Dixon sieht DSGVO bei Tech-Konzernen überfordert

Wer sich über den Umgang von Facebook, Instagram, WhatsApp oder TikTok mit persönlichen Daten beschwert, landet meist nicht bei der eigenen nationalen Aufsicht, sondern in Dublin. Die irische Datenschutzkommission DPC führt fast alle großen DSGVO-Verfahren gegen globale Technologiekonzerne, weil viele von ihnen ihren europäischen Hauptsitz in Irland haben. Ihre frühere Leiterin Helen Dixon hat nun selbst eingeräumt, die DSGVO sei bei „systemischen Fragen“ nicht immer hilfreich (Law Society of Ireland).

Diese Aussage ist deshalb bemerkenswert, weil Dixon die irische Aufsicht in den Jahren führte, in denen die Durchsetzung der Datenschutzgrundverordnung gegen große Plattformen überhaupt erst scharf gestellt wurde. Acht Jahre nach Inkrafttreten der DSGVO zeigt sich damit ein Grundproblem: Europa hat ein einheitliches Datenschutzrecht geschaffen, die Durchsetzung aber weitgehend national organisiert gelassen.

Wie Dublin zur Datenschutzhauptstadt Europas wurde

Die DSGVO enthält in Artikel 56 das sogenannte One-Stop-Shop-Verfahren (EUR-Lex). Die Idee war pragmatisch: Ein Unternehmen sollte sich bei grenzüberschreitenden Fällen nicht mit 27 nationalen Datenschutzbehörden auseinandersetzen müssen. Zuständig ist grundsätzlich die Aufsicht in dem Mitgliedstaat, in dem das Unternehmen seine wichtigste EU-Niederlassung hat.

Für Apple, Google, Meta, TikTok, LinkedIn und Microsoft ist das Irland. Die DPC wurde damit faktisch zur europäischen Datenschutzaufsicht für weite Teile der Technologiebranche (anonym.community).

Das Verfahren läuft über die Zusammenarbeit nach Artikel 60. Die irische Behörde ermittelt als federführende Aufsicht und legt einen Entscheidungsentwurf vor. Dieser Entwurf geht an die übrigen betroffenen nationalen Datenschutzbehörden, die sogenannten Concerned Supervisory Authorities. Erheben sie Einwände, was häufig geschieht, entscheidet am Ende der Europäische Datenschutzausschuss verbindlich über den Streit (EUR-Lex).

Gedacht war dieses System als Schutz gegen Aufsichts-Shopping, also gegen die gezielte Wahl eines besonders nachsichtigen Regulators. In der Praxis entstand ein anderes Problem: Eine mittelgroße nationale Behörde wurde zum Engpass für die Datenschutzdurchsetzung eines ganzen Kontinents.

Hohe Bußgelder, langsame Zahlung

Die DPC hat nach einer Auswertung rund 80 Prozent aller großen EU-Technologiebussen unter der DSGVO verhängt (anonym.community). Zu den prominentesten Fällen gehören 1,2 Mrd. EUR gegen Meta wegen unzulässiger Übermittlung europäischer Nutzerdaten in die Vereinigten Staaten, 530 Mio. EUR gegen TikTok wegen des Zugriffs chinesischer Ingenieure auf europäische Daten und 310 Mio. EUR gegen LinkedIn wegen rechtswidriger Verhaltensprofile (anonym.legal).

Ein Bußgeld zu verhängen und es tatsächlich einzutreiben, sind allerdings zwei verschiedene Dinge. Die betroffenen Unternehmen fechten fast jede größere Entscheidung an; irische Gerichte können die Zahlung während des Verfahrens aussetzen. Dadurch bleibt die Lücke zwischen angekündigten Strafen und tatsächlich vereinnahmtem Geld groß.

Andere nationale Aufsichten haben dabei nur begrenzten Spielraum. Im Artikel-60-Verfahren können sie Einwände erheben, aber bei grenzüberschreitenden Fällen gegen diese Unternehmen nicht eigenständig durchgreifen. Sie können Druck aufbauen, doch die zentrale Entscheidung bleibt in Dublin.

Eine Reform mit Frist

Die neue DSGVO-Verfahrensverordnung, die im April 2027 in Kraft treten soll, setzt federführenden Behörden in grenzüberschreitenden Fällen eine 15-Monats-Frist für Entscheidungsentwürfe (Netguardia). Bisher konnten sich Untersuchungen über Jahre ziehen. Das Verfahren gegen Meta, das mit einem Bußgeld von 1,2 Mrd. EUR endete, dauerte von der ersten Beschwerde bis zur endgültigen Entscheidung fünf Jahre.

Die Reform legt zudem klarere Fristen dafür fest, wann betroffene Aufsichtsbehörden Einwände vorbringen müssen und wann ein Streit an den Europäischen Datenschutzausschuss weiterzuleiten ist (Netguardia).

Damit wird das Verfahren schneller. Die eigentliche Asymmetrie bleibt aber bestehen: Eine nationale Behörde, gebunden an irisches Verwaltungsrecht und irische Gerichte, trägt die regulatorische Hauptverantwortung für Technologiekonzerne mit Hunderten Millionen Nutzern in Europa. Dixons Hinweis, der DSGVO-Rahmen tue sich bei systemischen Problemen schwer (Law Society of Ireland), trifft genau den Punkt, den die Reform von 2027 nicht löst. Europa beschleunigt den Verkehr durch denselben engen Kanal. Ob es den Kanal selbst irgendwann neu baut, bleibt die größere Frage.