DSGVO: Starkes Gesetz, holprige Durchsetzung

Zwei Jahre nach ihrer Einführung zeigt sich die EU-Kommission zufrieden mit der Datenschutzgrundverordnung. Das Gesetz sei ein „perfektes Beispiel“ dafür, wie die Europäische Union die Rechte ihre Bürger:innen stärke und Unternehmen erlaube, die „digitale Revolution zu meistern“, sagte EU-Kommissionsvizepräsidentin Věra Jourová. Die Grundverordnung sei eine „Erfolgsgeschichte“. Das Lob begleitet einen heute vorgestellten Kommissionbericht, der umfassend Bilanz über die europäischen Datenschutzregeln zieht.

Das bahnbrechende EU-Gesetz ist seit 25. Mai 2018 wirksam. In den vergangenen zwei Jahren stellten hunderttausende Firmen und Organisationen ihren Umgang mit persönlichen Daten um, Behörden in europäischen Staaten teilten Strafen in Millionenhöhe wegen Verstößen aus. Die Datenschutzgrundverordnung (DSGVO) gilt weit über Europas Grenzen hinaus als Erfolg – seit ihrer Einführung schufen Länder von Chile und Südkorea über Brasilien, Japan, Kenia und Indien ähnliche Gesetze, wie die Kommission betont.

Ein Herzstück der DSGVO ist ihr europaweiter Sanktionsmechanismus. Wer den Datenschutz auf systematische Art missachtet, muss mit Strafen von bis zu vier Prozent des globalen Umsatzes rechnen. Das soll selbst Großkonzerne abschrecken. Doch während die Behörden in Europa zweifellos viel getan haben, um den Datenschutz in einer Vielzahl an Orten Geltung zu verschaffen, hakt es ausgerechnet bei der Durchsetzung gegenüber den großen US-Technologiekonzernen Google und Facebook.

Behörden wachsen nicht mit den Aufgaben

Die Achillesferse der EU-Datenschutzregeln sind die nationalen Behörden, die sie durchsetzen müssen. Zwar betont die Kommission, dass die Datenschutzbehörden der EU insgesamt zwischen 2016 und 2019 ihr Budget verdoppeln und ihren Personalstand um 42 Prozent aufstocken konnten.

Das Bild ist allerdings nicht ganz vollständig. Denn in einigen Ländern sind die Behörden immer noch chronisch mit zu wenig Ressourcen ausgestattet. Das berichtet der Europäische Datenschutzausschuss, ein Gremium aller nationalen Behörden, in seinem Jahresbericht. Während viele Behörden rasch wachsen, um ihren neuen Aufgaben gerecht zu werden, stagnierte die Personaldecke in den nationalen Behörden in Italien, Tschechien, Estland, Kroatien und Griechenland. In drei weiteren Ländern – Belgien, Litauen und Lettland – ist die Zahl sogar geschrumpft, sagte ein Sprecher zu netzpolitik.org.

Besonders auffällig ist die hapernde Durchsetzung der Datenschutzregeln im Fall Irlands. Das kleine Land ist der EU-Sitz von Digitalkonzernen wie Google, Facebook und Apple. Nach Irland locken die Firmen niedrige und teils sogar maßgeschneiderte Unternehmenssteuern sowie ein englischsprachiges Arbeitsumfeld, aber auch das offene Ohr für ihre politischen Anliegen und die schleppenden Prozeduren der dortigen Datenschutzbehörde.

Irisches Nadelöhr

Derzeit arbeitet die irische Datenschutzbehörde an rund einem Dutzend großer Verfahren allein gegen den Facebook-Konzern. Grenzüberschreitende Beschwerden gegen Konzerne müssen nach der DSGVO im EU-Sitzland untersucht werden. Erst wenn dort eine Entscheidung vorliegt, kann darüber von allen Datenschutzbehörden gemeinsam im Europäischen Datenschutzausschuss entschieden werden. Befinden soll die irische Behörde etwa über die Frage, ob Facebook-Nutzer:innen durch die bloße Nutzung des Dienstes zur Zustimmung der weitreichenden Verarbeitung ihrer Daten zu Werbezwecken gezwungen werden können.

Andere Fälle, die in Irland untersucht werden, betreffen die Facebook-Tochterfirmen WhatsApp und Instagram. Fast immer geht es darum, wie weit der Konzern bei der kommerziellen Ausbeutung von Nutzer:innendaten gehen kann. Fallen die Entscheidungen gegen Facebook aus, kratzt das am Image und der Profitabilität des Konzerns.

Doch die irische Behörde lässt sich erstmal Zeit. Im Mai kündigte sie an, einer der großen Facebookfälle stehe „in der Entscheidungsphase“. Zwei weitere Verfahren wegen Instagram und WhatsApp seien ebenfalls kurz vor Abschluss. Passiert ist seither nichts. Der Ankündigung nach wartet die Behörde in Irland eine für Juli erwartete Entscheidung des Europäischen Gerichtshofs über Facebooks Datentransfers in die USA ab, bevor sie ihren nächsten Schritt setzen will.

Der Datenschützer Max Schrems, der einige der Beschwerden gegen Facebook in Irland vorgebracht hat, ist empört über das langsame Vorgehen der Behörde. Zuletzt warf er ihr sogar die heimliche Zusammenarbeit mit Facebook vor, was die Behörde allerdings bestreitet.

Andere Behörden in Europa zeigen indes einen gewissen Unmut darüber, dass die irische Behörde kaum Einblick in seine bisherigen Verfahren gewährt. Auch schlug Behördenchefin Helen Dixon Unterstützungsangebote aus Deutschland aus. Die irische Regierung lehnt indes eine Bitte der Behörde um zusätzliche sechs Millionen Euro ab, um Personal aufzustocken, berichtete Politico.

Das entschieden langsame und eigenbrötlerische Verhalten Irlands trägt dazu bei, dass bislang keine einzige gemeinsame Entscheidung der EU-Datenschutzbehörden nach dem sogenannten Kohärenzverfahren getroffen wurde. Der Bericht der EU-Kommission beklagt außerdem, dass Möglichkeiten zu gemeinsamen Ermittlungen nicht genutzt wurden. Zeitweise bedeute ein gemeinsames Vorgehen der EU-Behörden das Agieren nach dem „kleinsten gemeinsamen Nenner“.

Zeit für Entscheidungen

Die EU-Kommission erkennt an, dass die irische Behörde jetzt liefern muss, um wegweisende Entscheidungen über die Durchsetzung der DSGVO im europäischem Rahmen zu erreichen. In ihrem Bericht betont die Kommission: „Angesichts der Tatsache, dass die größten multinationalen Big-Tech-Unternehmen in Irland und Luxemburg ansässig sind, fungieren die Datenschutzbehörden dieser Länder in vielen wichtigen grenzüberschreitenden Fällen als federführende Behörden und benötigen möglicherweise größere Ressourcen, als ihre Bevölkerung sonst vermuten ließe.“

Verklausuliert im Kommissionssprech lässt sich das übersetzen mit: Wir wissen, dass diese beiden Länder ein Nadelöhr darstellen. Die Kommission in ihrem Bericht fordert ohne konkreten Verweis auf Irland, dass die Zusammenarbeit zwischen den Datenschutzbehörden gestärkt und die Verfahren zur gemeinsamen Entscheidungsfindung verbessert werden müssen.

Es müsse geprüft werden, ob nationale Behörden ausreichende Mittel im Verhältnis zur Größe der von ihr geprüften Firmen hätten, sagte Justizkommissar Didier Reynders bei einer virtuellen Pressekonferenz. Seine Kollegin Jourová fügte hingegen im Bezug auf die irischen Verfahren hinzu, es gebe keinen Grund zur Besorgnis und der Prozess müsste abgewartet werden.

Die Antworten machen deutlich, wie zögerlich die Kommission noch dabei ist, nationale Behörden und die Regierungen zu kritisieren, die über ihre Ressourcen entscheiden. Die Kommission verpasst damit, einen wichtigen Schluss aus den vergangenen zwei Jahren zu ziehen: Denn wenn es nicht gelingt, Irland und seine Datenschutzbehörde zu einer ordentlichen und zeitgerechten Durchsetzung der DSGVO gegenüber den größten Firmen der Welt zu bewegen, dann scheitert in gewissem Maße der Datenschutz in ganz Europa mit.