Wann immer es im inner-europäischen Kontext um Datenschutz geht, kommt man um die Datenschutzgrundverordnung (DSGVO) nicht herum. Seit 2018 gilt diese auf EU-Ebene beschlossene Verordnung und ersetzte in Deutschland beispielsweise den seit 1995 geltenden „Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr“. [1, 2]
Datenschützer:innen feierten die DSGVO beim Beschluss als Meilenstein in moderner Privatsphäre-Gesetzgebung. Sie stützt sich insbesondere auf Titel 8 der Charta der Grundrechte der Europäischen Union „Schutz personenbezogener Daten“, in dem die Europäische Union das Recht auf Selbstbestimmung und -kontrolle der eigenen Informationen festlegt. [3]
Aus Unternehmensseite, insbesondere durch die vor einem Jahrzehnt gerade erst in Fahrt gekommenen weltweit agierenden Internetkonzernen, wurde die DSGVO bereits in der Debatten-Phase stark bekämpft und als potenziell wirtschaftsschädigenden Faktor bezeichnet. Auch kleine und Mittelständige Unternehmen (KMUs), Vereine und andere Institutionen stellte die Einführung der DSGVO zunächst vor beträchtliche Bedenken. [1, 2, 4]
Es stellt sich im Angesicht aktueller technischer Entwicklungen, wie Künstlicher Intelligenz und internationalen Digitalisierungsbestrebungen die Frage, ob grundlegende Prinzipien der DSGVO bereits aus der Zeitgefallen sind, wie es der Hamburger Landesdatenschutzbeauftragte andeutet oder ob sie ganz im Gegenteil sogar wichtiger denn je wird. [5, 6]
Knappe fünf Jahre nach in Krafttreten ist ein guter Zeitpunkt gekommen, um ein kleines Zwischenfazit zu ziehen. Und zwar, ob die DSGVO nun ein die Wirtschaft schwächendes Bürokratiemonster ist, oder aber ob sie den Datenschutz für EU-Bürger:innen nachhaltig und innovativ in einer immer mehr auf digitale Daten ausgerichtete Welt stärkt.
Ziele
Zunächst einmal ist zu klären, welche Ziele die DSGVO verfolgen sollte und was seit ihrer einführen erreicht wurde. Ein wichtiger Aspekt hierbei ist, dass sie Datenschutz im Allgemeinen und insbesondere in der digitalen Welt innerhalb aller EU-Mitgliedsstaaten vereinheitlichte. Dies soll einerseits die Grundrechte alle EU-Bürger:innen flächendeckend stärken und vereinfacht die Rechtssicherheit für Unternehmen, die in mehreren EU-Staaten agieren erheblich. [1, 2, 4]
Hierbei wurde beispielsweise erstmalig für die gesamte EU definiert, was genau „personenbezogene Daten“ umfassen. In der DSGVO gehören hierzu beispielsweise Name, Alter, Adresse, Beruf, Gesundheitsinformationen und viele weitere Informationen. [1, 2, 4]
Einer der zentralen Punkte der DSGVO ist, dass sie Datenschutz zu einem aktiven, statt passiven Recht aufwertet. Sie dreht also den geltenden Standard zunächst um („Privacy by Design“ oder auch „Privacy by Default“). Sollen personenbezogene Daten verarbeitet werden, kann dies nicht ohne weiteres erfolgen, denn die betreffenden Personen müssen zunächst erst einmal aktiv zustimmen. Die DSGVO geht allerdings noch einen Schritt weiter, denn um eine informierte Entscheidung treffen zu können, müssen Bürger:innen informiert werden, was und aus welchem Grund ihre Daten erhoben werden. Es muss außerdem darüber informiert werden, wie und wo diese gespeichert und mit wem sie geteilt werden. [1, 2, 4]
Dieses starke Informationsrecht wird insofern noch weiter gestärkt, dass EU-Bürger:innen jederzeit bei Unternehmen, Vereine, etc. nachfragen können, welche Informationen von ihnen gespeichert sind (Auskunftsrecht). Ein Widerspruch zu einer bereits getätigten Zustimmung kann hierbei ebenfalls jederzeit erfolgen. Dies geht einher mit dem „Recht auf Vergessen“, nachdem gespeicherte Daten jederzeit auf Anfrage der betreffenden Personen gelöscht werden müssen (es sei denn andere rechtliche Vorgaben stehen dem entgegen). [1, 2, 4]
In ähnlicher Weise müssen z.B. Unternehmen nicht nur Auskunft darüber geben, welche Informationen sie über eine Person gespeichert haben, sondern diese auch in einer Form verfügbar machen, welche die Datenübertragbarkeit beispielsweise zu Konkurrenten technisch ermöglicht. Dies kann beispielsweise Lock-In Effekte von digitalen Plattformen aufweichen und stärkt somit zum einen die digitale Selbstbestimmung und ist zum anderen ein wichtiger Baustein im Kampf gegen digitale Monopole. [1, 2, 5]
Errungenschaften und die Zukunft
Die Einführung der DSGVO war ein langwieriger und in Teilen auch schwerfälliger Prozess. Auch wenn sie bereits seit 2018 offiziell in Kraft getreten ist, so nimmt die tatsächlich rechtliche Durchsetzung gerade erst Fahrt auf. [6, 7, 8, 9,10, 11, 12, 13, 14, 15, 16, 17]
Die Mähr des Datenschutzes, welcher technologischen Fortschritt und wirtschaftliche Innovation hemmt ist kein neues Phänomen, welches auch nach der Einführung und nach wie vor hoher gesellschaftlicher Zustimmung zur DSGVO allerdings im öffentlichen Diskurs immer wieder aufkommt. Interessensvertreter:innen aus Wirtschaft (insb von Werbefirmen) aber auch teilweise aus der Politik nutzen das Argument häufig als Ausrede für verfehlte Digitalisierungspläne. [5, 6]
Und selbstverständlich gibt es in einer sich permanent änderten Welt immer wieder neue Herausforderungen, an die unsere Gesetzeslage angepasst werden muss. Die DSGVO wird oftmals noch immer nicht vollumfänglich durchgesetzt und so bleibt der Datenschutz leider noch immer zu oft auf der Strecke. [18]
Um nur plakativ ein Problem der bisher geltenden DSGVO aufzuzeigen: Ein Feld auf dem wir alle bereits schmerzlichst Verbesserungsbedarf bemerkt haben, sind die mittlerweile omnipräsenten Cookie-Banner, welche von Werbeunternehmen und Webseitenbetreiber:innen als (Über-) Reaktion der DSGVO im ganzen Netz verteilt wurden. Doch auch hier gibt es endlich Bestrebungen und konkrete Gesetzesvorschläge für eine Bürger:innen-freundliche Lösung. [19, 20, 21]
Dass es trotz (oder sogar wegen) starker Datenschutzgesetze technische Innovation geben kann zeigen seit vielen Jahren etliche Open Source Projekte, welche von Millionen Personen weltweit tagtäglich genutzt werden. Ein Weg, den bisher leider noch zu wenige Plattformanbieter:innen beschreiten ist die von der DSGVO klar vorgegebene Datensparsamkeit, intelligente Datenerhebung und Weitergabe- sowie Informationsmanagement. Eine digitale Gesellschaft kann nur dann florieren, wenn sie digital mündig und selbstbestimmt ist.
Der Datenschutz uns seine Interpretation ist ein sich permanent wandelndes und beständig umstrittendes Konzept, an dessen Ende jedoch die Selbstbestimmung und Freiheit ganzer Gesellschaften steht. Aus diesem Grund lohnt es sich also auch zunächst einmal beschwerlich wirkende Umstände in Kauf zu nehmen – und vielleicht stellt sich am Ende raus, dass diese doch nicht so schwer umzusetzen waren, als gedacht.
Quellen
- Bundesministerium der Justiz (2023): Datenschutz-Grundverordnung. URL: https://www.bmj.de/DE/Themen/FokusThemen/DSGVO/DSVGO_node.html
- European Comission (2016): Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA URL: https://eur-lex.europa.eu/eli/dir/2016/680/oj
- European Comission (2012): Charter of Fundamental Rights of the European Union. URL: https://eur-lex.europa.eu/eli/treaty/char_2012/oj
- Baetz, A. (2020): Was ist die DSGVO? URL: https://www.privacytutor.de/blog/dsgvo/
- Krempl, S. (2023): Hamburger Datenschützer: Prinzip der Datenminimierung „nicht mehr zu halten“. URL: https://www.heise.de/news/Hamburger-Datenschuetzer-Prinzip-der-Datenminimierung-nicht-mehr-zu-halten-8146938.html
- Noyb (2022): Statement on 4 Years of GDPR. URL: https://noyb.eu/en/statement-4-years-gdpr
- Noyb (2023): Austrian DSB: Meta Tracking Tools Illegal. URL: https://noyb.eu/en/austrian-dsb-meta-tracking-tools-illegal
- Noyb (2023): Just € 5,5 Million on WhatsApp. DPC finally gives the finger to EDPB. URL: https://noyb.eu/en/just-eu-55-million-whatsapp-dpc-finally-gives-finger-edpb
- Noyb (2022): Personalized Ads on Facebook, Instagram and WhatsApp declared illegal. URL: https://noyb.eu/en/noyb-win-personalized-ads-facebook-instagram-and-whatsapp-declared-illegal
- Noyb (2022): GDPR Rights in Sweden: Court confirms that authority must investigate complaints. URL: https://noyb.eu/en/gdpr-rights-sweden
- Noyb (2022): Second € 20 Mio Fine for Clearview AI. URL: https://noyb.eu/en/second-eu-20-mio-fine-clearview-ai
- Noyb (2022): Further EU DPA orders stop of Google Analytics. URL: https://noyb.eu/en/update-further-eu-dpa-orders-stop-google-analytics
- Noyb (2022): Data breach in Malta: 65.000 € fine for C-Planet. URL: https://noyb.eu/en/data-breach-malta-65000-eu-fine-c-planet
- Noyb (2021): „Grindr“ fined € 6.3 Mio over illegal data sharing. URL: https://noyb.eu/en/ncc-noyb-gdpr-complaint-grindr-fined-eu-63-mio-over-illegal-data-sharing
- Noyb (2021): DPC issues € 225 million fine on WhatsApp. URL: https://noyb.eu/en/statement-dpc-issues-eu-225-million-fine-whatsapp
- Noyb (2021): Austrian DPA has option to fine Google up to €6 billion. URL: https://noyb.eu/en/austrian-dpa-has-option-fine-google-eu6-billion
- Noyb (2020): Wizz Air: €1 for a flight, €35 for your GDPR right. URL: https://noyb.eu/en/wizz-air-eu1-flight-eu35-your-gdpr-right
- Noyb (2023): Data Protection Day: Are Europeans really protected? URL: https://noyb.eu/en/data-protection-day-are-europeans-really-protected
- Noyb (2022): Where did all the “reject” buttons come from?! URL: https://noyb.eu/en/where-did-all-reject-buttons-come
- Noyb (2023): Data Protection Authorities support noyb’s call for fair yes/no cookie banners. URL: https://noyb.eu/en/data-protection-authorities-support-noybs-call-fair-yesno-cookie-banners
- European Comission (2022): European Data Act. URL: https://digital-strategy.ec.europa.eu/en/policies/data-act
Jan ist Mitgründer von ViOffice. Er kümmert sich insbesondere um die technische Umsetzung und Wartung der Software. Seine Interessen liegen insbesondere in den Themengebieten Sicherheit, Datenschutz und Verschlüsselung.
Neben seinem Studium der Volkswirtschaftslehre, später der angewandten Statistik und seiner daran anknüpfenden Promotion, hat er jahrelange Erfahrung im Bereich Softwareentwicklung, Opensource und Serveradministration.