Editorial: Datenschutz-Aktionismus

Datenschutz: An die für sie wichtigen Daten kommen Verbraucher leider nicht.
Bild: dpa Vor einer Zeit alarmierte ein Datensicherheits-Berater per Pressemeldung die Öffentlichkeit: Nur ein kleiner Teil der Unternehmen sei in der Lage, im Fall von Datenlecks die von der EU in der aktuell beratenen neuen Datenschutzrichtlinie geforderte Reaktionszeit von drei Tagen einzuhalten, binnen derer die Kunden über das Datenleck zu informieren seien. Diese Maßnahme zeigt exemplarisch, wie die EU beim Thema Datenschutz zwar viel Aktionismus an den Tag legt, aber zugleich nur wenige wirklich wirksame Maßnahmen zugunsten der Verbraucher beschließen will.

Zunächst einmal: Transparenz ist beim Datenschutz sehr wichtig. Wenn Unternehmen A nie ein Datenleck meldet, Unternehmen B hingegen alle zwei Monate, dann würden Datenschutz: An die für sie wichtigen Daten kommen Verbraucher leider nicht.
Bild: dpa viele Verbraucher sicher A den Vorzug geben. Nur: Entdeckte Datenlecks sagen sehr wenig darüber aus, wie sorgfältig die Unternehmen mit Kundendaten umgehen. Vielleicht meldet Unternehmen A ja nur deswegen nie einen Diebstahl von Kundendaten von ihren Servern, weil der Server so schlampig administriert ist, dass ein Cracker-Einbruch gar nicht erst auffällt. Handelt A zudem intensiv mit den von ihnen erfassten Kundendaten, dann bedarf es auch gar nicht erst eines Datenlecks, um die Kundendaten in aller Welt zu verteilen.

Für Verbraucher hat daher die Information, wie oft bei einem bestimmten Unternehmen überhaupt eine Datei raubkopiert wurde, nur wenig Nutzen. Was Verbraucher viel brennender interessieren würde, wäre der Weg, den ihre Daten genommen haben: "Wer weiß heute alles davon, dass ich am 4. Dezember 2013 um 12:23 Uhr in der Linden-Apotheke in Laufstadt eine N2-Packung Risperdal gekauft und mit EC-Karte bezahlt habe?"

Doch solche gezielten Abfragemöglichkeiten - was wurde wann an wen weitergegeben, und wohin hat der es wieder weitergegeben usw. usf. - sind zwar grundsätzlich in der neuen Datenschutzrichtlinie vorgesehen, aber so lückenhaft, dass sie in der Praxis wenig nutzen werden. Etwa verlangt der 2012er Entwurf der Datenschutz-Grundverordnung vom Datenverwender, Auskunft über "die Empfänger oder Kategorien von Empfängern" zu geben, die Daten erhalten haben. Was sind bitteschön "Kategorien von Empfängern"? Reicht es im genannten Beispiel aus, wenn der Abrechnungsdienstleister der Apotheke mitteilt, dass die Daten an "Versicherungen und Banken" weitergegeben wurde? Dabei macht es sicher einen großen Unterschied, ob das Rezept zur Abrechnung an die eigene Krankenversicherung weitergeleitet wurde, oder auch an dritte Versicherungsunternehmen, die wegen des Verdachts auf Schizophrenie dann erstmal kräftige Zuschläge für Kfz- oder Haftpflicht-Versicherungen nehmen, wenn sie diese nicht ganz ablehnen.

Unverhältnismäßig

Wie ein roter Faden zieht sich zudem die Einschränkung durch das Gesetz, dass etwa Unterrichtung über die Datenverarbeitung oder die Weitergabe von Löschungen und Berichtigungen an frühere Datenempfänger nur dann erfolgen müssen, wenn sich diese nicht als "unmöglich" erweisen oder diese mit "mit einem unverhältnismäßig hohen Aufwand verbunden" sind. Eine Sanktion für den Fall, dass ein Unternehmen seine Prozesse genau so gestaltet, dass zum Beispiel die Weitergabe einer späteren Korrektur an frühere Datenempfänger nicht möglich ist, scheint nicht vorgesehen zu sein.

Auch die vorgesehene Bündelung der Datenschutzaufsicht über multinationale Konzerne bei der für den Hauptsitz des Konzerns zuständigen Aufsichtsbeshörde erscheint wenig geeignet, das Datenschutzniveau zu steigern. Es ist allgemein bekannt, wie es multinationale Konzerne schaffen, die EU-Mitgliedsländer beim Thema "Steuern" gegeneinander auszuspielen. Da wird der Hauptsitz kurzerhand dorthin verlagert, wo die Unternehmenssteuersätze am niedrigsten sind. Warum sollte das beim Thema "Datenschutz" anders laufen?

Am Ende ist die neue Datenschutzrichtlinie vor allem eins: Ein Arbeitsbeschaffungsprogramm für Berater und Anwälte, die im Auftrag der Unternehmen erstmal sämtliche Datenverarbeitungs-Prozesse dokumentieren und dann so lange nach gesetzlichen Ausnahmen oder behördlichen Ausnahmeregelungen von den lästigen Aufklärungs- und Auskunftspflichten forschen, bis das vom Unternehmen erwünschte Datenschutzniveau erreicht ist. "Datenschutzniveau" bezeichnet hier den Schutz der im Unternehmen gespeicherten Daten vor den Verbrauchern, nicht den Schutz der Daten der Verbraucher.