Datenschutz-Grundverordnung – Alle Zielsetzungen werden verfehlt

Die DSGVO führt viele Regelungen der bisherigen Europäischen Datenschutzrichtlinie von 1995 fort. Da das deutsche Datenschutzrecht der Richtlinie entsprach, bleibt dessen Grundansatz erhalten und viele Regelungen der DSGVO sind mit denen des bisherigen Datenschutzes vergleichbar. Neu ist die Ausweitung des räumlichen Anwendungsbereichs durch das Marktortprinzip. Die DSGVO gilt also für die Verarbeitung personenbezogener Daten aller Personen, die sich in der Union aufhalten. Neu sind auch einige Pflichten der Datenverarbeiter, wie die datenschutzgerechte Systemgestaltung und datenschutzfreundliche Voreinstellungen, die Datenschutzfolgenabschätzung sowie zusätzliche Dokumentationspflichten. Diese Pflichten gelten allerdings unter vielen Vorbehalten. Hinzu kommt der Versuch, durch etliche verfahrensbezogene Regelungen den Vollzug des Datenschutzrechts in der Union zu vereinheitlichen. Für Verstöße gegen die Verordnung drohen künftig drastische Sanktionen: bis zu 20 Mio. Euro oder im Fall eines Unternehmens bis zu 4 Prozent seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs.
 

Mit der DSGVO verfolgt die EU 3 Zielsetzungen: Sie will zum einen das Datenschutzrecht unionsweit vereinheitlichten, zum anderen eine einheitliche Datenschutzpraxis erreichen und dadurch gleiche Wettbewerbsbedingungen bieten und zudem den Datenschutz angesichts der Herausforderungen der technischen Entwicklung modernisieren sowie den Schutz der Grundrechte verbessern. Sie wird jedoch alle 3 Zielsetzungen verfehlen:
 

Für eine Vereinheitlichung des Datenschutzrechts ist die DSGVO zu abstrakt und zu unterkomplex. Sie will in 51 Artikeln des materiellen Datenschutzes alle Datenschutzprobleme in allen Gesellschafts-, Wirtschafts- und Verwaltungsbereichen regeln. Dieser Ansatz unterschätzt die enorme Komplexität des Regelungsbedarfs. Er beseitigt die Vielfalt und Differenzierung bisheriger Regelungen und erzeugt dadurch große Rechtsunsicherheit. Im Gesetzgebungsprozess wurden diese Defizite erkannt und 70 Öffnungsklauseln eingebaut. Sie erlauben den Mitgliedstaaten eigenständige Regelungen. Dadurch können sie zwar die notwendige Komplexität und Detaillierung der Vorgaben erreichen, um ausreichende Rechtssicherheit zu gewährleisten, ein einheitliches Datenschutzrecht in der Union ist so aber nicht zu erreichen. Für eine unionsweit gleiche Praxis des Datenschutzes bedarf es der konkreten Regulierung spezifischer Datenschutzprobleme. Ansonsten werden die hoch abstrakten Vorgaben, je nach bisheriger Datenschutzkultur, von Mitgliedstaat zu Mitgliedstaat unterschiedlich konkretisiert – mit der Folge unterschiedlicher Datenschutzpraktiken. Nur da, wo die Aufsichtsbehörden aller Mitgliedstaaten sich auf konkrete Vorgaben einigen können, besteht die Chance einheitlicher Praxislösungen. Allein mit der DSGVO kann keine Wettbewerbsgleichheit geschaffen werden.
 

Auch eine Modernisierung des Datenschutzrechts hat die Verordnung versäumt. In keiner Regelung werden die spezifischen Grundrechtsrisiken moderner IT, z.B. smarte Informationstechniken im Alltag, künstliche Intelligenz, selbstlernende Assistenzsysteme, Big Data, Cloud Computing oder datengetriebene Geschäftsmodelle, angesprochen oder gar gelöst. Die gleichen Zulässigkeitsregeln, Zweckbegrenzungen oder Rechte der betroffenen Person gelten für die Kundenliste beim „Bäcker um die Ecke” ebenso wie für die risikoreichsten Formen der Datenverarbeitung in Weltkonzernen und mächtigen Behörden. Insofern zeichnet sich die DSGVO durch eine Risikoneutralität bezogen auf Grundrechtsgefährdungen betroffener Personen aus.
 

Im Ergebnis führt die DSGVO nicht zu einem praxisrelevanten, einheitlichen und risikogerechten Datenschutzrecht, sondern zu einer von Mitgliedstaat zu Mitgliedstaat unterschiedlichen Ko-Regulierung des Datenschutzes zwischen Union und Mitgliedstaaten. Dadurch kommt den nationalen Gesetzgebern besondere Verantwortung zu. Allerdings hat der deutsche Gesetzgeber mit dem neuen BDSG die Chance vertan, die Regelungen der Verordnung risikogerechter zu gestalten und zu präzisieren.