Informationeller Grundrechtsschutz hat seine Wurzeln in den USA. Es waren die US-Juristen Samuel D. Warren und Louis D. Brandeis, die mit ihrem Aufsatz \u201eThe Right to Privacy<\/i>\u201c im Jahr 1890 die rechtlichen Grund\u00fcberlegungen zu einem Immaterialg\u00fcter- und Privatheitsschutz legten.i<\/sup><\/a> Und es war Alan F. Westin, der 1966 mit \u201ePrivacy and Freedom<\/i>\u201cii<\/sup><\/a> die erste umfassende Analyse auf der Grundlage der inzwischen bestehenden Informationstechnik lieferte und hieraus verfassungsrechtliche Anforderungen ableitete. Seitdem ging es mit dem informationellen Grundrechtsschutz in den USA bergab und in Europa bergauf. Wichtige Wegmarken waren die Datenschutzgesetzgebung in Europa in den 1970er Jahren, das Volksz\u00e4hlungsurteil des deutschen Bundesverfassungsgerichts (BVerfG) 1983iii<\/sup><\/a>, die europ\u00e4ische Datenschutz-Richtlinie aus dem Jahr 1995iv<\/sup><\/a>, die explizite Grundrechtsfixierung des Datenschutzes in Art. 8 der seit 2009 wirksamen europ\u00e4ischen Grundrechte-Charta (GRCh) und nun j\u00fcngst die seit dem 25.05.2018 in der Europ\u00e4ischen Union (EU) direkt anwendbare Datenschutz-Grundverordnung (DSGVO).v<\/sup><\/a><\/p>\n Rechtlicher Grundrechtsschutz und faktische Grundrechtsdurchsetzung sind indes zwei Welten, die sich im Dauerkonflikt befinden. Alan F. Westin hat dies schon f\u00fcr die 1960er Jahre beeindruckend und ern\u00fcchternd dargestellt. Sp\u00e4testens seit dem Aufkommen des Internets entwickeln sich Rechtsanspruch und Realit\u00e4t schneller und weiter auseinander. US-Unternehmen wie Microsoft, Google, Apple, Facebook und Amazon begr\u00fcndeten ihre auf Informationstechnik basierenden Gesch\u00e4ftsmodelle ohne grundrechtliche R\u00fccksichtnahmen. Es sind insbesondere Google und Facebook, die mit der Vermarktung ihres Wissens \u00fcber ihre Digitalkunden vorrangig f\u00fcr Werbezwecke den globalen Markt dominieren. W\u00e4hrend Google noch minimal R\u00fccksicht auf rechtliche Vorgaben nimmt, basiert das Gesch\u00e4ftsmodell von Facebook von Anfang an und weiterhin auf Rechtsbruch.vi<\/sup><\/a> In den USA wird dieser bisher rechtlich und politisch weitgehend billigend in Kauf genommen, nicht zuletzt, weil damit erw\u00fcnschte globale \u00f6konomische und sicherheitspolitische, f\u00fcr das Land als positiv bewertete Effekte einhergehen: Es sprudeln nicht nur die Finanzquellen f\u00fcr die Unternehmen, sondern auch die Datenquellen, derer sich die US-Beh\u00f6rden nach Belieben bedienen.<\/p>\n Seit Beginn des 21. Jahrhunderts dr\u00e4ngen chinesische Firmen auf diesen globalen Markt. Alibaba entwickelt sich auf den M\u00e4rkten weltweit als ernsthafte Konkurrenz zu Amazon im Bereich der Online-Vermarktung. Huawei etablierte sich als globaler Marktf\u00fchrer bei der Netzausstattung. Mit TikTok schaffte es ein chinesischer Anbieter, in die Dominanz der US-Firmen im Social-Media-Bereich einzubrechen. Gegen\u00fcber den US-Firmen stehen sie direkt unter der Aufsicht und der F\u00fcrsorge der chinesischen Regierung bzw. der diese leitenden K<\/span>ommunistischen Partei. Ihr informationstechnisches Handeln ist von menschenrechtlichen oder demokratischen Erw\u00e4gungen vollst\u00e4ndig befreit.<\/p>\n Von der europ\u00e4ischen und allen voran der deutschen Politik wurde diese Entwicklung \u00fcber viele Jahre hinweg zun\u00e4chst mit ungl\u00e4ubigem, dann begeistertem Staunen verfolgt. Erst in j\u00fcngster Zeit weicht dies dem Erschrecken. Unternehmen aus Nordamerika und S\u00fcdostasien besetzen sukzessive die informationstechnischen M\u00e4rkte und \u00fcberlassen den europ\u00e4ischen Unternehmen allenfalls Zubringer- oder Hilfsdienste. Gest\u00fctzt wurde und wird dieses Machtverh\u00e4ltnis durch das in Europa geltende Recht, das zersplittert und nationalen Egoismen folgend keine gemeinsame Antwort auf die Herausforderungen der neuen Digitalm\u00e4rkte fand: W\u00e4hrend die ausl\u00e4ndischen Unternehmen ihre illegalen Gesch\u00e4ftsmodelle weiterentwickeln konnten, sahen und sehen sich die inl\u00e4ndischen Unternehmen weiterhin einem hohen regulativen Druck, auch im Bereich des Datenschutzes, ausgesetzt. Dies brachte und bringt die europ\u00e4ischen Unternehmen weiter ins technische und wirtschaftliche Hintertreffen.<\/p>\n Die europ\u00e4ische Politik in Br\u00fcssel entwickelte f\u00fcr diese schleichende digitale Entm\u00fcndigung, fr\u00fcher und klarer als die nationale Politik, ein zunehmendes Bewusstsein. Eine Antwort auf die digitale, \u00f6konomische und letztlich sicherheitspolitische Bedrohung ist die DSGVO: Nur durch einen Zusammenschluss in der Union und eine rechtliche Harmonisierung besteht die Chance, den globalen Herausforderungen durch US- und anderen ausl\u00e4ndische Unternehmen entgegenzutreten und dabei zugleich die bestehenden rechtlichen Werte zu bewahren. Der Fokus der DSGVO liegt auf dem Schutz personenbezogener Daten, also letztlich dem Schutz der Privatsph\u00e4re sowie des allgemeinen Pers\u00f6nlichkeitsrechts. Diese sind durch die zunehmende Digitalisierung aller Lebensbereiche immer st\u00e4rker bedroht.<\/p>\n Die Herausforderungen durch au\u00dfereurop\u00e4ische Unternehmen gehen aber dar\u00fcber hinaus: Diese monopolisieren die Digitalm\u00e4rkte in Europa, gef\u00e4hrden mit ihrer unbeschr\u00e4nkten Verbreitung von Hassreden und Falschnachrichten den demokratischen Diskurs, machen Profit, ohne Steuern zu zahlen oder auch nur f\u00fcr die gesellschaftlich verursachten Sch\u00e4den aufzukommen und betreiben eine Kommunikationsinfrastruktur, die nicht nach demokratischen Regeln funktioniert und deren Sicherheit vom Wohlwollen der Unternehmen abh\u00e4ngt. Beeintr\u00e4chtigt ist damit nicht nur die informationelle Selbstbestimmung der Nutzenden, sondern generell die gesellschaftliche und staatliche Souver\u00e4nit\u00e4t im Bereich der Digitalisierung.<\/p>\n Die Antworten der DSGVO auf die geschilderten Herausforderungen in Sachen Pers\u00f6nlichkeitsschutz scheinen dem ersten Anschein nach angemessen zu sein: Mit einem einheitlichen materiell-rechtlichen und prozeduralen Rahmen wird ein gemeinsamer Rechtsraum geschaffen, in dem eine wirksame Rechtsverfolgung und Sanktionierung angestrebt wird unter St\u00e4rkung der Betroffenenrechte und der M\u00f6glichkeiten der staatlichen Aufsicht. Ankn\u00fcpfend an bestehende Strukturen wird durch Kooperations- und Koh\u00e4renzmechanismen eine dezentral agierende und zugleich zentral wirksame Exekutive angestrebt. Mit dem EuGH besteht eine Instanz zur verbindlichen Kl\u00e4rung europaweit bestehender Anwendungskonflikte.<\/p>\n Die DSGVO blieb nicht das einzige Instrument zur Abwehr der mit der Digitalisierung entstandenen Gefahren. Europ\u00e4ische Initiativen f\u00fcr mehr Informationssicherheitvii<\/sup><\/a>, f\u00fcr eine Digitalsteuerviii<\/sup><\/a>, gegen die digitalen Marktmonopole oder durch Absprachen bei Ausschreibungen f\u00fcr den neuen 5G-Mobilfunkstandard sind weitere Schaupl\u00e4tze, auf denen die Politik der EU darauf angelegt ist, den Einfluss der au\u00dfereurop\u00e4ischen Unternehmen zur\u00fcckzudr\u00e4ngen und die eigenen zu st\u00e4rken. Am 19.02.2020 stellten Margret Vestager (Digitales) und Thierry Breton (Binnenmarkt) dazu eine Digitalstrategie der EU-Kommission vor.ix<\/sup><\/a><\/p>\n Vor diesem Hintergrund ist eine Evaluation der DSGVO zwei Jahre nach ihrem Wirksamwerden von gro\u00dfer Relevanz. Die EU-Kommission stellte sich dieser Herausforderung und legte am 24.06.2020 einen Berichtx<\/sup><\/a> sowie einen diesen erl\u00e4uternden Arbeitsberichtxi<\/sup><\/a> vor. Auch die Nichtregierungsorganisationen (NGOs) in Europa werteten die bisher gesammelten Erfahrungen aus. W\u00e4hrend die EU-Kommission ein grunds\u00e4tzlich positives Res\u00fcmee zieht, den Grundansatz der DSGVO als valide bewertet und einige spezifische Korrekturen vorschl\u00e4gt, \u00e4u\u00dferten die im Dachverband der europ\u00e4ischen Datenschutzorganisationen EDRi (European Digital Rights) zusammengeschlossenen 44 NGOs aus 19 EU-Mitgliedstaaten eher Fundamentalkritik. EDRi teilt zwar die Grundanliegen der DSGVO, stellt aber infrage, dass diese tats\u00e4chlich erreicht werden:xii<\/sup><\/a> Die Umsetzung der Verordnung in vielen Mitgliedstaaten sei ungen\u00fcgend und systematische Verst\u00f6\u00dfe blieben ungeahndet. Staaten wie Ungarn, die Slowakei oder Rum\u00e4nien w\u00fcrden die Datenschutzbeh\u00f6rden politisch instrumentalisieren, um gegen die freie Presseberichterstattung vorzugehen. In Polen werde die DSGVO zur Durchsetzung von undemokratischen Regierungszielen missbraucht.<\/p>\n Die NoYB-Initiative des Aktivisten Max Schrems (None of your Business<\/i>) stellte gar fest, dass die irische Datenschutzbeh\u00f6rde (DPC) mit dem globalen Platzhirsch im Bereich sozialer Medien \u2013 Facebook \u2013 zwecks Umgehung der geltenden Regelungen regelrecht konspiriert. Schrems wirft der DPC vor, in zehn gemeinsamen Sitzungen mit dem Unternehmen einen Plan ausgearbeitet zu haben, mit dem die strengen Anforderungen der DSGVO an eine wirksame Datenschutzeinwilligung umgangen werden k\u00f6nnen, indem stattdessen ein \u201eDatennutzungsvertrag\u201c fingiert wird.xiii<\/sup><\/a> Ein solches Vorgehen trifft einen Nerv der in der DSGVO vorgesehenen Mechanismen zur Durchsetzung des Datenschutzes, da die irische Aufsichtsbeh\u00f6rde wegen des europ\u00e4ischen Hauptsitzes von Facebook in Irland f\u00fcr die Kooperation und Durchsetzung federf\u00fchrend ist. Ihren Hauptsitz in Irland haben au\u00dferdem u.a. Google und Apple. Ein \u00e4hnliches Problem tut sich in Luxemburg auf, wo weitere wichtige Digitalunternehmen, z.B. Amazon, ihren Hauptsitz haben. Hintergrund dieser Standortpolitik, zu der auch eine nachsichtige Datenschutzaufsicht geh\u00f6rt, sind massive Steuerverg\u00fcnstigungen in diesen eher marginalen EU-Mitgliedstaaten. So wird der Datenschutz als digitaler Grundrechtsschutz zum steuer- und wirtschaftspolitischen Faktor.<\/p>\n Die Defizite bzgl. der Umsetzung der DSGVO sind aber nicht nur \u00f6konomisch bedingt. Sie beruhen auch auf b\u00fcrokratischen Beharrungskr\u00e4ften und einer B\u00fcrgerrechtsverweigerung durch viele Regierungen. Slowenien hielt <\/span>es bis heute nicht f\u00fcr n\u00f6tig, die Vorgaben der DSGVO normativ umzusetzen.xiv<\/sup><\/a> In \u00d6sterreich ist die nationale gesetzliche Umsetzung nach Max Schrems zur \u201ePfuschaktion\u201c missraten. Die Umsetzung in Deutschland ist \u00e4hnlich kritikw\u00fcrdig: Sachsen-Anhalt hat eine Anpassung an die DSGVO bisher vollst\u00e4ndig verweigert. Niedersachsens Regierung missachtet bewusst zentrale DSGVO-Vorgaben.xv<\/sup><\/a> Und auch auf nationaler Ebene wurde die DSGVO-Umsetzung weitgehend nur nominell umgesetzt und in einigen Bereichen dazu genutzt, den Datenschutz zur\u00fcckzuschrauben. Die im EDRi-Dachverband organisierten Mitgliedsorganisationen haben Beispiele aufgelistet, bei denen die DSGVO \u00fcberhaupt nicht umgesetzt, bewusst ignoriert oder deren Intention gar konterkariert wurden.<\/p>\n Liest man dagegen die Evaluation der EU-Kommission, so erscheint die DSGVO in einem erheblich positiveren Licht. Unternehmen mit Hauptsitz in den USA oder China werden mit keinem Wort erw\u00e4hnt. Doch hinter der diplomatischen Darstellung und zwischen den Zeilen tauchen die gleichen Defizite auf: Das ungen\u00fcgende Funktionieren der Kooperations- und Koh\u00e4renzmechanismen wird konstatiertxvi<\/sup><\/a>, ebenso wie die ungen\u00fcgende Ausstattung der Datenschutzaufsicht durch die nationale Politikxvii<\/sup><\/a> oder der misslungene Ausgleich zwischen Meinungsfreiheit und Datenschutz.xviii<\/sup><\/a><\/p>\n Das Glas der DSGVO ist zwar halb leer, es ist aber auch halb gef\u00fcllt. F\u00fcr die Bewertung der DSGVO ist relevant, dass Datenschutz zuvor noch weniger ernst genommen wurde, etwa wegen der minimalen drohenden Sanktionen bei Verst\u00f6\u00dfen. Die maximale Bu\u00dfgeldh\u00f6he betrug z.B. in Deutschland 300.000 Euro, gem\u00e4\u00df der DSGVO sind es nun 4% des globalen Jahresumsatzes eines Unternehmens (Art. 83 Abs. 4, 5 DSGVO). Es ist leider kein Paradoxon, dass Liberalit\u00e4t \u2013 digitaler Freiheitsschutz \u2013 in der DSGVO nur mit massiven Sanktionsandrohungen realisiert werden kann. Datenverarbeitung ist weitgehend \u00f6konomisch motiviert. Solange sich Rechtsverst\u00f6\u00dfe wirtschaftlich lohnen, gibt es keinen Grund, diese einzustellen. Tats\u00e4chlich hatten die Sanktionsdrohungen der DSGVO insbesondere in der deutschen Wirtschaft und im gesellschaftlichen Leben die Wirkung, dass die eklatanten Vollzugsdefizite beim Datenschutz reduziert wurden. Datenschutz wird erstmals von vielen Akteuren wahr und ernst genommen und in der Praxis umgesetzt und nicht, wie bisher oft, ignoriert oder eingepreist.<\/p>\n Nach den ersten zwei Jahren der DSGVO-Anwendung muss man aber den Eindruck haben, dass die Kleinen geh\u00e4ngt werden, w\u00e4hrend man die Gro\u00dfen laufen l\u00e4sst. Dar\u00fcber kann auch das Datenschutzges\u00e4usel von Gro\u00dfkonzernenxix<\/sup><\/a> wie von staatlichen Einrichtungen nicht hinwegt\u00e4uschen. Medial verbreitete Lippenbekenntnisse haben oft ausschlie\u00dflich die Funktion, von den tats\u00e4chlichen Rechtsverst\u00f6\u00dfen abzulenken. Geht es um eine effektive Umsetzung der DSGVO, st\u00f6\u00dft man immer noch auf heftige Gegenwehr. Wie wenig Einsicht oft besteht, demonstriert wohl am anschaulichsten Facebook, das trotz vollmundigem Propagierens individueller Selbstbestimmung kein Jota seines die Selbstbestimmung leugnenden Gesch\u00e4ftsmodells aufgibt, solange das Unternehmen nicht durch Aufsicht und Gerichte da<\/span>zu gezwungen wird.<\/p>\n Die DSGVO \u2013 best\u00e4rkt durch den EuGH mit seiner Rechtsprechung z.B. zu Safe Harborxx<\/sup><\/a>, zu Googlexxi<\/sup><\/a> oder Facebookxxii<\/sup><\/a> \u2013 erweist sich aber trotz aller Ern\u00fcchterung in der Praxis als ein Gegenkonzept zur \u00dcberwachungsstaatlichkeit und <\/i>zum \u00dcberwachungskapitalismus,xxiii<\/sup><\/a> Sie k\u00f6nnte ein Rezept gegen die US-amerikanische und chinesische Gef\u00e4hrdung digitaler Grundrechte sein. Sie verbietet die digitale Gleichschaltung von Menschen und Gesellschaft nach dem Willen eines dominanten Partei- und Staatsapparats, so wie dies in China praktiziert wird. Sie steht auch der US-amerikanischen Variante entgegen, wo der Staat den Konzernen weitgehend freien Lauf l\u00e4sst bei ihrem Bestreben, die auf Konsumenten reduzierten Menschen informationell auszubeuten, und wo sich die Geheimdienste der informationellen M\u00f6glichkeiten der Konzerne nach Belieben bedienen, auch um daraus politisches Kapital zu schlagen. F\u00fcr die B\u00fcrgerrechtsorganisationen und selbst f\u00fcr Teile des politischen Establishments in den USA ist die DSGVO Vorbild f\u00fcr eine nationale Regulierung von \u201ePrivacy\u201c. Im Bundesstaat Kalifornien wurde ein Datenschutzgesetz verabschiedet, bei dem die DSGVO Pate stand.xxiv<\/sup><\/a><\/p>\n Die DSGVO hat auch Vorbildwirkung in Staaten, die mit Europa Handel betreiben und durch eine entsprechende Gesetzgebung Erleichterungen bei informationellen Wirtschaftsaktivit\u00e4ten erhoffen. So wurde nach gesetzlichen \u00c4nderungen der Datenschutz in Japan von der EU-Kommission als angemessen anerkannt.xxv<\/sup><\/a> Brasilien hat sich ein Gesetz gegeben, das sich an der DSGVO orientiert.xxvi<\/sup><\/a> Auch in Chile, S\u00fcdkorea, Kenia und Indien steht die DSGVO Pate f\u00fcr entsprechende Regulierungen.xxvii<\/sup><\/a><\/p>\n Bei der DSGVO steht zwar der Grundrechtsschutz nach Art. 8 GRCh im Mittelpunkt, zugleich verfolgt sie aber dar\u00fcberhinausgehend das Ziel, generell die Grundrechte und Grundfreiheiten nat\u00fcrlicher Personen bei der Digitalisierung zu sch\u00fctzen (Art. 1 Abs. 2 DSGVO). Adressiert werden damit der Schutz des Telekommunikationsgeheimnisses in Art. 7 GRCh, der in Art. 21 GRCh garantierte Schutz vor (digitaler) Diskriminierung sowie anderweitiger Schutz, etwa von Kindern und Familie, von Verbrauchern und Besch\u00e4ftigten, der demokratischen Meinungsbildung. Mit einer weitgehenden Privilegierung wissenschaftlicher Forschung liefert sie die Grundlagen f\u00fcr einen evidenzbasierten Fortschritt.xxviii<\/sup><\/a> Die DSGVO verfolgt damit umfassend das Ziel der Wahrung von Demokratie und Rechtsstaatlichkeit in einer freiheitlichen Informationsgesellschaft.xxix<\/sup><\/a><\/p>\n Die DSGVO kann insofern nur ein wichtiger Zwischenschritt sein. Um eine demokratische und freiheitliche Informationsgesellschaft zu wahren bzw. zu entwickeln, bedarf es eines umfassenderen Rechtsrahmens. Grundlage hierf\u00fcr sollte ein neuer verfassungsrechtlicher Rahmen sein, wozu es mit den Entw\u00fcrfen f\u00fcr eine \u201eCharta der digitalen Grundrechte der Europ\u00e4ischen Union\u201c erste Vorschl\u00e4ge gibt.xxx<\/sup><\/a> Dabei geht es um die rechtliche Einhegung von selbstlernenden maschinellen Systemen (der sog. \u201ek\u00fcnstlichen Intelligenz\u201c) und von \u201eBig Data\u201c bzw. generell: um Algorithmenkontrolle, um die Verwirklichung von Informationsfreiheit in Staat und Wirtschaft sowie um eine Grundversorgung mit digitalen Diensten und Netzen.xxxi<\/sup><\/a><\/p>\n Zwei Jahre Praxiserfahrung mit der DSGVO haben offengelegt, dass deren Grundansatz richtig ist, dass es aber schon innerhalb dieses Regelwerks Nachbesserungsbedarf gibt. So ist es offensichtlich, dass die bisherigen Kooperations- und Koh\u00e4sionsmechanismen bei der Datenschutzaufsicht zu schwerf\u00e4llig und zeitaufw\u00e4ndig sind. Diese Mechanismen sind auf deutscher Seite dadurch verkompliziert, dass die Datenschutzaufsicht nicht zentral, sondern durch die Beh\u00f6rden der L\u00e4nder erfolgt. Die Forderung nach einer nationalen Zentralisierung im Interesse der Rechtssicherheit der Unternehmen steht schon seit l\u00e4ngerem zur Diskussion und wurde j\u00fcngst von der Wirtschaftsministerkonferenz und in einem Gutachten der Datenethikkommission vorgetragen.xxxii<\/sup><\/a> Das Durchsetzungsproblem beim Datenschutz liegt aber nicht auf der nationalen, sondern auf der europ\u00e4ischen Ebene: Die notorischen Gesetzesverst\u00f6\u00dfe erfolgen europaweit durch internationale Konzerne. Dass lokale Egoismen und Standortinteressen bei der Durchsetzung des Datenschutzes hinderlich sind, ist weniger ein deutsches als ein europ\u00e4isches Problem. Es ist deshalb naheliegend, auf europ\u00e4ischer Ebene eine einheitliche Instanz zu schaffen, die bei EU-weiten Verarbeitungen die Aufgabe der Datenschutzaufsicht wahrnimmt. Um deren Unabh\u00e4ngigkeit zu wahren, ist es denkbar, dass eine solche Instanz als operativer Arm des Europ\u00e4ischen Datenschutzausschusses (Art. 68 ff. DSGVO) installiert wird.<\/p>\n Die in der DSGVO vorgesehenen Verhaltensregeln (Art. 40, 41), mit denen sich die Wirtschaft im vorgegebenen gesetzlichen Rahmen spezifische Regeln schaffen kann, haben ein hohes Potenzial, das noch nicht ansatzweise ausgesch\u00f6pft wird. Die Bereitschaft zur Selbstregulierung nimmt in dem Ma\u00dfe zu, in dem sie als angenehmere Alternative zur staatlichen Regulierung erscheint. Angesichts des weiterhin bestehenden Vollzugsdefizits im Datenschutz wegen \u00dcberforderung der Aufsichtsbeh\u00f6rden fehlt dieser Druck derzeit. Dies kann und muss sich dadurch \u00e4ndern, dass die Kontrolldichte in den einzelnen Wirtschaftssektoren erh\u00f6ht wird. Auch Klageaktivit\u00e4ten der Verbraucherschutzorganisationen k\u00f6nnen den Druck bewirken, der Unternehmen und ganze Branchen zur kontrollierten Selbstregulierung motiviert.<\/p>\n Noch mehr Potenzial als in den Verhaltensregeln liegt in den in der DSGVO vorgesehenen M\u00f6glichkeiten zur Zertifizierung von Datenverarbeitungsverfahren. N<\/span>ach au\u00dfen hin waren hier in den ersten zwei Jahren keine Fortschritte erkennbar. Der Eindruck dr\u00e4ngt sich auf, dass die Aufsichtsbeh\u00f6rden, anders als etwa die EU-Kommissionxxxiii<\/sup><\/a>, kein Interesse an solchen Marktmechanismen haben. Es w\u00e4re ein vertane Chance, wenn die Regelungen der Art. 42, 43 DSGVO weiterhin fleischlose normative Skelette blieben. Es bietet sich an, das dort vorgesehen Zertifizierungsverfahren nicht auf Verarbeitungssysteme zu beschr\u00e4nken, sondern auch IT-Produkte einzubeziehen, die die Hersteller einer unabh\u00e4ngigen Datenschutz\u00fcberpr\u00fcfung unterziehen lassen k\u00f6nnen.xxxiv<\/sup><\/a><\/p>\n Entwicklungsbed\u00fcrftig ist auch die Regelung automatisierter Entscheidungen \u2013 einschlie\u00dflich Profiling (Art.\u00a022 DSGVO). S<\/span>ie zielt darauf ab, die Kontrolle \u00fcber die Menschen kontrollierende Computer zu wahren. Die Tatbestandsvoraussetzungen sind so vage, dass weder ein M<\/span>ehr an Transparenz noch ein Mehr an individueller Selbstbestimmung erreicht wird. Schuld hieran ist zweifellos auch eine r\u00fcckst\u00e4ndige nationale Rechtsprechung, die invasive Algorithmen als Betriebs- und Gesch\u00e4ftsgeheimnisse im Dunkeln l\u00e4sst.xxxv<\/sup><\/a> Der verwendete Begriff der \u201eEntscheidung\u201c erleichtert die Ausblendung manipulativer Werbema\u00dfnahmen und Informationsangebote.xxxvi<\/sup><\/a> Diskriminierung durch Algorithmen, ein inzwischen in Bezug auf sog. K\u00fcnstliche Intelligenz intensiv diskutierter Toposxxxvii<\/sup><\/a>, wird in Art. 22 nicht direkt adressiert. Algorithmen treffen nicht nur die von der DSGVO gesch\u00fctzten nat\u00fcrlichen, sondern auch juristische Personen. Dessen ungeachtet enth\u00e4lt Art. 22 DSGVO einen ausf\u00fcllungsf\u00e4higen Rahmen, der von der Politik zum Ausgangspunkt f\u00fcr eine umfassendere Algorithmenkontrolle genommen werden kann.xxxviii<\/sup><\/a><\/p>\n Der EuGH hat mit seinen Entscheidungen zur gemeinsamen Verantwortlichkeit, die in Art. 26 DSGVO geregelt ist, einen gewaltigen Kl\u00e4rungsbedarf verursacht. Die gemeinsame Verantwortlichkeit wurde <\/span>in der Vergangenheit bisher nur selten angenommen, ist in der Praxis aber von umfassender Relevanz.xxxix<\/sup><\/a> Zwar hat der EuGH weitgehend gekl\u00e4rt, wann eine Datenverarbeitung gemeinsam zu verantworten ist. Rechtsunsicherheit besteht aber, wie die Rechtsbeziehung zwischen den Verantwortlichen konkret zu gestalten ist und welche Anspr\u00fcche sich hieraus ergeben, etwa auf Information oder auf Vertragsabschluss.xl<\/sup><\/a> Hier sind legislatorische Klarstellungen, wie sie f\u00fcr die einfacher gestaltete Auftragsverarbeitung in Art.\u00a028 DSGVO bestehen, dringend n\u00f6tig.<\/p>\n Dem Ausgleich zwischen Meinungsfreiheit und Datenschutz kommt eine zentrale Bedeutung f\u00fcr die Wahrung einer freien Meinungsbildung in unserer digitalisierten Gesellschaft zu. Die Erfahrungen mit der Beeinflussung politischer Prozesse \u00fcber Internetdienste, etwa anl\u00e4sslich des US-Pr\u00e4sidentschaftswahlkampfs 2016 oder der Brexit-Kampagne in Gro\u00dfbritannien 2016 zeigen, dass es eines rechtlichen Instrumentariums bedarf, um den Medienmissbrauch zu begrenzen. Zwar hat die DSGVO diesen Bereich noch den nationalen Gesetzgebern \u00fcberlassen (Art. 85), doch besteht die Option, auch auf Unionsebene verst\u00e4rkt vereinheitlichend und zugleich grundrechtsoptimierend t\u00e4tig zu werden.<\/p>\n Die DSGVO macht als Grundverordnung nur grundlegende Vorgaben f\u00fcr den Datenschutz. Dies wird gerade in Deutschland oft beklagt, wo wir teilweise hoch differenzierte spezielle Konkretisierungen des Datenschutzes kennen. Die DSGVO steht einer solchen Spezifizierung nicht entgegen, sondern ist die Voraussetzung hierf\u00fcr. Leider kommt die \u2013 \u00fcberf\u00e4llige \u2013 bereichsspezifische Pr\u00e4zisierung im Bereich der Telekommunikation durch die ePrivacy-Verordnung nicht voran. Auch in anderen Bereichen sollten Pr\u00e4zisierungen nicht durch die Mitgliedstaaten, sondern durch die Union selbst erfolgen. Im Bereich des Verbraucherschutzes haben sich EU-Parlament und Mitgliedstaaten auf ein Regelwerk f\u00fcr kollektiven Rechtsschutz in Form von Sammelklagen geeinigt, das in Art. 80 DSGVO angelegt ist und \u00fcber die nationalen Instrumente der Verbands- und der Musterfeststellungsklage hinausgeht.xli<\/sup><\/a> Angesichts der Jahrzehnte dauernden Zur\u00fcckhaltung der nationalen Gesetzgeber beim Besch\u00e4ftigtendatenschutz ist nun im Rahmen des Art. 88 DSGVO die Union gefordert.xlii<\/sup><\/a> Auch die Digitalisierung der Gesundheitsversorgungxliii<\/sup><\/a> und die informationelle St\u00e4rkung der Forschungxliv<\/sup><\/a> lassen sich auf Unionsebene wirksamer realisieren als national.<\/p>\n Die DSGVO verkn\u00fcpft bisher getrennte Rechtsbereiche. Dies gilt nicht nur f\u00fcr den Verbraucherschutz (Art. 80 DSGVO)xlv<\/sup><\/a> und das Arbeitsrecht (Art. 88 DSGVO), sondern kann und sollte auch f\u00fcr die Informationssicherheit gelten (Art 25, 32 DSGVO), wobei einheitliche Zertifizierungen (vgl. Art. 42, 43 DSGVO) als verbindendes Element geschaffen werden k\u00f6nnten. Rudiment\u00e4r blieben bisher die Verbindungen zwischen Datenschutz und Marktregulierung. Die Orientierung der DSGVO-Sanktionen am Kartellrecht war ein erster Anfang einer Ann\u00e4herung der beiden Rechtsgebiete. Inzwischen verbreitet sich die Erkenntnis im Kartellrecht, dass Datenschutzverst\u00f6\u00dfe unlauterer Wettbewerb und eine Beeintr\u00e4chtigung eines freien Marktes sein k\u00f6nnen.xlvi<\/sup><\/a><\/p>\n Das n\u00e4chste Digitalthema lauert schon vor der T\u00fcr: Anfang 2019 verk\u00fcndete Facebook-Chef Mark Zuckerberg die Schaffung einer privaten Weltw\u00e4hrung, die er \u201eLibra\u201c nennt. Facebook sucht f\u00fcr die \u201eLibra Association<\/i>\u201c weltweit Mitstreiter. Schon bisher ist digitales Zahlen ein Vorgang, dem sich allenfalls Finanzaufsichtsbeh\u00f6rden, aber kaum B\u00fcrgerrechtler und Datensch\u00fctzer widmen. Digitales Zahlen hinterl\u00e4sst Spuren der Nutzer, deren Sekund\u00e4rnutzung von h\u00f6chster Sensitivit\u00e4t ist. Durch die Zur\u00fcckdr\u00e4ngung des anonymen Bargeldes werden diese Spuren immer mehr und aussagekr\u00e4ftiger. Zum Zweck der Geldw\u00e4schebek\u00e4mpfung haben die EU-Staaten schon erste Strukturen aufgebaut, um diese Spuren gezielt auszuwerten.xlvii<\/sup><\/a> Schon bisher haben die Internet-Plattformanbieter ihre eigenen Zahlungsverfahren. Mit einer \u00fcbergreifenden globalen privaten digitalen W\u00e4hrung k\u00f6nnten sich die Digitalunternehmen als Betreiber nationaler Kontrolle entziehen und ihren \u00f6konomischen Einfluss erheblich ausbauen<\/span>. Es ist daher an der Zeit, dass sich Finanz- und Grundrechtsaufseher austauschen.xlviii<\/sup><\/a><\/p>\n Bisher tut sich die EU-Kommission noch schwer, einen Ansatz f\u00fcr eine umfassende Regulierung f\u00fcr Internet-Plattformen zu finden.xlix<\/sup><\/a> Ein Grund daf\u00fcr liegt wohl darin, dass auch in der Kommission noch sektorspezifische Sichtweisen dominieren. In der Praxis haben sich aber die Bedrohungen f\u00fcr Datenschutz und Verbraucherschutz, durch Hass- und Falschnachrichten, durch Marktkonzentration und Wettbewerbsverzerrung schon l\u00e4ngst vereint. Es ist daher n\u00f6tig, auch die Bek\u00e4mpfung dieser Gefahren zusammenzuf\u00fchren. Dies kann durch Aufgabenkonzentration erfolgen, in vielen Fragen w\u00e4re aber wohl schon eine engere institutionalisierte Kooperation der zust\u00e4ndigen Stellen ausreichend.<\/p>\n Die DSGVO eignet sich schlie\u00dflich als ein zentraler Ausgangspunkt f\u00fcr die Sicherung \u201edigitaler Souver\u00e4nit\u00e4t\u201c.l<\/sup><\/a> Angesichts der globalen informationellen Vernetzung und der damit einhergehenden Abh\u00e4ngigkeiten dringt immer mehr ins Bewusstsein, dass informationelle Selbstbestimmung die technische Unabh\u00e4ngigkeit von Fremdbestimmung voraussetzt. Das <\/span>gilt nicht nur f\u00fcr nat\u00fcrliche Personen, sondern ebenso f\u00fcr juristische Personen wie <\/span>Wirtschaftsunternehmen und Beh\u00f6rden, aber letztlich auch f\u00fcr Nationalstaaten und die Europ\u00e4ische Union als supranationales, einheitliches Rechtsgebiet. Seit den Enth\u00fcllungen Edward Snowdens \u00fcber die geheimdienstliche Durchdringung unseres informationellen Lebens durch Geheimdienste wie die NSA oder den GCHQ im Jahr 2013 sollte klar sein, dass Selbstbestimmung die Kontrolle \u00fcber die selbst genutzte Informationsinfrastruktur bedingt.li<\/sup><\/a><\/p>\n Die DSGVO ist trotz vieler Defizite eine Erfolgsgeschichte, die erst am Anfang steht und die weitergeschrieben werden muss. Dass diese nachhaltig wird und bleibt, ist keine Selbstverst\u00e4ndlichkeit. N\u00f6tig sind vor allem mehr politische Unterst\u00fctzung und mehr Druck aus der Zivilgesellschaft. Die DSGVO schafft das Fundament f\u00fcr einen viel umfangreicheren digitalen Grundrechtsschutz in Europa, bei dem der Datenschutz mit weiteren Rechtsgebieten verzahnt werden muss. In der Politik wurde lange Zeit relativ unreflektiert \u201emehr Digitalisierung\u201c gefordert. Inzwischen zeigt sich, dass es nicht einfach um \u201emehr\u201c geht, sondern um eine hochdifferenzierte Gestaltung. Die DSGVO gibt hierf\u00fcr wichtige Impulse. Diese d\u00fcrfen nicht verpuffen. Anderenfalls besteht die realistische Gefahr, dass sich die freiheitsnegierenden Angebote aus den USA und China in Europa weiter verbreiten und etablieren.<\/p>\n Dr. <\/b><\/span><\/strong>Thilo\u00a0Weichert<\/b><\/span><\/strong> Jahrgang 1955, studierte Rechts- und Politikwissenschaften und promovierte mit einer Arbeit zum Datenschutz im strafrechtlichen Ermittlungsverfahren. Er geh\u00f6rte von 1984 bis 1986 dem Landtag von Baden-W\u00fcrttemberg an, danach war er als Rechtsanwalt und Berater und ab 1992 als Referent beim nieders\u00e4chsischen Datenschutzbeauftragten t\u00e4tig. 1998 wechselte er nach Schleswig-Holstein, wo er von 2004 bis 2015 Datenschutzbeauftragter des Landes war. Er ist Mitglied des Netzwerks Datenschutzexpertise (www.netzwerk-datenschutzexpertise.de) und Vorstandsmitglied der Deutschen Vereinigung f\u00fcr Datenschutz (DVD).<\/p>\n i<\/a>Warren\/Brandeis, The Right to Privacy, Harvard Law Review, Vol. <\/span>IV Dec.. 15, 1890 No. 5, \u00fcbersetzt in DuD 2012, 755 ff. = FIfF-Ko 2\/2012, 45 ff.; dazu Weichert DuD 2012, 753 f.<\/p>\n<\/div>\n ii<\/a>Westin, Privacy and Freedom, 6th printing, 1970.<\/p>\n<\/div>\n iii<\/a>BVerfG, U. v. 15.12.1983 \u2013 2 BvR 209\/83 u.a., NJW 1984, 419 ff.<\/p>\n<\/div>\n iv<\/a>Richtlinie 95\/46\/EG v. 24.10.1995, ABl. v. 23.11.1995, L 281, 31.<\/p>\n<\/div>\n v<\/a>Verordnung (EU) 2016\/679, ABl. v. 04.05.2016, L 119\/1<\/p>\n<\/div>\n vi<\/a>Weichert, DuD 2012, 716 ff.<\/p>\n<\/div>\n vii<\/a>European Network and Information Security Agency (ENIS), Richtlinie (EU) 2016\/1148 v. 06.07.2016 (NIS-RL); Ruhmann\/Bernhardt, IT-Sicherheit und Telekommunikationsrecht, 15.11.2017, https:\/\/www.netzwerk-datenschutzexpertise.de\/sites\/default\/files\/gut_tkg-neufassung2017.pdf.<\/a><\/p>\n<\/div>\n viii<\/a>Gammelin, Am Ball \u2013 Paris und Berlin betonen Einigkeit bei Digitalsteuer, S\u00fcddeutsche Zeitung (SZ) 23.06.2020, 5.<\/p>\n<\/div>\n ix<\/a>Beisel, Gesichtsverlust, SZ 20.02.2020, 18.<\/p>\n<\/div>\n x<\/a>European Commission, Data protection rules as a pilar of citizen\u00b4s empowerment and EU\u00b4s approach to digital transition \u2013 two years of application of the General Data Potection Regulation, COM(2020) 264.<\/p>\n<\/div>\n xi<\/a>European Commission, Commission Staff Working Document, SWD(2020) 115.<\/p>\n<\/div>\n xii<\/a>EDRi, 25.05.2020, https:\/\/edri.org\/open-letter-edri-urges-enforcement-and-actions-for-the-2-year-anniversary-of-the-gdpr\/.<\/a><\/p>\n<\/div>\n xiii<\/a>Moechel, Datenschutz-NGOs frontal gegen Datenschutzbeh\u00f6rden, 31.05.2020, fm4.orf.at\/stories\/3003167\/.<\/p>\n<\/div>\n xiv<\/a>European Commission (Anm<\/span>. 10), S. 6; Commission Staff Working Document (Anm<\/span>. 11), S. 26.<\/p>\n<\/div>\n xv<\/a>Deutsche Vereinigung f\u00fcr Datenschutz (DVD), DANA 2\/2019, 79.<\/p>\n xvi<\/a>European Commission (<\/span>A<\/i><\/span>nm. 10), S. 5.<\/span><\/p>\n<\/div>\n xvii<\/a>European Commission (<\/span>A<\/i><\/span>nm. 10), <\/span>S. 6.<\/p>\n<\/div>\n xviii<\/a>European Commission (<\/span>A<\/i><\/span>nm. 10), <\/span>S. 7.<\/p>\nDie europäische Antwort<\/span><\/h3>\n
Evaluation der DSGVO<\/span><\/h3>\n
Positive Effekte<\/span><\/h3>\n
Digitaler Grundrechtsschutz<\/span><\/h3>\n
Nachbesserungsbedarf<\/span><\/h3>\n
Spezifizierungsbedarf<\/span><\/h3>\n
Über den Datenschutz hinaus<\/span><\/h3>\n
Fazit<\/span><\/h3>\n
Anmerkungen:<\/span><\/h3>\n