Schrems hält Behörden für überfordert 

Friedrich: Facebook und Co. sind kommerzielle Organisationen, die mit dem, was sie tun, Geld verdienen wollen. Dort muss man ansetzen. Wenn sie hier in diesem Markt Geld verdienen wollen, müssen sie sich an unsere gemeinsamen Gesetze halten. Sie sagen, sie tun es nicht, weil die Gesetze nicht durchgesetzt werden. Unser Ansatz ist es nun, einen Datenschutz zu schaffen, der für ganz Europa gilt – für einen Markt mit 500 Millionen Menschen. Damit haben wir Facebook gegenüber eine größere Macht, diesen Datenschutz auch durchzusetzen.

Schrems: Aber es gibt doch auch jetzt schon Gesetze. Das Problem ist die zuständige Behörde. In Irland sind das 22 Beamte, davon ist kein einziger Jurist. Die sind gnadenlos überfordert. Seit einem Jahr läuft dort mein Verfahren. Ich kann beweisen, dass Facebook Dinge nicht löscht, dass der Konzern Auskunftsersuchen nicht ordentlich beantwortet, aber nichts passiert. Wir setzen nicht einmal die Regeln durch, die wir schon haben. Meine Hoffnung angesichts der geplanten EU-Datenschutzverordnung ist, dass darin hohe Strafen vorgesehen sind. Bis zu zwei Prozent des weltweiten Jahresumsatzes könnten dann bei Verstößen verhängt werden.

ZEIT ONLINE: Kurzer Einwurf – dieser Wert ist bereits gesenkt worden. In den ersten Entwürfen war noch von fünf Prozent des Umsatzes als Strafe die Rede. Unter anderem weil Sie, Herr Friedrich, das als zu hoch kritisiert haben.

Friedrich: Wir haben gesagt, dass es Fälle gibt, beispielsweise bei mittelständischen Unternehmen oder Unternehmen, die nicht von der Datenverarbeitung leben, wo solche Strafen überzogen wären. Aber das ist nicht der entscheidende Punkt. Entscheidend ist, dass wir ein einheitliches Datenschutzgesetz für ganz Europa wollen. Ist das erst einmal verabschiedet, müssen Konzerne wie Facebook und Google sich gut überlegen, ob sie es riskieren wollen, in diesem großen Markt nicht mehr vorzukommen.

ZEIT ONLINE: Herr Schrems, wie schwierig, wie aufwändig ist es nach Ihrer Erfahrung für einen ganz normalen Nutzer, sein Recht gegenüber einem Konzern wie Facebook oder Google durchzusetzen?

Schrems: Für mich bedeutete es bislang ein Jahr Arbeit. Da ist erst einmal die Sprachbarriere, nicht jeder kann Englisch. Für eine Privatperson ist es auch schwer, für ein solches Verfahren Geld zu finden. Falls ich die derzeit laufende Klage in Irland verliere, kostet es mich, weil ich persönlich hafte, 100.000 bis 300.000 Euro. Und ich habe zwar Änderungen erreicht, aber das ist nur ein kleiner Teil dessen, was ich angezeigt und mir erhofft hatte. Wir haben damit zwar eine große mediale Diskussion losgetreten, aber der Druck hat nicht viel gebracht, da Facebook ein Monopol hat beim Thema social media und es keine Alternative gibt.

ZEIT ONLINE: Wie viel leichter würde das mit einer einheitlichen europäischen Verordnung werden?

Schrems: Viel leichter. Der wichtigste Punkt ist, dass alle Rechte einklagbar sind und zwar in dem Land, in dem ich lebe.

Friedrich: Das ist das Ziel.

ZEIT ONLINE: Trotzdem setzen Sie, Herr Friedrich, vorrangig auf das Modell Selbstregulierung und Selbstverpflichtung und sagen, die geplante EU-Datenschutzverordnung orientiere sich zu wenig an diesem Gedanken. Warum?

Friedrich: Wir werden mit dieser Verordnung nicht alle Einzelheiten der Datenverarbeitung für die kommenden zwanzig Jahre regeln können. Es wird immer Spielräume für Auslegungen geben. Wir können nicht alles detailliert für jeden Einzelfall im Gesetz regeln, wenn es Innovation im Netz geben soll. Das Thema Datenschutz betrifft ja nicht nur die Facebooks und Googles dieser Welt, sondern auch die vielen innovativen kleinen und mittelständischen Unternehmen, deren neue Geschäftsmodelle nicht dadurch ausgebremst werden sollen, dass es unnötige Hürden gibt. Die erste Möglichkeit sollte immer sein, die Industrie aufzufordern, sich selbst Regeln zu geben, die das geltende Datenschutzrecht konkretisieren. Solche zusätzlichen Selbstverpflichtungen dienen der konkreten Durchsetzung des allgemeinen Gesetzes. Letztlich muss es darum gehen, möglichst viele Instrumente zu entwickeln, um das Vollzugsdefizit zu beseitigen. Als letzte Möglichkeit kommen weitere staatliche Eingriffe in Betracht. In einer freien Gesellschaft sollte der Staat erst dann weitere Details regeln, wenn sich keine freiwilligen Regeln entwickeln und Gefahr droht.