Und eines muss auch klar sein: Was die Googles und Facebooks in dieser Hinsicht machen, geht deutlich zu weit, führt zu einer maßlosen Anhäufung privater und privatester Daten bei kommerziellen Anbietern. Die bei entsprechender Anordnung durch US-Behörden diese Daten auch noch herausrücken müssen.

Auf diese großen Fische sollten sich deshalb auch diejenigen konzentrieren, die vom Stichtag 25. Mai an zu kontrollieren haben, ob die neuen Regeln auch eingehalten werden. Nicht der kleine, von Ehrenamtlern geführte Sportverein sollte das Ziel sein, wenn dort der Aktenordner mit den Adressen der Mitglieder im falschen Regal steht. Nicht der kleine Handwerker, der Daten seiner Kunden womöglich nicht schnell genug gelöscht hat.

Erheblich mehr Schadenspotenzial gibt es doch bei großen (Internet-) Unternehmen, von denen sich viele schon Datenlecks von kaum mehr vorstellbarem Ausmaß haben zuschulden kommen lassen. Als Pars pro Toto sei hier nur an Yahoo erinnert, dem nicht bloß die Zugangsdaten all seiner mehr als drei Milliarden Nutzer abhanden kamen, sondern das den beispiellosen Vorgang auch noch viel zu spät meldete. Oder an Facebook und den Skandal um die halbseidene britische Firma Cambridge Analytica. Wären die Fälle nach dem 25. Mai passiert, hätten beide Unternehmen mit drastischen Strafen rechnen müssen - völlig zu Recht.

Maßvolles Vorgehen würde den Vorwurf entkräften, die DSGVO treffe vor allem die Kleinen, die nicht wie die Konzerne Heerscharen von IT-Beratern und Anwälten einsetzen können, um den Anforderungen der Verordnung gerecht zu werden. Die Politik sollte zudem ein waches Auge darauf haben, dass nicht eine neue Welle von Abmahnungen ausgelöst wird. Mit ein wenig IT-Know-how ist es vermutlich nicht allzu schwer, automatisch zu ermitteln, ob Firmen oder auch nur Hobbyblogger Regeln der DSGVO brechen. Eine Obergrenze für Abmahngebühren könnte helfen, eine solche Welle erst gar nicht entstehen zu lassen.

Es wäre doch schade, wenn an sich gute Ideen wie der Schutz persönlicher Daten, das Recht, sie einzusehen, zu löschen, überlagert würden vom Treiben gieriger Anwälte oder übereifriger Kontrolleure. Mag auch manches nicht perfekt sein, mag das ein oder andere noch der Korrektur bedürfen. Die EU hat mit der Verordnung ein Zeichen gesetzt, das auch in anderen Weltregionen für Aufsehen sorgt und als Vorbild dient. Nun kommt es darauf an, wie sie umgesetzt wird.