DSGVO: Die EU ignoriert ihre eigenen Regeln

Beispielhafter Datenschutzverstoß: Die Internetseite des Verbindungsbüros des EU-Parlaments für Deutschland ist bis heute unverschlüsselt.

Anlässlich des Europäischen Dateschutztages hat die EU-Kommissionnicht nicht nur angekündigt, mit der Abschaffung des Kleingeldes endlich den Einstieg in den Ausstieg aus der anonymen Bargeldzahlung zu starten, sondern auch härtere Maßnahmen zur Durchsetzung der Datenschutzgrundverordnung (DSGVO) in der Gemeinschaft versprochen. Mit der DSGVO, einer 99 Artikel in 26 Sprachen umfassenden Richtlinie, hatte die EU ursprünglich versucht, das aus den USA kommende und nach amerikanischen Vorgaben funktionierende Internet zu einer europäischen Sache zu machen, indem Daten einer "Rechtmäßigkeit der Verarbeitung" unterworfen werden und Personen fortwährend über die "transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person" informiert werden müssen.

EU-Parlament ignoriert eigene Regeln

Die neuen Regeln waren allerdings so kompliziert zu verstehen und umzusetzen, dass selbst das EU-Parlament, das sie verabschiedet hatte, sich weigerte, sie zu befolgen. Auf allen anderen Internetseiten lösten sie immerhin eine Welle neuer Cookie-Warnungen aus, blieben aber sonst folgenlos. Das will die neue EU-Kommission nun ändern. Nachdem der deutsche Bundesdatenbeauftragte Ulrich Kelber die weitgehend gescheiterte Verordnung schon vorab „im Großen und Ganzen" zu einem "Erfolg" erklärt hatte, weil es gelungen sei, ein Bußgeld in Höhe von 14,5 Millionen Euro zu verhängen. Wichtig sei nun aber ein härteres Vorgehen, bei dem die weltweit weitgehend missachteten Vorschriften der DSGVO „insbesondere durch eine verstärkte Zusammenarbeit zwischen den Datenschutzbehörden“ besser durchgesetzt werden müssten.

Das sind einmal mehr schlechte Nachrichten für Europas Parlamentarier, die es mit zweijähriger Verspätung inzwischen zwar geschafft haben, die Internetseite des EU-Parlaments https-verschlüsselt anzubieten, wie es die DSGVO fordert. Die allerdings weiterhin Internetangebote betreiben, die den DSGVO-Vorgaben nicht entsprechen. Hier dürften in Kürze hohe Bußgelder verhängt werden, wenn der EU-Datenschutzbeauftragte sich nicht wie beim letzten Verstoß - die EU übermittelte die Daten von mehr als 300.000 EU-Bürgern ungefragt und ohne Genehmigung an ein ehemals mit dem Trump-Wahlkampf im Netz betrautes US-Unternehmen - bei einer sogenannten kostenfreien "Verwarnung" belässt.

Datenschützer strafen mit kostenlosen "Verwarnungen"

Wie Věra Jourová und Didier Reynders, die Datenschutzverantwortlichen der EU-Kommission, erklärten, müssten die EU-Mitgliedstaaten die notwendigen Ressourcen zur Verfügung stellen, um Verstöße zu verfolgen. Schließlich würden die Datenschutzbehörden der Länder mit EU-Mitteln unterstützt, wenn sie ihr Vorgehen im Europäischen Datenausschuss abstimmten. Bei diesem Hinweis handelt es sich um eine typische europäische Lösung: Die europäischen Datenschutzvorschriften schreiben eine sogenannte "One-Stop-Shop"-Lösung für die Datenschutzbehörden der Mitgliedstaaten vor, nach der jeweils nur ein Staat sich um ein Datenschutzproblem mit bei ihm ansässigen Firmen oder Behörden kümmern soll.

Für Facebook etwa ist immer Irland zuständig, ebenso für Google, für die EU-Kommission und das europäische Parlament wären Belgien und Frankreich in der Pflicht, Maßahmen zu ergreifen. Für die akute Missachtung der DSGVO-Vorschriften durch das französische Parlament wäre es ebenfalls der französische Datenschützer, die Ignoranz gegen alle DSGVO-Anforderungen, die das spanische Parlament an den Tag legt, müsste der spanische Datenschutz mit Bußgeldern ahnden.

Dass alle diese Behörden nichts dergleichen tun, liegt aus Sicht der EU an einer immer noch nicht ausreichenden "Zusammenarbeit zwischen den Datenschutzbehörden“. Seit Inkrafttreten der neuen strengen Datenregeln hätten die Datenschutzbehörden allerdings bereits eine Reihe von Durchsetzungsentscheidungen getroffen, derzeit liefen zudem „umfangreiche grenzüberschreitende Ermittlungen", jedoch noch nicht gegen Parlamente und staatliche Institutionen, sondern gegen "Einzelpersonen in vielen Mitgliedstaaten“. Je nachdem, wie gut es gelingt, hier hohe Bußgelder einzutreiben, will die Kommission eine Gesamtbewertung der DSGVO bereits im Frühjahr vorlegen, die dann unbedingt positiv ausfallen soll.