Datenschutz à la „Friss oder Stirb“: Max Schrems reicht Beschwerde gegen Datenkonzerne ein

Seit vergangenem Freitag ist die Datenschutzgrundverordnung (DSGVO) europaweit wirksam und soll den Nutzerinnen und Nutzern eigentlich die freie Wahl lassen, ob und wem sie die Verarbeitung ihrer personenbezogenen Daten erlauben. Das erleben viele Nutzer*innen in den letzten Tagen aber noch anders. Den großen Datenkonzernen die Einwilligung in die Datenverarbeitung zu verweigern, bedeutet meist, deren Dienste nicht nutzen zu können. Max Schrems sprach mit uns darüber, wie er das ändern will.

Der Wiener Jurist und Datenschutzaktivist Max Schrems wurde mit seiner Klage gegen Facebook weltweit bekannt. Er erwirkte damals, dass der Europäische Gerichtshof das Safe-Harbor-Abkommen zu Fall brachte. Sein neues Projekt „noyb – none of your business“ hat am 25. Mai die Arbeit aufgenommen und soll an diesen Erfolg anschließen. Ziel der Initiative ist es, die Lücke zwischen europäischen Datenschutzgesetzen und der unternehmerischen Praxis einiger Großkonzerne zu schließen.

DSGVO: Sammelklagen sollen für Klarheit sorgen

netzpolitik.org: Hallo Max Schrems! Die Datenschutzgrundverordnung ist seit vergangenem Freitag europaweit wirksam. Wie hast du die Tage seitdem erlebt?

Max Schrems: Eine Mischung aus Panik, skurrilen Reaktionen von Unternehmen und ebenso faszinierenden Versuchen der großen Player, einfach so weiterzumachen wie bisher und dabei zu behaupten, DSGVO-konform zu sein. Der DSGVO fehlt es an bestimmten Stellen an klaren Regelungen und das führt natürlich, so wie lange befürchtet, zu viel Rechtsunsicherheit. Hier läuft aber ein Spiel: Die Industrie-Lobbyisten haben erst dafür gesorgt, dass das Gesetz schwammig wird, mit Ideen wie einem „risikobasierten Ansatz“ statt klareren Grenzwerten. Damals mit dem Argument, dass wir „Flexibilität“ für kleine Unternehmen und Vereine brauchen. Genau diese „Flexibilität“ überfordert die Kleinen aber nun extrem, und das wird wiederum genutzt, um die gesamte Datenschutzgrundverordnung anzugreifen.

netzpolitik.org: Inwiefern beeinflusst das neue Regelwerk Eure Arbeit?

Max Schrems: Wir haben nun erstmals die Möglichkeit, auch entsprechende Strafen auszulösen, europaweit Verfahren bei den Behörden anzustoßen und auch gerichtlich vorzugehen. Leider haben wir in Österreich weiter nicht die Möglichkeit eine „Verbandsklage“ nach Artikel 80 Abs. 2 DSGVO einzubringen. Das kann sich aber auch noch ändern. Andernfalls kann man das eventuell auch über Deutschland machen. Machen wir eben einen „noyb – Germany e. V.“.

Auch Datenkonzerne müssen sich an Recht halten

netzpolitik.org: Du hast ja mit deiner ersten Klage gegen Facebook ordentlich Öffentlichkeit bekommen und auch Erfolg gehabt – die Safe-Habour-Entscheidung wurde 2015 gekippt. In diesem Zusammenhang hast du den Verein „europe-v-facebook.org“ gegründet. Kommt Facebook in Sachen Datenschutz ein Sonderstatus zu, ist es quasi das größte Übel?

Max Schrems: Es war reiner Zufall, dass ich mich damals mit Facebook beschäftigt habe. Ich glaube, es ist in einer juristischen Auseinandersetzung, wo es am Ende um Grundsatzfragen geht, notwendig, sich einen Fall rauszupicken, den man dann auch durchzieht – eher, als sich mit 100 Fällen zu verzetteln. Das ist für uns aber auch immer eine Frage der Finanzierung, also wie wir möglichst effektiv Spendengelder einsetzen. Noyb.eu hat hoffentlich bald die Kapazität, mehr Fälle zu betreiben. Wir werden aber immer repräsentative Einzelfälle betreiben und keine „Massen-Verklagungen“ machen. So viele Unternehmen, die wirklich wissentlich und absichtlich das Recht verletzten, gibt es dann auch gar nicht.

netzpolitik.org: Ihr habt am vergangenen Freitag die ersten Beschwerden wegen „Zwangszustimmung“ gegen Google, Instagram, WhatsApp und Facebook eingereicht. Wie läuft das jetzt genau ab und welchem Verfahren rechnest du die meisten Chancen zu?

Max Schrems: Ja genau, wir haben drei Beschwerden zu Unternehmen der Facebook-Gruppe eingebracht. Diese werden wohl von der irischen Behörde gemeinsam mit den Behörden in Österreich, Hamburg und Belgien bearbeitet werden, da hier der Unternehmenssitz immer Irland ist. Wir warten hier mal auf die Stellungnahmen von Facebook und auf die nächsten Schritte im Verfahren. Spannend wird am Ende vor allem, ob es eine Strafe setzt und wie hoch diese ist.

Der Fall gegen Google zu Android läuft in Frankreich. Weil hier der Unternehmenssitz in den USA ist, kann die französische Behörde recht unabhängig entscheiden. Die Behörde hat auch schon Strafen gegen Google ausgesprochen. Wenn man die Frage der Zwangszustimmung bei ein paar Unternehmen durchgefochten hat, dann gehe ich davon aus, dass sich auch alle anderen Unternehmen daran halten. Wenn nicht, können wir dann noch immer nachfassen. Wir werden über den Sommer vermutlich noch ein paar Beschwerden zu Fragen der Zustimmung einbringen. Gleichzeitig bereiten wir noch ein paar andere, komplexere Themen vor. Wir haben aber operational auch erst am 25. Mai gestartet und müssen daher noch viel interne Organisation machen. Wir ziehen zum Beispiel bald in ein dauerhaftes Büro um, brauchen eine dauerhafte Webseite oder wollen bald ein paar weitere Mitarbeiter einstellen.

Was ist dran an der DSGVO-Panik?

netzpolitik.org: Die europäischen Datenschutzbehörden haben sich ja offen über fehlendes Personal und mangelhafte Kompetenzen beschwert. Wie schätzt du die Möglichkeiten der nationalen Datenschutzbehörden bei Euren Klagen ein?

Max Schrems: Ich habe vor dem Verfahren weniger Angst. Wir haben die Sachen ja schon „servierfertig“ vorgebracht, so dass hier die Arbeit der Behörden eher überschaubar ist. Das ist auch der Vorteil von Stellen wie noyb.eu – wenn Experten etwas einbringen, ist das auch für die Behörden einfacher zu bearbeiten. Das Problem wird eher der Instanzenzug sein. Wenn hier entsprechend entschieden wird, werden wohl die Unternehmen oder eben wir vor die Gerichte ziehen, und das kann auch bei den Behörden viel Geld und Zeit verschlingen.

netzpolitik.org: Wie bewertest du die DSGVO-Debatte der vergangenen Wochen in Bezug auf die vorherrschende Frustration und den medialen Fokus auf Bußgelder für kleine und mittelgroße Unternehmen? Für wen gibt es Grund zur Panik und wer profitiert von der DSGVO?

Max Schrems: Die eigentlichen Datenschutzrechte müssten natürlich für alle Unternehmen gelten. Ich war aber immer dafür, dass man die Pflichten zur Dokumentation und Administration massiv einschränkt, vor allem für kleine und mittelständische Unternehmen. Das könnte man etwa mit Klassen von Unternehmen machen, die man anhand der Zahl der Betroffenen – also beispielsweise ab 50.000, 100.000 oder 250.000 Betroffenen – definiert. Nur jene, die wirklich relevant genug sind, sollten dann auch alle Teile der DSGVO einhalten müssen. So macht man das ja auch bei anderen Gesetzen. Leider hat die Industrie stattdessen auf einen „risikobasierten Ansatz“ gedrängt, der für alle Klassen von Unternehmen gleich ist. Die Großindustrie hat damit wohl gehofft, auch für die Multis etwas „Bewegungsspielraum“ zu haben.

Die Bußgelder mit bis zu vier Prozent [des globalen Umsatzes der betroffenen Unternehmen] sind wichtig, weil es damit auch bei großen Konzernen eine ernsthafte Strafe gibt. Der Sockelbetrag von zwanzig Millionen Euro ist allerdings meiner Meinung nach viel zu hoch, weil dieser auch für ein Einpersonenunternehmen gilt. Hier hätten es wohl andere hohe Summen wie etwa 100.000 Euro auch getan.

Auch Meilensteine müssen reformiert werden

netzpolitik.org: Die DSGVO ist im globalen Kontext ein Meilenstein für den Datenschutz. Allerdings ist sie keineswegs perfekt, hat Schlupflöcher und sollte nur der Anfang sein. Wie schätzt du die aktuelle politische Lage zum Datenschutz in Europa ein und was würdest du dir von der europäischen Politik wünschen?

Max Schrems: Die DSGVO ist ein Meilenstein, aber sicher nicht das Ende am Weg zu einer sinnvollen Datenschutz-Regelung. Ich glaube, wir werden in ein paar Jahren eine „DSGVO 2“-Debatte haben. Das wäre eine Chance, Erfahrungen zu sammeln und das Gesetz klarer zu machen und Löcher zu stopfen.

In der Praxis würde das natürlich die Gefahr mit sich bringen, dass eine neue Debatte eher zum Gegenteil führt. Ich kann mir vorstellen, dass es entsprechend großen Widerstand geben wird, wenn die Debatte der letzten sieben Jahre nochmal geführt werden soll. Nur weil die DSGVO nun gilt, ist das Thema Datenschutz nicht abgehakt. Ganz im Gegenteil, das zeigt der abstruse Widerstand der Industrie-Lobby gegen die aktuelle ePrivacy-Reform, die eigentlich gleichzeitig mit der DSGVO hätte in Kraft treten sollen.

netzpolitik.org: Vielen Dank für das Gespräch!