Am 25. Mai 2018 trat die Datenschutz-Grundverordnung (DSGVO) in Deutschland in Kraft. Der vollständige Name ist "Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und über den freien Verkehr solcher Daten". Das Gesetz wurde als entscheidender Fortschritt im Datenschutz bezeichnet, denn es soll die Rechte von Individuen schützen und Unternehmen zur verantwortungsvollen Verarbeitung von Daten verpflichten.

DSGVO: Ein Werkzeug zur Durchsetzung oder eine bloße Hülle?

Die Realität der DSGVO zeigt jedoch gravierende Mängel in der Durchsetzung. Laut Berichten der europäischen Datenschutzbehörden sind durchsetzbare Maßnahmen im Minimalbereich. Zum Beispiel verhängte die Datenschutzbehörde von Bayern im Jahr 2020 die erste große Geldstrafe von 9,55 Millionen Euro gegen die 1&1 Telecom GmbH, die aber mit einem massiven Rückgang der Bußgelder von 2019 auf 2020 einherging. Diese Strafe wurde gegen unzureichende Maßnahmen zum Schutz von Kundendaten ausgesprochen und stellte lediglich eine Ausnahme dar.

Ein weiterer gewichtiger Punkt ist die Unklarheit und Uneinheitlichkeit in der Anwendung der DSGVO. Ein Beispiel liefert der Fall Facebook (jetzt Meta Platforms, Inc.), der bereits vor Inkrafttreten der DSGVO mehrmals mit hohen Geldstrafen belegt wurde. In der Entscheidung vom 4. Februar 2021 ermöglichte das irische Datenschutzamt Facebook, den Großteil seiner Dienste weiter zu betreiben, trotz schwerwiegender Datenschutzverstöße. Die Strafe belief sich auf 500.000 Euro, was im Kontext der 86 Milliarden Dollar Umsatz, die das Unternehmen 2020 erzielte, marginal erscheint. Dieses Beispiel zeigt auf, wie große Unternehmen faktisch die DSGVO umgehen können, während kleine Unternehmen mit strengen Auflagen konfrontiert werden.

Wer beeinflusst die Datenschutzrichtlinien?

Der Lobbyismus spielt eine wesentliche Rolle im Datenschutzbereich. Eine Untersuchung von lobbycontrol.de zeigt, dass zwischen 2018 und 2022 mehr als 50,7 Millionen Euro von Datenschutzlobbyisten ausgegeben wurden. Unternehmen, wie IBM, SAP und auch Google, haben umfangreiche Lobbyarbeit geleistet, um eigene Interessen in die DSGVO einzubringen. Laut Lobbyregister der EU haben diese Unternehmen den Inhalt des Gesetzes durch ihre Lobbyisten aktiv beeinflusst.

Eine bemerkenswerte Schnittstelle in diesen Lobbyaktivitäten wird durch Thomas Jarzombek, Mitglied des Deutschen Bundestages für die CDU, sichtbar. Jarzombek war 2018 Berichterstatter der CDU/CSU-Bundestagsfraktion für die DSGVO-Umsetzung. Laut seiner Biografie war er vor seiner politischen Laufbahn in der Softwareindustrie tätig – ein Beispiel für eine unsichtbare Drehtür: von der Wirtschaft direkt in die Politik.

Wem nützt die DSGVO?

Zusätzlich zur Lobbyarbeit zeigt sich, dass einige Unternehmen von der DSGVO direkt profitieren. Studien belegen, dass 70% der kleinen und mittelständischen Unternehmen in Deutschland, laut einer Erhebung der IHK Berlin, Schwierigkeiten bei der Einhaltung der DSGVO haben. Diese Unternehmen sehen sich oft gezwungen, teure externe Berater für die Einhaltung der Vorschriften zu engagieren. Beraterhonorare im Bereich Datenschutz können sich schnell auf 250.000 Euro pro Jahr summieren, die dann hauptsächlich in die Taschen großer Beratungsunternehmen wie PwC, Deloitte und KPMG fließen.

Der Mittelstand erleidet durch diese finanziellen Belastungen existenzielle Herausforderungen, während große Unternehmen, durch ihre umfangreichen Ressourcen, die gesetzlichen Anforderungen elegant umschiffen können. Boeing, beispielsweise, investierte 2020 insgesamt 1,5 Millionen Euro in Datenschutzmaßnahmen, ohne dass diese jedoch signifikante Auswirkungen auf die Transparenz oder Sicherheit des Unternehmens hatten.

Fazit: Ein zielführendes Prinzip oder nur ein weiteres Instrument?

Die bisherigen Erkenntnisse der letzten fünf Jahre zeigen, dass die DSGVO oft als Alibi genutzt wird, um den Anschein von Datenschutz zu wahren, während große Firmen auf der anderen Seite erhebliche Vorteile aus ihrer Nähe zu politischen Entscheidern ziehen. Dies ist nicht das erste Mal seit Einführung der DSGVO, dass der Gap zwischen großen Unternehmen und dem Mittelstand offensichtlich wird; ein Muster ist erkennbar, das sich seit Beginn der Datenschutzregulierung etabliert hat.

Das letzte Wort über die Wirksamkeit der DSGVO wird nicht gesprochen sein, solange straffere Kontrollen und transparenter Umgang mit Datenschutzvorfällen nicht durchgesetzt werden.