Am 25.05.2018 ist die neue europäische Datenschutz-Grundverordnung (kurz DSGVO) in Kraft getreten, die den Datenschutz in allen europäischen Mitgliedsländern vereinheitlichen und die Rechte der Bürger stärken sollte. Das jahrelang durch Lobbyisten und Industrieverbände verzögerte Gesetz wurde bindend und die Wirtschaft stöhnte über die hohen Verwaltungs- und Umsetzungskosten. Doch was hat die DSGVO dem Bürger wirklich gebracht?
Die DSGVO ist ein sehr allgemeines Gesetz, das durch Rechtsprechung oder Spezialgesetze für bestimmte Anwendungsbereiche konkretisiert wird. Das europäische „Spezialgesetz“ für das Internet, die ePrivacy Verordnung (kurz ePVO), wurde aber nicht rechtzeitig mit Einführung der DSGVO fertig und wird bis heute zwischen Lobbyisten und Politik kontrovers diskutiert. Experten gehen davon aus, dass die ePVO frühestens 2022 in Kraft tritt. Somit fehlt es heute an einer konkreten Regelung, wie mit der Datensammlung durch Cookies und Fingerprinting sowie mit der Erstellung von Persönlichkeitsprofilen im Internet umzugehen ist.
Vorgänger der zukünftigen ePVO ist die ePrivacy Richtlinie aus dem Jahr 2009. Diese wurde in Deutschland jedoch niemals umgesetzt. Dadurch ergibt sich heute hierzulande, anders als in anderen europäischen Mitgliedstaaten, eine große Regelungslücke für die Ausgestaltung des Datenschutzes im Internet.
Forderungen, die ihre Tücken haben
Die deutschen Datenschutz-Aufsichtsbehörden haben dieses Versäumnis erkannt und positionierten sich dazu erstmalig im April 2018 – kurz vor Einführung der DSGVO. In dem Positionspapier leiten die Behörden aus der DSGVO drei wesentliche Forderungen für die Datensammlung im Internet ab, die es in sich haben:
- Sämtliches Tracking und Profilbildung im Internet muss der informierten Einwilligung des Nutzers unterliegen, bevor die Datenerfassung beginnt (Einwilligungsvorbehalt)
- Die Einwilligung muss freiwillig sein und darf nicht an das Zurverfügungstellen der Websiteinhalte gekoppelt werden (Kopplungsverbot)
- Der Nutzer muss jederzeit seine Einwilligung zurückziehen und der Datensammlung widersprechen können (Widerspruchsrecht)
Was sich in der Theorie gut anhört, hat in der Praxis seine Tücken. Denn heute hat im Durchschnitt jede Website rund 20 Tracker und Datensammler installiert – bei großen Portalen sind selbst 50 Tracker und mehr leider keine Seltenheit.
Folgt man dem Wunsch der deutschen Datenschutzbehörden, so müsste für jeden einzelnen Tracker genau dargelegt werden, welche Daten gesammelt werden, für welchen Zeitraum und zu welchem Zweck sie verarbeitet und mit wem die Daten unter Umständen geteilt werden. Websitebesucher müssten fortan für jede einzelne Website im Schnitt 20–50 mal ihre Einwilligung bzw. Ablehnung zum Tracking erteilen, bevor die Website überhaupt aufgerufen werden kann. Auch die vielen Anbieter von datenbasierten Geschäftsmodellen bekämen durch die „Einwilligungsauflagen“ ein Problem, da ihnen so die Geschäftsgrundlage entzogen werden würde.
Kein Einlenken der Datenindustrie in Sicht
Die Aufsichtsbehörden sind glücklicherweise ähnlich schnell wie die Politik. Trotz zahlreicher Androhungen der Behörden, man würde die eigene Position durchsetzen und Unternehmen anmahnen oder gar sanktionieren, ist seit April 2018 nichts dergleichen passiert. Der Tiger, der gerade noch laut gebrüllt hatte, legte sich wieder zahnlos schlafen. Doch just als sich die DSGVO dem ersten Geburtstag nähert, wurde der Tiger nochmals wach: Ende März diesen Jahres legten die Aufsichtsbehörden eine neue „Orientierungshilfe für Telemedienanbieter“ – also für Websitebetreiber – vor. Darin bekräftigten die Behörden ihre Kernforderungen aus 2018 und konkretisierten diese mit klaren Beispielen.
Ob die neue Orientierungshilfe tatsächlich kurzfristig zu einer Änderung der Datensammlung im Internet führt oder Aufsichtsbehörden und Politik erneut seelenruhig auf die Einführung der ePVO 2022 hoffen, bleibt abzuwarten. Fakt ist, dass heute fleißiger denn je Daten im Internet geschürft, verwertet und verkauft werden. Die DSGVO und die besondere deutsche Sicht haben zu keinem Einlenken der Datenindustrie geführt – zum Nachteil aller Bürger und gut gemeinten Bürgerrechte.
Wer sich heute vor dem Abgriff seiner Daten schützen will, kann und darf nicht auf die Politik und die Behörden vertrauen, sondern muss sich selbst digital verteidigen – zum Beispiel mit dem eBlocker.
