Recht auf Vergessen und Auskünfte über Datenverarbeitung

Der Bundestag debattiert ab Donnerstag über ein neues Datenschutzgesetz. Es soll die im April vergangenen Jahres verabschiedete EU-Datenschutzverordnung ergänzen und konkretisieren. Kritiker befürchten, dass der deutsche Entwurf die europäischen Regeln abschwächen könnte – etwa bei der Verwendung von Gesundheitsdaten oder bei den Informationsrechten der Bürger.

Die EU-Verordnung

Die nach langen und zähen Verhandlungen zwischen den EU-Staaten und dem Europaparlament verabschiedete EU-Verordnung soll den Datenschutz dem digitalen Zeitalter anpassen. EU-weit tritt die Verordnung im Mai 2018 in Kraft.

Sie sieht unter anderem ein Recht auf Vergessen vor: Google, Facebook und Co müssen auf Anfragen Daten löschen. Außerdem müssen Internet-Nutzer bewusst einer Datenverarbeitung zustimmen oder diese ablehnen können. Sie müssen zudem „klare und präzise Auskunft“ darüber erhalten, wie die eigenen Daten verarbeitet werden.

Firmen dürfen personenbezogene Daten grundsätzlich nicht direkt an Behörden in Drittstaaten weitergeben. Dies ist nur erlaubt auf der Grundlage von Rechtshilfeabkommen – etwa zu strafrechtlichen Zwecken. Als personenbezogene Daten gelten alle Informationen, die direkt oder indirekt einer Person zugeordnet werden können.

Die Strafen und Klagemöglichkeiten 

Bei Verstößen gegen die Verordnung drohen Unternehmen harte Sanktionen: Diese können bis zu vier Prozent des weltweiten Jahresumsatzes eines Unternehmens betragen. Gegen global agierende Internetkonzerne wie Amazon oder Google könnten somit millionenschwere Strafen verhängt werden.

Bürgern soll es zudem erleichtert werden, gegen Verstöße zu klagen. Bisher müssen Klagen in jenem EU-Staat eingereicht werden, in dem ein Unternehmen seinen Sitz hat. Wer gerichtlich beispielsweise gegen Facebook vorgehen will, muss dies heute in Irland tun – wo deutlich niedrigere Datenschutzstandards gelten als etwa in Deutschland. Künftig können sich Bürger an den Datenschutzbeauftragten ihres eigenen Landes wenden, der dann alles weitere übernimmt.

Die Hintergründe der Verordnung

Die Verordnung ersetzt eine Richtlinie aus dem Jahre 1995, die nicht mehr zeitgemäß ist. Damals waren soziale Netzwerke wie Facebook ebensowenig ein Massenphänomen wie das groß angelegte Sammeln von Verbraucherdaten durch Konzerne wie Google.

Die Neuregelung soll erstmals in der gesamten EU ein einheitliches Schutzniveau gegen den Missbrauch personenbezogener Daten im Internet schaffen.

Kritik an der geplanten deutschen Umsetzung 

Das Ziel eines einheitlichen Schutzniveaus sehen Kritiker des geplanten deutschen Gesetzes aber nun gefährdet. Die Verordnung räume den EU-Staaten zwar gewisse Ausgestaltungsmöglichkeiten ein – etwa bei der Verwendung von Daten durch öffentliche Behörden, erläutert der deutsche Grüne Jan Philipp Albrecht, der für das Europaparlament die Verhandlungen mit den Vertretern der EU-Staaten leitete. Der deutsche Entwurf gehe aber über den eingeräumten Ausgestaltungsspielraum hinaus.

Wenn der Entwurf in der heutigen Form verabschiedet werde, würde dies zu einem Absenken der auf EU-Ebene vereinbarten Schutzstandards führen, warnt Albrecht. Beispielsweise sollten in Deutschland Informations- und Auskunftsrechte von Verbrauchern eingeschränkt werden, wenn diese „allgemein anerkannte Geschäftsinteressen“ von Unternehmen gefährdeten. Diese Formulierung sei so vage, dass Missbräuche nicht auszuschließen seien.

Vor allem könnte der deutsche Alleingang andere EU-Staaten dazu verleiten, ebenfalls abweichende nationale Vorschriften zu erlassen, betont Albrecht. „Damit hätten wir wieder einen Flickenteppich beim Verbraucherschutz.“