Die Folgen der DSGVO: Was sich für wen im Datenschutz ändert

Die Aufregung rund um die ab 25. Mai europaweit geltende Datenschutzgrundverordnung (DSGVO) ist riesig – nicht nur in Deutschland. „Ich habe schon Vergleiche mit dem Millenium Bug gehört“, sagt Großbritanniens Datenschutzbeauftragte Elizabeth Denham.

Dabei dürften die Folgen ähnlich unspektakulär sein wie der Jahrtausendwechsel für Computer. „Am 25. Mai wird nichts passieren“, sagt Thomas Hoeren, Professor für Medienrecht an der Universität Münster. Er sei „entsetzt“ über die herrschende „Panikmache“. Auch EU-Kommissarin Vera Jourová plädiert für eine „Entmystifizierung“. Was Betroffene wissen sollten und welche Sorgen unbegründet sind:

Privatnutzer

Die Vorboten des Stichtags zeigen sich schon jetzt häufig: In Briefen informieren Banken und Versicherungen über ihren Umgang mit den neuen Regeln, Mobilfunkbetreiber senden SMS und bei Facebook, Google oder WhatsApp ploppen Fenster mit Hinweisen auf die angepassten Datenschutzeinstellungen auf. Den üblichen Reflex, einfach auf „Zustimmen und Fortfahren“ zu klicken, sollte man kontrollieren.

Schließlich bietet die Umstellung die Chance zum Frühjahrsputz beim Datenschutz. Jeweils einige Minuten reichen, um in den Einstellungen die Auswahloption durchzugehen: Will man wirklich, dass die eingeblendeten Werbeanzeigen „möglichst relevant und nützlich“ sind? Wer die entsprechenden Häkchen aktiviert lässt, stimmt der Überwachung des eigenen Surfverhaltens zu und braucht sich später nicht zu beschweren, wenn ihn die angesehenen Schuhe aus dem Onlineshop wochenlang auf allen Internetseiten verfolgen.

Vor allem bei Facebook sollte man genau hinsehen. So nutzt das Netzwerk die Umstellung, um auch in Europa die Gesichtserkennung einzuführen. Wer vorschnell auf „Zustimmen“ tippt, akzeptiert möglicherweise ungewollt, dass Facebook künftig das eigene Gesicht auf Fotos scannt. Wer einen Missbrauch von Daten feststellt oder vermutet, kann dies künftig direkt bei der jeweiligen Landesdatenschutzbehörde melden.

Vereine

Auch Vereine müssen sich an die Vorgaben halten. „Bei unseren Mitgliedern löst das viele Irritationen aus“, sagt Heiner Brandi, Direktor des Landessportbundes Berlin. So hatte Thüringens früherer Innenminister Jörg Geibert laut „Berliner Zeitung“ auf einer CDU-Veranstaltung gewarnt, Vereine bekämen massive Schwierigkeiten. Sie könnten ohne Genehmigung der Betroffenen keine Daten mehr erfassen, das gelte auch für Wettkampfergebnisse. Tatsächlich muss vor der Veröffentlichung bestimmter personenbezogener Daten oder Fotos im Netz eine Einwilligung eingeholt werden. „Ein Sportverein darf aber ohne Einwilligung Wettkampfergebnisse oder Ranglisten mit Sportlernamen veröffentlichen“, sagt Anwältin Julia Dönch von BDO Legal.

Unternehmen

„Datensparsamkeit“ ist die Devise der DSGVO. Das heißt, Unternehmen dürfen nur jene Daten ihrer Kunden oder Nutzer abfragen, die für den betreffenden Zweck auch benötigt werden. Zudem bestehen umfangreiche Dokumentationspflichten über die Datenspeicherung und -verarbeitung.

Bei Verstößen drohen hohe Strafen von bis zu 20 Millionen Euro oder bis zu vier Prozent des gesamten weltweiten Jahresumsatzes. Bei geringen Vergehen können aber auch Verwarnungen ausgesprochen werden. Im Falle von Bußgeldern müssten diese verhältnismäßig ausfallen. „Bei sichtbarerer Zusammenarbeit werden sie moderat bleiben“, sagt die Berliner Datenschutzbeauftragte Maja Smoltzcyk. Wer also nicht willentlich oder wissentlich Datenmissbrauch in großem Stil zu verantworten hat, braucht vor den Behörden keine Angst zu haben.

Als größere Bedrohung sehen viele Unternehmen daher auch Abmahnungen von Anwälten und Konkurrenten. „Das ist eine Gefahr“, sagt Achim Berg, Präsident des Digitalverbands Bitkom. Wie groß das Problem wird, ist schwer abzuschätzen. „In den Grundlagen gelten die meisten Regeln in Deutschland schon seit Jahren“, sagt Jan Philipp Albrecht (Grüne), der die Regeln maßgeblich miterarbeitet hat. Die Abmahnanwälte hätten daher schon jetzt in vielen Fällen Datenschutzverstöße ausnutzen können.

Anbieter von Dienstleistungen oder Waren müssen auch die Sicherheit der erhobenen Kundendaten gewährleisten. Das kann bedeuten, dass Unternehmen diese Informationen verschlüsseln müssen. Kunden oder Nutzer von im Internet aktiven Firmen haben zudem ein Auskunftsrecht über die eigenen gespeicherten Daten.

Zudem haben Nutzer künftig ein „Recht auf Vergessen“. Das heißt, die Unternehmen müssen auf Antrag alle personenbezogenen Daten löschen. Sie haben außerdem ein Anrecht darauf, ihre Daten mitzunehmen, wenn sie den Anbieter wechseln wollen. Dabei müsste ein soziales Netzwerk beispielsweise Kopien aller veröffentlichten Einträge oder Fotos zur Verfügung stellen. Schwieriger dürfte es mit dem eigentlich Interessanten sein: den Verbindungen mit Freunden im Netzwerk. Da Informationen darüber auch deren Rechte berühren, dürfen Facebook & Co die Herausgabe wohl verweigern.

Fotografen

In verschiedenen Beiträgen wird auch das Ende der Fotografie beschworen. Ein Foto sei Datenerhebung, zumal Digitalkameras zusätzlich noch Standortdaten erheben. Daher müsste vor jeder Aufnahme von Personen eine Einwilligung eingeholt werden. Doch solche Befürchtungen sind übertrieben. „Die Annahme, dass die DSGVO dem Anfertigen von Fotografien entgegenstehe, ist unzutreffend“, erklärt das Bundesinnenministerium. Es gelte dafür wie bisher auch das Kunsturhebergesetz.

Die Ansicht, dieses werde durch die neuen Regeln verdrängt, sei falsch. Das heißt, Zustimmungen der Fotografierten sind nur in solchen Fällen notwendig, wo sie schon bislang galten – beispielsweise für Veröffentlichungen in der Presse. „Bei Aufnahmen von Menschenmengen, beispielsweise auf Demonstrationen oder bei Sportereignissen, muss man weder alle Personen auf dem Bild vorher fragen noch sie über irgendwelche Datenschutzrechte informieren“, sagt Albrecht.