Datenschutz als Wettbewerbsvorteil (von RA Torsten Mahncke) – Die Anforderungen des neuen Datenschutzrechts sind weniger schlimm, als von vielen befürchtet. Wirklich neu ist, dass das Thema Datenschutz endlich von einer breiten Öffentlichkeit wahrgenommen wird – auch von jenseits des Atlantiks. Und wirklich gut ist, dass Datenschutz ein Wettbewerbsvorteil werden kann. Dies ist ein Verdienst der EU.

Ausgangslage

Die Datenschutzgrundverordnung (DSGVO) droht hohe Bußgelder für den Fall an, dass Vorschriften zum Datenschutz nicht eingehalten werden. Wirklich neu hingegen sind für die „allgemeine Praxis“ nur einige machbare „formale“ Anforderungen zur Steigerung der Transparenz bei der Datenverarbeitung und zur Gewährleistung der Datensicherheit.

Materiellrechtlich hat sich aber gar nicht so viel geändert:

Die Verarbeitung personenbezogener Daten ist auch weiterhin immer dann zulässig, wenn die davon Betroffenen eingewilligt haben oder sie gesetzlich erlaubt ist.

Und das war sie auch schon, die zentrale „Zauberformel“ des Datenschutzrechts. 

Formales

Wer personenbezogene Daten erhebt, sollte fortan darüber in der gebotenen Weise informieren.

Dazu gehört, über den Zweck und den Umfang der Datenverarbeitung aufzuklären und über die Rechte der davon Betroffenen. Dies geschieht im Rahmen wirtschaftlicher Tätigkeiten vielfach bereits sehr schön auf den Internetpräsenzen der Unternehmen. Es wird dabei ein manches Mal missverständlich als „Datenschutzerklärung“ bezeichnet und kommt etwas überdimensioniert daher. „Datenschutz-Information“ träfe es genauer. Und mehr als gesetzlich gefordert, muss auch nicht drinstehen.

Müssen weitere Maßnahmen durchgeführt werden? Das hängt davon von ab.

Allgemein gesprochen steigen die Anforderungen, je mehr Menschen in einem Unternehmen mit der Datenverarbeitung beschäftigt sind, je mehr Daten verarbeitet werden, je sensibler die Daten sind und je grösser die damit verbundenen Gefahren für die Betroffenen. Dann muss etwa eine Datenschutzbeauftragte her, eine Verzeichnis der Verarbeitungstätigkeiten angefertigt oder eine Abschätzung der Folgen der Datenverarbeitung. Auch die Anforderungen an die Datensicherheit steigen dann. Und hier und da ergeben sich auch noch weitere Dinge zu tun.

„Datenschutz-Anarchie“

Das eigentliche Dilemma des Datenschutzrechts sind die widerstreitende Interessen:

Da ist zum einen das Recht des Einzelnen, selbst über die Verwendung seiner Daten zu bestimmen (Recht auf informationelle Selbstbestimmung). Es ist im Grundgesetz als Teil des allgemeinen Persönlichkeitsrechts angelegt (vgl. Art. 1 Abs. 1, 2 Abs. 1 GG) und vom Bundesverfassungsgericht im Volkszählungsurteil zu einem Datenschutz-Grundrecht erhoben worden.

Und da sind zum anderen die Interessen der staatlichen und wirtschaftlichen Protagonisten, personenbezogene Daten zu verwalten und zu verwerten. Auch diese Interessen sind Ausdruck unserer grundgesetzlichen Ordnung (Ordnungsaufgabe des Staates beziehungsweise allgemeine Handlungsfreiheit, Berufs-, Gewerbe- und Unternehmensfreiheit) und des wirtschaftlichen „Ordre Public“, nämlich dem Dogma des Wirtschaftswachstums, das u.a. ausdrücklicher Teil des europäischen Verfassungsrechts ist (vgl. Art. 3 Abs. 3 EUV).

Deshalb werden einige nicht müde zu propagieren: „Daten sind die Rohstoffe des 21. Jahrhunderts“.

Dem Ausgleich dieser Interessen hat sich die DSGVO gleich in seinem ersten Artikel ausdrücklich verschrieben. Doch kommt dann gleich im zweiten Satz auch das ganze Dilemma unauflöslich zum Vorschein:

„Die Verordnung enthält Vorschriften zum Schutz personenbezogener Daten und zum Schutz des freien Verkehrs solcher Daten. Der freie Verkehr solcher Daten darf aus Gründen des Persönlichkeitsschutzes nicht eingeschränkt werden.“

Und dieses Dilemma zieht sich durch die ganze Verordnung:

Stets steht der Schutzvorschrift die Ausnahmevorschrift gegenüber. Die DSGVO ist geprägt von einem Regel Ausnahme-Verhältnis beziehungsweise von einem Regel-Ausnahme-Gegenausnahme-Verhältnis und so weiter.

Zudem enthält die Verordnung „Spielräume“ für nationalstaatliche Regelungen. Dies führt zu „Ko-Regulierungen“ durch den EU-Gesetzgeber und nationalen Gesetzgebern in 28 EU-Staaten. Der bundesdeutsche Gesetzgeber etwa, hat diese Möglichkeiten im neuen Bundesdatenschutzgesetz genutzt. Vor allem dazu, um den Persönlichkeitsrechtsschutz einzuschränken. Daneben gibt es in Deutschland datenschutzrechtliche Regelungen in einer unübersichtlichen Vielzahl von speziellen Gesetzen.

Diese Situation macht das Rechtsgebiet insgesamt unübersichtlich und führt doch eher zu einer Rechtsunsicherheit statt zu einer Rechtsvereinheitlichung.

In der Praxis herrscht zudem eine „Datenschutz-Anarchie“:

Wir alle kennen die Beispiele aus der „großen Welt“ der sozialen Medien, wo Datenschutz faktisch nicht besteht und systematisch missachtet wird. Aber auch jeder von uns erhebt und verarbeitet tagtäglich massenhaft rechtwidrig Daten. Jedes mit einem Smartphone aufgenommene Foto einer Person ist rechtswidrig, solange nicht die Person einwilligt. Wer etwa WhatsApp nutzt, erlaubt dem Dienst, alle Kontaktdaten seines Smartphones auszulesen, was ebenfalls nur erlaubt wäre, wenn alle Kontakte vorher zugestimmt hätten.

Und es ist unklar, ob und inwieweit den Aufsichtsbehörden die Mittel zur Verfügung gestellt werden, ihrer Aufsichtsaufgabe überhaupt nachkommen zu können. Wie sollen denn all die Millionen von Menschen und Unternehmen kontrolliert werden, ob sie alle rechtskonform mit Daten umgehen?

Prozess des Ausgleichs

Wir werden also davon ausgehen müssen, dass sich das neue Datenschutzrecht erst in einem längerern Prozess des Interessenausgleichs inhaltlich ausformen wird. Dazu wird auch die Justiz einen wesentlichen Teil beitragen. Nach dem Motto: Die Praxis wird es zeigen.

An dieser Praxis können wir uns alle beteiligen. Diese Praxis sollte nicht als Problem gesehen werden. Datenschutz ist vielmehr eine Herausforderung. Ein wichtiges gesellschaftliches und politisches Thema.

Es besteht zudem die Chance, in dem nun kommenden Prozess den Datenschutz auch zu einem wirtschaftlichen Wettbewerbsvorteil auszuformen.

—

Der Autor ist Rechtsanwalt in der Kanzlei Grothmann Geiser RAe PartG mbB, Büro Berlin, und arbeitet dort in allen Bereichen des Zivilrechts, mit den Schwerpunkten Datenschutzrecht, Urheberrecht, Persönlichkeitsrecht und gewerblicher Rechtsschutz. https://www.grothmanngeiser.de/ —