Fünf Jahre DSGVO - was hat sie gebracht?

Viel ist bereits geschrieben und gesagt worden zum fünfjährigen
Geburtstag der Datenschutz-Grundverordnung (DSGVO). Dieser
Geburtstag ging natürlich auch am c't-Datenschutz-Podcast nicht
spurlos vorüber, in dem sich Verlagsjustiziar Joerg Heidrich und
Redakteur Holger Bleich seit nunmehr 87 Episoden mit den
praktischen Folgen der Verordnung erklärend auseinandersetzen. Es
wurde Zeit für ein Resümee, ein kleines Zwischenfazit. Zum Auftakt
der Privacy-Ring-Konferenz in Hannover, veranstaltet von der
Universität Hannover und der Stiftung Datenschutz, fand der
Podcast diesmal live vor Publikum statt. Zwei Gäste bereicherten
die Runde um ihre Expertise zur Entwicklung der DSGVO: Die
Rechtsanwältin Dr. Astrid Auer-Reinsdorff berät Unternehmen bereits
seit 2002 im IT- und Datenschutzrecht und ist vielfältig in diesen
Bereichen aktiv. Frederick Richter ist seit 2013 Vorstand der
damals von der Bundesregierung neu gegründeten Stiftung
Datenschutz, die satzungsgemäß als "unabhängige Informations- und
Diskussionsplattform" fungiert. Nachdem die muntere Runde sich
zunächst mit dem "Bußgeld der Woche" - diesmal der
1,2-Milliarden-Strafe für Facebook - beschäftigte, kam sie auf die
Befürchtungen zu sprechen, die 2018 mit der DSGVO einhergingen.
Während Massenabmahnungen ausgeblieben waren, hatte der "One size
fits all"-Ansatz zu viel Unsicherheit geführt. "Leidtragende waren
Schulen und Vereine, aber auch viele kleine Unternehmen", betonte
Auer-Reinsdorff. Heidrich zeigte sich darüber verärgert, dass
Aufsichtsbehörden zum Start der DSGVO "kaum Hilfestellung oder
Handreichnungen" parat hatten und damit zur Unsicherheit
beigetragen hätten. Und wenn es mal Handreicungen gebe, enthielten
sie eher Verbote als Anleitungen zum rechtmäßigen Vorgehen. Die
Runde war sich allerdings auch einig, dass die DSGVO dem
Datenschutz ziemlich schnell zu mehr Aufmerksamkeit verhalf: "Es
gab hier auch schon ein Datenschutzgesetz, das ähnlich der DSGVO
war, nur eben keine ernstzunehmende Sanktionierung. Vieles war
vorher auch schon verboten, es hat sich nur niemand dafür
interessiert", konstatierte Auer-Reinsdorff. Die gesteigerte
"Awareness" habe in den letzten fünf Jahren in vielen Bereichen
grundsätzlich zu einem höheren Datenschutz-Niveau geführt, da
zeigten sich die Gesprächspartner einig. Dies könne man als
positiven Effekt der DSGVO verbuchen. Konsens herrschte auch dazu,
dass unter den Aufsichtsbehörden zu wenig Konsens herrscht.
Frederick Richter hält dies zumindest auf internationaler Ebene für
unausweichlich: "Die unterschiedlichen Behörden in den
Mitgliedsstaaten agieren nach unterschiedlichem Verwaltungsrecht
und haben eine jeweils andere Aufsichtskultur, von einer
einheitlichen Aufsicht kann also keine Rede sein." Aber auch
ibnnerhalb deutschlands koche jede Behörde "ihr eigenes Süppchen" -
manche legten Wert auf proaktive Beratung, andere auf die
abschreckende Wirkung von Bußgeldern. Richter meinte: "Hohe
Bußgelder helfen aber in der Breite nicht, abschreckend wäre, wenn
es sehr viele kleine Bußgelder gäbe, dafür aber fehlt die
Kapazität."