Datenschutzgrundverordnung (DSGVO) : Bleib nicht so, wie du bist

Die EU hat 28 Mitglieder. Xi Jinping bereitet sich auf seine zweite und damit letzte Amtszeit in China vor. Barack Obama dreht letzte Runden im Oval Office. Ein deutsches Zwillingspaar erobert Musical.ly. Frank-Walter Steinmeier ist der beliebteste Politiker der Bundesregierung.

Es ist der 15. Dezember 2015 als Parlament, Rat und Kommission der EU ihre Verhandlungen nach einem fast vierjährigen Marathon abschließen. Seit dem 25. Mai 2018 ist das Resultat anzuwenden: die europäische Datenschutzgrundverordnung (DSGVO). Morgen feiert sie ihren fünften Geburtstag. Der richtige Zeitpunkt, um zurückzublicken und Verbesserungsvorschläge zu präsentieren.

Der Konstruktionsfehler

Eine europäisch harmonisierte Gesetzgebung sollte der Goldstandard für Datenschutz werden. Doch die dezentrale Auslegung in den Mitgliedstaaten hat dieses Vorhaben gründlich torpediert. In Deutschland haben 18 unabhängige Aufsichtsbehörden das Ziel ad absurdum geführt. Wenn Unternehmen aufgrund einzelner Landesdatenschützer das Bundesland wechseln, ist die Frage berechtigt: Handelt es sich bei der DSGVO eigentlich noch um die Auslegung von Gesetzgebung oder schon um eine Gedichtinterpretation?

Das Irlandproblem

Nicht nur innerdeutsch beschäftigen uns Auslegungsfragen. Nationale Behörden bewerteten die Datenschutzgrundverordnung von Beginn an unterschiedlich. In der Bundesrepublik widmen sich in den 18 Aufsichtsbehörden über 1100 Köpfe dieser Aufgabe. In Irland kümmern sich in einer zentralen Stelle weniger als 150 Personen um die Aufsicht zahlreicher US-Konzerne. Ob das im Sinn der Erfinder ist? Denn eigentlich sind die Aufsichtsbehörden zu einer einheitlichen Anwendung verpflichtet. Das soll auch die grenzüberschreitende Zusammenarbeit erleichtern. Nach fast fünf Jahren sieht die EU-Kommission dieses Problem endlich auch.

Die „Katastrophendefinition“

Bei der Entwicklung der DSGVO gab es große Fortschritte zu früheren Regulierungen. Ein wunder Punkt ist jedoch die Definition der personenbezogenen Daten. Die Kritik war schon zu Beginn groß. Zu weit gefasst. Unklar, unter welchen Bedingungen dies zutrifft. Rückblickend lässt sich festhalten: Pseudonyme als eigene Kategorie einzuführen, wäre der bessere Weg gewesen. Das bestätigte gerade auch das Gericht der Europäischen Union. Wenn der Europäische Standardisierungsausschuss den Europäischen Datenschutzbeauftragen wegen der Fehlauslegung pseudonymisierter Daten verklagt und Recht bekommt, sollte das dem Gesetzgeber zu denken geben. Auch wenn die digitale Welt aus Einsen und Nullen besteht, ist sie eben nicht nur schwarz oder weiß.

Was bedeutet „technically necessary for the service“?

Fühlen sich die Bürger von Verbraucherverbänden und Aufsichtsbehörden eigentlich richtig repräsentiert? Nach fünf Jahren DSGVO müssen wir auch diese Frage stellen. Seit Tag eins gibt es einen wissenschaftlichen Auslegungsstreit, der gelebte Praxis konterkariert. Dies führt zu absurden Diskussionen und Entscheidungen. Um es aus der digitalen Welt in ein alltägliches Beispiel zu übersetzen: Tankstellen ist es nicht mehr erlaubt, die Menge Benzin zu erfassen. Wieso? Weil dies für den technischen Tankvorgang keine Relevanz hat und der EC-Beleg Rückschlüsse auf den Verbrauch dieser Person zulässt.

Insgesamt blicken wir auf eine herausfordernde Zeit. Für die Digitale Wirtschaft, aber auch die Zivilgesellschaft. Was wir offline schätzen, wird digital erheblich erschwert. Oder finden Sie es beängstigend, wenn der Bäcker weiß, was Ihnen schmeckt, ohne dass er Ihren Namen oder Ihre Adresse kennt? Denn personenbezogene Informationen und persönliches Verhältnis sind zweierlei. Und so wundert es einen auch nicht, dass die Politik heutzutage selbst von ihrer Verordnung betroffen ist, darf sie doch nicht mehr überall im Digitalen Raum mit denen, die sie repräsentieren, in Kontakt treten.

Aus fünf Jahren Erfahrung lassen sich vier übergeordnete Optimierungsvorschläge ableiten. Denn wir wollen als Digitale Wirtschaft nicht stehen bleiben, sondern Deutschland und Europa voranbringen.

Mehr Zentralisierung wagen

Damit Europa nicht nur Weltmeister bei der Regulierung bleibt, braucht es einen echten europäischen Ansatz. Wir müssen auch in Deutschland eine verbindliche einheitliche Auslegung der DSGVO schaffen. Das bedeutet, dezentral beraten – zentral entscheiden. Diese Harmonisierung ist auch auf europäischer Ebene notwendig. Das bringt Klarheit, schafft die Grundlage für echten, überzeugenden Datenschutz und gibt Europas digitaler Wirtschaft Auftrieb.

Europäisch handeln durch die Abkehr vom One-Stop-Shop-Prinzip

Klare Spielregeln sind auch bei der europäischen Zusammenarbeit gefragt. Laxer Datenschutz darf nicht zum Standortvorteil gemacht werden. Wir müssen beginnen, europäisch zu handeln. Die EU-Kommission ist jetzt gefordert, nicht nur Schönheitskorrekturen vorzunehmen. Gelebter Datenschutz heißt eben, nicht nach eigenem Wohlwollen zu handeln. Es braucht ein angemessenes Setup, das europäische Interessen über nationale Bestrebungen stellt.

Kritisches Update durchführen

Die DSGVO atmet noch immer den Geist des digitalen Mittelalters. Dabei hat sich unsere Welt drastisch gewandelt. Statt eines starren Systems brauchen wir ein flexibleres Modell. Das haben die Europaparlamentarier Axel Voss und Sergey Lagodinsky erkannt und „atmende Texte“ in Bezug auf den AI Act vorgeschlagen. Es sind Lehren aus dem DSGVO-Dilemma. Denn nach fünf Jahren ohne Anpassung ist ein Gesetzgebungswimmelbild entstanden, das seinesgleichen sucht. Neue Regulierungen wie DSA, DMA und ePrivacy-Richtlinie konterkarieren die DSGVO zum Teil, versuchen zu ergänzen und sorgen gleichzeitig für mehr Rechtsunsicherheit. Die Politik muss sich nun endlich den Ruck geben, die verabredete Bewertung und die damit verbundenen Anpassungen vorzunehmen. Ansonsten stellt sich die Frage, ob die DSGVO für Brüssel der Heilige Gral oder doch die Büchse der Pandora ist.

Massiv in Know-how und Datensouveränität investieren

Neben Anpassung braucht es nach fünf Jahren auch einen Mentalitätswechsel. Europa und vor allem Deutschland verfügen über wenig Rohstoffe. Daten und die daraus entstehenden Geschäftsmodelle sowie Technologien sind mitunter unsere Lebensgrundlage. Deshalb müssen wir massiv in den Know-how-Transfer zwischen Wirtschaft, Wissenschaft und Behörden investieren. Stakeholder der Digitalen Wirtschaft sollten bei relevanten Vorhaben besser eingebunden werden, so wie beim Digitale-Dienste-Gesetz. Das sichert Deutschland und seiner Bevölkerung die künftige Lebensgrundlage.

Frank-Walter Steinmeier ist mittlerweile in seiner zweiten Amtszeit als Bundespräsident. Aus Musical.ly wurde Tiktok. Und die DSGVO hat weitere Zeitenwenden miterlebt: Brexit, Trump, Xi Jinpings Machthunger und zuletzt Russlands Angriffskrieg auf die Ukraine. Die Welt ist instabiler geworden, auch durch die Beschneidung von Meinungs- und Informationsfreiheit sowie digitale Desinformationskriege. Wir müssen digital souveräner werden. Das geht nur mit einem modernen, robusten und handlungsfähigen Datenschutz. Als Bundesverband Digitale Wirtschaft sind wir bereit, Europas Zukunft mitzugestalten.

Dirk Freytag ist Präsident des Bundesverbands Digitale Wirtschaft (BVDW).