Im unserem neuen Format DatenschutzDiskurs bringen wir verschiedene Meinungen und Gesichtspunkte zusammen, um den Datenschutz verständlicher zu machen und damit zu fördern. Den Auftakt machten Prof. Dr. Christiane Wendehorst vom Institut für Innovation und Digitalisierung im Recht der Universität Wien, und Maximilian Schrems, Vorstandsvorsitzender von NOYB – Europäisches Zentrum für digitale Rechte. Im Gespräch mit Frederick Richter ordneten sie die laufende Debatte um die DSGVO-Reform ein.

Konsens war, dass die DSGVO in der Praxis nicht immer funktioniert. Das liegt zum Beispiel daran, dass der One-size-fits-all-Ansatz eben nicht für alle passt. Laut Wendehorst verlangt die Gesetzgebung von den datenverarbeitenden Großkonzernen zu wenig, von kleinen Vereinen aber zu viel. Sie plädiert deshalb dafür, dass die großen Software-Hersteller oder Dienstleister primär zur Haftung gezogen werden. Schrems unterstützt dies. Denn gerade der Aspekt der Auftragsverarbeitung sei nicht gut durchdacht. Es sei schlicht unmöglich, die verarbeitenden Organisationen im Detail zu prüfen.

Außerdem möchte Wendehorst eine Liste der Datendelikte definieren, die immer und für alle verboten sind. Laut Schrems wäre eine Whitelist genauso nötig, damit mehr Sicherheit bei erlaubten datenverarbeitenden Vorgängen herrscht. Unsere beiden Gäste stellten auch Überlegungen dazu an, für wen die DSGVO eigentlich in welchem Maße gelten soll. Wendehorst und Schrems halten die Anzahl der Mitarbeitenden nicht für eine plausible Grundlage. Besser wäre es, sich nach der Anzahl der Betroffenen zu richten. Schrems setzt sich für solche Schwellenwerte ein. Auch damit könnte es zwar noch Graubereiche geben, aber Schwellenwerte funktionieren in anderen Rechtsgebieten sehr gut. Man denke an Führerscheine nach Auto-Gewichtsklassen.

Die Straßenverkehrsordnung taugt auch als Beispiel für die Rechtsdurchsetzung, die hier deutlich besser klappt als bei der DSGVO. Datenschutzkontrollen statt Geschwindigkeitskontrollen sozusagen. Wendehorst bringt es auf den Punkt: Die DSGVO erscheine oft wie ein Gesetz, an das man sich nicht halten müsse. Schrems beklagt, dass die Datenschutzaufsicht es versäumt habe, ein Gefühl der Generalprävention zu vermitteln. Leider fehle es oft an Ressourcen und Know-how, aber auch am politischen Willen, gerade die großen Player wirklich zu kontrollieren.