Umsetzung der DSGVO | Was hat sich seit 2018 verändert?

Umsetzung der DSGVO

Die EU-DSGVO (europäische Datenschutzgrundverordnung bzw. GDPR / EU-General Data Protection Regulation) ist verpflichtend für alle Unternehmen, die ihre Dienste in der Europäischen Union anbieten. Wobei es keine Rolle spielt, ob es sich um Unternehmen handelt, die ihren Hauptsitz in Deutschland, der EU oder dem (außer-)europäischen Ausland haben.

Zwar ist der Anteil der Unternehmen, die die DSGVO zumindest teilweise umgesetzt haben, gestiegen. Gleichzeitig ist aber die Panik zu Anfang des Jahres 2018 auch einer gewissen Gleichgültigkeit gewichen.

Was sagen deutsche Unternehmen?

So zeigt eine Umfrage von Bitcom Research hinsichtlich der Umsetzung der DSGVO auch vier Jahre nach deren Inkrafttreten, dass es nach wie vor Probleme gibt. Befragt wurden 503 deutsche Unternehmen mit mehr als 20 Mitarbeitern – Stand September 2022; Quelle: › bitkom:

• Umsetzung der DSGVO vollständig abgeschlossen [1]: 22 Prozent
• Größtenteils abgeschlossen: 40 Prozent
• Teilweise umgesetzt: 33 Prozent
• Mit der Umsetzung begonnen: 2 Prozent
• Noch nicht begonnen: 0

[1] Als abgeschlossen gilt hier, dass die Datenschutzerklärung den Vorschriften entspricht, auf einer eigenen Seite erscheint und ein direkter Zugriff über das Menü bzw. den Footer möglich ist. Des weiteren gibt es einen Hinweis auf die Verwendung von Cookies mit Opt-out (nicht einverstanden) und einen Link zur Datenschutzerklärung sowie ein gesondertes Impressum. Außerdem besitzen Formulare, die in irgendeiner Weise persönliche Daten abfragen, zumindest einen Hinweis auf die Datenschutzerklärung. Nicht zuletzt entsprechen auch die Datenverarbeitungsprozesse innerhalb des Unternehmens weitestgehend den Vorschriften.

Ein kleiner Lichtblick ist, dass im Gegensatz zu einer ähnlichen Umfrage im Jahr 2018, inzwischen alle Unternehmen angaben, ihren Aufwand für Datenschutz erhöht zu haben und keines von ihnen bisher nichts getan hätte. Vier Jahre zuvor gaben noch drei Unternehmen an, nichts getan zu haben, fünf machten keine Angaben oder wussten nichts davon.

Woran hapert die Umsetzung?

Laut der Umfrage von bitkom geben die meisten Unternehmen externe Probleme als Hinderungsgrund an:

• Es gibt immer wieder neue Guidelines: 88 Prozent
• Rechtsunsicherheiten hinsichtlich der Vorgaben: 78 Prozent
• Uneinheitliche Auslegung der DSGVO in der EU: 57 Prozent
• …. in Deutschland: 40 Prozent
• Mangelnde Beratung durch die Aufsichtsbehörden: 52 Prozent

Des Weiteren geben 45 Prozent an, die Umstellung der IT und die Systemumstellungen koste Zeit, 32 Prozent fehle es an finanziellen Mitteln, 24 Prozent hätten kein qualifiziertes Personal und 23 Prozent sagten, die Datenschutzbeauftragten würden nur schlecht eingebunden. 15 Prozent äußerten, dass die allgemeine Unterstützung im Unternehmen diesbezüglich mangelhaft sei.

Hinzu kommt, dass nicht wenige Unternehmen die Umsetzung der DSGVO in Deutschland generell als Hemmschuh ansehen. Mehr als 65 Prozent sind der Meinung, dass der strenge oder der uneinheitliche Datenschutz die Digitalisierung erschwere und für 61 Prozent übertreibe es Deutschland mit dem Datenschutz.

Datentransfer in Nicht-EU-Länder

Ganz besonders zur Verunsicherung tragen die Einschränkungen bezüglich des Datentransfers in Nicht-EU-Länder bei. Seit Inkrafttreten der DSGVO hat es diverse Lösungsansätze insbesondere hinsichtlich der USA wie das Data Privacy Shield gegeben, die nach relativ kurzer Zeit wieder ungültig wurden. 59 Prozent der befragten Unternehmen hatten sich beim Datentransfer in die USA darauf berufen.

„So geben nur 40 Prozent (2021: 44 Prozent) an, keine personenbezogenen Daten in Länder außerhalb der EU zu übermitteln. 47 Prozent transferieren solche Daten an externe Dienstleister, 22 Prozent an Geschäftspartner zu gemeinsamen Zwecken und 16 Prozent an andere Konzerneinheiten oder Töchter.“
Quelle: › Bitkom

Nur einer Minderheit der Unternehmen ist es gelungen, ihre Systeme inzwischen so umzustellen, dass keine Datenübertragung in Nicht-EU-Länder mehr stattfindet. Die Mehrheit, 89 Prozent, nutzen nach wie vor internationale Cloud-Dienste, 67 Prozent solche Kommunikationssysteme und 61 Prozent außereuropäische Dienstleister. Als Gründe dafür werden angegeben, sonst …

• bestimmte Produkte und Dienstleistungen nicht mehr anbieten zu können oder
• Wettbewerbsnachteile zu haben.
• Lieferketten würden nicht mehr funktionieren,
• höhere Kosten entstünden oder
• die Konzenstruktur müsse dann insgesamt verändert werden.

Zwar wurde nach dem Aus das Data Privacy Shield durch das Data Privacy Framework ersetzt, aber dieses ist nicht weniger umstritten wie sein Vorgänger. Hinzu kommt, dass aufgrund der unübersichtlichen politischen Lage nicht sichergestellt werden kann, dass das DPF dauerhaft Bestand haben wird.

Die wichtigsten Datenschutz-Regeln

Hinsichtlich der Erfassung und Verarbeitung von personenbezogenen Daten besteht die Pflicht zur Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit (Quelle: › HAUFE).

1. Nicht nur EU-Unternehmen, sondern auch solche aus Drittländern unterliegen denselben Vorgaben, sobald EU-Bürger und deren personenbezogene Daten betroffen sind.
2. Ein stillschweigendes Einverständnis in die Verarbeitung personenbezogener Daten reicht nicht mehr aus. In jeden einzelnen Datenverarbeitungsvorgang muss von Betroffenen explizit eingewilligt werden können.
3. Eine Einwilligung muss jederzeit ohne Begrünsung widerrufbar sein.
4. Betroffene müssen aktiv gegen einzelne Zwecke der Datenverarbeitung widersprechen können.
5. Der Abschluss eines Vertrags darf nicht von Einwilligung zur Datenverarbeitung abhängig sein.
6. Datenverarbeiter können bei Datenpannen oder -fehlern von Betroffen auch direkt zur Verantwortung gezogen werden.
7. Datenpannen müssen innerhalb von 72 Stunden gemeldet werden.

Quelle: › Datenschutz.org (Auszug)

Internetauftritte und die DSGVO

Bisher war zwar nur von Unternehmen die Rede, aber das Gesagte betrifft natürlich auch Internetauftritte. Einerseits sind deren Betreiber überwiegend Unternehmen, andererseits gelten dieselben Vorschriften auch für Websites von Organisationen, Institutionen, Vereinen und Privatpersonen. Diesbezüglich sind zwei Grundsätze von besonderer Bedeutung:

• Privacy by Design: Schutz der Privatsphäre bereits bei der Konzeption und Programmierung und
• Privacy by Default: Die Verpflichtung, Voreinstellungen so einzurichten, dass die Verabreitung personenbezogener Daten von vorne herein minimiert ist. Zulässig ist nur noch eine Opt-in-Lösung, bei der Betroffene aktiv zustimmen müssen, aber kein Opt-out, bei dem Betroffene Voreinstellungen entfernen können.

Wie sieht es nun aber mit der Umsetzung der DSGVO aus? Wie weit haben beispielsweise Online Magazine und Blogs die Verordnung umgesetzt? Hat das Auswirkungen auf die Informationsfreiheit und die Nutzerfreundlichkeit der Websites? Unabhängig davon, ob es sich um deutsche, EU- oder internationale Websites handelt, zeigen Stichproben immer noch ein uneinheitliches Bild.

Verlustfreie Umsetzung der DSGVO auf Websites

Mindestanforderungen bei der Beurteilung der verlustfrreien Umsetzung der DSGVO sind

• Kontaktformulare durch Mail-to-Links ersetzt oder mit einem Link zur Datenschutzerklärung versehen,
• Teilen-Buttons mit Verlinkung, aber keine direkte Einbindung von Buttons der Social Media Anbieter sowie
• zum Abschließen eines Abonnements oder zum Spenden animieren, dies aber nicht als Voraussetzung für die Nutzung weiterer oder anderer Dienste und Inhalte verwenden.
• Korrekt erstellte und technisch funktionierende Cookie-Hinweise mit einer Liste wirklich aller Datensammler, bei denen auch die Möglichkeit besteht diese insgesamt – ausgenommen der technisch notwendigen – abzulehnen.
• Umfassende Datenschutzerklärung mit dem Aufführen aller verwendeten datenschutzrelevanten Funktionen – nicht mehr und nicht weniger – auf einer eigenen Seite.

Nicht zuletzt sollte die Umsetzung der DSGVO nicht dazu führen, dass die Nutzerfreundlichkeit von Websites beispielsweise durch das Ablehnen von Cookies soweit eingeschränkt wird, dass Inhalte nicht mehr lesbar sind – die Informationsfreiheit also deutlich darunter leidet.

Deutsche Websites und die Umsetzung der DSGVO

Vor allem Betreiber größerer Blogs haben im Zuge der Umsetzung der DSGVO ihre Datenschutzerklärung entsprechend überarbeitet – Beispiel: › Cashys Blog. Auf einigen wurden bisher vorhandene kritische Funktionen modifiziert oder entfernt.

Einerseits bieten einige kein Login oder keinen Newsletters über Nicht-EU-Drittanbieter mehr an. Andererseits haben sie bestimmte Plug-ins wie nicht DSGVO-konforme Kontaktformulare deinstalliert und verwenden andere Teilen-Buttons. In einigen Fällen verzichten sie auch auf eine Kommentarfunktion. Das kritisch zu betrachtende Google Analytics ist jedoch auch auf diesen Websites immer noch weit verbreitet.

Die Verwendung von ebenfalls problematischen Fonts, die parallel zur Website von Google oder anderen externen Servern heruntergeladen werden, ist seltener geworden. Entweder greifen die Betreiber der Websites auf Standard-Schriften wie Arial zurück oder sie installieren die Schriften auf dem Server, auf dem auch ihre Website installiert ist. Darüber hinaus blenden sie weniger bis gar keine Werbung mehr ein. Stattdessen bitten sie um eine Spende.

Allerdings gibt es auch immer noch Websites mit Cookie-Hinweisen, bei denen es reicht, diese mittels eines Klicks auf ein X auszublenden, ohne dass Besucher explizit ihr Einverständnis oder ihre Ablehnung erklärt hätten. Auch funktionieren manche Cookie-Consent-Tools trotz anscheinend korrekter Erstellung nicht ordnungsgemäß, so dass schon vor oder trotz der Ablehnung Daten übermittelt werden.

Besonders häufig finden sich Mängel beim Cookie-Hinweis, bei Formularen sowie fehlende oder mangelhafte Datenschutzerklärungen auf kleineren Websites von Vereinen und Privatpersonen.

Auf Websites aus anderen EU-Ländern ist die Umsetzung der DSGVO größtenteils noch weniger fortgeschritten als auf deutschen Seiten. Zwar blenden die meisten einen Cookie-Hinweis ein, die Datenschutzerklärung ist jedoch oft nur schwer zu finden oder in der vorgeschriebenen Form gar nicht vorhanden.

Unzureichende Umsetzung der DSGVO

In den meisten Fällen liegt der Grund für eine mangelhafte Umsetzung der DSGVO darin, dass die Betreiber ihre Website selbst erstellen und keine technischen und rechtlichen Kenntnisse bezüglich der Umsetung der DSGVO haben. Aber selbst bei von Webdesignern erstellten Internetauftritten hapert es immer noch nicht selten bei der Umsetzung der DSGVO – sei es aus Unkenntnis, Bequemlichkeit oder weil sie sich unreflektiert nach den Kundenwünschen richten. Oft verlangen diese Funktionen, deren Auswirkungen ihnen nicht klar sind. Da die Ersteller ihre Kunden nicht verärgern oder verlieren wollen, tun sie eben das Verlangte.

Ähnlich verhält es sich mit dem Abschluss von AV-Verträgen und dem Führen von Listen über gespeicherte Daten. Vor allem Betreiber kleinerer Websites scheuen den Zeitaufwand und unterlassen es daher. Das dieses Problem recht einfach lösbar wäre, indem weniger Daten erhoben und gespeichert werden, was wiederum das Erstellen und Aktualisieren der Verzeichnisse vereinfacht oder ganz überflüssig macht, scheint schwer zu vermitteln zu sein – die Neugierde, mehr über Besucher und Kunden zu erfahren, siegt anscheinend über die Vernunft.

Websites mit Zugangsbeschränkung

Eine große Gruppe von Betreibern von Nachrichtenportalen und professionellen Bloggern hat ihren Internetauftritt, was beispielsweise die Datenschutzerklärung und den Cookie-Hinweis betrifft, an die DSGVO angepasst. Jedoch sind das bei weitem nicht alle.

So werden immer noch ohne jeglichen Cookie-Hinweis etliche Cookies gesetzt. Dies ist nicht zulässig, wie der › Bundesgerichtshof (BGH) erst im Mai 2020 wieder bestätigte. Die Besucher müssen Cookies aktiv zustimmen, eine fehlende Ablehnung darf nicht automatisch als Zustimmung gewertet werden.

In vielen Fällen hat die Umsetzung der DSGVO auch dazu geführt, dass die Betreiber ihr Finanzierungsmodell umgestellt haben. Da Werbeeinblendungen von Drittanbietern datenschutzrechtlich besonders brisant sind, versuchen sie, diese zu verringern oder verzichten komplett darauf. Stattdessen setzen sie vermehrt auf Abonnenten und überlagern ihre Beiträge mit einem Pop-up, dass zum Abonnieren auffordert.

Dabei gibt es zwei Varianten: Bei der Plus-Artikel-Variante kannst du die ersten Zeilen eines Beitrags lesen. Um den vollständigen Artikel zu lesen oder die Videos ansehen zu können, muss du dich dann aber anmelden und ein Abonnement abschließen.

Bei anderen Websites hast du entweder gar keinen Zugriff auf die Beiträge mehr oder nur noch auf eine begrenzte Anzahl. Anschließend wirst du ebenfalls zum Abschließen eines Abonnement aufgefordert. Eine so vorgenommene Umsetzung der DSGVO hat somit gravierende Auswirkung auf die Informationsfreiheit. Die eigentlich vorgeschriebene Option, selbst zu bestimmen, welche Cookies der Besucher zulassen möchte, existiert bei beiden Modellen in der Regel nicht. Es gilt nur das Alles-oder-Nichts-Prinzip. Dementsprechend ist es nicht möglich, bestimmte Cookies abzulehnen und gegebenenfalls auf einige Funktionen zu verzichten und trotzdem zumindest Basis-Informationen zu erhalten.

Umsetzung der DSGVO außerhalb der EU

Noch breiter ist das Spektrum hinsichtlich der Umsetzung der DSGVO bei internationalen Websites und Blogs. Manche arbeiten mit einer Datenschutzerklärung, die den Anforderungen der DSGVO recht nahe kommt. Andere haben die deutsche und die europäische Ausgabe ganz eingestellt und leiten auf die US-Website weiter wie › HUFFPOST. Dort nimmt zwar ein Teilbereich der Datenschutzerklärung Bezug auf die EU-DSGVO, einen Cookie-Hinweis mit Opt-in-Funktion für einzelne Datensammler findest du jedoch nicht.

Das › TIME Magazin nimmt in seiner Datenschutzerklärung zwar Bezug auf die unterschiedlichen Vorschriften einiger US-Staaten, aber nicht auf die in der EU. Allerdings gibt es einen Cookie-Hinweis mit Opt-in-Funktionen für das Setzen der einzelnen Cookies.

Einige renommierte Magazine und Online Zeitungen bieten weder einen Cookie-Hinweis noch eine Datenschutzerklärung für Nutzer aus der EU an – Beispiel: › US TODAY.

Das in Deutschland immer häufiger verwendeten Abo-Modell ist inzwischen jedoch auch bei US-Portalen zu finden.

Zugriffssperre umgehen

Um als Besucher aus der EU gesperrte Zeitungen lesen zu können, böte sich ein VPN an. Obwohl dadurch deine eigentliche Herkunft verschleiert wird, folgt daraus noch nicht, dass du die Seite dann auch aufrufen kannst. VPN heißt nämlich nur, dass nicht der Server in deiner Nähe verwendet wird, über den normalerweise deine Zugriffe auf das Internet laufen, sondern einer, der seinen Standort im weiteren Umkreis hat. Dementsprechend hängt es davon ab, wo du dich aufhältst.

Beispiel: Befindet sich dein Gerät im Westen Deutschlands, steht der nächste VPN-Server möglicherweise in den Niederlanden, die wiederum ebenfalls zur EU gehören. Somit hast du trotzdem keinen Zugriff auf das jeweilige US-Portal. Oder es erscheint ein reCAPTCHA zur Überprüfung, ob du kein Bot bist.

Zögerliche Umsetzung der DSGVO

Natürlich sind die Ergebnisse meiner Recherche zur Umsetzung der DSGVO nicht repräsentativ. Außerdem habe ich mich auf Online-Zeitungen, Magazine und Blogs beschränkt. Darüber hinaus dienen die genannten Websites nur als Beispiel für die einzelnen Varianten, ohne Bewertung ihrer Inhalte oder Betreiber. Trotzdem lässt sich ein Trend erkennen.

Die Umsetzung der DSGVO ist weder in Deutschland noch in der EU und schon gar nicht international wirklich vollzogen. Und dabei habe ich nur täglich oder zumindest regelmäßig aktualisierte Websites getestet. Die vielen veralteten oder nur unregelmäßig gepflegten Internetauftritte würden das Ergabnis noch wesentlich schlechter aussehen lassen.

Bei der Nicht-Umsetzung der DSGVO verkennen viele Website-Betreiber jedoch die Konsequenzen ihrer Fahrlässig- oder Bequemlichkeit.

Kontrolle und Folgen von Verstößen

Zuständig für die Überwachung der DSGVO sind die Aufsichtsbehörden im jeweiligen Mitgliedstaat. In Deutschland sind dies einerseits die unabhängigen Datenschutzbeauftragten der Bundesländern und andererseits der BfDI, der oder die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit. Bei Unternehmen richtet sich die Zuständigkeit nach deren Firmensitz beziehungsweise Niederlassung in Europa. So sind beispielsweise für Apple oder Facebook die Behörden in Irland zuständig.

Verstöße können sehr teuer werden. Kriterien für die Höhe der jeweiligen Bußgelder sind unter anderem die Art oder Kategorie und die Schwere des Verstoßes sowie der Umsatz des Unternehmens (Quelle: HAUFE). Die DSGVO sieht Bußgelder in Höhe von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes des Unternehmens vor. Eine wissentliche Weitergabe personenbezogener Daten an Dritte kann ebenfalls eine Geldstrafe, aber auch eine Freiheitsstrafe von bis zu drei Jahren zur Folge haben – von den Schadensersatzsummen nach Klagen von Einzelpersonen oder Massenklagen ganz zu schweigen.

Die Mängel bemerkt ja keiner

Auch wenn die Kontrolle in den letzten Jahren deutlich besser geworden ist, stellte die EU-Kommission 2022 immer noch Probleme der der Umsetzung der DSGVO fest:

„Die nationalen Datenschutzbehörden erhalten insgesamt jährlich mehr als 100.000 Beschwerden. Die Dauer der Bearbeitung variiere deshalb durchschnittlich zwischen einem und zwölf Monaten. Im Jahr 2022 wurden 6680 Bußgelder mit einer Höhe von insgesamt 4,2 Milliarden Euro verhängt. Die meisten Sanktionen habe es in Deutschland (3261) gegeben, gefolgt von Spanien und Litauen.“
Quelle: › datenschutzticker.de

Immer noch verlassen sich offensichtlich viele Website-Betreiber und Unternehmen darauf, dass die mangelhafte Umsetzung der DSGVO nicht bemerkt oder zumindest nicht den Behörden gemeldet wird. Der Ursprung dieser Fehleinschätzung liegt wahrscheinlich darin, dass die meisten Strafen nicht bekannt werden. Presse und Medien berichten in der Regel nur über Unternehmen, die Bußgelder im siebenstelligen oder höheren Bereich zahlen mussten.

So hatte Meta im Mai 2023 das bisher wohl höchste Bußgeld zu zahlen. Für den fehlenden Schutz der Daten von Europäern bei Facebook und die Übertragung von Daten in die USA, verhängte die irische Datenschutzaufsicht eine Strafe von 1,2 Milliarden Euro.

Einige weitere Beispiele aus dem Dezember 2024:

• Italien: Technologieunternehmen
  • Datenschutzverletzung beim Betrieb von VhatGPT, die nicht innerhalb von 72 Stunden gemeldet wurde, unzureichende Datenschutzerklärung sowie Verstöße gegen die Grundsätze der Rechtmäßigkeit, Transparenz und Richtigkeit
    • 15 Millionen Euro
• Niederlande: Streaming-Dienst NETFLIX
  • Keine umfassende Aufklärung über die Datenverarbeitung und keine ausführliche Beantwortung der Auskunfstersuche, sondern nur pauschale Angaben zu Rechtsgrundlagen und Zweck der Verarbeitung, zum Empfänger der Daten und den Speicherfristen
    • 4.759.000 Euro
• Irland: Soziales Netzwerk Facebook
  • Sicherheitslücke bei der View-As-Funktion, wodurch sich unbefugte Dritte Zugriff auf 3,3 Millionen Nutzdaten in der EU verschaffen konnten
    • 251 Millionen Euro
• Frankreich: Dienstleistungen Linkedin
  • Zurverfügungstellung von beruflichen Kontaktdaten auch der Nutzer, die deren Sichtbarkeit eingeschränkt hatten sowie fehlende Einwilligung für das Einholen der Daten
    • 240.000 Euro
• Schweden: Vermietungsunternehmen
  • Unzulässige Videoüberwachung eines Mehrfamilienhauses ohne Information darüber und dem ausreichenden Nachweis eines berechtigten Interesses
    • 17.366 Euro

Quelle: › Dr. Datenschutz

Die vielen kleineren Verfahren ergeben dagegen keine sensationelle Schlagzeile. Dennoch gibt es sie natürlich und einem kleinen Blog-Betreiber mit geringen oder keinen Einnahmen kann ein Bußgeld von 1.000 Euro auch schon wehtun.

Umsetzung der DSGVO – Zusammenfassung

Selbst 2025, mehr als 6 Jahre nach Inkrafttreten der Datenschutz-Vorschriften, findest du im Netz immer noch sehr viele Websites, deren Betreiber offensichtlich von der Umsetzung der DSGVO wenig bis gar nichts halten. Bemerkenswert ist zudem, dass es sich dabei keineswegs nur um ältere, sondern auch um erst nach 2018 oder sogar erst in den letzten Monaten erstellte Websites handelt, die gravierende Mängel aufweisen.

Als Grund für die nicht erfolgte Umsetzung der DSGVO nennen viele Rechtsunsicherheit, einen schwer abzuschätzenden Aufwand, keine Zeit – „ist nicht die meine Kernaufgabe“ – oder mangelnde Hilfestellungen. Die naheliegende Lösung, externe Fachleute damit zu beauftragen, kommt anscheinend vielen Website-Betreibern gar nicht in den Sinn oder sie wird auch von Unternehmen sofort wieder verworfen, da solche Dienstleistungen natürlich nicht kostenlos zu haben sind.

Doch selbst wenn die Arbeitsweise und -geschwindigkeit der Kontrollbehörden heftig kritisiert wird, so bedeutet das nicht, dass Abwarten und Nichtstun eine gute Idee wäre. Abgesehen davon rufen solche mangelhaften Websites auch unseriöse Abmahner auf den Plan. Da viele Betreiber nicht genau wissen, ob auf ihrer Website alles in Ordnung ist, lässt sich mit dem Ausnützen der Verunsicherung recht gut Geld verdienen.

Fazit

Es stellt sich nicht nur die Frage, ob das Zahlen von Abmahngebühren und Bußgeldern in zum Teil beträchtlicher Höhe, am Ende wirklich günstiger ist, als ein Mal in die ordnungsgemäße Umsetzung der DSGVO zu investieren. Auch sollten sich die Betreiber solcher Websites vielleicht Gedanken darüber machen, wie es mit der Fairness gegenüber ihren Website-Besuchern und Kunden aussieht. Haben diese nicht ein Recht auf Transparenz und umfassende Information darüber, welche Daten erfasst, gespeichert und verarbeitet werden sowie zu welchem Zweck diese Daten überhaupt gesammelt werden müssen?

Insofern wird wohl jeder Nutzer des Internets eine Verbesserung und stärkere Kontrolle der Umsetzung der DSGVO begrüßen. Dennoch sorgt die Umsetzung der DSGVO bei einigen vielleicht auch für Missmut, da die kostenlose Nutzung der Websites zunehmend stärker eingeschränkt wird und die ständigen Cookie-Hinweise stören. Darüber hinaus sind einige US-Portale für Nutzer aus der EU nur noch begrenzt oder überhaupt nicht mehr zugänglich.

Die Lösung kann aber sicherlich nicht lauten, die Datenschutz-Vorschriften aufzuweichen, sondern muss zu einem verantungsvolleren Umgang mit personenbezogenen Daten führen – Stichwort Privacy by Design sowie Privacy by Default.

© eb | › Externe Verlinkungen: Dieser Beitrag enthält keine Affiliate-/Partner-Links.