DSGVO: Das hat sich beim Datenschutz geändert

Abmahnungen, Blogsterben, Fotografie-Verbot: Die Ängste vor den neuen Datenschutz-Regeln, die seit einem Monat gelten, waren groß. Aber sind sie auch wahr geworden?

Dubiose Anwälte verschicken massenhaft Abmahnungen an kleine Unternehmen, professionelle Fotografen dürfen keine Bilder mehr im Netz teilen, Hunderte Blogs schließen, weil die Betreiber überfordert sind - die Datenschutz-Grundverordnung (DSGVO) versetzte im Vorfeld Internetnutzer in Angst und Schrecken.

Waren das realistische Ängste? Seit einem Monat gilt die DSGVO nun. Das hat sich in dieser Zeit getan.

Gibt es ein großes Blogsterben?

Es gibt kein amtliches Register, das Seiten-Schließungen auflistet. Deshalb ist es schwer zu beurteilen, wie viele Betreiber ihre Blogs und Webseiten wegen der DSGVO geschlossen haben. Allerdings gibt es Tendenzen: Der Journalist und Autor Enno Park hat auf Twitter nachgefragt, wer seine Seite aufgrund der neuen Datenschutz-Regeln schließt. Nach einem Tag kamen mehr als 300 Blogs zusammen.

Datenschutz auf SZ.de

SZ.de nimmt Datenschutz ernst. Lesen Sie hier, welche Daten wir von Ihnen wie speichern und wie wir diese Daten nutzen.

"Das Schlimmste daran ist, dass all das nur die spitzeste Spitze des Eisbergs ist", sagt Marcel Weiß, Analyst und Gründer von neunetz.com. "Nicht jeder posaunt in die Welt, jetzt die Website, den Blog, das Forum, das man nebenbei oder halbberuflich betreibt, zu schließen. Die Dunkelziffer muss enorm hoch sein." Man werde zudem nie erfahren, welche Projekte wegen der DSGVO nicht gestartet wurden.

Jan Philipp Albrecht sagt dagegen: "Kein Blog, der offline gegangen ist, wurde dazu gezwungen. Es war ihre eigene Entscheidung." Albrecht ist Europaabgeordneter der Grünen und war maßgeblich an der Entstehung der DSGVO beteiligt. Für ihn sind die neuen Regeln nicht schuld daran, dass Betreiber ihre Seiten offline nehmen: "Für Blogs gab es praktisch keine inhaltlichen Änderungen, viele waren auch vorher nicht datenschutzkonform", sagt Albrecht. "Man kann nicht sagen, der Datenschutz gilt für manche Seiten und für andere nicht. Der Nutzer hat ein Recht darauf, dass seine Daten überall ausreichend geschützt werden."

Der Kulturwissenschaftler Michael Seemann fürchtet, dass Deutschland wegen der DSGVO "entdigitalisiert" werde. Die Menschen seien verunsichert und hätten zu viel Angst, um eine Webseite zu betreiben. "Für kleine Anbieter sollten andere Regeln und niedrigere Standards gelten als für Google oder Facebook", fordert er.

Welche Auswirkungen hat die DSGVO auf große Firmen wie Facebook?

Die DSGVO gilt für alle Unternehmen, die Daten von EU-Bürgern verarbeiten. Damit müssen sich auch amerikanische Unternehmen wie Google und Facebook an die Regeln halten, wenn sie ihre europäischen Nutzer behalten wollen.

Als die DSGVO vor einem Monat endgültig in Kraft getreten ist, hat der österreichische Jurist und Datenschutz-Aktivist Max Schremms sofort Beschwerden gegen Google und Facebook eingereicht. Er geht zudem gegen Instagram und Whatsapp vor, die zu Facebook gehören. Sein Vorwurf: Die Dienste verlangen eine "Zwangszustimmung" für die Datenschutzbestimmungen.

Denn wer die Bestimmungen nicht akzeptiert, darf Facebook oder Instagram nicht mehr verwenden. "Die DSGVO verbietet solchen Zwang zur Zustimmung und sieht auch ein 'Koppelungsverbot' (Artikel 7 Abs. 4) vor, wonach man Dienstleistungen nicht mehr davon abhängig machen darf, ob ein Nutzer eine Zustimmung zur Datennutzung abgibt", heißt es auf der Webseite von Schremms. Sollten die Behörden Schremms Recht geben, könnten den Unternehmen empfindliche Bußgelder drohen.

Analyst Weiß glaubt nicht an den großen Erfolg solcher Beschwerden: "Datenschützer hoffen in diesem Zusammenhang auf das Koppelungsverbot. Da das situationsabhängig ist und im Zweifel vor Gericht geklärt werden muss, glaube ich nicht, dass das viel helfen wird, außer Anwälten Arbeit und ihren publicitylüsternen Aktivistenklienten die gewünschte Aufmerksamkeit zu bringen." Das Koppelungsverbot werde höchstens auf den Nutzer zugeschnittene Werbung einschränken, prognostiziert Weiß.

"Die großen Datenverarbeiter wie Google oder Facebook haben sehr viel Geld in den Datenschutz gesteckt", sagt der Europaabgeordnete Albrecht. "Allein Facebook hat mehrere Tausend Stellen aufgrund der DSGVO geschaffen." Er weist zudem auf die neuen Sanktionsmöglichkeiten und mögliche Milliarden-Euro-Strafen hin, die großen Firmen drohen. "Eine bessere Durchsetzung hilft auch deutschen Unternehmen, denn für sie ändert sich kaum etwas. Dagegen stellt Die DSGVO große Anforderungen an Firmen außerhalb der EU."

Allerdings nutzte Facebook die DSGVO auch, um die Gesichtserkennung in Europa wieder einzuführen. Nach Kritik von Datenschützern hatte Facebook die Gesichtserkennung 2012 in der EU abgeschaltet und nachweislich alle erhobenen Daten gelöscht. "Immerhin fragt Facebook jetzt die Nutzer, ob sie die Gesichtserkennung einschalten wollen", sagt Albrecht.

"Die DSGVO sollte gegen die großen Plattformen gehen, aber dafür ist sie das falsche Werkzeug", sagt der Kulturwissenschaftler Seemann. "Der Datenschutz wurde regelrecht instrumentalisiert." Es gehe nicht um die Privatsphäre, sondern um Monopole und um ein Machtproblem. "Es ist egal, wer am Ende meine E-Mail-Adresse hat. Google und Facebook haben meine Aufmerksamkeit", sagt Seemann.

Gibt es eine große Abmahnwelle?

Vor dem 25. Mai wurde immer wieder vor Abmahnanwälten gewarnt, die im Auftrag ihrer Mandanten nach Datenschutzverstößen suchen und die Betreiber deswegen abmahnen könnten. "Erste Abmahnung sind schon verschickt worden. Wir gehen davon aus, dass es zu mehr Abmahnungen aufgrund der DSGVO kommen wird", sagt Susanne Dehmel, Mitglied der Geschäftsleitung im Digitalverband Bitkom.

"Man kann hier keinesfalls von einer 'Welle' reden", sagt dagegen Rechtsanwalt Christian Weber von der Kanzlei We Save Your Copyrights, die etwa Abmahnungen wegen möglicher Urheberrechtsverletzungen verschickt. "Mir sind nur wenige Einzelfälle bekannt. Wir wurden seit dem 25. Mai noch von keinem Mandanten beauftragt, eine datenschutzrechtliche Abmahnung auszusprechen." Es sei noch unklar, ob Datenschutzverstöße wettbewerbsrechtlich relevant sind und Unternehmen deswegen ihre Konkurrenten überhaupt abmahnen können.

Kurz nach dem 25. Mai bewegte sich die Politik: Die Unionsfraktion im Bundestag kündigte eine "Soforthilfe" an, um Abmahnungen aufgrund der neuen Datenschutz-Regeln zu stoppen. Allerdings zog die SPD nicht mit, da der Abmahn-Schutz nur auf zwölf Monate ausgelegt gewesen wäre. Die Sozialdemokraten wollen eine grundlegende Änderung erreichen und beispielsweise Anwaltsgebühren deckeln, wie es schon für das Urheberrecht der Fall ist. Ob und wann diese Änderungen kommen werden, ist derzeit unklar.

Für Jan Philipp Albrecht sind die Abmahnungen keine Auswirkung der DSGVO: "Das Abmahnwesen in Deutschland ist ein Sonderfall und keineswegs neu", sagt Albrecht. "Die Datenschutz-Regeln haben an dieser Situation nichts geändert. Aber es ist gut, dass die Bundesregierung nun darauf reagiert."

Der Analyst Marcel Weiß hält von dieser Argumentation nicht sehr viel: "Dass man in Deutschland mit Abmahnungen Geschäft machen kann, ist seit über zehn Jahren aus dem Urheberrechtsbereich bekannt. In diesen bekannten Fakt wurde die DSGVO hineingesetzt."

Dürfen Fotografen noch Menschen abbilden?

Unter professionellen Fotografen war die Aufregung groß: Mit jeder Aufnahme von Menschen werden persönliche Daten erfasst - und damit greift die DSGVO. Schließlich kann auf einem Foto das Geschlecht oder das ungefähre Alter des Abgebildeten erkennbar sein. Zudem kann über die Metadaten eines Bildes beispielsweise der Aufnahmeort oder die Uhrzeit bestimmt werden.

In Blogeinträgen hatten Experten im Vorfeld das Ende der Fotografie angekündigt. Ihr Argument: Bei größeren Veranstaltungen wäre es praktisch nicht möglich, dass ein Fotograf die Einverständniserklärung von allen Abgebildeten einholt, etwa indem er einen Vertrag mit sämtlichen Besuchern eines Festivals abschließt. Zudem könnten Betroffene ihre Einverständniserklärung auch nach Jahren noch zurückziehen und die Bilder müssten gelöscht werden.

"Das war viel Lärm um nichts, denn im Grunde ändert sich nicht viel", sagt Hans Starosta, der Geschäftsführer des Centralverbands Deutscher Berufsfotografen. "Zuvor wurde sehr viel Unruhe durch Kommentatoren geschaffen, die nichts mit Fotografie zu tun haben." Sein Verband stelle Musterverträge bereit, die der DSGVO entsprechen und etwa für Hochzeiten und andere Events gelten.

Auch Dorothe Lanc warnt vor übertriebener Panikmache. Sie ist Justiziarin für den Berufsverband Freie Fotografen und Filmgestalter. "Schwarzmalerei und Überdramatisierung, wie sie von manchen betrieben wird, die behaupten, das journalistische und dokumentarische Fotografieren in der Öffentlich sei nun ganz verboten oder nur aufgrund einer zuvor eingeholten Einwilligung des Abgebildeten zulässig, ist ebenso falsch wie fehl am Platze", sagt Lanc.

Dagegen müsse noch abschließend geklärt werden, ob deutsche Ausnahmeregeln weiter gelten, so Lanc. Denn laut dem Kunsturhebergesetz dürfen Aufnahmen von Menschen in der Regel veröffentlicht werden, wenn sie an Veranstaltungen teilnehmen oder einfach nur Beiwerk sind, etwa wenn jemand nur im Hintergrund eines Bildes auftaucht. Juristen streiten noch darüber, ob diese Regeln auch im Rahmen der DSGVO gelten.

"Allerdings ist es nach der DSGVO erlaub, Daten zu verarbeiten, wenn ein berechtigtes Interesse vorliegt", sagt Lanc. "Und Fotografen dürften ein Interesse daran haben, ihren Beruf und ihre Kunst auszuüben." So könne es gerechtfertigt sein, Menschen in der Öffentlichkeit zu fotografieren. Ganz fehlerfrei empfindet Lanc die DSGVO aber nicht: "Es kann zu Problemen kommen, wenn zuvor eingeholte Einwilligungen einfach wiederrufen werden. Das führt zu einer erheblichen Rechtsunsicherheit von Fotografen und deren Kunden."

Sind kleine Vereine mit den neuen Regeln überfordert?

Die DSGVO gilt nicht nur für Facebook, Google oder große Firmen, sondern auch für kleine Vereine. Wie die Großen müssen sie Auskünfte erteilen, wofür die Daten verwendet werden und sie löschen, wenn ein Betroffener es verlangt. Zudem können Probleme auftreten, wenn sie Daten weitergegeben wollen, beispielsweise an Landes- oder Bundesverbände, Medien oder Partnerunternehmen.

Die DSGVO trifft damit auch die sieben Millionen Mitglieder, die im Deutschen Fußball-Bund (DFB) organisiert sind: Die Datenschutz-Regeln seien an vielen Stellen auslegungsbedürftig und haben bei manchen Vereinen eine große Rechtsunsicherheit ausgelöst, so der DFB.

Es entstehe der Eindruck, "der Gesetzgeber schert große Internetkonzerne auf der einen und ehrenamtliche Vereine auf der anderen Seite über 'einen Kamm'", schreibt der Verband. "Dazu gehören sicherlich die drakonisch anmutenden Bußgelder, die viele Vereinsverantwortliche ganz erhebliche Sorgen bereiten, aber auch die umfassenden Informationspflichten, welche in den Vereinen ohnehin knappe Ressourcen binden."

"Wir erleben absolute Hilflosigkeit", sagt Joost Schloemer, der Vorsitzende des Bundesverbands deutscher Vereine und Verbände (BDVV). "Vor allem kleine Vereine geraten in Verlegenheit und haben die Ernsthaftigkeit der DSGVO noch nicht verstanden." Viele Vereine wenden sich wegen der Webseite und der Datenschutzgrundverordnung an den BDVV, denn bei vielen hapere es an der mustergültigen Umsetzung einer DSGVO-konformen Dokumentation.

"Die Verantwortlichen hätten sich eher mit der DSGVO beschäftigen müssen", sagt Schloemer. "Aber ein ehrenamtlich arbeitender Vereinsvorstand, der sich um Haushalt und Familie kümmert, oberdrein beruflich engagiert ist oder andere alltägliche Probleme hat, ist mit der Umsetzung einer mustergültigen DSGVO-konformen Datenschutzdokumentation völlig überfordert." Neben Zeit ist auch Geld ein Problem: Viele Vereine können es sich schlicht nicht leisten, einen Datenschutz-Experten zu beauftragen, der bis zu 900 Euro pro Stunde verlangt.

Welche positiven Effekte hat die DSGVO?

Die neuen Datenschutz-Regeln räumen den Nutzern neue und erweiterte Rechte ein. Sie können einfacher Auskunft darüber verlangen, wer welche Daten für welche Zwecke verwendet. Außerdem ist es möglich, die Daten löschen oder berichtigen zu lassen. Oft reicht eine E-Mail dafür aus. Die DSGVO schreibt auch ein Recht auf Datenübertragbarkeit fest: Nutzer sollen ihre Daten einfacher von einem Anbieter zu einem anderen mitnehmen können.

Zudem dürfte das Postfach von vielen Nutzern aufgeräumter aussehen, da viele Anbieter von Newslettern um eine explizite Einverständniserklärung gebeten haben - wer nicht reagierte, bekommt meist keinen Newsletter mehr.

Vor zwei Wochen musste die spanische Fußball-Liga zugeben, dass sie über eine Smartphone-App die Umgebung der Nutzer abhört, um Pay-TV-Betrüger zu entlarven. Erst nach einer Anfrage im Rahmen der DSGVO wurde die Bespitzelung öffentlich. "Mit der DSGVO wird der Datenschutz ernst genommen. Die Nutzung von datenschutzfreundlichen Anwendungen nimmt zu", sagt der Europaabgeordnete Albrecht. "Wir haben einen weltweiten Standard gesetzt, an den sich nun Japan, China oder die USA orientieren müssen."

Der Kulturwissenschaftler Michael Seemann lobt die Vereinheitlichung der europäischen Gesetze: "Es ist positiv, dass nun in der gesamten EU ein Regelwerk gilt und nicht jedes Land einzelne Datenschutzregeln für das Internet erlässt. Auch die Vorschriften zur Datensicherheit und Informations- und Transparenzpflichten sind ein Fortschritt." Das Recht auf Datenübertragbarkeit sei ebenfalls gut gemeint, greife allerdings noch zu kurz.

"Die DSGVO ist eine Zumutung", sagt Jan Philipp Albrecht. "Eine gute, tragbare Zumutung. Es ist eine gesellschaftliche Fortbildung: Wir alle müssen uns damit befassen."