Die Verordnung, die ihr Versprechen verschluckt hat
Als die DSGVO 2016 in Kraft trat, lag über Brüssel der Duft von Prinzipienfestigkeit. Man sprach von einem Bollwerk für die Würde des Bürgers, Erwägungsgrund eins bis 173, fein säuberlich verlinkt, ein Triumph der Rechtskultur. Die Verordnung stellte hohe Anforderungen an die Datenverarbeitung — so stand es geschrieben.
Nun, da die DSGVO 2.0 ihre Türen öffnet, liegen die Akten auf dem Tisch der Ermittler, und sie erzählen eine andere Geschichte. Wo einst vom Schutz der Privatsphäre die Rede war, steht heute ein Verwaltungsmonster im Raum, das jene füttert, die es zu zähmen vorgab. Big Tech — allen voran Google und Microsoft — hat sich als emsiger Architekt erwiesen. Google schiebt den Digital Services Act vor sich her, während Microsoft andere Tasten spielt. Die Prioritäten variieren — das Ergebnis bleibt dasselbe: Verwässerung.
Der EU AI Act, ab August 2026 in den meisten Bestimmungen anwendend, sollte die zweite Welle der Regulierung werden. Strafen bis 35 Millionen Euro oder sieben Prozent des weltweiten Umsatzes stehen im Raum. Doch was nützt das strengste Gesetz, wenn seine Einhaltung systematisch umgangen wird? Klagen, rechtliche Herausforderungen, ein Tauziehen ohne Ende. Draghi selbst sprach von Defiziten; das EU-Parlament debattierte im Untergrund.
Unternehmen müssen Compliance-Risiken minimieren, so die fromme Forderung — technische und organisatorische Maßnahmen, Schulung der Mitarbeiter, ein ganzer Apparat. Fünf Prüfungsschritte sollen nun Bußgelder konsistent, transparent, verhältnismäßig und abschreckend machen. Es klingt nach Verfahren. Es riecht nach Verfahren. Aber wer sitzt am Tisch, wenn diese Schritte kalibriert werden?
Die DSGVO 2.0 verlangt Erklärungen automatisierter Entscheidungen, Datenportabilität in Echtzeit, explizite Einwilligung ohne voreingestellte Häkchen, Datenminimierung. KI-Systeme müssen DSGVO-konform sein — Transparenz, wo vorher Verschleier war. Bürger haben Anspruch auf Privatsphäre. Unternehmen haben Pflichten. So steht es geschrieben.
Zwischen diesen beiden Sätzen hat sich ein Geschäftsmodell eingenistet. Wer profitiert? Compliance-Abteilungen, Berater, eine ganze Industrie, die vom Schutz der Daten lebt, während die Daten längst weitergewandert sind. Wer verschweigt? Jene, die ihre Lobbyisten mit jener Diskretion bezahlen, die der Verordnung selbst fehlt. Welche Struktur trägt es? Eine, in der das Menschenrecht zur Eintrittskarte wurde für jene, die es eigentlich beschränken sollte.
Unklar bleibt, wer am Ende die Rechnung begleicht — die Bürger, die Konzerne oder die Demokratie selbst.
❖ Ende des Artikels ❖