Jan Philipp Albrecht gilt als „Vater“ der EU-Datenschutzgrundverordnung (DSGVO), die vor 4 Jahren in Kraft trat. Ein Gespräch mit früheren EU-Abgeordneten und scheidenden Energie- und Umweltminister von Schleswig-Holstein über Apple, Facebook und Google und die Schlacht um unsere Daten.

Ich würde sagen ne 6. Ist schon nervig, aber vielleicht ist es gar nicht schlecht, einen Moment zu haben, in dem man auch nur mal daran erinnert wird, dass es eben nicht ganz ungefährlich ist, seine Informationen preiszugeben, weil dahinter enorme Möglichkeiten des Tracking und damit auch der Manipulation stehen.

Die DSGVO ist 4 Jahre alt. Wo würden Sie nachbessern? 

Na ja, erst mal ist es halt sehr kompliziert. Wir haben die Datenschutzgrundverordnung verabschiedet, aber diese Cookie-Regeln zum Beispiel sind wiederum in einem separaten Gesetz, der e-Privacy Richtlinie geregelt, die in Europa sehr unterschiedlich umgesetzt sind und Verbraucher:innen und Unternehmen gleichermaßen verunsichert. Man müsste die dringend in eine neue Verordnung bringen, aber das wird dann immer so hingestellt, dass Regeln fürs Internet immer mehr Belastungen für die Digitalwirtschaft bedeuten. Aus dieser Angst heraus hat man nichts gemacht. Und das ist meines Erachtens erst recht eine Belastung für die Digitalwirtschaft und für die Digitalisierung. 

Ist es legitim, mit Daten wie zum Beispiel über den Menstruationszyklus von Frauen zu handeln? Wollen wir den Menschen vorschreiben, welche Apps sie benutzen und welche Daten sie da freiwillig von sich preisgeben? Das ist eine Debatte, die müssen wir erst mal gesellschaftlich führen und das hat fürchte ich noch nicht richtig begonnen. 

4 Jahre Datenschutzgrundverordnung und Facebook sammelt weiter heimlich Daten über den Menstruationszyklus von Mädchen von Frauen. Google trackt im Hintergrund, welche Porno-Webseiten wir besuchen. Warum ist sowas nicht verboten?

Das sind politische, gesellschaftliche Entscheidungen, die wir bisher nur in sehr zurückhaltende Maße getroffen haben. Wir haben gesagt, dass gewaltverherrlichende oder eben wirklich entwürdigende, beleidigende Inhalte verboten sind, so wie das eben auch strafrechtlich unter Strafe gestellt ist. Wir arbeiten daran, dass das im digitalen Raum gleichermaßen wie im analogen Raum auch durchgesetzt wird. Aber wir haben noch nicht über Dinge entschieden, die im Analogen so gar nicht möglich wären. Zum Beispiel, jemanden rund um die Uhr auf Schritt und Tritt zu verfolgen und dabei sogar intimste Daten, wie zum Beispiel auch Gesundheitsdaten zu erhalten. Das ist Aufgabe der Gerichte bzw. derer, die solche Verfahren anstrengen, zum Beispiel Verbraucherschutzorganisationen oder Datenschutzbehörden. Gleichzeitig wäre es gut, über solche Fragen eine Diskussion zu beginnen. Ist es legitim, mit Daten wie zum Beispiel über den Menstruationszyklus von Frauen zu handeln? Wollen wir den Menschen vorschreiben, welche Apps sie benutzen und welche Daten sie da freiwillig von sich preisgeben? Das ist eine Debatte, die müssen wir erst mal gesellschaftlich führen und das hat fürchte ich noch nicht richtig begonnen.

 

Glauben Sie, dass viele Leute überhaupt wissen, was da im Hintergrund für Daten abfließen, die dann für Werbezwecke oder gar andere Zwecke benutzt werden?

Das wissen viele eben noch nicht. Und das ist ja der Grund, warum wir die Datenschutzgrundverordnung verabschiedet haben. Denn die DSGVO gibt mir alle Möglichkeiten an die Hand, das Wissen über meine Daten komplett auszuschöpfen, also abzufragen, wer welche Daten über mich hat und was damit geschieht. Dafür habe ich diese Regeln. Die kann ich durchsetzen, auch mit dem scharfen Schwert von Sanktionen. 

Scharfes Schwert? Von den unzähligen Datenschutzskandalen, die allein ein Konzern wie Facebook am laufenden Band produziert – wie oft wurden die in Europa denn bisher zur Kasse gebeten?

Natürlich gibt es noch ein erhebliches Durchsetzungsdefizit. Die Aufsichtsbehörden müssen ihre Rechte, ihre Möglichkeiten zur Sanktionierung gerade gegenüber diesen großen Konzernen ernster nehmen und besser durchsetzen. Dazu brauchen sie auch eine bessere Ausstattung. Allerdings gibt es das auch in der analogen Welt, dass große Konzerne häufig darauf spekulieren, nicht erwischt zu werden oder eine drohende Strafe wenn möglich sogar aus der Portokasse zahlen können. 

Wir sollten das ernst nehmen, denn ansonsten werden diese größten Konzerne der Welt tatsächlich eines Tages so mächtig, dass sie sich der staatlichen Regulierung entziehen können. Und das wäre natürlich eine Katastrophe für den Rechtsstaat, für die Demokratie.

Nach dem Cambridge-Analytica-Skandal hatte die US-Kartellbehörde FTC Facebook mal zu einer Zahlung von 5 Milliarden Dollar verdonnert. In der EU warten wir auf solche Maßnahmen vergeblich.

Es braucht auch das Wettbewerbs- und Kartellrecht, um übermächtige Unternehmen notfalls auch aufspalten zu können, die zum Beispiel durch die Zusammenführung von Daten eine marktbeherrschende Stellung erlangen. Wir hatten eine solche Diskussion mit Blick auf Facebook und die WhatsApp-Daten. Und das ist wichtig, dass wir das als Staat ernst nehmen, denn ansonsten werden diese größten Konzerne der Welt tatsächlich eines Tages so mächtig, dass sie sich der staatlichen Regulierung weitestgehend entziehen können. Und das wäre natürlich eine Katastrophe für den Rechtsstaat, für die Demokratie.

Facebook hat mit Nick Clegg, dem früheren britischen Vize-Premier, eine Art „Außenminister“ geschaffen. Müssen wir diese Konzerne in Zukunft mehr als Staaten denken?

Zumindest müssen wir davon ausgehen, dass sie eine eigene Hoheit bei der Gestaltung unseres Alltagslebens haben. Deren Algorithmen folgen ja nicht demokratisch legitimerten Grundsätzen. Sie wurden von diesen Unternehmen festgelegt, die vor allem dem Kriterium der Wirtschaftlichkeit dienen. Und da ist eine Diskussion schon wichtig, wo die Grenze zwischen einem Privatunternehmen liegt und dem öffentlichen Raum, also dem, was früher der Marktplatz war, so wie es Elon Musk erst kürzlich wieder in Bezug auf Twitter formuliert hat. Das ist ja ein öffentlicher Raum, der für die Gesellschaft tatsächlich eine enorme Bedeutung hat, für die Menschen, für die Demokratie. 

Mit Verlaub, ich war schon oft im Silicon Valley. Das interessiert die dort herzlich wenig, wie wir in Deutschland über den öffentlichen Raum denken.

Darum wäre es wichtig, wenn die Europäische Union, die Regeln aus dem Digital Service Act auch auf internationaler Ebene aushandelt, so dass die dann eben überall existieren. Dann könnten sich die Unternehmen da auch nicht einfach rausziehen und sagen: Ja, wir handeln aber aus den USA heraus, also gelten diese Regeln nicht wirklich für uns. Und dass man diese Regeln dann auch durchsetzt und nicht einfach nur auf dem Papier stehen lässt. Also im Zweifel dann auch mit der Hausdurchsuchung im Menlo Park – oder wo auch immer – antritt und deutlich macht, wer eigentlich souverän ist und wer diese Regeln am Ende auch durchsetzen kann.

Die Hausdurchsuchung ist doch heute schon Bestandteil der Datenschutzgrundverordnung. Warum ist das eigentlich noch nie gemacht worden? Anlässe gab es ja nun wirklich mehr als genug. 

Na ja, es hat solche Fälle natürlich auch schon gegeben. Und wenn es jetzt zum Beispiel große Fälle von Steuerverbrechen großer Banken gibt oder so, da gibt es ja Hausdurchsuchungen.

Solche Ermittlungen müssen raus aus der reinen Tech- oder Datenschutz-Szene, rein ins Zentrum der Gesellschaft, genauso wie die Durchsetzung von Recht und Gesetz auf unseren Straßen. Dass solche Unternehmen dann auch mal von Staatsanwaltschaften und Polizei mit beäugt werden und im Zweifel auch durchsucht werden.

Hausdurchsuchungen bei Google oder Facebook – gab es die jemals? 

Die Frage ist immer die Verhältnismäßigkeit solcher Durchsetzungsmaßnahmen. Es kann sicherlich Momente geben, in denen eine solche Hausdurchsuchung wegen krasser Datenschutzverletzung gerechtfertigt ist. Aber dann braucht man eben einen sehr begründeten und nachweisbaren Anfangsverdacht, der das auch im Verhältnis rechtfertigt. Ich würde mir wünschen, dass die Behörden tatsächlich mehr darauf hinarbeiten, solchen Verdachtsmomenten mehr nachzugehen und strenger zu verfolgen, statt so etwas einfach nur der Datenschutzbehörde zu überlassen. Die hat natürlich eine schwache Stellung und kann in der Regel auch nur Briefe schreiben und ein Unternehmen bitten: Könnt ihr uns noch mal weitere Nachweise darüber geben? Das hat zu wenig Gewicht. Solche Ermittlungen müssen raus aus der reinen Tech- oder Datenschutz-Szene, rein ins Zentrum der Gesellschaft, genauso wie die Durchsetzung von Recht und Gesetz auf unseren Straßen. Dass solche Unternehmen dann auch mal von Staatsanwaltschaften und Polizei mit beäugt werden und im Zweifel auch durchsucht werden.

Es ist ja fast schon bezeichnend, dass das Apple jetzt macht und seine Rivalen zu mehr Datenschutz zwingt. Facebook rechnet allein dieses Jahr mit 10 Milliarden Dollar Verlust, weil Apple das Nutzer-Tracking schwerer macht. Da merkt man gleich, wie wertvoll unsere Daten sind. Wie stehen Sie dazu, dass jetzt ausgerechnet Apple die Rolle eines Regulators übernimmt? Ist das nicht die Aufgabe des Staates?

Erstmal ist es gut, dass Apple das macht. Auch wenn natürlich Wettbewerbs-Interessen gegenüber diesen Unternehmen immer auch mitschwingen. Aber gleichzeitig machen sie sich sozusagen nicht gemein mit diesen Diensten, sondern positionieren sich als Ermöglicher und Anwalt für die Nutzer:innen ihrer Geräte und Services. Vieles davon, vor allem auch die Transparenz, ist meines Erachtens auch Ausdruck der Datenschutzgrundverordnung. Es ist auf jeden Fall gut, dass die das sehr ernst nehmen bei Apple und das auch gegenüber Dritten einfordern. Man sollte überlegen, so etwas auch gesetzlich zu verankern, so dass das auch auf anderen Geräten oder Plattformen gilt. Zum Beispiel auch im Rahmen des Digital Service Act. Ich gehe fest davon aus, dass wir da schon in zwei, drei Jahren eine nächste Runde haben werden.

Warum tut Apple das? Sind das so herzensgute Menschen?

Meine Erfahrung ist, dass das tatsächlich Menschen sind, die schon frühzeitig erkannt haben, dass Datenschutz und Privatsphäre nicht nur „nice to have“ sind, sondern ein ganz zentraler und essentieller Bestandteil unserer Demokratie und unseres digitalen gesellschaftlichen Lebens. Diese Philosophie hat sich in diesem Unternehmen niedergeschlagen und ist jetzt natürlich auch ein Stück weit zum Markenzeichen für Apple geworden. 

Die Frage, vor der wir gerade stehen, lautet: Wollen wir zurück in einen Nationalismus und in eine private Welt, in der jeder seine eigenen Regeln aufstellt? Oder wollen wir nach vorne in eine vernetzte Gesellschaft, die gemeinsame Standards und Werte weiterentwickelt und auch auf das Digitale überträgt.

Also auch eine Art von Kulturfrage?

Ja, das merkt man meines Erachtens sehr stark, dass es im Silicon Valley Unternehmen gibt, die ganz unterschiedliche Philosophien besitzen. Ich finde, das gibt im Grunde genommen auch wieder, welche gesellschaftliche Auseinandersetzung wir insgesamt gerade führen, nicht nur in den USA, sondern auch in Europa. Die Frage, vor der wir gerade stehen, lautet: Wollen wir zurück in einen Nationalismus und in eine private Welt, in der jeder seine eigenen Regeln aufstellt? Oder wollen wir nach vorne in eine vernetzte Gesellschaft, die gemeinsame Standards und Werte weiterentwickelt und auch auf das Digitale überträgt.

Jetzt gibt es Unternehmen, denen diese gemeinschaftlichen Werte auch jenseits des Geldverdienens wichtig sind. Und dann gibt es Konzerne, die haben eher so eine Arschloch-Mentalität. Facebook hat vorletzte Woche die Bonner Kartellbehörde vor den EuGH gezerrt und gesagt: Ihr dürft gar nicht gegen uns ermitteln, das verstößt – Achtung – gegen die Datenschutzgrundverordnung!

Der Fall ist mir nicht bekannt. Aber es ist ja klar, dass die Anwälte von Unternehmen natürlich auch mit solchen formalen Zuständigkeiten kommen, um drohenden Zugriffen oder Maßnahmen zu entkommen. Ich bin aber ziemlich sicher, dass sie damit nicht durchkommen werden, weil es ja auch die Pflicht der zuständigen Behörden in Europa gibt, zusammen zu arbeiten und zu verhindern, dass Fälle bei einer Behörde einfach liegen bleiben und dort gar nicht behandelt werden. 

Deshalb haben die größten US-Konzerne ihre Europa-Zentralen in Irland, weil sie wissen, dass die Datenschutzbehörde dort kaum kontrolliert. Glauben Sie, das kommt jetzt so langsam zu einem Ende?

Ja, in gewisser Art schon. Das hat sich allein dadurch schon niedergeschlagen, dass Irland der Datenschutzgrundverordnung zugestimmt hat, wo ja auch klare Regeln zur Zusammenarbeit und zum gemeinsamen Durchsetzen dieser Regeln in Europa verankert sind. Das heißt, wenn zum Beispiel ein Max Schrems mit seinem Verein die Klagen gegenüber Facebook und anderen vorantreibt, dann ist er ja auch mehrfach schon erfolgreich gewesen, die irischen Behörden vor Gericht zum Handeln zu zwingen.

In Zukunft darf es nicht allein darum gehen, neue Streifenpolizisten auf der Straße einzustellen. Die sind wichtig. Aber es muss eben auch darum gehen, dass Experten eingestellt werden, die für die Datensicherheit und unseren Datenschutz sorgen, und dass die dann auch in der Lage sind, ordentlich zu ermitteln. 

Warum muss Max Schrems das machen? Warum nicht die Datenschutzbehörden, die Staatsanwaltschaften, die Ministerien, die EU-Kommission? Ist unsere Demokratie so schwach?

Im Gegenteil. Die Europäische Union ist ja so stark, dass jemand wie Max Schrems Facebook vor Gericht bringen kann. Das hat er ja nur deshalb schaffen können, weil es den Europäischen Gerichtshof gibt und weil es die europäischen Datenschutzregeln gibt, auf die er sich berufen hat. Genau die hat er ja durchgesetzt. Das, was sich tatsächlich ändern muss, ist die Aufsicht über die Einhaltung dieser Regeln im digitalen Raum. Die müssen wir deutlich stärken, auch bei der Ausstattung. In Zukunft darf es nicht allein darum gehen, neue Streifenpolizisten auf der Straße einzustellen. Die sind wichtig. Aber es muss eben auch darum gehen, dass Experten eingestellt werden, die für die Datensicherheit und unseren Datenschutz sorgen, und dass die dann auch in der Lage sind, ordentlich zu ermitteln. 

4 Jahre DSGVO. Erkennen Sie ein Umdenken bei den Konzernen?

Ich glaube schon, dass die letzten drei, vier Jahre für Facebook nicht so einfach waren. Nicht nur, weil die jungen Leute nicht mehr zu Facebook gehen. Vor allem aber, weil Facebook bestimmte Weiterentwicklungen von Geschäftsmodelle in Europa nicht so einfach durchsetzen konnte. Und weil Europa umgekehrt auch die USA infiziert hat mit seinen Standards, also zum Beispiel in Kalifornien, wo auch entsprechende Regeln verabschiedet wurden, die dort jetzt auch durchgesetzt werden.

Als US-Korrespondent war ich überrascht, wie oft der EU-Vorstoß überall in Washington gelobt wurde. Sie haben aber gerade davon gesprochen, dass es mehr Polizisten nicht nur auf der Straße, sondern auch im Netz geben muss. Warum sollte ein talentierter Studienabgänger ausgerechnet zur Polizei gehen und dort schlecht bezahlt in grauen Büroräumen sitzen, wenn auf ihn bei Google Hüpfburgen, Sterne-Köche und Aktienoptionen warten? 

Also das, was diese Unternehmen bieten, kann von der öffentlichen Hand so nicht gezahlt werden. Das ist so. Was wir machen können, ist erstens, diese Tätigkeiten zumindest ordentlich und in Zukunft vielleicht auch besser zu vergüten. Das gilt übrigens auch für die Polizei im analogen Bereich, wo wir bislang einfach viel zu geringe Gehälter gezahlt haben. Das Problem aber liegt aber nicht allein nur daran, dass die IT-Jobs in der Privatwirtschaft alle Mega bezahlt sind, sondern dass es grundsätzlich gar nicht genug qualifizierte Fachkräfte bei uns gibt. Das heißt, wir müssen viel mehr in die Ausbildung investieren, um dort die Kompetenzen aufzubauen fürs digitale Zeitalter. Da haben wir leider einige Jahre versäumt, weil wir das immer als Nische abgetan haben. Das muss jetzt heute aufgeholt werden in sehr kurzer Zeit, was bei der Ausbildung von Menschen natürlich immer ein bisschen schwierig ist.

Das Problem ist meines Erachtens nicht, dass man der Polizei nicht solche Möglichkeiten im Verdachtsfall geben will oder kann, das könnte man auch heute schon. Das Problem ist, dass hier versucht wird, im Grunde genommen schon auf diese Informationen zuzugreifen, wenn noch gar kein richtiger Verdacht da ist.

Das wäre ein Thema für sich. Zum Schluss habe ich aber noch ein anderes Thema, das gerade große Wellen schlägt: die geplante „Chat-Kontrolle“ der EU-Kommission. Worum geht’s da?

Dabei geht es darum, dass bestimmte Inhalte in Messenger-Chats protokolliert werden sollen, für Strafverfahren oder eben zur Verhinderung von schweren Straftaten. Organisierte Kriminalität, schwere Kriminalität, Kindesmissbrauchs ist immer so ein Beispiel, das da ganz vorne steht. Das Problem ist meines Erachtens nicht, dass man der Polizei nicht solche Möglichkeiten im Verdachtsfall geben will oder kann, das könnte man auch heute schon. Das Problem ist, dass hier versucht wird, im Grunde genommen schon auf diese Informationen zuzugreifen, wenn noch gar kein richtiger Verdacht da ist. Das finde ich schwierig, weil es dann ein Verdacht ist, den man letztlich gegenüber allen Menschen ausspricht. Im Analogen wäre eine solche Überwachung super aufwendig, da braucht man einen Richter-Beschluss und man könnte beispielsweise auch nur im Einzelfall mal rein in eine Wohnung. Aber im Digitalen, geht das alles super einfach. Einen Klick schon und ich bin überall drin. Ein solcher Schritt verändert die Gesellschaft und den Rechtsstaat, wenn wir das zulassen. Deshalb brauchen wir diese Diskussion. Dieses Austarieren der richtigen Positionen, das ist die Herausforderung und da hat die EU-Kommission denke ich nicht den richtigen Riecher gehabt. Deswegen halte ich es für richtig, dass diese Diskussion jetzt auch geführt wird.

Also eine Umkehr der Unschuldsvermutung, diese Gefahr droht hier gerade?

Die ist da, und das müssen wir auf jeden Fall verhindern. Zumal das auch vom Europäischen Gerichtshof immer wieder klar benannt wurde, dass das eben nicht vereinbar ist mit unseren gesellschaftlichen Grundsätzen und das aus guten, auch historisch gewachsenen Gründen.

Staat gegen Bürger. Bürger gegen Konzerne. Konzerne gegen den Staat. Wir sehen schon, wir kämpfen, wenn es um unsere Daten geht und um die Digitalisierung der Gesellschaft, an allen Fronten. Sind Sie guter Dinge, dass wir das hinbekommen?

Ich bin Optimist, „by Design“ sozusagen. Es ist ja auch nicht so, dass wir heute noch in dunkelster Umnachtung unterwegs sind. Da hat sich in den letzten 20 Jahre schon enorm was verändert mit Blick auf die Wahrnehmung: Was bedeutet Digitalisierung? Was macht das mit unserem Leben? Welche Gefahren und Herausforderungen liegen da? Deswegen bin ich da sehr zuversichtlich, dass wir die nächsten 5 bis 10 Jahre nochmals deutliche Veränderungen und Entwicklungen auch zum Positiven erleben. Dass Bewegung auf europäischer und internationaler Ebene reinkommt für entsprechende Standards. Dass wir ein noch besseres Verständnis von Technologie entwickeln, weil wir alle davon umgeben sind. Möglicherweise dann auch von Robotern, mit denen wir interagieren. Die Frage: Wie kontrolliert man die Maschinen, wenn diese selbstständig unterwegs sind? Habe ich die Möglichkeit, da irgendwo auf einen Knopf zu drücken? Das sind Diskussionen und Debatten, die uns noch viel stärker reinbringen werden in diese Wahrnehmung, natürlich auch mit allen Risiken, die da im Raum sind.

Letzte Frage: Wenn Sie Mark Zuckerberg zufällig irgendwo in einer Kneipe treffen würden. Was würden Sie ihn fragen? 

Also ich würde ihn wahrscheinlich am ehesten fragen, was er bräuchte, damit es ein echtes Mitbestimmungsrecht der Facebook-Nutzer:innen über die Grundregeln seiner Plattform geben kann. Was ihn bewegen würde, dafür offen zu sein und woran wir arbeiten müssten als Gesellschaft, damit so ein Prozess in Gang kommt?

Glauben Sie, den interessiert das?

Das würde ich dann rausfinden. Und wenn nicht, wäre das für mich der Beweis, dass wir es eben dann doch nur mit einer deutlich stärkeren staatlichen Regelungswut erreichen können, dass eine solche Mitbestimmung, die dringend notwendig ist, eingeführt werden kann.

Jan Philipp Albrecht. Herzlichen Dank für die Zeit und für das Gespräch.

Gerne.