HessenDrei Jahre DSGVO in Deutschland

Vor fünf Jahren ist die Datenschutz-Grundverordnung (DSGVO) in Kraft getreten, seit drei Jahren gilt sie in Deutschland. Nach den ersten drei Jahren praktischer Erfahrungen mit der Verordnung zieht der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Alexander Roßnagel, Bilanz. Den größten Erfolg der DSGVO sieht der Datenschutzbeauftragte darin, dass sie die Werte zum Ausdruck bringe, auf die sich die EU-Mitgliedstaaten für den Weg in die digitale Gesellschaft geeinigt hätten. Die Verordnung zeige damit einen dritten Weg der Digitalisierung – zwischen einer Kontrolle des Alltagslebens wie in China und der Datenausbeutung des kalifornischen Digitalkapitalismus. Viele andere Staaten gäben sich Datenschutzgesetze, die an der europäischen Datenschutz-Grundverordnung orientiert seien.

Aufmerksamkeit für den Datenschutz

Für den zunehmenden Umgang mit personenbezogenen Daten biete die DSGVO erstmals einheitliche Regelungen für den Datenschutz in der gesamten EU. So sei die Diskussion über Notwendigkeit und Inhalt des Datenschutzes gefördert und auch der Respekt vor den Grundrechten gestärkt worden. Insbesondere mit ihren am Wettbewerbsrecht orientierten Sanktionsdrohungen, aber auch mit ihrer Etablierung unabhängiger, starker Aufsichtsbehörden habe sie viel Aufmerksamkeit für den Datenschutz bewirkt. Trotz dieser Stärkung des Datenschutzes hätten sich anfängliche Befürchtungen vor einer unangemessenen Datenschutzbürokratie als „übertrieben“ erwiesen. Die Praxis habe gezeigt, dass die Umstellung auf die neue Datenschutzordnung am Ende gar nicht so aufwendig war wie vorausgesagt.

Zu viele Unschärfen

Drei Jahre Datenschutzpraxis ließen allerdings auch Schwachstellen der Datenschutz-Grundverordnung immer deutlicher werden, so Hessens Datenschutzbeauftragter. So habe die Verordnung nicht zu einer einheitlichen Datenschutzpraxis innerhalb der Europäischen Union geführt – die Abstraktheit vieler Regelungen ließe Raum für unterschiedliche Interpretationen, viele Öffnungsklauseln eröffnen Spielräume für divergierende Gesetze in den Mitgliedstaaten. Hinsichtlich der Abstimmung der unabhängigen Aufsichtsbehörden seien komplizierte Verfahren vorgesehen, die eine einheitliche Zielsetzung und einen Kulturwandel voraussetzen, der derzeit fehle. Zu den Herausforderungen modernster Informationstechniken wie Big Data, Internet der Dinge oder Künstlicher Intelligenz enthalte die DSGVO „überwiegend abstrakte, technik- und risikoneutrale Regelungen“, die in der Praxis nur schwer zu konkretisieren sind, so Roßnagel.

Lernen für künftige Digitalisierungsprojekte

Lücken, die das Recht lässt, würden vor allem von globalen Konzernen und anderen mächtigen Datenverarbeitern genutzt, um ihre Interessen – oft zulasten der betroffenen Personen – durchzusetzen. Defizite in der Gesetzgebung nachträglich auszugleichen, verursache sehr viel Arbeit für die Aufsichtsbehörden. Gremien auf EU-, Bundes- oder Landesebene könnten hier Rechtsklarheit schaffen – aber immer unter dem Risiko, dass Gerichte angerufen würden. Dies hätte oft durch wenige risikoorientierte Festlegungen des Unionsgesetzgebers vermieden werden können. Für künftige Digitalisierungsprojekte sollte die europäische und die deutsche Gesetzgebung aus den Erfahrungen mit der Datenschutz-Grundverordnung lernen.