6 Monate Datenschutzgrundverordnung: Bürokratie und Bürgerrechte

Die neue EU-Datenschutzrichtlinine gilt seit einem halben Jahr. Unter Bloggern herrschte anfangs Panik, Datenschützer jubelten. Und heute?

Wenn solche Fotos wegen Datenschutzbedenken nicht mehr erlaubt sind, geht viel verloren Foto: dpa

Die Fotografin

Gerade arbeite ich an einem Buchprojekt zu Kunst im öffentlichen Raum. Gerne hätte ich das mehr mit Straßenszenen verbunden, nach skurrilen, einzigartigen Momenten gesucht. Doch da ist der Verlag jetzt ganz scheu. Selbst wenn Menschen nur am Rand stehen und nicht einmal richtig zu erkennen sind, also Motive, die früher problemlos gedruckt wurden – nun, mit der Datenschutzgrundverordnung nicht mehr.

Dabei ist es nicht einmal verboten. Der Gesetzgeber hat nur einfach gesagt, wir regeln das nicht, sollen das doch die Gerichte übernehmen. Und nun will niemand vor Gericht gezerrt werden und deshalb fliegen im Zweifelsfall eben Fotos raus. Street-Fotografie ist damit eigentlich nicht mehr möglich. Wenn Menschen im Zentrum des Bildes stehen, habe ich die Abgebildeten natürlich auch schon vor den neuen Regeln gefragt.

Aber wenn man im großen Raum arbeitet, egal ob es um Landschaften geht oder um Szenen in der Stadt und da sind Menschen quasi nur eingebettet – da kann man nicht jeden nach dem Einverständnis fragen. Dass solche Bilder nun nicht mehr gewollt sind, ist unheimlich schade, denn da geht ganz viel verloren, ganze Stimmungen, die diese Bilder ausdrücken.

Und das sind nur die Probleme, die meine fotografische, kreative Arbeit betreffen. Dazu kommt, dass ich mich nun um einen Haufen Bürokratie kümmern muss. Ich habe mich weitergebildet, meine Website musste umgebaut werden, einige Fotos habe ich vorsorglich rausgenommen. Und haufenweise ungeklärte Fragen, zum Beispiel: Darf ich Bilder noch per Mail an den Kunden schicken, wenn die nicht verschlüsselt ist? Wie lange darf ich Fotos archivieren? Die Tendenz unter Kollegen geht daher zunehmend dahin, einzelne Tätigkeiten auszulagern. Allein ist es praktisch nicht mehr möglich, das Ganze zu stemmen.

Sabine Jakobs ist selbständige Fotografin und arbeitet zu den Schwerpunkten Mensch, Porträt und Reportage

***

Die Aktivistin

Google, Instagram, WhatsApp und Facebook waren unsere ersten Ziele – direkt am 25. Mai um Mitternacht haben wir Beschwerden gegen die Unternehmen bei den Datenschutzbehörden eingereicht. Die Behörden lassen sich jetzt erst mal Zeit. Zwar müssen sie innerhalb von drei Monaten reagieren – bislang sind das aber quasi nur Eingangsbestätigungen gewesen und die Beschwerden gegen Facebook und WhatsApp wurden an die irische Datenschutzbeauftragte weitergeleitet.

Ich glaube, dass sich die Situation für Nutzer mit den neuen Regeln verbessert hat – aber das kommt erst langsam bei den Leuten an. Es braucht eben seine Zeit, das zu verinnerlichen: Nein, es muss nicht der Normalzustand sein, dass große Unternehmen alles mit den Daten machen, was sie wollen. Ja, man kann sich dagegen wehren. Aber ich habe den Eindruck, dass das Bewusstsein und damit auch das Selbstbewusstsein der Verbraucher nach und nach wächst und das ist gut.

Wochenendkasten 24./25. 11 2018

Dieser Text stammt aus der taz am wochenende. Immer ab Samstag am Kiosk, im eKiosk oder gleich im praktischen Wochenendabo. Und bei Facebook und Twitter.

Viele Hinweise auf Probleme bekommen wir von Mitgliedern und Kunden der Dienste. Auch ein paar Whistleblower haben sich schon an uns gewandt. Eines unserer Ziele für 2019 ist, eine Plattform aufzubauen, über die Whistleblower uns Hinweise geben können.

Wir haben auch schon die nächsten Unternehmen im Visier. Es wird wieder große Player treffen. Das ist uns wichtig: Wir wollen nicht die Kleinen und die Mittelständler treffen, sondern die Großen. Die sich bislang ihren rechtsfreien Raum einfach selber geschaffen haben. Ganz am Anfang rechnen wir jetzt noch nicht mit Höchststrafen. Aber wenn es gut läuft, müssen die Firmen so viel zahlen, dass es ihnen wehtut. Dass es sie zum Umdenken bewegt und Nachahmer abschreckt.

Monika Riegler ist Mitarbeiterin des Vereins noyb – none of your business. Der von dem Juristen und Datenschützer Max Schrems gegründete Verein vertritt die Interessen von Nutzern

***

Die Bloggerin

Vor einem halben Jahr war ich drauf und dran, meinen Blog einzustellen. Einfach aus Angst vor Abmahnungen durch die neuen Regeln, da steht man ja als Bloggerin schnell im Fokus. Es war das Tagesgespräch in der Bloggerszene. Alle haben überlegt: selber umbauen, Geld für professionelle Beratung bezahlen, Blog einstellen?

Ich hatte eigentlich schon im vergangenen Jahr davon erfahren, dass sich einiges ändert. Aber da dachte ich – wie wohl viele andere auch –, ich hab ja noch Zeit. Ich habe ehrlich gesagt auch damit gerechnet, dass die Blog-Plattformen wie Wordpress noch vor dem Termin die Neuerungen umsetzen werden. Von wegen. Eigentlich ist es bei keinem Blog nötig, dass Cookies gesetzt werden, die die Nutzer verfolgen. Machen aber trotzdem praktisch alle. Doch weil ich weder gute technische Kenntnisse noch viel Geld habe, war für mich klar: Blog einstellen. Dabei muss ich ganz klar sagen: Ich habe kein Problem mit den neuen Regeln, die sind sicher sinnvoll. Aber ich habe ein großes Problem damit, dass Abmahnanwälte so etwas ausnutzen, nur um Geld zu verdienen.

Doch dann habe ich auf Twitter eine junge Person kennengelernt. Sie hat mich angeschrieben und mir gesagt: „Ich bin trans*. Und ich habe meiner Mutter gesagt, sie soll deinen Blog lesen und seitdem versteht sie mich.“ Meine Frau hat dann gesagt: Wir machen das jetzt einfach. Wir kratzen das Geld zusammen und probieren es. Ich habe also Geld in eine Beratung für eine neue Datenschutzerklärung gesteckt und in die technische Überarbeitung des Blogs.

Mittlerweile ist meine Angst vor Abmahnungen zurückgegangen. Erstens, weil ich weiß, dass viele Abmahnungen ungerechtfertigt sind. Und zweitens, weil ich eine große Community habe, die hinter mir steht. Das gibt mir Sicherheit.

Nina Jaros bloggt auf fraupapa.com über Gleichberechtigung, Familienalltag und Transsexualität

***

Der Datenschützer

Diese Woche haben wir unser erstes Bußgeld im Rahmen der Datenschutzgrundverordnung verhängt: 20.000 Euro für einen Social-Media-Dienst. Der hatte die Passwörter seiner Kunden im Klartext gespeichert. Das geht natürlich gar nicht. Hackern war es dann gelungen, an die Daten von 330.000 Nutzern zu kommen. Die verhältnismäßig geringe Höhe des Bußgelds liegt daran, dass das Unternehmen sich vorbildlich verhalten hat. Es hat direkt seine Nutzer informiert und sich an uns gewandt.

Auch wenn es nicht immer so vorbildlich läuft – die meisten Unternehmen reagieren erstaunlich kooperativ, wenn wir auf sie zukommen und sehen ein: Ja, wir haben da einen Fehler gemacht. Das ist gut für das Unternehmen, denn dann gibt es zwar ein Bußgeld in Denkzettel-Höhe, aber nicht das ganz große Bußgeld, das ein Unternehmen umwerfen könnte. Und es ist gut für uns, denn dann müssen wir nicht in ein langwieriges Gerichtsverfahren gehen. Dabei gibt es keinen Zweifel: Die wirklich krassen Bußgeld-Rahmen, die gehen ja bis 20 Millionen Euro, zeigen Wirkung. Viele Unternehmen, die bislang eher auf Lücke gesetzt haben, kümmern sich jetzt.

Für uns bedeuten die neuen Regeln natürlich mehr Arbeit, wir haben gerade ganz schön Land unter. Das liegt vor allem daran, dass wir derzeit überschwemmt werden mit Beschwerden. Und wir müssen bei jeder Beschwerde dafür sorgen, dass der Fall aufgeklärt wird, da hat der Bürger ein Recht drauf. Aber auch wenn viele über die neuen Regeln klagen: Die Datenschutzgrundverordnung ist eine einzigartige Chance. Wir zeigen, dass wir in Europa wirtschaftliche und bürgerrechtliche Aspekte zusammendenken. Das lernen auch die US-amerikanischen Mitbewerber gerade. Alleine dass Datenschutz dort mittlerweile ein Thema ist – das ist ein erster Erfolg.

Stefan Brink ist Landesbeauftragter für Datenschutz und Informationsfreiheit in Baden-Württemberg

Comments

[s0r]

Ich arbeite an einer Schule und bei uns sind alle am Stöhnen, zumal die Datenschutzbeauftragte unseres Bundeslandes sehr profilierungfreudig ist. Während es in Dänemark und Niederlande kein Problem ist, mit seinen SuS z. B. per Whattsapp zu kommunizieren, fragen wir uns, ob wir überhaupt noch mit Computern arbeiten dürfen, wenn jedeR SuS den Betrieb durch eine zurückgezogene Einverständniserklärung blockieren kann.

Neueste "Errungenschaft": Wir dürfen unsere elektronischen Klassenbücher nicht mehr verwenden, weil während der Bearbeitung zwischenzeitlich Kopien der Dateien auf den Arbeitsrechnern existieren... Das Nachbargymnasium hat diese Probleme nicht, weil sie die herkömmlichen grünen Kladden verwenden, in denen Namen, Adressen, Fehlzeiten und Noten dauerhaft unverschlüsselt und in menschenlesbarer Form gespeichert werden.. aber eben auf Papier. Der Rollwagen mit den Klassenbüchern steht 10 Meter vom Eingang entfernt, für jeden erreichbar; einmal um die Ecke und man kann sich bedienen. Wir haben die Daten unserer KollegInnen und SuS schon immer mit professionellen Servern, RAIDs, TLS, Festplattensherrifs, zig Schulungen etc. geschützt und kommen uns momentan richtig verarscht vor.

[pitpit pat]

Ich finde es etwas schade, dass die betrieblichen Folgen der DSGVO nicht aus Arbeitnehmersicht dargestellt werden.



Für Betriebsräte ist die DSGVO ein kleiner Glücksfall:



Da heutzutage Computer bei beinahe allen Arbeitschritten beteiligt sind und Computer die ganze Zeit personenbezogene Daten erzeugen, die zur Leistungs- und Verhaltenskontrolle benutzt werden könnten, ist der Betriebsrat mitbestimmungspflichtig. D.h., der Betriebsrat muss bei allem gefragt werden.



Diese Macht wird den Geschäftsführungen jetzt erst langsam klar - den Betriebsräten wahrscheinlich auch.



Da kann man sich eine positive Antwort auch durch andere Vorteile für die Belegschaft erkaufen lassen.

[Martin74]

Die DSGVO folgt der richtigen Idee und wie die meisten hatte ich die Hoffnung, dass Facebook et al damit in die Schranken gewiesen werden.



Tatsächlich läuft es aber in die andere Richtung. Herr Zuckerberg ist happy, 1. weil er sich nicht mehr mit einem Hamburger Datenschützer auseinandersetzen muss, sondern sich nur noch in Irland rechtfertigen muss und 2. weil kleinere Konkurrenten kaum noch eine Chance haben, weil die denselben finanziellen Aufwand in puncto Rechtsberatung stemmen müssen, wie Facebook.

[uvw]

Die DSGVO war ein erster Schritt in die richtige Richtung. Das war schon daran erkennen, dass eine Zeitung wie die LA Times am Tag nach Inkrafttreten für Nutzer aus Europa nicht erreichbar war, mit einer Hinweisseite, dass man schraubt, um den Webauftritt EU-rechtskonform umzugestalten. Und Facebook zog die Verwaltung der Nicht-EU-Nutzer schnell von Irland nach USA um.

Bis dahin war das Web "Wilder Westen", denn gerade US-Firmen haben Daten mitgeschnitten, bis der Arzt kommt - und tun das weiter, ohne Nutzer zu informieren. Eine 2 km lange AGB, in der irgendwo auf Kilometer 1,7 steht, dass man Daten u.U. auch weiterverwendet - lies: ganz sicher weiterverkauft, so oft es geht - gilt nach der DSGVO nicht mehr als Information.

Webseitenbaukästen wie Wordpress sind bereits bei der Installation verwanzt. Wer sein Blog zusammenklickt, hat damit eine Seite online gestellt, auf der Google und Co die Daten der Nutzer mitschnorcheln. Je nach Baukasten geht das an 10-20 verschiedene Firmen, die alle sternförmig weiterverkaufen.

Daten bringen viel Geld und sind eine private Internetsteuer ohne Legitimation. Die Sammler/Käufer bauen ihre personalisierte Werbung damit, andere trainieren ihre KIs, Bonitätsbuden, Versicherungen, staatliche Stellen usw sind gaga darauf. Würden wir für jeden weiterverkauften Datensatz nur 50 cent bekommen (realistisch, geht bis 2-3 Euro für Patientendaten), hätten wir einen Teil der Grundsicherung finanziert.

Das Problem bei der DSGVO war, dass Details nicht ausformuliert wurden. Das ist vorerst den Gerichten überlassen und hat alle verunsichert, Endnutzer und Firmen. Die Anwaltsszene hat Panik verbreitet, weil hier durch Beratung das große Geschäft zu machen war. Und viele Firmen versuchen jetzt, ihre Nutzer mit Cookie-Bannern u.ä. zur Schnorchel-Zustimmung zu zwingen, obwohl das eigentlich unter das Kopplungsverbot fällt - nur zulässig, wenn es für die Erbringung der Leistung erforderlich ist.

Es ist noch ein weiter Weg.

[ReiPar]

Die Datenschutzgrundverordnung (DSGVO) hat Panik verbreitet. Ich werde als Bürger und Kunde um eine Einwilligung gebeten, wo das laut Art. 6 DSGVO gar nicht erforderlich ist. Auch werden mir als Kunde unnötige Einschränkungen zugemutet. Aber öffentliche Hand und private Wirtschaftsunternehmen blicken nicht durch, ihre Entscheider lesen offensichtlich nicht die DSGVO, sondern lassen sich von Leuten beraten, die selbst keinen rechten Durchblick haben oder nicht richtig schulen oder nicht richtig verstanden werden. Es droht die Gefahr, dass Datenschutz unbeliebt wird -- auch bei Bürgern und Kunden. Ich hoffe, das ist nicht das eigentliche Ziel hinter der DSGVO, dass in einiger Zukunft der Datenschutz so gelockert wird, dass er nicht mehr greift.

Erforderlich ist, dass sich Einrichtungen von Bund, Ländern und Kommunen sowie Wirtschaftsunternehmen richtig informieren, um die Panik loszuwerden und unnötige Bürokratie und Einschränkungen bleiben lassen.

Ziel der DSGVO ist es meines Wissens, den Bürger und Kunden zu schützen. So habe ich auch den taz-Artikel verstanden. Kein Ziel ist es, den Bürger oder Kunden zu gängeln oder die Bürokratie zu steigern. Es wird Zeit, dass die öffentliche Hand und die Wirtschaftsunternehmen das begreifen und entsprechend handeln.

Ich wünsche mir auch, dass Datenschutzbehörden den anderen Behörden und den Wirtschaftsunternehmen deutlich machen, wo die DSGVO überinterpretiert wird und welche Ängste überflüssig sind. Dass diese Datenschutzbehörden jetzt personell »Land unter« sind, ist verfehlte Personalplanung. So etwas darf nicht passieren, wenn doch die DSGVO schon zwei Jahre vor Inkrafttreten bekannt war.

[Berter]

@ReiPar:

Aber genau diese Panik, die ja zum Teil (auch bei mir) eine heilsame Wirkung hat, was den Umgang mit personenbezogenen Daten betrifft, ist es nunmal, die durch die DSGVO ausgelöst wurde. Gerade Freiberufler*innen, Kleinstunternehmer*innen und Blogger*innen, die nicht das Geld für eine anwaltliche Beratung aufbringen können, schränken deshalb ihre Tätigkeiten ein, holen lieber eine Zustimmung zu viel ein als Abmahnungen oder Bußgelder zu riskieren und drücken ihren Vertragspartner*innen dann auch mal einen Stapel Papier ins Gesicht, nur um rechtlich auf der sicheren Seite zu sein.

So sehr ich als Verbrauchersicht einen strengeren Datenschutz begrüße, hätte ich mir als Unternehmer zumindest ein umfassendes Beratungsangebot (z.B. über die IHK, finanziert aus öffentlichen Mitteln) gewünscht, das eine einzelfallbezogene und konkrete Beratung zum Datenschutz gewährleistet.