Aktueller Trend: gefühlter Datenschutz

HMDATA Datenschutz-Newsletter 01/2025, Autor: Dipl.-Ing. (FH) Harald Müller-Delius, MBA, ©HMD 2024

Im gewerblichen Datenschutz hat sich ein gewisser Pragmatismus etabliert, der sich auch durchaus mit den sich aus dem risikobasierten Ansatz einer professionellen DSGVO-Compliance ergebenden prozessorientierten Vorteilen arrangieren kann.
Kurz: betriebswirtschaftlicher Datenschutz funktioniert.
Andererseits aber verhält sich das zu schützende Subjekt "natürliche Person" bezüglich eines sinnvollen Datenschutzes bestenfalls irrational, zumindest aber bequem, ignorant oder cholerisch egozentrisch. An Unternehmen werden im Zweifelsfall höchste Ansprüche erhoben, die auch behördlich und rechtlich ohne Gnade durchgesetzt werden.
Aber inkonsistenterweise werden gerade im privaten Umfeld entweder bewusst oder auch mangels Kenntnis und Interesse datenschutzrechtlich Dienste und Bedingungen genutzt und akzeptiert, die einer digitalen Selbstaufgabe gleichkommen.

Die Sphäre des gefühlten Datenschutzes

Als natürliche Personen lassen sich nun folgende Typisierungen des Kundenbestandes treffen (mit empirischer Häufigkeit in % angegeben)

• Unwissend (50%)
• Phlegmatisch (25%)
• Ignorant (15%)
• Interessiert (7%)
• Geschädigt (2%)
• Egozentrisch (1%)

Selbstverständlich sorgt die unternehmerische DSGVO-Compliance für ein dem Risiko angemessenen Schutzstandard der Verarbeitung für alle Typisierungen.
Es ist aber kein Geheimnis, dass die letzten 10% den meisten administrativen Aufwand gegenüber den zu Schützenden verursachen.
Die Interessierten sind dabei am besten einer Argumentation empfänglich, die Geschädigten müssen selbstverständlich sozusagen als risikobasierter Kollateralschaden der Verarbeitung allen Einsatz und Respekt gegenüber Eindämmung, Schadenersatz und Prävention erfahren.

Die größte Dissonanz und Frustration aber bei der Aufwand-Nutzen-Relation erfährt das Unternehmen bei dem letzten einen Prozent, das einem meist auf Halbwissen beruhenden Recht auf Anspruch mit Ausdauer, Vehemenz und auch durchaus Aggressivität nachkommt. Seit der Corona-Pandemie ist empirisch zu beobachten, dass zunehmend Frustration mit Hilfe der "Betroffenenrechte" nach Art. 15 bis 21 und dem "Recht auf Schadenersatz" nach Art. 82 DSGVO gegenüber Unternehmen ausgelebt wird.

Auf Grund der Rechenschaftspflicht des Unternehmens nach Art. 5 Abs. 2 DSGVO wird hier mit ungleichen Mitteln gekämpft: Behauptung gegen Beweispflicht, Aggression gegen Seriosität, Allgemeines gegen Details, Empörung und Drohung gegen Wirtschaftlichkeit.

Und aus dieser Dissonanz heraus ergibt sich dann der "gefühlte" Datenschutz: im akribischen Detail superwichtig und ressourcenaufwändig, im Großen und Sinnvollen ignorierend und verschwindend.
Man beschäftigt sich lieber mit dem zwar aktuell wichtigen, aber global irrelevanten datenschutzrechtlichen Detail anstatt sich auf langfristige Vision, Strategie und Maßnahmen zu konzentrieren.
Bei limitierten Ressourcen leidet dann meist die Prävention, die genau jene aufwändigen Detailarbeiten zukünftig verhindern soll - mit dem Ergebnis: mehr Frustration.

Was tun?

Sollten sich nun Unternehmen Ihrer Pflicht zur risikoabwägenden Sorgfalt bewusst sein und entsprechende Maßnahmen und Compliance präventiv vorhalten, so könnten mit Hilfe der Transparenz- und Informationspflicht mit Sicherheit die große Gruppen der datenschutzrechtlich passiven Stakeholder zu "Datenschutzinteressierten" konvertiert und die Gruppe der Empörten überwiegend zum Schweigen gebracht werden.
Präventive Investition in Datenschutz und digitale Sicherheit ist zukünftiger Marketing- und Strategievorteil, ganz abgesehen vom betriebswirtschaftlichen Nutzen!

Aus dieser Sphäre des gefühlten Datenschutzes und den Erfahrungen der letzten Jahre leiten sich nun für 2025 und zukünftig folgende Rückschlüsse ab:

• Kundeanspruch auf Datenschutz ernst nehmen
• Gelebte Transparenz und Information vor Verarbeitung
• Risikobasierte Maßnahmen für jede Verarbeitung personenbezogener Daten
• Mitarbeiterqualifizierung
• Regelmäßige Evaluierung (juristisch, technisch und organisatorisch)
• Geeignete definierte Prozesse und Workflows

All dies sind Maßnahmen zur nachhaltigen Unternehmensführung, denn nach der Insolvenz ist ein kapitaler Reputationsschaden das Teuerste, was ein Unternehmen erleiden kann.
Der Datenschutz kennt keine Pflicht zur administrativen Selbsterfüllung sondern ist in einer zunehmend digitalisierten Welt die wichtigste Spielregel, die einen fairen gesamtwirtschaftlichen Umgang bei der Verarbeitung personenbezogener Daten einfordert.