Was ist die DSGVO, und schützt sie dich wirklich?
Lass mich raten. Du hast „Alle akzeptieren" schon öfter geklickt, als du zählen kannst, und irgendwo im Hinterkopf weißt du, dass es mit der DSGVO zu tun hat. Aber wenn dich jemand fragt, was die DSGVO eigentlich ist, wechselst du wahrscheinlich das Thema.
Kein Vorwurf. Ich hätte das vor ein paar Jahren genauso gemacht.
Wenn du dich schon einmal gefragt hast, was hinter diesem Kürzel steckt und ob es dir überhaupt etwas nützt, ist dieser Artikel für dich.
Die DSGVO ist international auch als GDPR bekannt, kurz für General Data Protection Regulation. Beide Bezeichnungen meinen dasselbe Gesetz. In Deutschland spricht man üblicherweise von der DSGVO, international wird GDPR verwendet.
Was ist die DSGVO?
DSGVO steht für Datenschutz-Grundverordnung, international bekannt als GDPR. Es ist ein europäisches Gesetz, das 2018 in Kraft trat und regelt, wie Unternehmen deine personenbezogenen Daten erheben, speichern und verwenden dürfen.
Personenbezogene Daten ist ein weiter Begriff. Er umfasst nicht nur deinen Namen und deine E-Mail-Adresse, sondern auch deinen Standort, deine Fotos, deinen Browserverlauf, deine IP-Adresse und alles, womit du als Person identifiziert werden kannst.
Die Verordnung gilt für jedes Unternehmen, das Daten von Personen in der EU verarbeitet. Das schließt amerikanische Unternehmen wie Google und Meta ein. Wer in Europa tätig sein will, muss sich an die europäischen Regeln halten.
Welche Rechte gibt dir die DSGVO wirklich?
Hier wird es interessant. Die DSGVO ist kein bloßes Richtliniendokument, das Unternehmen ignorieren können. Sie gibt dir echte, durchsetzbare Rechte.
Das Recht auf Information. Du kannst jedes Unternehmen fragen, welche Daten es über dich gespeichert hat. Sie sind gesetzlich verpflichtet, dir innerhalb eines Monats zu antworten.
Das Recht auf Auskunft. Du kannst eine vollständige Kopie deiner Daten anfordern. Google, Meta, Apple: alle haben dafür entsprechende Tools. Es ist oft eine ernüchternde Erfahrung.
Das Recht auf Vergessenwerden. Du kannst ein Unternehmen auffordern, deine Daten zu löschen. Es muss dem nachkommen, es sei denn, es hat einen legitimen Grund zur Aufbewahrung, etwa einen laufenden Vertrag oder eine gesetzliche Verpflichtung.
Das Recht auf Datenübertragbarkeit. Du kannst deine Daten in einem Format anfordern, das dir ermöglicht, sie woanders zu nutzen. Deine Fotos, deine Nachrichten, deine Historie. Sie gehören dir, und du solltest sie mitnehmen können.
Das Widerspruchsrecht. Wenn ein Unternehmen deine Daten für Werbezwecke nutzt, kannst du dem widersprechen. Das ist in der Praxis komplizierter, aber das Recht besteht.
Das sind keine Kleinigkeiten. Vor der DSGVO war all das vollständig dem guten Willen der Unternehmen überlassen.
Warum fühlt es sich dann an, als hätte sich nichts geändert?
Weil die Durchsetzung langsam ist und Bußgelder oft jahrelang auf sich warten lassen. Die Unternehmen mit den meisten Daten haben auch die meisten Anwälte.
Meta wurde 2023 unter der DSGVO mit 1,2 Milliarden Euro bestraft. Das klingt enorm. Es entsprach etwa vier Tagen Umsatz. Google stand vor ähnlichen Strafen. Sie zahlen, legen Widerspruch ein, und machen währenddessen einfach weiter.
Die DSGVO hat Zähne. Aber sie beißt langsam.
Wovor schützt dich die DSGVO nicht?
Das ist der Teil, den die meisten Menschen nicht kennen.
Die DSGVO regelt, was Unternehmen aus eigener Initiative mit deinen Daten tun dürfen. Sie schützt dich nicht vor Regierungsanfragen.
Aufgrund des amerikanischen CLOUD Act können US-Behörden Daten von US-amerikanischen Unternehmen anfordern, auch wenn diese Daten in Europa gespeichert sind und auch wenn du europäischer Staatsbürger bist. Das Unternehmen kann gesetzlich verpflichtet werden, die Daten herauszugeben, ohne dich darüber zu informieren.
Die DSGVO sagt: Unternehmen dürfen deine Daten nicht einfach missbrauchen. Der CLOUD Act sagt: Die US-Regierung kann trotzdem danach fragen. Diese beiden Gesetze stehen in direktem Widerspruch zueinander.
Mein Kollege hat bereits einen ausführlicheren Beitrag über genau wie der CLOUD Act funktioniert und was das für deine Fotos bedeutet verfasst.
Spielt es eine Rolle, wo ein Unternehmen seinen Sitz hat?
Ja. Erheblich.
Wenn deine Daten bei einem Unternehmen gespeichert sind, das seinen Sitz in der EU hat, nach EU-Recht gegründet wurde und keine US-amerikanische Muttergesellschaft hat, gilt der CLOUD Act nicht. Ein europäischer Gerichtsbeschluss auf Basis europäischen Rechts ist etwas völlig anderes als eine US-Regierungsanfrage.
Das ist keine technische Spitzfindigkeit. Das ist der entscheidende Punkt.
Bei PixelUnion speichern wir deine Fotos unter europäischem Recht. Nicht weil wir mussten, sondern weil es die einzige Möglichkeit ist, den Schutz wirklich umzusetzen. In der EU gespeichert, nach EU-Recht betrieben, keine amerikanische Muttergesellschaft, keine undurchsichtige Datenpipeline.
Die DSGVO ist ein solides Fundament. Aber sie wirkt erst dann vollständig, wenn das Unternehmen, das deine Daten verwaltet, ihr auch wirklich unterliegt.
Neugierig, was du sonst noch tun kannst, um die Kontrolle zurückzugewinnen? Unser Kollege hat einen praktischen Leitfaden zusammengestellt, wie man vollständig von Big Tech wechselt, mit konkreten Alternativen für jeden Dienst.