Vier Jahre DSGVO: Baustelle statt großer Wurf

Die Datenschutz-Grundverordnung (DSGVO oder GDPR) bildet seit dem 25. Mai 2018 den gemeinsamen Datenschutzrahmen in der Europäischen Union. Sie ist darüber hinaus seit dem 20. Juli 2018 auch in den Nicht-EU-Staaten des Europäischen Wirtschaftsraumes (EWR) Island, Liechtenstein und Norwegen geltendes Recht. Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates wurde aber bereits am 27. April 2016 erlassen und soll zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr, dienen. Nach vier Jahren DSGVO fällt die Bilanz allerdings gemischt aus.

Dass die DSGVO ein Schritt in die richtige Richtung war, um persönliche Daten der EU-Bürger zu schützen, steht außer Frage. Probleme bereiten die unterschiedliche Umsetzung innerhalb der EU-Mitgliedsstaaten sowie die Behandlung des Datentransfers in Länder außerhalb der EU. So wurden Datenschutzabkommen, die von der EU mit den USA geschlossen wurden, bisher regelmäßig durch den europäischen Gerichtshof gekommt.

eco fordert einheitliche Anwendung

Der eco Verband (Verband der Internetwirtschaft in Europa) erinnert, dass die Datenschutzgrundverordnung (DSGVO) zwar seit vier Jahren in Europa gelte. Doch noch immer herrschten Unsicherheiten bei dessen Interpretation und Umsetzung, moniert der Verband. Die eco – Verband der Internetwirtschaft e.V. fordert daher eine einheitliche Anwendung der DSGVO, die nicht nur Rechtsklarheit sowie nötige Spielräume für Entwicklung und Innovation schafft, sondern auch die Handhabung für Internetnutzer erleichtert. eco Geschäftsführer Alexander Rabe sagte dazu:

Die DSGVO sollte vor vier Jahren den Impuls setzen, die europäischen Bestimmungen zu vereinheitlichen. International wird die DSGVO auch exakt so wahrgenommen und das ist positiv. Natürlich bauen ein funktionierender Datenschutz und DSGVO-konformes Handeln im besten Fall weiteres Vertrauen in digitale Dienste und Anwendungen auf. Damit bildet die DSGVO grundsätzlich den richtigen Ansatz für die Vollendung eines digitalen Binnenmarktes in Europa, der nicht durch widersprüchliche Kleinteiligkeit und überbordende Bürokratie erstickt werden darf.

Stand jetzt variiert dessen Interpretation nicht nur bei einer Vielzahl der EU-Mitgliedsstaaten – selbst innerhalb Deutschlands bestehen Zweifel über die Einheitlichkeit der Sichtweisen der Landesdatenschutzbeauftragten. Das ist für Niemanden ein verlässliches Signal: Diese Unsicherheit, die letztendlich uns alle betrifft – vom Konzern und KMU's bis zum Start-Up, genauso wie Schulen, Verwaltung und letztlich jeden Internetuser – muss die Politik schnellstmöglich beseitigen. Auf Bundesebene kann die Ampelregierung dies unter anderem mit gemeinsamen Handreichungen erreichen. eco Datenschutzbeauftragte unterstützen hier.

Und auch der Datenaustausch außerhalb Europas muss im Zuge der DSGVO dringend vereinfacht werden. Die Harmonisierung des transatlantischen Datentransfers muss jetzt ganz oben auf die Agenda, um nicht weitere Verunsicherungen bei KMU und der digitalen Transformation im Allgemeinen herbeizuführen. Das Signal von EU-Kommissionspräsidentin Ursula von der Leyen und US-Präsident Joe Biden haben hoffen lassen. Jetzt muss es zeitnah pragmatische und gut umsetzbare Lösungen geben.

Die Umsetzung eines Datentransfer-Abkommens mit den USA steht immer noch in den Startlöchern, nachdem der europäische Gerichtshof (EuGH) 2020 das zwischen den USA und der EU geschlossene Datenschutzabkommen "Privacy Shield" gekippt hatte (siehe auch die Ausführungen im Beitrag EuGH kippt EU-US-Datenschutzvereinbarung "Privacy Shield"). Auch das Vorgängerabkommen, Safe Harbor genannt, war vom EuGH gekippt worden (siehe Safe Harbor: EuGH erklärt Abkommen für ungültig). Nun hat die Branche Hoffnung auf ein neues Abkommen, nachdem kürzlich ein Lichtstreif am Horizont verkündet wurde (siehe Vorläufige Einigung zwischen EU und USA im Trans-Atlantic Data Privacy Framework).

Cyberkriminelle nutzen DSGVO

Ein Aspekt, den Viele nicht auf dem Radar haben: Für Cyberkriminelle bietet die DSGVO ein nettes Druckmittel gegen Opfer, bei denen man per Hack oder Ransomware persönliche Daten erbeutet hat. Man erpresst die Opfer mit der Drohung, erbeutete persönliche Daten zu veröffentlichen. Laut diesem Report geben 83% der Befragten, die Opfer von Ransomware-Angriffen wurden, zu, ein Lösegeld bezahlt zu haben. Das betrifft zwar die Hoffnung, dass verschlüsselte Daten wieder entschlüsselt werden können. Aber auch das Geheimhalten des Vorfalls vor der Öffentlichkeit könnte eine Rolle spielen. Juristisch muss die Firma den Vorfall, sobald er bemerkt wird, der Datenschutzaufsicht aber melden – egal, wie die Verhandlungen mit den Cyberkriminellen ausgehen. Unternehmen werden durch die DSGVO aber gezwungen, ihre Sicherheitsmaßnahmen zu überdenken und die Speicherung persönlicher Daten zu minimieren.

Der Teufel steckt im Detail

Insbesondere Webauftritte bergen die Gefahr, mit der DSGVO in Konflikt zu geraten. Hier im Blog habe ich 2018 einiges im Hinblick auf Datensparsamkeit von Nutzerinhalten (Kommentare etc.) umgesetzt (Ziel ist es, möglichst wenig über meine Besucher, die ggf. auch Kommentieren, zu wissen, weshalb weder Name noch E-Mail-Adresse angegeben werden müssen). Was ich als Risiko sehe: Dass bei Aktualisierungen oder Überarbeitungen von Webseiten ungewollt und unbemerkt bereits einmal umgesetzte DSGVO-Vorgaben verletzt werden. Ist mir hier bereits passiert, dass plötzlich ein Link auf die Datenschutzerklärung durch einen WordPress-Bug weggefallen ist (ein Leser wies mich darauf hin, dass ein Link auf ein falsches Ziel verwies).

Das Cookie-Desaster

Ein ganz heikles Thema sind Cookies und die Cookie-Zustimmung, wo Betreiber von Webseiten gezwiebelt und Nutzer durch Cookie-Banner genervt werden. Dort muss ich aus meiner Sicht ein Versagen der Politik, der Datenschützer und auch der Werbeindustrie feststellen. Von Seiten der Politik wurde die DSGVO bezüglich der Ausführung sehr unkonkret formuliert. Die Datenschützer haben es nicht geschafft, verbindliche Regeln EU-weit für alle Inhaltsanbieter im Web vorzugeben. Da sind Nutzer mit "I don't care about Cookies"-Plugins unterwegs, um die Cookie-Consent-Banner der Webseiten (die die Betreiber aus DSGVO-Gründen schalten müssen) automatisch auszuknipsen. Gleichzeitig hat diese Klientel kein Problem, in sozialen Netzwerken wie Facebook oder Twitter alles zu posten, was nicht niet- und nagelfest ist.

Sozial Media Plattformen und große Anbieter erzwingen die Nutzerzustimmung, damit diese die Plattformen nutzen können – bzw. auch große Webseitenbetreiber können mit registrierten Benutzern arbeite, die diese Zustimmung erteilen. Das möchte ich nicht, denn ohne Registrierung gibt es bei mir dann auch keine Nutzerdatenbank, die gehackt werden könnte (eine der DSGVO-bedingten Entscheidungen, die ich 2018 getroffen habe).

Kann man kopfschüttelnd zur Kenntnis nehmen, wenn da nicht noch der technische Pferdefuß für Webseitenbetreiber wäre, der diese ggf. von der Monetarisierung abschneidet. Denn leider haben Werbeanbieter und EU-Datenschützer es nicht geschafft, sich auf einen sauberen Rahmen für Alle zu einigen. Die Cookie-Ablehnung erfolgt durch die Nutzer in gutem Glauben, das Tracking durch Werbetreibende über Drittanbieter-Cookies zu unterbinden – bin ich voll dabei. Nur wird das "Kind mit dem Bade ausgeschüttet", die Besucher lehnen (hier im Blog gut 60%) oft rigoros alle Cookies, also auch technisch erforderliche Cookies, ab. Führt dazu, dass das technisch erforderliche Cookie, welches festlegt, dass der Benutzer einer Cookie-Speicherung durch Drittanbieter ablehnt (hat also nichts mit Tracking zu tun), auch verwehrt wird. Das hätte beispielsweise problemlos durch die europäischen Datenschutzbeauftragten geregelt werden können, dass dieses Cookie immer gespeichert werden darf.

Kann man schulterzuckend zur Kenntnis nehmen. Meine Idee war ja, hier im Blog in allen diesen Fällen, wo keine Cookie-Zustimmung erfolgt, auf kontextbezogene Werbung, die auf den Inhalt eines Beitrags Bezug nimmt, umzustellen. Leider ist diese Idee so nicht umsetzbar. Das Problem: Zur Cookie-Consent-Verwaltung wird ein Cookie-Consent-Management-System (CMP 2.0) eingesetzt – meine Google-Partner setzen auf SourcePoint. Ohne Zustimmung, technisch notwendige Cookies zuzulassen, erhält Google bei der Abfrage der CMP-Plattform dann keinen gültigen Transparency & Consent String des IAB TCFs. Folglich verweigert Google die Auslieferung jeglicher Werbung – Affe tot, Klappe zu.

Man kann zwar diese gesamte TCF-Verwaltung im Google Tag-Manager organisieren – läuft aber Gefahr, in Konflikt mit Datenschützern und Aufsichtsbehörden zu geraten. In meinem Fall wäre ich dann auf mich gestellt und kann das nicht auslagern.

Hier kreide ich der Datenschutzaufsicht an, seit vier Jahren keine klaren Vorgaben mit der Internetwirtschaft und der Werbeindustrie vereinbart zu haben, die dann von letzterem auch umgesetzt wird. Große Webseitenbetreiber haben ggf. die Ressourcen einer individuellen Umsetzung – kleine Webseitenbetreiber fallen da aber durchs Raster. Ob sich in den kommenden zwei Jahren was ändert, und ob wir plötzlich mit noch misslicheren Situationen konfrontiert werden, bleibt abzuwarten.

Vom Bauchgefühl: Wäre das Thema "kontextbezogene Werbung wird auch ohne gültigen TCS ausgespielt" europaweit geklärt und mit einem Mausklick auf den Werbeplattformen implementierbar, ließe sich hier im Blog die Zahl der Werbeanzeigen vermutlich drastisch reduzieren, ohne dass die Umsätze fallen (sehe ich an einem Werbeblock, der außerhalb des Google-Werbenetzwerks geschaltet wird und ohne Cookies auskommt – ermöglichte es mir, gleich mehrere andere Anzeigen auszubauen).

Web-Formulare als Falle

Und noch ein Fall ist mir die Tage von Blog-Leser Heiko A. per Mail zugetragen worden. Kontaktformulare von Webseiten bergen das Risiko eines ungewollten Trackings, wie dieser Artikel offen legt. Problem: Geht der Benutzer zu einer Webseite, in dem ein Webformular zu sehen ist, und füllt er dessen Felder aus, erfolgt u.U. bereits ein Tracking durch Drittanbieter, bevor die Senden-Schaltfläche des Formulars angeklickt wird. Heiko wies mich auf diesen deutschsprachigen Beitrag des Linux-Magazins zum Thema hin (Bleeping Computer greift es hier auf), und erwähnte, dass auch BMW betroffen sei.

App-Schwund wegen DSGVO

Kürzlich bin ich auf die Meldung gestoßen, die berichtet, dass die Anzahl der in Google Play verfügbaren Apps durch Einführung der DSGVO um ein Drittel reduziert, die Kosten erhöht und die Einnahmen der Entwickler verringert wurden. Aufgrund der höheren Kosten werden weniger Apps erstellt, zum Nachteil der Verbraucher und der mobilen App-Wirtschaft, so die Studie GDPR and the Lost Generation of Innovative Apps. In der Studie haben die Wirtschaftsforscher Rebecca Janßen (ZEW Mannheim, Deutschland), Reinhold Kesler (Universität Zürich, Schweiz), Michael Kummer (University of East Anglia, Großbritannien) und Joel Waldfogel (University of Minnesota, USA) die Auswirkungen der europäischen Datenschutzgrundverordnung (GDPR) auf das Geschäft mit mobilen Apps untersucht.

Zu Beginn unseres Stichprobenzeitraums im Juli 2016 enthielten unsere Daten 2,1 Millionen Apps im Google Play Store, während AppBrain 2,2 Millionen meldete. Die Zahl der Play Store-Apps in unserer Stichprobe steigt dann im vierten Quartal 2017 auf 2,8 Millionen, um dann bis Ende 2018 um fast eine Million – etwa 32 Prozent – zu fallen. Bei den verfügbaren Apps in AppBrain war ein ähnlicher Rückgang zu verzeichnen, nämlich um 31 % zwischen Anfang und Ende 2018, schreiben die Forscher in ihrer Studie.

Das Thema Apps ist aber meiner Ansicht nach sowieso vergiftet. Kürzlich berichtete Golem in diesem Artikel, dass Google Apps aus dem Play Store rausgeworfen habe, weil diese umfangreich Daten (möglicherweise für Sicherheitsbehörden in den USA) gesammelt haben. Dann gibt es den hier aufgegriffenen Fall Yandex (ein Leser hatte darauf hingewiesen, ich habe es aber nicht im Blog aufgegriffen. Einem Bericht zufolge enthalten Tausende von Apps mit Millionen von Kunden ein Yandex-SDK, das Nutzerdaten von iPhone- und Android-Geräten sammeln kann. Die Sorge ist, dass Dritte die Daten dann nutzen können, um Menschen zu verfolgen. Yandex könnte auch verpflichtet sein, diese Informationen mit der russischen Regierung und ihren Spionagebehörden zu teilen. DSGVO-konform ist das jedenfalls nicht.

Zudem erweisen sich Android-Apps immer mal wieder als Malware-Schleudern, wie zahlreiche Beiträge hier im Blog zeigen. Ein Fall aus April 2022 wird hier im CheckPoint-Blog behandelt. Dieser Beitrag berichtet, dass beliebte Apps biometrische Daten und IDs von möglicherweise Millionen von Nutzern öffentlich machen und diese so gefährden. Bei Apps knallt es, egal, wo man hinfasst. Ich bin inzwischen dazu übergegangen, die Zahl der Android-Apps auf ein Minimum zu reduzieren.

DSGVO als Dauerbaustelle

Ich sehe den Ansatz der europäischen GDPR als sinnvoll an, aber das Projekt scheint auf der Strecke zu scheitern. Während Webseitenbetreiber mit Cookie-Consent-Implementierungen und der Speicherung von IP-Adressen geziebelt werden und Handstände machen, werden allen Ortens Windows und Microsoft Office 365, Microsoft Teams etc. als "alternativlos" – sogar an Schulen – eingesetzt. Gerade habe ich diesen Human Rights Watch-Bericht auf den Tisch bekommen. Der Inhalt: Während der Covid-19-Pandemie wurden von vielen Regierungen Plattformen und Apps zur Unterstützung des Online-Lernen eingeführt. Diese verletzen oft aber die (Datenschutz-)Rechte von Kindern und geben die persönlichen Daten der Minderjährigen an Dritte wie Werbenetzwerke weiter.

Mir kommt es so vor, als ob wir seit vier Jahren auf der Stelle treten. Die Ziele der Initiatoren der GDPR wurden bisher nicht wirklich erreicht, während Politiker oft den "zu strengen Datenschutz" als Grund für eigenes Versagen vorschieben und die DSGVO-Regeln aufweichen wollen. In diesem Beitrag skizziert Wired, wie die GDPR zu scheitern droht. Eine Flut von frühen und komplexen GDPR-Beschwerden habe bei den Aufsichtsbehörden, einschließlich der irischen Datenschutzaufsichtsbehörde, zu Rückständen geführt, und die internationale Zusammenarbeit sei durch Papierkram verlangsamt worden.

The Markup greift in diesem Beitrag die koordinierte Lobbyarbeit der Tech-Industriegruppen auf, die Versuche zur Regulierung des Datenschutzes durch Verbrauchergruppen und datenschutzbewusste Gesetzgeber, in einem Staat nach dem anderen verwässern. Also insgesamt ein schwieriges Thema, was alles andere als einfach und ein Selbstläufer ist. Oder wie seht ihr das? Sind vier Jahre DSGVO ein Grund zum Feiern und alles ist bestens?

Ähnliche Artikel:
Safe Harbor: EuGH erklärt Abkommen für ungültig
EuGH kippt EU-US-Datenschutzvereinbarung "Privacy Shield"
Keine Karenzfrist für Unternehmen nach Privacy Shield-EU-Urteil
Datenschützer plant durchgreifen bei Privacy Shield-Verstößen
Vorläufige Einigung zwischen EU und USA im Trans-Atlantic Data Privacy Framework