Daten über den Atlantik: Wer zahlt den Preis der DSGVO
Die Drähte summen. Ich übersetze.
Es geht um Datenströme — jene unsichtbaren Frachten, die täglich von europäischen Servern über den Atlantik fließen, in Rechenzentren jenseits des Ozeans, wo andere Gesetze gelten. Oder wo man so tut, als gälten sie. Ich habe früher Morsesignale aus dem Äther gefischt, später Funkfeuer, dann Radarechos. Das Prinzip ist immer dasselbe: Man hört etwas, das andere nicht hören wollen. Heute sind die Signale verschlüsselt, aber das Rauschen ist lauter geworden.
Die Anforderung der EU ist klar formuliert. Unternehmen, die Daten in die USA übermitteln, müssen nachweisen können, dass dort das Datenschutzniveau der Union gewahrt bleibt. Das klingt nach Bürokratie. Ist es auch — aber dahinter steckt ein Hebel, der das Geschäftsmodell ganzer Konzerne ins Wanken bringen kann. Es ist, als würde man verlangen, dass jede Kupferader, die das Land verlässt, weiterhin dem hiesigen Standard entspricht.
Im Zentrum steht Meta. Eine Klage hat den Konzern in ein Licht gerückt, das kein Anwalt gern sieht. Was geschieht mit den Daten der Nutzer, wenn sie einmal die EU verlassen haben? Politische Einstellungen. Gesundheitsangaben. Sensible Kategorien, die nach europäischem Recht nicht ohne ausdrückliche Einwilligung verarbeitet werden dürfen — auch nicht, wenn ein KI-System danach greift. Die Klage hebt hervor, was viele Nutzer längst ahnen: Bei KI-Diensten sind die Erwartungen an Datenschutz nicht Verhandlungsmasse, sondern Grundlinie. Der rechtliche Druck auf Anbieter wächst mit jeder Verhandlung.
Die Auflagen sind konkret. Europäische Nutzer müssen vollständige Einsicht in ihre Daten erhalten. Anfragen müssen binnen vierzehn Tagen beantwortet werden. Vierzehn Tage — das ist in der Branche ein Wimpernschlag. Wer mit Millionen Datensätzen operiert, muss seine Archive binnen zwei Wochen offenlegen können. Das verlangt eine Infrastruktur, die von Anfang an auf Auskunft gebaut ist. Wer das nicht hat, hat ein Problem.
Doch hier beginnt die eigentliche Ermittlung. Die DSGVO erlaubt nicht nur Einzelklagen, sondern systemweite Maßnahmen. Das bedeutet: Eine einzige Beschwerde kann sich zu einem Bußgeld auswachsen, das den gesamten Geschäftsbetrieb erfasst. Die Waffe ist das Prinzip der Skalierung. Wer einmal blutet, blutet oft. Und die Bußgelder sind so bemessen, dass sie nicht als Betriebsausgabe verbucht werden können.
Parallel verschärft sich die Bedrohungslage. KI-gestützte Phishing-Angriffe haben die Cyberkriminalität auf ein Niveau gehoben, das mit klassischen Methoden nicht mehr greifbar ist. Personalisierte Täuschung in Echtzeit, gestützt auf Datenlecks ausgerechnet jener Plattformen, die wir hier betrachten. Die Ironie ist so dick wie Lötzinndraht auf einer alten Platine: Die Daten, die exportiert werden, werden gegen die exportierenden Nutzer gewendet.
Die neuen Regulierungen fördern algorithmische Transparenz und wollen Desinformation eindämmen. Datenminimierung stärkt die Cybersicherheit — wer weniger sammelt, kann weniger verlieren. Das ist Grundschule der Kryptographie, die ich in meinen Funkjahren gelernt habe. Aber es ist eine Richtung, die den Geschäftsmodellen der großen Plattformen die Luft abschnürt.
Insbesondere Meta ist betroffen. Profiling ohne explizite Einwilligung ist tabu. Interoperabilität wird zur Pflicht — die Mauer zwischen den Ökosystemen muss Risse bekommen. Was als technische Anforderung daherkommt, ist in Wahrheit ein Angriff auf das Kerngeschäft: personalisierte Werbung, Verhaltensvorhersage, das Sortieren von Menschen in verwertbare Kohorten. All das steht unter Vorbehalt.
Wer profitiert? Die Nutzer, sagt das Gesetz. Die Anwaltskanzleien, sagt die Branche. Die Aufsichtsbehörden, sagt der Etat. Wer zahlt den Preis? Vorerst Meta. Morgen jeder, dessen Datenmodell nicht DSGVO-konform ist. Und wer kontrolliert das? Wer die Server besitzt, besitzt die Schlüssel — das war beim Morsen so, das ist beim Cloud-Computing nicht anders.
Unklar bleibt, ob die Unternehmen in den USA tatsächlich die Mittel und den Willen haben, das geforderte Schutzniveau dauerhaft zu garantieren. Unklar bleibt auch, was mit den Daten geschieht, die bereits transferiert wurden, bevor die Auflagen griffen. Die Akte ist offen. Mein Büro riecht nach Lötzinn und kaltem Kaffee. Die Drähte summen weiter.