DSGVO: Der steinige Weg zu den eigenen Daten

Matthias Marx wartet auf Antworten. Ende März hatte er den Videokonferenzanbieter Zoom nach seinen personenbezogenen Daten gefragt. Das steht ihm rechtlich zu. Als nach dem Ablauf der einmonatigen Frist nichts zurückkam, wandte er sich an den hamburgischen Datenschutzbeauftragten.

Doch auch der konnte Marx bislang nicht weiterhelfen: Da Zoom in der EU Niederlassungen in Frankreich und den Niederlanden unterhält, ließ sich bis heute nicht feststellen, welche Datenschutzbehörde in Europa für das Unternehmen letztlich zuständig ist.

„Machtlos“ fühle er sich, sagt Marx per Mail. Jedenfalls sei dies kein „DSGVO wirkt“, und ganz neu sei die Datenschutz-Grundverordnung ja auch nicht mehr. „Ich hätte erwartet, dass die verschiedenen nationalen und europäischen Aufsichtsbehörden inzwischen schneller untereinander klären können, wer nun eigentlich zuständig ist“, sagt Marx.

Recht auf Auskunft

Seit über zwei Jahren ist die DSGVO inzwischen in Anwendung. Darin ist das Auskunftsrecht verankert. Nutzer:innen können von Anbietern unter anderem Auskunft darüber verlangen, ob personenbezogene Daten über sie gespeichert sind, wie diese verwendet und ob sie weitergegeben werden. Beschweren kann man sich überall, federführend zuständig ist aber die Datenschutzbehörde des Landes, in dem das jeweilige Unternehmen in Europa angesiedelt ist.

Zwar gilt das Datenschutzgesetz als ein „Kronjuwel europäischer Gesetzgebung“, wie es die Digital-NGO EDRi ausdrückt. Allerdings krankt die DSGVO an vielen Stellen. Insbesondere die Aufsichtsbehörden haben oft zu wenig Geld und Personal, teils sorgt ein Kompetenzwirrwarr dafür, dass Entscheidungen verschleppt werden.

So auch im aktuellen Zoom-Fall. Knapp drei Monate lang musste Marx warten, bis er überhaupt eine Antwort der hamburgischen Datenschützer erhielt. „Es ist unter den europäischen Datenschutzbehörden noch nicht abschließend geklärt, wem die aufsichtsrechtliche Zuständigkeit für Zoom zufällt, denn hierfür muss zunächst der rechtliche Status der EU-Niederlassungen abgeklärt werden“, bittet die Behörde um Geduld.

Die niederländische Aufsichtsbehörde habe Zoom angeschrieben, heißt es aus Hamburg, könne jedoch auf Basis der bislang erhaltenen Antworten noch keine abschließende Einschätzung treffen. „Diesen Prozess müssen auch wir erst abwarten.“ Binnen der nächsten zwei Wochen werde eine Antwort erwartet, die „hinreichende Klarheit“ bringen soll, sagt ein Sprecher der hamburgischen Behörde zu netzpolitik.org. Zoom beantwortete unsere Fragen bis Redaktionsschluss nicht.

Verschleppte Anfragen nicht ungewöhnlich

Dass Fristen ignoriert werden, Unternehmen gar nicht oder nur unvollständig antworten, sei nicht ungewöhnlich, berichtet Marx, der Unternehmen gelegentlich nach seinen Daten fragt. So habe es beim Tracking auf dem offiziellen Portal der Stadt Hamburg viele Monate gedauert, bis irgendetwas passierte.

Microsoft wiederum habe auf eine Anfrage zu MS Teams geantwortet, aber nicht vollständig und ausweichend. Und nur einer gehörigen Portion Hartnäckigkeit des CCC-Mitglieds ist es zu verdanken, dass mögliche Datenschutzverstöße des umstrittenen Gesichtserkennungs-Start-ups Clearview AI näher untersucht wurden.

Sitzfleisch wird nun auch im Fall der aktuellen Anfrage bei Zoom gefragt sein. Denn selbst wenn eines Tages die Zuständigkeit der Aufsicht geklärt ist, muss dann immer noch der Betreiber mitspielen. Bislang hat das Start-up Zoom jedoch kein gutes Bild abgegeben.

Dem US-Anbieter gelang es zwar nach dem Ausbruch der Corona-Krise Anfang des Jahres, sich rasch als die nutzerfreundliche Lösung für Videokonferenzen zu etablieren. Doch das rasante Wachstum offenbarte gravierende Mängel der zuvor nicht weit verbreiteten Software.

Beschwerde auch in Berlin

IT-Experten machten zahlreiche Sicherheits- und Datenschutzprobleme aus, die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Maja Smoltczyk, weckte generell „Zweifel an der Zuverlässigkeit des Anbieters“. Auch in Berlin liegt eine Beschwerde gegen Zoom vor, bestätigt die Behörde gegenüber netzpolitik.org. Und auch in diesem Fall werde noch die Zuständigkeit geprüft.

Bisweilen kann dies länger dauern: „Wir haben bereits einige Fälle gehabt, in denen es sich schwierig gestaltete, die aufsichtsrechtliche Zuständigkeit zu klären, beispielsweise, weil die Hauptniederlassung kurzfristig verlagert wurde oder Unternehmen fusionierten“, teilt eine Pressesprecherin mit. „In solchen Fällen kann sich die Feststellung der Zuständigkeit unter Umständen sogar einige Monate hinziehen“.

Wie jetzt bei Zoom. Die einfache Bedienung der Software mag vielleicht viele Nutzer:innen angezogen und zu explosionsartigem Wachstum des Unternehmens geführt haben. Gleichzeitig zeigt es: Das Silicon Valley hat dem Motto „Move fast and break things“ noch lange nicht abgeschworen – und das bringt Aufsichtsbehörden allzu leicht ins Straucheln.

Update, 28. Juli: Zoom hat unsere Anfrage beantwortet, wenn auch noch nicht abschließend: „Zoom forscht hier derzeit nach“, schreibt die Presseabteilung. Immerhin hat das Unternehmen aber inzwischen eine EU-Datenschutzbeauftragte ernannt.