Der „Digital Services Act“ (DSA) und der „Digital Markets Act“ (DMA), zwei Gesetzesvorhaben der Europäischen Kommission, sehen eine vollständige Neuorganisation unseres Informationsraums vor. Der DSA fordert, illegale Inhalte nach einer entsprechenden Meldung offline zu stellen. Werden die beiden Gesetze zum Ende der sogenannten Wildwestphase im digitalen Binnenmarkt führen?
Johnny Ryan: Was mich im Zusammenhang mit dem „Digital Services Act“ beunruhigt, ist die Tatsache, dass der Ansatz derselbe ist wie bei den analogen Medien. Wenn Sie für eine Zeitung oder einen Rundfunksender arbeiten und etwas Illegales veröffentlichen, müssen Sie mit der Aufforderung rechnen, den Artikel aus Ihrem Radioarchiv oder Ihrer Zeitung zu entfernen und sich öffentlich zu entschuldigen. Das nennt man „Meldung und Löschung“.
Bei einer Online-Plattform ist das anders. Es gibt so viele Informationen auf YouTube oder Facebook, dass es größtenteils egal ist, was online steht, denn nur sehr wenig wird jemals von einer großen Anzahl von Menschen tatsächlich gesehen. Die Dinge, die gesehen werden, sind die, die der Algorithmus des Unternehmens als besonders förderungswürdig einstuft oder die andere Menschen ansprechen.
Der Entwurf des „Digital Services Act“ enthält fast ein ganzes Kapitel über das Konzept der „Meldung und Löschung“; und dieses Konzept ist irrelevant. Außerdem drohen unvermeidlich Fehler in einigen Fällen. So ist zum Beispiel die Informationsfreiheit bedroht. Aber der Entwurf des „Digital Services Act“ enthält nur wenige Zeilen zum Thema algorithmische Empfehlungssysteme.
Und derzeit heißt es, dass in den Allgemeinen Geschäftsbedingungen etwas stehen sollte, um den Nutzern algorithmische Empfehlungssysteme zu erklären, und dass sie die Möglichkeit haben sollten, einige Einstellungen zu ändern. Was mich erstaunt, ist, dass sie in einer Zeit, in der das politische Umfeld für die Gesetzgeber sehr unangenehm wird und die Dinge für sie immer extremer und schwieriger werden, nicht erkannt haben, dass sie diese Empfehlungssysteme standardmäßig ausschalten und sie als eine der gefährlichsten Technologien behandeln müssen, die in den letzten Jahrzehnten erfunden wurden. Stattdessen sagen sie, dass algorithmische Empfehlungssysteme standardmäßig eingeschaltet sein können, und dann konzentrieren sie ihre ganze Zeit auf die „Meldung und Löschung“, was irrelevant ist. Wenn der „Digital Services Act“ also gesagt hätte, dass Empfehlungssysteme für Inhalte und für beliebte Gruppen, denen man beitreten könnte, standardmäßig ausgeschaltet, möglicherweise verboten, vielleicht nicht verboten, aber einer sehr strengen Kontrolle unterworfen wären, dann könnte der „Digital Services Act“ unsere Informationsumgebung und unsere Politik zum Besseren verändern. Aber das ist nicht geschehen.
Glauben Sie, dass der aktuelle Entwurf auch auf die Informationsfreiheit einen negativen Einfluss haben könnte?
Johnny Ryan: Wenn man ein System zur Meldung und Löschung einrichtet, besteht immer ein Risiko, dass etwas Falsches gelöscht wird. Das ist unvermeidlich. Fehler werden vorkommen, und diese Fehler werden Folgen für die Meinungsfreiheit haben. Das Gesetz enthält eine Menge Einzelheiten darüber, wie die „Meldung und Löschung“ ablaufen und überprüft werden soll. Möglicherweise könnten die Firmen übereifrig werden, weil es für sie einfacher sein könnte. Aber die Möglichkeit der Löschung hat sicher Folgen für die Meinungsfreiheit. Wesentlich eleganter wäre es gewesen, das Ganze vom Standpunkt der Verbreitung her zu betrachten, denn wir alle wissen, dass die Veröffentlichung im Druckwesen sowie in Funk und Fernsehen anders funktioniert als auf einer Online-Plattform. Ohne algorithmische Verstärkung ist eine Veröffentlichung unerheblich.
Ein weiterer bedeutender Sieg für die Nutzer ist nach Ansicht der politischen Entscheidungsträger die Tatsache, dass die Verweigerung der Einwilligung nicht mehr gleichbedeutend mit der Verweigerung von Diensten ist. Online-Plattformen werden also nicht mehr in der Lage sein, die Verweigerung der Einwilligung komplizierter zu machen als deren Erteilung. Ist der „Digital Services Act“ in dieser Hinsicht eine gute Nachricht für die Nutzer?
Johnny Ryan: Das war bereits in der Datenschutz-Grundverordnung (DSGVO) gesetzlich festgeschrieben. Im „Digital Markets Act“ ist das überflüssig. Die Kommission ist ihrer eigenen Agenda zum Opfer gefallen, und sie hat die Agenda der vorigen Kommission vernachlässigt, jedenfalls hinsichtlich der Datenschutz-Grundverordnung. Die DSGVO löst das Problem, das Sie gerade beschrieben haben, aber die Europäische Kommission hat nicht sichergestellt, dass die DSGVO von den Mitgliedstaaten angewendet wird.
Ein Online-Werbeverband wurde von der zuständigen belgischen Datenschutzbehörde wegen eines Instruments, das gegen das EU-Datenschutzrecht verstößt, mit einer Geldstrafe belegt. Der sogenannte Transparenz- und Einwilligungsrahmen des IAB Europe ermöglicht es Websites und Herausgebern, die Einwilligung der Nutzer zur Verarbeitung ihrer personenbezogenen Daten für gezielte Werbezwecke einzuholen. Alle großen Akteure gehören diesem Netzwerk an. Es war ein langer Kampf, und Sie haben diesen Kampf initiiert. Warum ist diese Entscheidung so wichtig? Könnten Sie sie kurz zusammenfassen?
Johnny Ryan: Wenn Sie eine Website besuchen und sie Informationen über Sie aufnimmt und an Hunderte von Unternehmen weitergibt, ohne zu kontrollieren, was mit den Aufzeichnungen Ihres Online-Verhaltens geschieht, verstößt das gegen die DSGVO. Die Daten- und Trackingindustrie wollte dieses „kleine“ Problem umgehen. Sie wollten so weitermachen wie bisher, also versuchten sie, die Datenschutzverletzung in einer Art Vernebelung mit der Zustimmung der Nutzer zu überdecken. Der Ansatz war: Der Besucher der Website hat zu irgendetwas sein Einverständnis gegeben, und deshalb ist alles, was dann folgt, in Ordnung.
Nun ist das, was ich gerade beschrieben habe, nicht rechtmäßig, aber es war vier Jahre lang die Norm, und die Europäer waren dann nicht nur den massiven Datenverstößen im Zusammenhang mit Online-Werbung ausgesetzt. Diese wurde zur neuen Form von Spam, und diese neue Form von Spam diskreditierte die DSGVO in den Augen der Amerikaner und anderer, die sonst vielleicht unserem Beispiel gefolgt wären.
Die Entscheidung der belgischen Datenschutzbehörde gegen IAB Europe besagt Folgendes: Es ist nicht mehr möglich, dass die Industrie von den Nutzern verlangen darf, einer Einwilligungserklärung zuzustimmen, die gegen den Datenschutz verstößt. Also hat die Industrie eine Anordnung erhalten, die besagt, dass das, was sie getan hat, illegal gewesen ist, und dass die Daten, die sie dadurch erhalten hat, illegal in ihrem Besitz sind. Die offensichtliche Konsequenz ist, dass sie jetzt gelöscht werden müssen. Dem Branchenverband IAB Europe wurde außerdem mitgeteilt, dass er zwei Monate Zeit hat, um einen Plan zur Behebung des Problems vorzulegen.
Wenn man also dieses Urteil bis zu seiner unvermeidlichen Konsequenz verfolgt, dann muss die Datenpanne bei der Online-Werbung endlich aufhören. Und das ist potenziell bedeutsam, nicht nur für die Privatsphäre der Menschen und um zu verhindern, dass sie bei der nächsten Bewerbung „profiliert“ oder einfach von einem Vorstellungsgespräch ausgeschlossen werden, weil ein Profil von ihnen irgendwo besagt, sie seien nicht geeignet. Es ist auch deshalb von Bedeutung, weil unsere angesehenen Medien, auf die wir uns in unserem politischen Leben und in der Gesellschaft verlassen, unter diesem System leiden. Kurzfristig hilft es ihnen, jeden Tag Geld zu verdienen, aber mittelfristig ermöglicht es, dass ihr Publikum illegal von anderen Unternehmen „gestohlen“ wird, die dann das gleiche Publikum auf anderen Websites billiger ansprechen können. Und das wiederum schafft ein Geschäftsmodell für die Art von Medien, die zwar operieren dürfen, aber eigentlich kein Geschäftsmodell haben sollten, und das schadet unserem politischen System.
Sind Sie der Ansicht, dass die neuen EU-Gesetze den digitalen Wettbewerb in Europa wiederherstellen können? Wie weit sind wir aus heutiger Sicht von der sogenannten europäischen Souveränität im digitalen Raum entfernt?
Johnny Ryan: Die aktuelle Fassung des „Digital Markets Act“ enthält einen sehr bedeutsamen Fehler. Artikel 5 Absatz 1a des „Digital Markets Act“ legt fest, dass es Firmen, die wir als Gatekeeper bezeichnen, nicht gestattet ist, die ihnen bekannten Daten zusammenzuführen. Das ist meiner Meinung nach ein sehr vernünftiger Ansatz, der wiederum in der DSGVO enthalten ist und der unter der Bezeichnung Zweckbindung bekannt ist: Wenn man zu einem bestimmten Zweck persönliche Daten von jemandem sammelt, darf man diese Daten nicht zu irgendeinem anderen Zweck verwenden, der über den vorgesehenen Zweck hinausgeht.
Es sei denn …
Johnny Ryan: … es sei denn, es besteht eine Rechtsgrundlage, wie zum Beispiel eine Übereinkunft. Allerdings schafft der „Digital Markets Act“ eine Doppeldeutigkeit im Bereich der Zweckbestimmung, denn der aktuelle Text lässt zu, dass man mit einem Mausklick Daten kombinieren kann. Er besagt aber auch, dass er nicht das Ziel verfolgt, die DSGVO außer Kraft zu setzen. Letztlich heißt es, dass dem Nutzer lediglich eine Auswahl einer Datenkombination vorgelegt wird. Das bedeutet, dass Firmen, die zurzeit das Zweckbindungsprinzip der DSGVO nicht respektieren, sich jetzt auf diesen neuen Aspekt des „Digital Markets Act“ stützen können, um sich vor Gericht zu verteidigen. Insofern kennt der „Digital Markets Act“ weder den Wert der Datenschutz-Grundverordnung, noch nutzt er sie.
Trotzdem besagt die Bestimmung, dass die Kombination von Daten illegal ist, es sei denn, es besteht eine klare Rechtfertigung.
Johnny Ryan: Richtig, wenn Sie nur auf ein paar Schaltflächen klicken, bedeutet dies, dass damit das Tech-Unternehmen die Möglichkeit hat, Sie besser zu bedienen und all diese wunderbaren Dinge zu tun, die das Geschäft des Unternehmens voranbringen. Wenn dieser Fehler im Text bleibt, wird er nur mithilfe jahrelanger Rechtsstreitigkeiten berichtigt werden können.
Im Grunde würde das bedeuten, dass Instagram mit meiner Zustimmung die Daten für alle anderen Dienste nutzen kann, wie WhatsApp, Facebook und so weiter.
Johnny Ryan: Mehr als das: Sie beziehen sich auf die Weitergabe von Daten innerhalb eines Konzerns und unter den Tochterfirmen innerhalb des Konzerns. Ich beziehe mich auf die Weitergabe von Daten innerhalb eines Mischkonzerns und unter den Tochterfirmen für jede einzelne Nutzung, jeden einzelnen Verarbeitungszweck. Das ist weitaus kleinteiliger. Es gibt in dieser Hinsicht noch viel mehr Hürden, auch in der DSGVO. Mir ist klar, dass sich das alles sehr abstrakt anhört, weil die DSGVO, was unseren Zusammenhang betrifft, eigentlich nicht existiert und nie umgesetzt wurde.
Welchen Einfluss haben die digitalen Gatekeeper auf den Zustand der Demokratie in Europa?
Johnny Ryan: Ich denke dabei an vier Aspekte. Zunächst die Frage der Konzentration von Macht: Wenn man eine Firma so mächtig werden lässt, hat das Folgen für die Gesellschaft, in der sie tätig ist.
Das Zweite hat mit der Information der Öffentlichkeit und des Bürgers zu tun. Nachrichtenverlage wurden durch die digitale Revolution geschädigt, das ist unumstritten. Die Nachrichtenredaktionen werden kleiner, die Zyklen werden kürzer, und möglicherweise schwindet die analytische Qualität.
Auch die Breite der Berichterstattung könnte problematisch werden, in den USA zum Beispiel, wo ständig über das Problem der schwindenden Lokalnachrichten geredet wird. In Europa haben wir etwas andere Probleme: Fast jeder Verleger verlässt sich im Hinblick auf seine Einnahmen großenteils auf die riesigen Gatekeeper, und diese können die Regeln festschreiben. Aus Wettbewerbsstudien wissen wir, dass sie über das verfügen, was wir Marktmacht nennen. Also legen sie nicht nur die Regeln dazu fest, wie ein Verleger sein Geld verdient. Wenn sie wollen, können sie auch die Preise ändern. Wir haben es also auch mit dem Kanal zu tun, durch den Informationen über das politische Leben den Bürger erreichen, und dieser Kanal hängt signifikant von diesen großen Firmen ab.
Die Gatekeeper – und dies ist der dritte Punkt – sind so stark, dass sie für jeden neuen Wettbewerber die Norm aufgestellt haben, sodass der Weg zum Erfolg in der Überwachung und in einer konzerninternen Datennutzung besteht. Wir sehen nicht viele Wettbewerber, die andere Ansätze verfolgen. Dieses System ist so erfolgreich, dass es die größten Unternehmen aller Zeiten hervorgebracht hat. Das ist schlecht für alle, und die Notwendigkeit einer Alternative ist offensichtlich.
Der vierte Punkt ist ein sehr allgemeingültiger Gedanke: Vor etwa einem Jahrzehnt hat Europa der Welt gesagt, dass wir es ernst meinen: Wir wollten tief verwurzelte Vorstellungen von einem Datenschutzgesetz, die eigentlich aus den Vereinigten Staaten stammen, in eine Datenschutzverordnung übertragen und die Welt davon in Kenntnis setzen. Alle sollten zu diesem Niveau aufsteigen; dann hat man auch Zugang zu dem europäischen Digitalmarkt. Wir haben es geschafft, den Rest der Welt zu überzeugen – auch China, nebenbei gesagt. Jeder, auch einige US-Bundesstaaten, hat sich Teile der DSGVO angeeignet. Wenn die DSGVO ihre Glaubwürdigkeit vollständig einbüßt, und lassen Sie mich es ganz klar sagen, sie hat Glaubwürdigkeit eingebüßt, wird die Energie Europas und seine Fähigkeit, die eigenen Interessen zu schützen, schwer beschädigt werden.
Wenn wir die DSGVO nicht Wirklichkeit werden lassen, wenn wir uns mit dem DSA und dem DMA selbst zerstören, wenn wir sie einführen und die DSGVO unterminieren, dann bedeutet Europa der Welt nicht so viel, wie Europa selbst glaubt. In fünfzig Jahren werden wir die CoronaPandemie vergessen haben, allerdings werden wir uns daran erinnern, dass es einen Moment gab, in dem wir die Regeln für eine neue Wirtschaft hätten festlegen können, und wir haben’s vergeigt.
Johnny Ryan, Fellow of the Royal Historical Society (FRHistS), versuchte in den letzten Jahren, die europäischen Regulierungsbehörden davon zu überzeugen, dass das Geschäftsmodell der verhaltensorientierten Werbung, das die größten Tech-Unternehmen der Welt anwenden, illegal ist. Er ist Senior Fellow des Irish Council for Civil Liberties und Senior Fellow des Open Markets Institute.
Das Interview führte Pencho Kuzev, Referent Datenpolitik der Konrad-Adenauer-Stiftung, am 17. Februar 2022 via Zoom.
Übersetzung aus dem Englischen: Wilfried Becker, Germersheim