Jetzt ist er fertig, der Entwurf der neuen Datenschutz-Grundverordnung (DS-GVO). EU-Rat und-Parlament haben ihre konkurrierenden Papiere zusammengeworfen. Voraussichtlich 2017 wird die DS-GVO in Kraft treten. Die rund 100 Seiten entwickeln die EU-Datenschutzrichtlinie aus dem Jahr 1995 weiter. Die Verordnung setzt EU-weite Regeln beim Verarbeiten personenbezogener Daten (Speichern gilt auch als Verarbeiten) und soll sowohl natürliche Personen besser vor Datenmissbrauch schützen als auch den freien Datenverkehr innerhalb des Binnenmarktes gewährleisten.

Als personenbezogene Daten gelten Telefonnummern, Post- und E-Mail-Adressen, Kontoverbindungen, biometrische und Geo-Daten, aber auch Datumsangaben im identifizierbaren Zusammenhang mit einem Menschen. Die DS-GVO legt Unternehmen und staatlichen Stellen nahe, wie sie mit solchen Daten umgehen sollen (sparsam erheben, zugriffsbeschränkt und geschützt speichern, nach Gebrauch löschen, Recht auf Vergessenwerden). Insbesondere Artikel 23 nennt technische Datenschutzaspekte und fordert Privacy by Design: Der für die Verarbeitung Verantwortliche muss die Dauer der Datenspeicherung sowie den Zugriff grundsätzlich beschränken. Zudem ermächtigt der Paragraf die EU-Kommission, Aspekte nachzureichen, um dem technischen Fortschritt gerecht zu werden.

Bürger, Unternehmen (und Journalisten) dürfen sich natürlich bei jedem neuen Gesetz zentrale Fragen stellen, beispielsweise: Ist es nötig? Und ob: Personendaten sind in der Informationsgesellschaft ein sehr wertvolles Gut, von dem jede Menge erhoben wird. Teils trägt der Bürger durch Unachtsamkeit eine Mitschuld. Zum größeren Teil jedoch kann er die Preisgabe nicht verhindern, weil er als Konsument bei der Wahl des Anbieters kaum Entscheidungsfreiheit hat – wer einen Kurznachrichtendienst, eine Onlineauktions-Plattform, ein soziales Netz oder Smartphone-Software sucht, trifft auf Quasimonopole, muss deren AGBs akzeptieren oder bleibt draußen.

Wägt das Gesetz alle Interessen gerecht ab? Ja: Zwar erhöht die DS-GVO den bürokratischen und technischen Aufwand der Unternehmen und Behörden. Aber die Persönlichkeitsrechte wiegen schwerer als das. Und: Sie stellt zwischen den Firmen, die schon immer aus ethischen Gründen den Aufwand für hohen Datenschutz getrieben haben, und jenen, die exzessiv mit Personendaten umgegangen sind, die Wettbewerbsgleichheit wieder her.

Kommt die Verordnung zu richtigen Zeit? Absolut: Millionen abhandengekommener Kundendaten, Ed Snowdens Enthüllungen sowie der absehbare Siegeszug des Cloud Computing (mit den Rollen Auftragsverarbeiter und für Verarbeitung Verantwortlicher) konnte das Vorgängergesetz nicht absehen.

Ist die Richtlinie an der richtigen Stelle aufgehängt? Ja: Das Internet kennt keine Landesgrenzen, also ist die EU das Mindeste, was Europäer aufbieten müssen, um keinen Papiertiger zu falten. Bei der alten Verordnung hatten einzelne Staaten den Datenschutz national stark abgeschwächt mit der Folge, dass Konzerne aus Übersee ihre Europadependancen genau dorthin verlegten. Die DS-GVO dagegen wird EU-weit in gleicher Weise gelten. Mehr noch: Das in Artikel 3 beschriebene Prinzip der Extraterritorialität bestimmt die Gültigkeit sogar für Unternehmen ohne Niederlassung in der EU, falls die Daten von EU-Bürgern verarbeiten.

Euroskeptiker und Marktfundis werden sagen, dass Brüssel hier ein hässliches Regel-Monster grundlos auf wohlmeinende Unternehmen und mündige Bürger von der Kette lässt. Doch selbst unter Würdigung diverser Kritikpunkte: Der Rahmen für den Datenschutz von 510 Millionen Bürgern wird ab 2017 wohl ein besserer sein.