Zwei Jahre DSGVO: Zwischen Rekord-Bußgeldern und Nachbesserungswünschen

Was hatte das Inkrafttreten der DSGVO am 25. Mai 2018 doch für ein Medienecho produziert. Offenkundig war dieses Regelwerk bis dato nur aktiven Datenschützern und Juristen ein Begriff – kein Wunder, dass sich EU-weit die Öffentlichkeit in den ersten Wochen und Monaten überfahren fühlte. Inzwischen sind zwei Jahre ins Land gegangen. Grund genug, um im Rückblick vorsichtig Bilanz zu ziehen.

Bußgelder in Höhe von 26 Millionen allein in Deutschland

Die nun seit zwei Jahren geltende Datenschutzgrundverordnung war die Antwort auf ein immer stärker gewordenes Bedürfnis der EU-Bürger, den Datenschutz an neue Technologien, Lebensweisen und die Bedingungen einer komplexer gewordenen globalen Welt anzupassen. Von jedem einzelnen – vor allem aber von Unternehmen – wird seither ein strikter Schutz von personenbezogenen Daten gefordert, der nachweisbar sein muss. Es war nur eine Frage der Zeit, bis die ersten nachlässigen Firmen zum Teil horrende Bußgelder zahlen mussten. Nach einer stillschweigend von den Datenschutzbehörden gewährten Schonfrist klingelten die Kassen. Auf 26 Millionen Euro belaufen sich die bis heute in Deutschland geforderten Strafzahlungen.

Das Immobilienunternehmen Deutsche Wohnen mit 14,5 Millionen Euro und der Telekommunikationsriese 1&1 mit 9,55 Millionen Euro waren für den Löwenanteil verantwortlich. Der Internetgigant Facebook, dem viele Beobachter einen ersten Platz unter den Datenschutzsündern zugetraut hatten, musste zumindest in Deutschland nur 51000 Euro berappen. Dies übrigens allein deshalb, weil es Facebook unterlassen hatte, über den Austausch seines Datenschutzbeauftragten korrekt zu informieren. Diese Notiz ist insofern wertvoll, als sie deutlich macht, dass aus Sicht des Endverbrauchers nicht unbedingt ein perfider Trick einer sogenannten „Datenkrake“ nötig sein muss, um mit der DSGVO zahlungspflichtig in Konflikt zu geraten. Auf der anderen Seite: Manche Bußgelder waren mit nur wenigen Hundert Euro abgegolten. In ganz Bayern wurde nur eins verhängt. Europaweit sind übrigens seit Inkrafttreten der DSGVO Bußgelder in Höhe von 100 Millionen Euro angefallen.

Die Evaluierung durch Brüssel steht noch aus

Japan, Südkorea, Kalifornien und andere Länder bzw. Regionen haben bekundet, sich die DSGVO zum Vorbild zu nehmen. Europäische Politiker, Verbraucher und selbst viele Leute aus der Wirtschaft loben ihre Europäische Datenschutzgrundverordnung, sehen aber Optimierungsbedarf. Vor allem eine Entbürokratisierung soll erreicht werden. Dies betrifft die zum Teil sehr peniblen Auflagen, die mit der Dokumentation und Information über eigene Datenschutzvorkehrungen zu tun haben. Auch eine verbesserte Zusammenarbeit der Datenschützer Europas wird angemahnt. Einige EU-Parlamentarier sprechen von einem DSGVO-Flickenteppich. Jeder der 27 EU-Mitgliedsstaaten kocht sein eigenes Süppchen und legt das Reglement zum Teil nach landestypischen Gesichtspunkten aus. Die DSGVO verfügt zudem über 69 Öffnungsklauseln. Für die Datenschutzbeauftragten grenzüberschreitend tätiger Unternehmen ein Grund zum Haareraufen. Aber man muss nur nach Deutschland schauen: 18 Datenschutzbehörden gibt es hierzulande – eine untersteht dem Bund, eine gibt es in jedem Bundesland und in Bayern gleich deren zwei. Datenschutz ist nun mal Ländersache. Darüber darf nicht vergessen werden, dass auch die personelle und finanzielle Ausstattung zur Kontrolle der Datenschutzpflichten in den EU-Staaten höchst unterschiedlich gelagert ist.

Nach ihrem Artikel 97 sollte die DSGVO eigentlich bis Ende Mai 2020 von den Brüsseler Instanzen überprüft werden. Aber die lassen sich Zeit. Das EU-Parlament hat bislang nur bekanntgegeben, „voraussichtlich am 10. Juni“ mit einem Bericht an die Öffentlichkeit zu gehen. Was muss es für einen Eindruck machen, wenn sich nicht einmal Europas oberste Datenschützer an die von ihnen selbst aufgestellten Regeln halten?