Ein Blick zurück

Vor etwas mehr als drei Monaten ist die Datenschutzgrundverordnung (DSGVO) verbindlich eingeführt geworden. Was wurden nicht für Horrorszenarien an die Wand gemalt! Abmahnungen würden reihenweise Existenzen vernichten und Bußgelder in Millionenhöhe bei kleinsten Verstößen drohen. Was ist von dieser Hysterie geblieben? Das möchte ich im Folgenden analysieren.

Die Abmahnwelle

Juristisch ist noch nicht einmal geklärt, ob eine Abmahnung wegen eines Datenschutzverstoßes zulässig ist. Es ist daher nicht verwunderlich, dass von der angekündigten Abmahnwelle nicht viel übrig geblieben ist. Von den vereinzelten Abmahnungen, die im Netz kursierten, haben sich fast alle als unseriös herausgestellt. Besonders perfide waren die Abmahnungen der Augsburger Kanzlei von Orhan Aykac. Dieser hat mutmaßlich ein Mandat erfunden, um abzukassieren. Ein solches Geschäftsgebaren könnte auch strafrechtliche Folgen haben.

Nachgelegt hat Rechtsanwalt Aykac mit bundesweiten Abmahnungen von Friseurgeschäften im Auftrag eines Beauty-Salons aus Hamburg. Für die Betroffenen lohnt es sich sicher, aufgrund der Vorgeschichte von Aykac die Legitimation des Handels näher zu prüfen. Insbesondere stellt sich die Frage, inwiefern ein Friseurin aus Hamburg im Wettbewerbsverhältnis mit Berufskollegen aus weit entfernten Städten steht. Es würde mich nicht wundern, wenn sich die Abmahnungen auch hier in Luft auflösen.

Eine zirkusreife Nummer legte Rechtsanwalt Gereon Sandhage hin. Er „erbittet“ für einen Mandanten ein Schmerzensgeld von 12500€, weil dieser auf einer unverschlüsselten Website ein Kontaktformular ausfüllen musste. Grundsätzlich ist dazu anzumerken, dass es sich unzweifelhaft um einen Datenschutzverstoß handelt, wenn personenbezogenen Daten ohne SSL-Verschlüsselung übermittelt werden. Daraus einen immateriellen Schaden zu konstruieren, dafür bedarf es aber schon einer abstrusen Phantasie. Popcorn für die weiteren Auftritte von Rechtsanwalt Sandhage, der in der Vergangenheit bereits mehrfach durch rechtsmissbräuchliche Abmahnungen aufgefallen ist, sollte jedenfalls reichlich bereit gestellt werden.

Die Datenschutzbehörden

Mit der DSGVO sind nicht nur die meisten Unternehmen überfordert, sondern auch die Datenschutzbehörden selbst. Dies gilt nicht nur personell – die Eingaben sind um ein Vielfaches gestiegen -, sondern auch auf inhaltlicher Ebene. In vielen Detailfragen der Verordnung gibt es noch erheblichen Klärungsbedarf, so dass es nicht verwundert, je nach Bundesland unterschiedliche Antworten von der zuständigen Behörde zu erhalten. Die Reaktionen auf meine eigenen Anfragen waren mehr als ernüchternd. Am 19. Juni diesen Jahres kontaktierte ich die Landesbeauftragten für den Datenschutz in Sachsen-Anhalt sowie Brandenburg hinsichtlich einer konkreten datenschutzrechtlichen Problematik. Aus Sachsen-Anhalt erhielt ich eine lapidaren Hinweis auf die jährlichen Tätigkeitsberichte. Brandenburg hielt es auch nach elf Wochen nicht für nötig, eine Antwort zu verfassen.

Schlimmer noch: In Sachsen-Anhalt verunsichert der Landesbeauftragte für den Datenschutz Kulturbetriebe und anderer Institutionen zusätzlich, in denen er ihnen dringend anrät, ihre Social-Media-Aktivitäten aus datenschutzrechtlichen Gründen einzustellen. Dieser Empfehlung ist nur ein ganz geringer Bruchteil gefolgt – für diese könnte das aber weitreichende Folgen haben. Insbesondere scheinen aber die eigenen Behörden und die Regierung des Landes keinerlei Notiz von den datenschutzrechtlichen Bedenken zu nehmen. Mir ist nicht bekannt, dass hier auch nur eine Behörde ihre Accounts bei Facebook und Co geschlossen hätte.

Bedenklich ist bei diesem Vorgehen vor allem, dass die Landesdatenschutzbehörden ihren Empfehlungen zum Teil selbst nicht nachkommen. Die Datenschutzkonferenz des Bundes und der Länder hat ein Positionspapier veröffentlicht, wonach beispielsweise Tracking-Cookies generell nur noch per Opt-in-Verfahren zulässig sein sollen. In Sachsen-Anhalt ist man diesem mitverfassten Positionspapier nicht gefolgt. Auf der eigenen Website wird noch heute fleißig getrackt und das nicht nur ohne Opt-in, sondern sogar ohne das unstrittig notwendige Opt-out. Das hat mich veranlasst, den Landesdatenschutzbehörden in dieser Hinsicht mal genauer auf die Finger zu schauen.

Das Ergebnis: Im Wesentlichen sind die Behörden hinsichtlich des Trackings gut aufgestellt, lediglich bei dreien gibt es Anmerkungen:

• Bayern: Tracking mit Matomo (ehemals Piwik) mit Opt-out
• Niedersachsen: Tracking mit Matomo (ehemals Piwik) mit Opt-out
• Sachsen-Anhalt: Tracking mit Matomo (ehemals Piwik) ohne Opt-out

Nähere Erläuterungen zum Tracking und vor allem zur rechtlichen Würdigung der Vorgaben der Landesdatenschutzbehörden finden sich in meinem Leitfaden zur DSGVO.

Die Kulturszene und die Blogosphäre

Nicht nur durch die obigen Beispiele aus Sachsen-Anhalt habe ich das Gefühl, dass Kulturinstitutionen mit den neuen Anforderungen des Datenschutzes weitgehend überfordert sind oder diese einfach ignorieren. Regelmäßig stoße ich auf Websites von Museen, die selbst grundlegendste Vorgaben missachten. Beliebt ist vor allem das Vorhalten von Formularen auf der Website in Kombination mit einer fehlenden SSL-Verschlüsselung – eine Konstellation, die bereits vor der DSGVO eine eklatanten Verstoß gegen den Datenschutz darstellte, weil hierbei personenbezogene Daten ohne Schutzmechanismen durchs Netz geschickt werden. Nur am Rande: Selbst Spiegel Online scheint es derzeit nicht für nötig zu halten, trotz Kontaktformular eine SSL-Verschlüsselung zu implementieren.

Wirklich erstaunt hat mich dabei, dass es nicht nur die kleinen Häuser sind, die hier bedenkliche Defizite aufweisen, sondern auch große Museen, deren Webauftritt von teuren Webagenturen erstellt wurden. Dezente Hinweise, dass dringend Handlungsbedarf besteht, wurden entweder ignoriert und in einem Fall sogar fehlerhaft korrigiert. Eine große Hamburger Stiftung treibt es hierbei auf die Spitze, indem sie ihre nur wenige Monate alte Webseite gleich ganz ohne Datenschutzerklärung ins Netz stellt. Und da sind nur die Beispiele, über die ich zufällig stolpere. Eine genauere Analyse würde wahrscheinlich ein erschreckendes Ausmaß an eklatanten Datenschutzverstößen aufzeigen.

Besonders hart waren übrigens die Folgen der DSGVO in der Blogosphäre. Enno Park hat allein in den Tagen bis kurz nach dem Inkrafttreten der DSGVO über 300 Blogs gezählt, die aus Überforderung und Angst vor unvorhersehbaren Folgen bei Verstößen gegen den Datenschutz geschlossen haben. Dadurch verliert das Internet einen Teil seiner Meinungsvielfalt. Das Blogsterben ist Realität und einer von vielen durch die Macher der DSGVO nicht vorhergesehenen Kollateralschäden!

Die Schulen und Kitas

Skurril muten auch einige Auswüchse der DSGVO an Schulen und Kitas an. Da ist zunächst die Grundschule, an der Lehrer wieder dazu übergehen, Zeugnisse handschriftlich zu erstellen, weil sie befürchten, auf dem heimischen Rechner dem Datenschutz nicht entsprechen zu können. Eine andere Schule verbietet generell das Fotografieren bei einem Schulfest und eine Kita schwärzt aus Verunsicherung die Erinnerungsalben der Kinder. Letzteres war nicht nur vollkommen überzogen, sondern auch sinnlos, wie Rechtsanwalt Christian Solmecke erläutert. Die Schüler sind nämlich auch mit Balken für Familienmitglieder und Freunde identifizierbar. Matthias Wurm von eRecht24 beschreibt anschaulich, wie man sich an Kitas und Schulen trotz DSGVO richtig verhält, ohne das soziale Leben lahm zu legen.

Das Fazit

Die mit der DSGVO entstandene Panik war – wenig überraschend – weitgehend unbegründet. Einige Steine haben sich die Menschen mit ihren Kurzschlussreaktionen selbst in den Weg gelegt. Was bleibt, ist ein bürokratisches Monster, deren Umsetzung gerade für die kleinen Betriebe sehr hohe Hürden mit sich bringt, deren Nutzen aber umstritten ist. Große Institutionen scheren sich wie auch vor der DSGVO meist gar nicht um den Datenschutz. Im Zweifel erledigt das die Rechtsabteilung.

Zwar ist die Öffentlichkeit einerseits für die Thematik Datenschutz nun stärker sensibilisiert, in der Praxis scheint sich aber der Effekt gerade umzukehren. Sehr häufig konnte ich lesen, dass die nun fast auf jeder Website zu findenden Cookiehinweise – im Übrigen vielfach unnötig – vermehrt als nervige Klickorgien wahrgenommen werden. Auch ich kann mittlerweile an meinem eigenen Verhalten beobachten, dass ich diese Pop-up-Nachrichten in aller Regel genervt mit einer Zustimmung wegklicke, um endlich an die eigentlichen Inhalte zu gelangen. Der Internetnutzer wird entwöhnt, bewusste datenschutzrechtliche Entscheidungen zu treffen. Überregulierung, wie sie Marlene Hoffmann in ihrem Blogartikel beschreibt, hat die selbst gesteckten Ziele der DSGVO letztlich ad absurdum geführt. Nachbesserungen sind an vielen Stellen dringend notwendig.

Update (22.10.18): Und jetzt wird es nur skurriler! In Wien möchte die Stadt Klingelschilder mit Namen der Mieter entfernen. Davon aufgeschreckt glaubt der Immobilieneigentümerverband Haus & Grund seinen 900 Tausend Mitgliedern dasselbe empfehlen zu müssen. Hat man im eigenen Hause keine Juristen, die diesen Unsinn unterbinden? Datenschützer und Juristen haben in dieser Sache längst Entwarnung gegeben, allein weil es sich hierbei um keine automatische Datenerfassung handelt.