Bundesregierung und DSGVO: Hier kann jeder machen was er will

Für die neue EU-Datenschutzgrundverordnung (DSGVO), die am (heutigen) 25. Mai endgültig in Kraft trat, gab es zwei Jahre Vorbereitungszeit – aber das hat offensichtlich nicht nur viele Privatleute überfordert, sondern auch die Bundesregierung. In den vergangenen Tagen bekam alleine ich von vier verschiedenen Bundesministerien vier verschiedene Mails zu dem Thema, mit gegensätzlichen Aussagen. Das reichte von einem Formular, das es für ein Verbleiben im Presseverteiler ausgefüllt zurückzuschicken galt, über das schlichte Ignorieren der DSGVO bis zur Aussage „wir haben ja Ihre Daten und schicken Ihnen weiter was“.

Ich habe deshalb versucht, in der Bundespressekonferenz vom für den Datenschutz zuständigen Bundesinnenministerium und den anderen Ministerien zu erfahren, warum es denn noch nicht mal in der Bundesregierung eine einheitliche Vorgehensweise gibt. Die Antwort darauf war, vereinfacht gesagt: Hier kann jeder machen was er will, oder vornehmer ausgedrückt, es gilt das Ressortprinzip.

Hier meine Frageversuche und die Antworten zum Nachhören:

(Vom ZDF gibt’s das auch mit Bild)

Das Transkript dazu:

Frage: Zu einem neuen Thema: europäische Datenschutz-Grundverordnung. Wie einige wissen, endet heute die Übergangsfrist. Das BMI hat das in einer Pressemitteilung ausführlich gewürdigt.

Dennoch dazu die Nachfrage an das BMI, an Frau Fietz und an die Sprecherinnern und Sprecher der Ministerien: Warum haben diese zwei Jahre Übergangsfrist nicht gereicht, um eine einheitliche Umsetzungsweise innerhalb der Bundesregierung festzulegen? Ich habe allein von vier Ministerien gestern und heute vier verschiedene Arten des Umgangs mit Bestimmungen der DSGVO erlebt. Das reicht von einem ausführlichen Formular zum Herunterladen und Ausfüllen über Gar-nichts-Tun bis zu: „Sie sind doch in unserem Verteiler“ – obwohl ich mich da nie eingeschrieben habe. Von einer einheitlichen Vorgehensweise innerhalb der Bundesregierung kann also anscheinend nicht die Rede sein.

Noch einmal die Frage: Warum haben diese zwei Jahre Vorbereitungszeit nicht ausgereicht, um eine einheitliche Umsetzungsweise innerhalb der Bundesregierung festzulegen?

SRSin Fietz: Ich kann Ihnen dazu nur so viel sagen, dass die Bundesregierung diese Regelung in allen Ressorts umsetzt. Wie die Ressorts das handhaben, ist wirklich Angelegenheit der Ressorts. Ich kann Ihnen viele Details liefern, wie das BPA das umgesetzt hat, aber ansonsten ist es Sache der Ressorts, die Datenschutz-Grundverordnung umzusetzen.

Zusatzfrage: Heißt das, dass jedes Ressort eigenverantwortlich entscheidet, wie es die Regeln der DSGVO interpretiert?

SRSin Fietz: Ich würde jetzt nicht von Interpretation reden, sondern von Umsetzung.

Korff: Dem ist grundsätzlich nichts hinzuzufügen. In erster Linie entscheidet das jedes Ressort selber. Aber es fanden dazu – zugegebenermaßen etwas kurzfristig –Abstimmungen statt. Falls man innerhalb der üblichen Ressortabstimmungen zu dem Ergebnis kommt, sich auch an anderen zu orientieren, dann wird das sicherlich noch weiter stattfinden. Diese Gespräche fanden statt. Es wurde entschieden, dass es jedes Ressort für sich selbst macht. Ein enger Austausch fand statt, wo es möglich war, und es ist nicht ausgeschlossen, dass das auch noch weiterhin passiert.

Frage: Warum reicht es bei dem einen, nur auf „antworten“ zu drücken, während ich bei dem anderen – wir reden von einer und derselben Bundesregierung – ein ganzes Formular neu ausfüllen muss? Wie kann das rechtlich sein? Denn die rechtliche Basis ist ja exakt identisch.

Korff: Das kann ich Ihnen derzeit nicht sagen, weil ich keine Kenntnis darüber habe, wie es die einzelnen Ressorts umsetzen.

Frage: Gibt es in der Regierung Überlegungen, per Kabinettsbeschluss noch Anpassungen bei der Datenschutz-Grundverordnung vorzunehmen?

Ich weiß; die Grundverordnung ist in Kraft gesetzt. Aber man könnte auch das Setzen von Strafen noch einmal überdenken.

Korff: Darüber haben wir am Mittwoch wirklich ausführlich gesprochen. Herr Seibert hat dazu sehr deutlich Stellung genommen, wir ebenfalls. Das ist derzeit nicht geplant.

Frage: Wie sieht die Bundesregierung das Vorgehen von Webseiten von außerhalb der EU, dieses Seiten beim Zugriff aus der EU unter Hinweis auf die Datenschutz-Grundverordnung zu blockieren? War das mit ein angestrebtes Ziel des Inkrafttretens dieser Regelung?

Korff: Es tut mir wirklich leid, aber ich kenne die Datenschutz-Grundverordnung nicht so im Detail, dass ich auf diese Frage antworten könnte.

Zusatz: Es ist ja keine Frage zur Datenschutz-Grundverordnung im Detail.

Korff: Das ist die Frage, wie das auf Grundlage der Datenschutz-Grundverordnung rechtlich zu bewerten ist.

Zusatz: Nein, das war nicht meine Frage. Entschuldigung, dass ich sie so unpräzise gestellt habe.

Als Folge des Inkrafttretens der europäischen Datenschutz-Grundverordnung gibt es Seiten von Betreibern von außerhalb der EU, die als Reaktion darauf für Nutzer aus der EU grundsätzlich Geoblocking betreiben. Ist das etwas, was die Bundesregierung quasi schulterzuckend hinnimmt, war das mit eingepreist, oder ist es Ihnen einfach egal? – Haben Sie dazu eine Meinung oder nicht?

Korff: Ich kann Ihnen jedenfalls keine Meinung für das BMI geben, weil ich es schlichtweg nicht weiß. Die Frage scheint mir aber in Teilen auch in der Zuständigkeit des BMWi zu liegen.

Vorsitzende Wefers: Können Sie weiterhelfen?

Jornitz: Im Moment leider nicht. Das müsste ich nachreichen.

Die nachgereichte Antwort des Bundeswirtschaftsministeriums auf meine entsprechende Frage:

Nicht-europäische Webseitenbetreiber müssen auf Grund des Marktortprinzips die Vorgaben der DS-GVO einhalten, sobald sie die IP-Adressen von Webseitenbesuchern in der EU speichern.
Dass aus diesem Grund Webseitenaufrufe aus der EU blockiert werden, ist uns nicht bekannt. Vielmehr stellen nach unseren Erkenntnissen gegenwärtig auch nicht-europäische Anbieter ihre Prozesse auf die DS-GVO um – teilweise sogar über das Gebiet der EU hinaus. Ein gewichtiger Grund hierfür ist die Bedeutung des europäischen Markt für Anbieter auch außerhalb der EU.

Tja, man müsste nur mal z.B. auf die Webseite der Los Angeles Times heute schauen: