In den vergangenen Wochen konnte man besichtigen, warum der Datenschutz es so schwer hat. Gewiss, hier und da machte sich Zufriedenheit breit. Europa war endlich mal wieder etwas gelungen, ein großes Regelwerk zum Schutz persönlicher Informationen. Das tat gut nach all den Frustrationen beim Umgang mit Flüchtlingen und erodierenden Rechtsstaaten. Nur klang das Wort "Datenschutzgrundverordnung" halt nicht gerade herzerwärmend. Und je näher der Termin rückte, desto mehr schoben sich die Sorgen von Mittelständlern, Vereinen oder Arztpraxen nach vorn, ihre Furcht vor Formularen, Abmahnanwälten, Bußgeldern. So ist es immer: Was Datenschutz bedeutet, bleibt für viele Menschen abstrakt. Konkret ist nur die Bürokratie, die er verursacht.
Dabei geht es um ein epochales Thema. Geschützt werden ja nicht Daten, geschützt werden Individuen, und zwar vor einer Erfassung ihrer Gewohnheiten und Gedanken. Jeder digitale Einkaufsbummel und jeder Chat hinterlassen Spuren, die mit atemberaubender Rechnerkapazität verknüpft und verarbeitet werden können, bis hin zu Verhaltensprognosen. Nie waren die Möglichkeiten der Durchleuchtung größer, nie die ökonomischen Triebkräfte gewaltiger.
Der Große Bruder ist ein Schmeichler und Verführer
Überwachung? Darum geht es längst nicht mehr, wenn man von den Sicherheitsbehörden absieht. Der Große Bruder von heute ist ein Schmeichler und Verführer, der Kauf-, vielleicht aber auch Wahlentscheidungen lenken möchte. Wissen verleiht Manipulationsmacht, der Skandal um Cambridge Analytica ist ein Menetekel: Auf dem Spiel steht nicht weniger als die Selbstbestimmung des Individuums, auf der so ziemlich alles beruht, was uns wichtig ist, Demokratie inklusive.
Die neue EU-Verordnung ist der Versuch, dieser grundstürzenden Entwicklung die zivilisierende Kraft des Rechts entgegenzusetzen. Man mag über die Details streiten - entscheidend ist, dass es einen europäischen Ansatz gibt. Mit der unionsweit unmittelbar geltenden Verordnung hat die EU ihren Regelungswillen für die Welt des Digitalen untermauert, die national kaum noch sinnvoll zu gestalten ist. Dass Größe zählt, konnte man beim Safe-Harbor-Urteil des Europäischen Gerichtshofs beobachten. Im Streit mit den USA um das angemessene Datenschutz-Niveau war Europa ein machtvoller Faktor. Die Hoffnung, dass die Verordnung auch jenseits Europas Standards setzen könnte, ist daher berechtigt.
Datenschutz mit Nebenwirkungen: Große US-Medien wie die LA Times wollen die neuen Regeln nicht umsetzen - und umgehen sie einfach.
Allerdings wurde am 25. Mai 2018 das Rad nicht neu erfunden. Vieles kennt man aus der Vorgänger-Richtlinie und aus deutschen Gesetzen. Deshalb ist es nicht überraschend, dass die Verordnung eine strukturelle Schwäche enthält, die dem Datenschutz schon immer eigen war. So lobenswert der Versuch ist, den Nutzern mit Informationsrechten, Zustimmungserfordernissen und Löschungsansprüchen die Herrschaft über ihre Daten zurückzugeben: Solange die Menschen mit dem Verzicht auf ein wenig Datenschutz freien Eintritt erhalten, werden sie dieses "Geschenk" annehmen.
Selbstbestimmt, aber schwach
Wir Menschen sind selbstbestimmt, gewiss, aber wir sind eben auch schwach. Die digitale Welt hat sich tief in den Alltag eingefräst. Man will ihre Gadgets haben und ihre Kommunikationsnetze nutzen. Und solange nichts vom Konto abgebucht wird, fühlt es sich kostenlos an. Die Schmeichler und Verführer werden alles tun, damit das so bleibt.
Es wird also nicht reichen, allein auf den aufgeklärten Verbraucher zu setzen. Deshalb gehört es zu den wichtigsten Pfeilern der Verordnung, dass sie den Datenschutzbeauftragten eine machtvolle Position einräumt. Sie verfügen fortan über Sanktionsmittel, die wehtun können - bis zu 20 Millionen Euro oder bis zu vier Prozent des Konzernumsatzes. Das hat nun leider zu hysterischen Warnungen vor angeblich drohenden Höchststrafen gegen überforderte Kleinbetriebe geführt. Richtig ist zwar, dass die Behörden den Umgang mit den geschärften Waffen erst noch erproben müssen - und die Akzeptanz der neuen Regeln wird maßgeblich von ihrer Umsicht abhängen. Aber nach wie vor gilt der Grundsatz der Verhältnismäßigkeit; ein Bußgeld muss den wirtschaftlichen Verhältnissen des Verantwortlichen angemessen sein.
Es geht um Rückkehr zur Rechtstreue
Richtig ist aber auch, dass viele Betriebe den Datenschutz bisher schlicht ignoriert haben, weil seine Einhaltung zu wenig kontrolliert wurde. Das Bundesdatenschutzgesetz von 1977 sei eines der am wenigsten befolgten Gesetze, vermutet der einstige Datenschutzbeauftragte Peter Schaar. Es geht also um Rückkehr zur Rechtstreue.
Der Staat und seine Behörden müssen als machtvolle Player ins Spiel gebracht werden - hier geht die Verordnung in die richtige Richtung. Denn angesichts der unglaublichen Gewinne, die das Geschäft mit den Daten abwirft, darf man sich keine Illusionen machen: Der Selbstschutz der Nutzer trägt nicht weit, Appelle an die Konzerne verhallen ohnehin; die Entstehung der Grundverordnung war von einem massiven Lobbyisteneinsatz begleitet. Der Neustart des europäischen Datenschutzes ist die überfällige Selbstermächtigung der Staaten, um die große Sammelei wirksamen Regeln zu unterwerfen.
Staatliche Regulierung versus wirtschaftliche Macht, so lautet die Versuchsanordnung, ausgerechnet in einem Feld, in dem sich die Wirtschaftsmacht des 21. Jahrhunderts ballt. Ob das Experiment gelingt, hängt nicht nur von den Buchstaben der neuen Vorschriften ab, sondern in erster Linie von der Entschiedenheit bei ihrer Umsetzung. Dazu müssen die notorisch unterfinanzierten Datenschutzbehörden angemessen ausgestattet werden. Außerdem werden die Staaten auf weiteren Ebenen agieren müssen. Kartellrecht wäre so ein Stichwort, die erdrückende Größe von Giganten wie Facebook schreit danach. Die Datenschutzgrundverordnung sei ein Meilenstein, war in diesen Tagen oft zu hören. Ja, sicher - aber auf einem ziemlich langen Weg. Und wir sind noch nicht einmal auf halber Strecke.
