Christoph Heinemann: Peter Schaar ist am Telefon, der Vorsitzende des Vereins Europäische Akademie für Informationsfreiheit und Datenschutz, ehemaliger Bundesbeauftragter für den Datenschutz und die Informationsfreiheit. Guten Morgen!

Peter Schaar: Guten Morgen, Herr Heinemann.

Heinemann: Herr Schaar, warum sollte man bei dem Wort Datenschutzgrundverordnung nicht gleich gähnen, sondern Ihnen jetzt mit gespitzten Ohren zuhören?

Schaar: Wir geben unsere Daten überall preis, häufig ohne dass wir das merken bisher. Wir werden nicht darüber informiert, was mit unseren Daten geschieht, und die Daten werden auch genutzt zu Zwecken, von denen wir nichts wissen. Insofern ist es wichtig, dass jetzt hier mehr Transparenz geschaffen wird. Das ist zum Beispiel ein ganz zentraler Punkt dieser neuen Regelung.

Heinemann: Ist das heute ein guter Tag für den Datenschutz?

Schaar: Ich denke schon. Jedes neue Gesetz ist natürlich auch eine Zumutung für diejenigen, die ihre Praktiken verändern müssen. Das hat der Datenschutz mit ganz vielen anderen Gesetzen gemeinsam. Aber für uns als Datennutzer, als diejenigen, um deren Schutz es ja geht beim Datenschutz, ist das tatsächlich ein guter Tag.

Heinemann: Ist heute auch ein guter Tag für Anwälte, die Verstöße gegen die Grundverordnung abmahnen wollen?

Schaar: Ich denke, nicht. Das Thema der Abmahnungen ist völlig unabhängig auch vom Datenschutz zu sehen. Es ist ein Aspekt des Wettbewerbsrechts. Und dass jetzt einige meinen, da vielleicht ein neues Geschäftsfeld zu finden, kann ja nicht bedeuten, dass man deshalb auf einen besseren Datenschutz verzichtet.

Heinemann: Kann man ahnungslose Nutzer vor Strafen für ungewollte Verstöße schützen?

Schaar: Um die Nutzer geht es ja eigentlich nicht so sehr, sondern es geht um die Anbieter.

Heinemann: … oder die Anbieter.

Schaar: Ich hoffe auch, dass die Datenschutzbehörden sich da auch nicht jetzt diejenigen heraussuchen, die jetzt überprüft werden, die sich schwertun, weil sie zum Beispiel sehr kleine Unternehmen sind oder kleine Vereine, die vielleicht die neue Verordnung noch nicht bis ins letzte Jota verstanden haben. Sondern dass sie sich anlegen mit den Großen, mit den Facebooks, mit den Twitters, mit den Googles dieser Welt. Dann, denke ich, wird auch jeder verstehen, dass das Sinn macht.

Heinemann: Bleiben wir aber noch mal bei den Kleineren. Was bedeutet das jetzt zum Beispiel für einen Malermeister und seine Kundendatei? Darf der jetzt noch WhatsApp im Betrieb nutzen?

Schaar: Das ist eine sehr schwierige Frage. WhatsApp ist ja im Grunde genommen nur ein Kommunikationsdienst und nutzen kann er es sicherlich schon. Die Frage ist natürlich, ob WhatsApp rechtskonform handelt, und insofern müsste sich dann die Datenschutzaufsicht genau damit beschäftigen und nicht so sehr damit, ob jetzt ein Handwerker einen bestimmten Dienst nutzt.

Heinemann: Benötigt jetzt jeder Zehn-Personen-Betrieb einen Datenschutzbeauftragten, der das alles prüft?

Schaar: Nein! Nur diejenigen Unternehmen, die regelmäßig mehr als zehn Personen mit der automatisierten Datenverarbeitung beschäftigen. Wenn das nebenbei geschieht oder etwas ist, was, sage ich mal, gar nicht den Beruf ausmacht, wie das beim Handwerker der Fall ist, sehe ich nicht, dass hier eine Benennungspflicht für den Datenschutzbeauftragten besteht.

Heinemann: Herr Schaar, können Behörden für Datenschutzaufsicht die neue Regelung überhaupt kontrollieren? Haben die dafür das Personal?

Schaar: Das ist die Preisfrage. Ich habe nicht den Eindruck, dass die Behörden heute schon so ausgestattet sind, dass sie ihre Aufgaben angemessen wahrnehmen können, obwohl man auch eingestehen muss, dass da in den letzten Jahren zumindest in einigen Bundesländern und auf Bundesebene neue Stellen geschaffen worden sind. Aber sie können, glaube ich, schon hier - allerdings dann wahrscheinlich nicht flächendeckend, sondern bezogen auf Schwerpunkte - die Einhaltung der Datenschutzgrundverordnung kontrollieren.

Heinemann: Wen werden die Strafen dann tatsächlich treffen?

Schaar: Das muss man sehen. In der Datenschutz-Grundverordnung sind ja Kriterien dafür auch benannt worden. Da geht es um die Schwere des Verstoßes, um die Anzahl der betroffenen Personen, die dieser Verstoß betrifft. Insofern, denke ich, sind es in erster Linie die großen Unternehmen, um die man sich da kümmern wird, oder um sehr schwere Fälle von Datenschutzverstößen, zumal wenn es sich um sensible Daten handelt, beispielsweise Gesundheitsdaten. Da werden die Datenschutzbehörden bestimmt besonders genau hinschauen.

Heinemann: Herr Schaar, Datenschutzgrundverordnung – besteht die Gefahr, dass sich jetzt immer mehr Menschen darauf verlassen, dass der Datenschutz verbessert wird, und dann vielleicht noch unvorsichtiger werden?

Schaar: Das sehe ich nicht. Jedem ist, glaube ich, klar, dass ein Gesetz alleine uns nicht schützen kann. Das ist übrigens beim Strafrecht nicht anders. Die Tatsache, dass Einbruch verboten ist, kann ja nicht zur Konsequenz haben, dass wir keine Sicherheitsschlösser mehr verwenden. Wir müssen uns ein Stückchen auch selbst darum kümmern, dass unsere Daten sicher sind.

Heinemann: Kann der beste Datenschutz nachlässige Nutzer schützen?

Schaar: Ich fürchte, nein. Wenn man sich darum gar nicht kümmert, dann wird es sicherlich sehr schwierig, sie zu schützen. Man kann insofern ja die Menschen nicht vor sich selber schützen. Da müssen sie sich schon selber ein Stück drum kümmern.