Frederick Richter ist Vorstand der Stiftung Datenschutz in Leipzig.
ZD 2025, 485 Was hören wir, wenn wir im privaten Umfeld berichten, dass wir im Bereich des Datenschutzes arbeiten? Nun, oftmals mögen wir ein Seufzen vernehmen: „Ach, Datenschutz ...“ Und darin schwingt oft eine Frage mit, die manchmal auch ausgesprochen wird: „Ist das nicht diese Sache, die mir persönlich wenig bringt, aber ständig Dinge verhindert?“ Die Rechtsmaterie, mit der sich die Personen, die in der ZD schreiben und sie lesen, tagtäglich beschäftigen, hat in der öffentlichen Wahrnehmung keinen leichten Stand - weder bei denen, die positiv dazu eingestellt, noch bei denen, die kritisch dazu eingestellt sind. Für die einen ist der Datenschutz nicht schlagkräftig genug und bewirkt zu wenig von dem, was er eigentlich bewirken soll. Für die anderen bewirkt er dagegen - ungewollt - zu viel, nämlich zu viel an Bürokratie.
Wenn alle ziemlich unzufrieden sind, handelt es sich dann im Ganzen um einen guten Kompromiss? Jedenfalls dann nicht, wenn beide Seiten der Unzufriedenen in spezifischen Punkten Recht haben und sich an diesen Problemstellen Abhilfe leisten ließe. Dann sollte mit der Behebung dieser Mängel im Recht und in seiner Durchsetzung nicht gewartet werden, bis sich alle an den unbefriedigenden Zustand gewöhnt haben. Denn es leidet das Image des Datenschutzes, und das können wir nicht wollen.
Der zahnlose Tiger?
Bei der Rechtsdurchsetzung wird oft das Bild gemalt, dass es im Großen wie im Kleinen hapere. An den Verarbeitungspraktiken internationaler Datengiganten beiße sich die heimische Aufsicht die Zähne aus, heißt es dann. Entweder, weil Behörden sich etwa nicht trauten, auch mal die ganz harte Karte zu ziehen und Verarbeitungen nach Art. 58 Abs. 2 lit. f DS-GVO zu untersagen. Oder weil deutsche Behörden bereits nicht zuständig sind (wofür sie selbstredend nichts können). Zwar wird gerade auf europäischer Ebene versucht, die geringe Geschwindigkeit internationaler Verfahren zu beschleunigen. Doch stößt der Vorschlag der EU-Kommission aus dem Sommer 2023 für eine Verordnung zusätzlicher Verfahrensvorschriften zur DS-GVO-Durchsetzung auf Kritik. Der Aktivist Max Schrems lässt an dem komplexen Regelwerk kein gutes Haar; die Position Betroffener werde durch beschnittene Anhörungsrechte sogar noch weiter geschwächt. Auch bei der nationalen Durchsetzung sieht er einen schlimmen Zustand: In Österreich stünden die Chancen auf einen Glücksspielsieg nicht viel schlechter als die auf eine Datenschutzsanktion. So habe es 2024 dort 49 Lottogewinne gegeben, aber auch nur 62 DS-GVO-Geldbußen.
Die Datenschutzdurchsetzung im Kleinen ist dagegen geprägt von der Struktur des Beschwerdewesens, die zu eigenen Problemen führt. Der Kommentarliteratur zufolge seien an Beschwerden zur Aufsicht gem. Art. 77 DS-GVO keine überspannten Anforderungen zu stellen: Wenn Betroffene der Aufsicht ihr Anliegen nur unzureichend schildern, dann müsse die Aufsicht die Betroffenen sogar dabei unterstützen, ihr Anliegen zu konkretisieren, damit die Beschwerde besser gelingt. Es liegt auf der Hand, wozu eine so verstandene Aufgabenzuweisung in Verbindung mit der Unterrichtungspflicht aus Absatz 2 der Norm und der notorischen personellen Unterausstattung der Behörden führt: Es droht eine partielle Paralyse des Systems. Und das hilft natürlich nicht dem Bild, das die Bürgerinnen und Bürger von „ihrem“ Datenschutz bekommen.
Es scheint somit einiges zu tun zu geben, wenn es darum gehen soll, ein positives Bild vom Datenschutz (wieder-)herzustellen. Mitwirken kann daran zuvorderst die Legislative. In nationaler Hinsicht können Politik und Gesetzgebung dabei wenig Materielles bewegen, denn das europäische Recht lässt wenig Raum. Der jungen Regierungskoalition ist dies bewusst. Bei der Datenschutzbürokratie für Vereine und KMU will sie ansetzen, muss aber hinnehmen, dass sie nur Forderungen nach Brüssel stellen kann. Fakten schaffen kann sie nicht. Mehr Spielraum gibt es bei der nationalen Organisation der Datenschutzumsetzung. Hier hat Deutschland ein Alleinstellungsmerkmal, aus dem eine besondere Verpflichtung erwächst: Andere Mitgliedstaaten müssen sich bei der Rechtsauslegung und Rechtsanwendung lediglich um die Unterstützung der innereuropäischen Kohärenz bemühen. Deutschland muss sich davor erst einmal um seine innerstaatliche Kohärenz im Datenschutz bemühen. Dass dies keine triviale Aufgabe ist, zeigt der Umstand, dass die vorangegangene Regierungskoalition hier kein Stück vorangekommen war. In dem der Diskontinuität anheimgefallenen Entwurf zur BDSG-Reform hatte lediglich die Existenz der Konferenz der Aufsichtsbehörden festgestellt werden sollen. Der so dringlich auf Rechtseinheitlichkeit wartenden Anwendungspraxis hätte derlei Symbolgesetzgebung nichts gebracht (der Datenschutzaufsicht übrigens auch nichts, denn ihr wurde nicht einmal die gemeinsame Geschäftsstelle zugestanden).
An die Strukturen herangehen
Der noch neuen Bundesregierung sei daher Verve gewünscht, die Sache nun beherzter anzugehen - im Sinne des Datenschutzes. Zwar ist eine volle Zentralisierung in einem föderalen Bundesstaat so gut wie nicht denkbar. Doch gibt es durchaus effektive Stellschrauben, wie selbst die Länderbank in der Datenschutzkonferenz (DSK) im Frühsommer 2025 hervorhob. Einige Aufgaben und Zuständigkeitsbereiche lassen sich gut auf Bundesebene heben, um nationale Harmonisierung und Beschleunigung zu bewirken. Dabei griffen etwa ein nationaler One-Stop-Shop und eine zentrale Koordinierung bei der BfDI direkt Gedanken aus der europäischen Gesetzgebung auf, und dies ist angesichts internationaler Herausforderungen nur zu befürworten. Die Bürgernähe - und damit das Bild, dass die Datensubjekte von „ihrem“ Datenschutz haben - muss durch eine angemessene Bündelung nicht leiden. Ganz im Gegenteil: Wenn bestimmte Aufgaben und überregionale Fälle auf die Bundesebene delegiert werden können, dann bleibt mehr Kapazität für die direkte Ansprechbarkeit vor Ort. Das Problem des hohen Beschwerdeaufkommens in den Ländern würde damit zwar gemindert, aber noch nicht gelöst. Denn die Aussichten auf einen Stellensegen für die Landesbehörden sind ebenso bescheiden wie die auf mögliche diskutable Verschärfungen der Bedingungen von Art. 77 DS-GVO oder Art. 57 Abs. 4 DS-GVO.
Datenschutz praktisch leben
Nicht nur die Legislative kann - zumindest indirekt - etwas für das Image des Datenschutzes tun, auch die Exekutive kann es, sogar direkter. Denn sie ist es, in Form der Aufsichtsbehörden, die das konkrete Bild gelebten Datenschutzes täglich vermittelt. Es geht um die Form des Beaufsichtigens, das nicht nur aus dem Sanktionieren, sondern auch aus dem Beraten besteht.
Dabei gilt es auch, lebensnahe Lösungen zu finden, die die - gesamten - Bedürfnisse der Bevölkerung im Blick behalten. Wenn ein ehemaliger Landesbeauftragter Anfang 2024 sagte, dass Pragmatismus nun wahrlich kein Auswahlkriterium für Datenschützer wäre, dann ist dem entgegenzuhalten, dass eine einseitige Ausrichtung und ein Drall zum Überbewerten von Bedenken ebenso keine Kriterien sein sollten. Ansonsten entkoppelte sich die Aufsicht von der Erwartungshaltung der Menschen, die Lösungen sehen möchten. Wenig rühmlich war insofern die Haltung einer Aufsichtsbehörde in der Corona-Pandemie, als sie schlicht sämtliche in der Breite verfügbare Videokonferenzsysteme als rechtswidrig einstufte und die öffentlichen Bildungseinrichtungen ratlos zurückließ. Andere Aufsichten waren ihrerzeit pragmatischer und ließen in ihren Bundesländern gängige Videokonferenzangebote für eine Übergangszeitraum zu - mit dem gebotenen Blick auf die schiere Machbarkeit.
Beratung als wichtige Aufgabe unter vielen
Was das Beraten von Verantwortlichen angeht, so ist es zugegebenermaßen nur ein kleiner Teil des eher länglichen Aufgabenkatalogs, den der erste Absatz von Art. 57 DS-GVO für die geneigte Aufsichtsbehörde bereithält. Und tatsächlich steht in der Liste das Überwachen und Durchsetzen der Verordnung an allererster Stelle. Doch erscheint es bereits als ein Gebot von Effizienz, wenn Verantwortlichen beim Gestalten von deren Produkten, Prozessen und Verarbeitungsvorgängen bereits früh zum Beschreiten eines bestimmten Wegs geraten wird - anstatt Unternehmen erst unkommentiert in eine nicht genehme Richtung laufen zu lassen, um dann nachträglich Sanktionsmaßnahmen angehen zu müssen. Hierfür braucht es jedoch die grundsätzliche Haltung einer gewissen Partnerschaftlichkeit, die sicherlich einer hoheitlichen Denke zunächst fremd sein mag. Dennoch sollte der Dialog stets gesucht werden, Scheu ist nicht angebracht. Wie es gehen kann, zeigt das Motto von Tagungen zur DS-GVO, die der Berufsverband der Datenschutzbeauftragten (BvD) schon früh gemeinsam mit dem LfDI Baden-Württemberg veranstaltete: „Wirtschaft trifft Aufsicht“.
Der Aufgabenkatalog des Art. 57 DS-GVO mag gleichwohl wie eine Herausforderung anmuten, deren vollumfängliche Erfüllung wohl keine Aufsichtsbehörde allein und ohne Arbeitsteilung mit anderen zu bewältigen vermag. Und wenn sie dann doch einmal bei den fast zwei Dutzend Aufgaben einen Haken machen konnte, dann liest sie unter lit. v, dass sie auch noch „jede sonstige Aufgabe im Zusammenhang mit dem Schutz personenbezogener Daten erfüllen“ müsse.
Gemeinsam für ein positives Bild
Neben den für die Datenschutzgesetzgebung und für die Datenschutzdurchsetzung Verantwortlichen möchte auch die Bundesstiftung ihren kleinen Teil zum Imagewandel beitragen. Zum einen, indem wir zu den genannten Herausforderungen den Diskurs fördern, zB mit der Veranstaltung „DatenTag“ am 16.9.2025 (sds-links.de/datenschutz-grundrecht-gesellschaft). Zum anderen, indem wir einen Gegenpunkt in der öffentlichen Meinung zu setzen versuchen: Mit einer öffentlichen Kampagne in diesen Wochen betonen wir, dass Datenschutz mehr ist als Bürokratie, die es zurückzuschneiden gelte. Vielmehr wollen wir den Kern des Grundrechts aus Art. 8 GRCh herausstellen.
Wir wollen unterstreichen, dass es im Datenschutz nicht nur darum gehen darf, dass die oder der Einzelne sich und ihre/seine Daten gegen mögliche Übergriffigkeit anderer schützt. Denn wir sind überzeugt davon, dass die Instrumente eines „Selbstdatenschutzes“ nicht ausreichen, um das Individuum in der digitalen Welt hinreichend vor Beeinträchtigungen zu bewahren. Vielmehr bedarf es in einem sozialen digitalen Gemeinwesen auch gemeinschaftlicher Anstrengungen, um die Freiheit der einzelnen Person zu bewahren. Möglicherweise braucht es sogar gewisse rote Linien. Vielleicht sollten eines Tages die Grenzen der „informierten“ Einwilligung als Legalisierungswerkzeug für individuell unüberblickbare Datenpraktiken neu vermessen werden.
Datenschutz umfassend denken
Das Datenschutzrecht schützt die einzelne Person, bildet aber zugleich einen Fundamentstein für den freiheitlich-demokratischen Rechtsstaat. Denn klare Regeln zum Umgang mit Daten stärken auch das gesellschaftliche Vertrauen in Institutionen und sichern die Integrität demokratischer Prozesse. Bestenfalls ist dabei gut gemachter (!) Datenschutz weniger Hemmnis als eher Katalysator für erfolgreiche, verantwortungsvolle Digitalisierung. Mit unseren Kampagnenmotiven wollen wir deshalb zeigen, dass systemisch verankerter Datenschutz im Gegensatz zu individuellen Lösungen die solidere Grundlage für digitale Freiheit ist.