Es gibt zwei Lesarten der nach vier Jahren erzielten Einigung über die neuen Datenschutzregeln der EU. Nach der ersten ist die Einigung ein Sieg für die Verbraucher. Die Datenschutzgrundverordnung gebe den Internetnutzern die Kontrolle über ihre Daten zurück. In dieser Lesart ist die Einigung auch ein Sieg des hehre Standards hochhaltenden Davids Europa gegen den Goliath Vereinigte Staaten, der Wirtschafts- und Sicherheitsinteressen vermeintlich stets über die Privatsphäre des Einzelnen stellt. Nach der zweiten Lesart verbaut sich die EU mit der Verordnung den Weg in die digitale Zukunft. Das Potential massenhafter Datenanalysen (Big Data) werde auf dem Altar eines übertriebenen Datenschutzes geopfert. Schlimmer noch: eines Datenschutzes, der von den Nutzern nicht goutiert werde, weil diese ohnehin jede nötige Zustimmung zur Datenverarbeitung gäben, um Google, Facebook, Instagram und andere Dienste nutzen zu können.

Falsch liegen beide, denn das Schwarz-Weiß-Schema ist zu einfach für das komplexe Datenthema. Genau deshalb hat die Debatte so lange gedauert. Ein Übriges zur Verzögerung beigetragen haben die enormen Versuche der Lobbyisten, auf die Verordnung Einfluss zu nehmen. Auch der Ministerrat erwies sich als Bremser.

Widersprüchlicher Nutzer

Es stimmt nicht, dass die Verbraucher der Macht der Internetkonzerne bisher vollkommen hilflos gegenübergestanden hätten. Das bisherige Datenschutzrecht stammt zwar aus dem Jahr 1995, der Steinzeit des Internets. Doch kann es sehr wohl auf die späteren Entwicklungen – soziale Netzwerke, die Speicherung von Daten in Rechenzentren (Cloud Computing) oder das Einkaufen im Internet – angewendet werden. Das hat nicht zuletzt das Urteil des Europäischen Gerichtshofs zum „Recht auf Vergessen“ gezeigt, das den Nutzern das nun auch in der neuen Verordnung verankerte Recht zugestand, die Löschung von Bildern und anderen persönlichen Daten im Internet zu verlangen. Auch ist es Aktivisten wie dem Österreicher Max Schrems mehrfach gelungen, Facebook selbst in dem für seine niedrigen Standards bekannten Irland in die Schranken zu weisen. Richtig ist aber, dass die beschlossene Harmonisierung des Datenschutzes in der EU dies künftig erleichtert und ausschließt, dass Unternehmen ihren Sitz in das Land mit dem niedrigsten Datenschutz verlegen.

Richtig ist auch, dass den Verbrauchern oft nicht klar ist, welche weitreichenden Rechte sie den Konzernen im Internet zur Nutzung und Auswertung ihrer Daten zugestehen. Wenn das soziale Netzwerk Facebook seine Nutzungsbedingungen ändert, wird dies zwar debattiert, offline wie online, in Zeitungen und in dem sozialen Netzwerk selbst. Der Nutzer könnte also handeln und sein Konto im Extremfall löschen. Meistens aber setzt der Nutzer bedenkenlos einen Haken unter die Bedingungen. Wer dies darauf schiebt, dass es den Nutzern egal sei, was mit ihren Daten geschieht, macht es sich zu einfach. Die Bedingungen sind auch für Informierte meist nicht zu verstehen. Deshalb ist es gut, wenn die EU nun zumindest versucht, das zu ändern. Sie verpflichtet die Konzerne auf leichtverständliche Nutzungsbedingungen – wenn möglich unter Verwendung von für jeden zugänglichen Symbolen.

Daten sind das Öl des 21. Jahrhunderts

Wichtiger noch ist, dass die Nutzer Angaben über die Verwendung ihrer Daten verlangen können. Viele Geschäfte im Internet funktionieren auf der Basis „Dienstleistung gegen Daten“. Wer Google nutzen will, zahlt dafür zum Beispiel damit, dass der Konzern das Benutzer- und Suchverhalten analysiert und seine Werbung darauf ausrichtet. Dagegen ist nichts einzuwenden. Problematisch ist, dass die Nutzer nicht wissen, wie viel sie zahlen. Sie können den Wert ihrer Daten nicht einschätzen, wenn sie nichts Genaues über die erhobenen Informationen und deren Verwendung wissen. Übersetzt in die Offline-Welt, wäre das so, als würde der Kunde beim Einkauf dem Geschäft seine Kreditkarte überlassen, ohne zu wissen, wie viel und wie oft dadurch später Geld abgebucht wird. Wenn Daten das Öl des 21. Jahrhunderts sind, wie die Anhänger von „Big Data“ sagen, dann braucht dieses neue Öl einen genauen Preis. Welchen, müssen Nutzer und Unternehmen aushandeln. Zu behaupten, dies verhindere die Entwicklung von „Big Data“, ist absurd. Ebenso gut hätten die Unternehmen im 20. Jahrhundert die Enteignung der Besitzer der Ölquellen fordern können, weil ansonsten ihre Entwicklung gefährdet wäre.

Richtig ist, dass mit der neuen Verordnung die Chance verpasst worden ist, die Basis für eine nicht im Konflikt mit dem Schutz persönlicher Daten stehende Entwicklung von „Big Data“ zu legen. Neu eingeführt wird nun zwar die neue Kategorie „pseudonymisierter Daten“. Die Daten in dieser Kategorie sind nicht mehr einer Person zuzuordnen, sie erlauben aber anders als völlig anonymisierte Daten, dass die Daten eines unbekannten Nutzers miteinander verknüpft werden können. Das macht Massenanalysen möglich, ohne die Privatsphäre zu verletzen. Die Verwendung dieser Daten wird aber künftig nur in einem engen Rahmen zugelassen. Hier hätten EU-Gesetzgeber den Datenschutz mit der wirtschaftlichen Zukunft Europas versöhnen können.