Das DSGVO-Datenschutzgesetz der EU – eine Einschätzung

Per 25. Mai 2018 tritt die neue Datenschutzverordnung DSGVO der EU in Kraft. Mit ihr sind auch Teile von Schweizer Unternehmen betroffen. Wer Presseberichte und Meinungen zur bevorstehenden Gesetzesänderung liest, spürt eine grosse Unsicherheit bei den Unternehmen. Eine Einschätzung.

Das Internet wurde ursprünglich für zirka 60 PCs gegründet. Sicherheit war damals kein Thema. Die Entwicklung der Digitalisierung bis heute ist frappant, die Möglichkeiten der Datenerfassung sind immens. Firmen können Daten von potenziellen Kunden erfassen und zielgerichtet Kampagnen lancieren. Und immer mehr Möglichkeiten werden geboren. Remarketing (Google), Lookalike Audience (Facebook) und andere Online-Marketing-Tools ermöglichen heute immer genauere Abstimmungen der Werbebotschaften mit den Bedürfnissen möglicher neuer Kunden. Das alles ist möglich dank Daten. Unseren Daten.

In der Folge wurden diese Möglichkeiten durch Unternehmen auf jede erdenkliche Art und Weise genutzt. Sammeln ohne Grenzen – soweit es das bisherige Gesetz zuliess. Manch ein Internetbenutzer kam immer mehr ins Staunen, wie es möglich war, dass

• einem auf eigene Bedürfnisse so passende Angebote präsentiert wurden und man noch Tage später mit den im Vorfeld gesuchten Angeboten auf anderen Webseiten konfrontiert wurde und

• man eine freundliche Einladung von Google erhielt, um ein Foto oder eine Bewertung vom eben besuchten Restaurant ins Web zu stellen,

• Freunde und alte Bekannte plötzlich als Vorschlag für die Verknüpfung in sozialen Medien auftauchten.

Der Grund liegt meistens in der Datensammlung im Hintergrund. Persönliche Daten, die im Internet sind, konnten bisher nicht oder nur dank dem Rechtsweg gelöscht werden. Mit der DSGVO soll der Benutzer nun mehr Macht über die Verwendung seiner persönlichen Daten erhalten. Persönliche Daten sind zum Beispiel E-Mail-Adresse, Angaben zu persönlichen Interessen und Gesundheit etc.

Was ändert?

• Sogenannte Kopplungsangebote sollen nicht mehr möglich sein. Ein Kopplungsangebot bedeutet, dass ein PDF «kostenlos» angeboten wird. Doch um es zu erhalten, muss man den Newsletter bestellen (und dafür persönliche Daten preisgeben).

• Das Sammeln von Daten auf Vorrat wird ebenfalls untersagt. Das heisst, es dürfen nur noch Daten erfasst werden, die für den Geschäftsverkehr notwendig Persönliche Interessen wie Angaben zu Hobbys etc. fallen also weg.

• Als Benutzer darf man neu Einsicht in alle erfassten persönlichen Daten verlangen, diese korrigieren oder löschen lassen.

Unternehmen, Vereine oder andere Rechtsformen – alle, die eine Dienstleistung anbieten und dafür persönliche Daten erfassen – müssen sich auf die Vorgaben der DSGVO vorbereiten.

Sie müssen (interne Massnahmen):

• ein Datenschutzkonzept erstellen und Mitarbeitende über den Umgang mit sensitiven Daten informieren

• bei Anfragen bereit sein, erfasste Daten innert kurzer Zeit gegenüber Kunden oder rechtlichen Instanzen unverändert offenzulegen

• das Vorgehen bei einem Missbrauch definieren

• etc.

Massnahmen auf der Webseite:

• Cookie-Balken mit Link zu Ihrer Datenschutzerklärung einfügen

• Bei Formularen wo Adressen und persönliche Angaben erforderlich sind, müssen die Kunden Ihr Einverständnis zu der Datenschutzerklärung geben (Kästchen mit Link).

• etc.

Der Versuch, etwas extrem Dynamsiches in den Griff zu bekommen

Es ist für mich verständlich, dass man etwas unternehmen will und muss. Dies ist längstens fällig. Doch die Mühlen des Gesetzes mahlen langsam, während sich die Technik immer schneller weiterentwickelt hat. Je länger ich mit meinem IT-Spezialisten oder mit andern Firmeninhabern über die DSGVO spreche, desto mehr spüre ich Erstaunen und höre immer wieder die Aussage: «Das ist ja gar nicht möglich …!»

Daten erfassen - und offline?

Vor einiger Zeit sass ich im Zug. Vis-à-vis von mir sass ein junger Mann, der mit dem Handy telefonierte.

«Es ist mir egal, ob er schwarz arbeitet, die Hauptsache ist, dass er seine Leistung bringt.»

Der weitere Verlauf des Gesprächs zeigte mir, dass es sich um einen Bauunternehmer ausländischer Herkunft handelte, so zwischen 30 und 40 Jahre alt. Er war nicht der Einzige, der im Zug oder Bus über sehr persönliche Daten sprach.

Ein Freund von mir erzählte mir einmal in einem vollen Bus, dass er seine Stelle wechseln werde - mit der Aufforderung:

«Sag’s aber noch niemandem.»

«Ja, klar» – bestätigte ich etwas irritiert. Weiter höre ich im Bus, wer welchen Musikgeschmack hat, wer was am Abend oder am Wochenende mit welchem Freund unternimmt. Das sind alles persönliche bekanntgegebene Daten. Nichts anderes!

Als ich früher mit meinem Hund spazieren ging, fielen mir plötzlich Dinge im Quartier auf, die ich vorher nicht bemerkt hatte. Wer investiert hat, in ein neues Auto oder in die Renovation des Hauses, oder wessen Tochter oder Sohn nun eine Partnerin oder Partner hat.

Fazit: Wir sind lesbar. Manchmal mehr als uns lieb ist.

Umdenken beginnt im Kopf

Eine ganze Welt lässt sich kaum mit einem Gesetz verändern, auch wenn die Strafen unangemessen hoch ausfallen bei nachgewiesenem Missbrauch. Jeder muss mitdenken. Doch wollen die Benutzer das wirklich? Sind wir nicht zuletzt dank des Internets etwas bequem geworden? Wer liest denn schon die AGBs?

«Wie bitte? Jetzt auch noch Datenschutzbestimmungen auf jeder Webseite lesen und akzeptieren?»

Die Umsetzbarkeit der DSGVO ist für mich eine der grossen Fragen. Es riecht nach aufgeblähter Administration, die letztendlich nur geringes Interesse bei den Kunden finden wird. Wen wundert‘s?

In der Zeitschrift Website-Boosting #49 lese ich von einem Entscheid des deutschen Bundesgerichtshofs. Das Gericht hat im Urteil I ZR134/16 geschrieben:

«Ohne die Verwendung von Metatags sind Internetseiten für Suchmaschinen nicht auffindbar.»

Eine Aussage, die nie und nimmer stimmt. Wenn der Gesetzgeber selbst nicht wirklich eine Ahnung von der digitalen Welt hat, wie überzeugend und nachvollziehbar wirkt die DSGVO dann? Ein Gesetz, von dem man den Eindruck hat, dass es ohne Berücksichtigung der Praxis erstellt wurde? Die drakonischen Strafen für fehlbare Unternehmen wirken auf mich dann geradezu lächerlich.

Fazit:

Der Umgang mit persönlichen Daten ist längstens ein Muss. Allerdings sind alle Parteien gefragt, auch die Nutzer selbst. Der Gesetzgeber tut gut daran, bei allfälligen Abmahnungen die realistischen Möglichkeiten für die Umsetzung der jeweiligen Unternehmen genau zu berücksichtigen. Es geht nicht nur um die Machbarkeit, sondern auch um die Glaubwürdigkeit des Gesetzgebers.