Die europäische Datenschutzdebatte leidet an einer Eigentümlichkeit: Sie wird überwiegend als Konflikt zwischen Freiheit und Sicherheit geführt, während die praktisch bedeutsamste Spannung woanders liegt — zwischen Datenschutz und Bequemlichkeit. Kaum jemand gibt persönliche Daten unter Zwang preis. Die meisten tun es, weil das Verfahren dadurch einfacher wird, und zwar in einem Maße, das jede abstrakte Abwägung überlagert.

Diese Beobachtung ist nicht neu, sie hat aber Folgen für die Bewertung von Regulierung. Ein Gesetz, das Einwilligung verlangt, setzt voraus, dass Einwilligung eine Entscheidung ist. Tatsächlich ist sie in der überwiegenden Zahl der Fälle ein Klick, der zwischen dem Nutzer und dem steht, was er eigentlich tun wollte. Dass die Datenschutz-Grundverordnung diesen Klick vervielfacht hat, ohne die dahinterliegende Datenverarbeitung nennenswert zu verändern, gilt inzwischen als ihr bekanntester Fehlschlag.

Allerdings wäre es vorschnell, daraus die Wirkungslosigkeit der Verordnung abzuleiten. Die sichtbare Seite — Zustimmungsbanner — ist nicht ihr Kern. Wirksam geworden ist sie dort, wo sie gar nicht auf Einwilligung setzt, sondern auf Pflichten: Dokumentation der Verarbeitungszwecke, Meldepflichten bei Datenabflüssen, Auskunftsrechte. Diese Instrumente wirken nicht über Entscheidungen von Einzelnen, sondern über die Kosten, die sie bei Organisationen verursachen. Wo sie greifen, greifen sie unabhängig davon, ob jemand einen Haken setzt.

Bemerkenswert ist, dass gerade diese Seite der Verordnung in der öffentlichen Wahrnehmung kaum vorkommt. Das dürfte damit zu tun haben, dass ihre Wirkungen nicht erlebbar sind: Eine unterlassene Weitergabe von Daten fällt niemandem auf. Ein Zustimmungsbanner fällt jedem auf. Regulierung, deren Erfolg in der Abwesenheit von Ereignissen besteht, hat systematisch schlechte Presse — ein Umstand, der weit über den Datenschutz hinausreicht.

Ein zweiter Einwand gegen die gängige Debatte betrifft ihre Fixierung auf Einzelpersonen. Der Schaden, um den es bei umfangreicher Datenverarbeitung geht, ist häufig kein individueller. Wenn aus den Bewegungsdaten einer Stadt hervorgeht, welche Viertel abends gemieden werden, ist niemand persönlich betroffen, und dennoch entsteht eine Information, die Mieten, Versicherungstarife und politische Aufmerksamkeit verschiebt. Das geltende Recht ist für solche Fälle schlecht gebaut, weil es Betroffenheit individuell definiert.

Vor diesem Hintergrund erscheint der Vorschlag, Datenverarbeitung nach dem Zweck statt nach dem Personenbezug zu regulieren, erwägenswert. Er hätte den Vorzug, Verfahren zu erfassen, die formal anonymisiert sind und dennoch Gruppen betreffen. Er hätte den Nachteil, Zwecke definieren zu müssen — eine Aufgabe, bei der Gesetzgeber regelmäßig entweder zu eng oder zu unbestimmt formulieren. Ob eine solche Umstellung insgesamt vorzuziehen wäre, ist offen; dass die derzeitige Konstruktion eine Lücke lässt, ist es nicht.

Hinzu kommt die Frage der Durchsetzung, und hier ist der Befund eindeutiger als in allen anderen Punkten. Die zuständigen Behörden sind chronisch unterbesetzt; Verfahren gegen große Anbieter dauern Jahre, und die verhängten Bußgelder stehen in keinem Verhältnis zu den Umsätzen, die mit der beanstandeten Verarbeitung erzielt wurden. Eine Regel, deren Verletzung sich rechnet, ist keine Regel, sondern ein Preis. Das ist kein Argument gegen die Regel; es ist ein Argument dafür, Durchsetzung als Teil der Regel zu behandeln.

An dieser Stelle lohnt ein Blick auf die Empirie der Einwilligung, denn sie ist eindeutiger als die Debatte vermuten lässt. Untersuchungen zur Gestaltung von Zustimmungsdialogen zeigen, dass die Zustimmungsrate weit stärker von der Anordnung der Schaltflächen abhängt als von der Sensibilität der betroffenen Daten. Wo Ablehnen zwei Klicks mehr kostet, stimmen über neunzig Prozent zu; wo beide Wege gleich lang sind, sinkt der Anteil auf etwa die Hälfte. Daraus ließe sich schließen, dass nicht die Einwilligung als Instrument gescheitert ist, sondern deren Ausgestaltung — eine Deutung, die immerhin den Vorzug hätte, überprüfbar zu sein.

Zugleich ist vor einer Überschätzung dieses Befundes zu warnen. Selbst bei symmetrischer Gestaltung bleibt die Entscheidung eine, die im Vorbeigehen getroffen wird, und sie betrifft Folgen, die erst Jahre später eintreten können. Regulierung, die auf Einzelentscheidungen in solchen Situationen baut, verlangt von Individuen eine Abwägungsleistung, die selbst Fachleute nur mit Aufwand erbringen. Das spricht nicht gegen Wahlmöglichkeiten; es spricht dagegen, sie als hinreichenden Schutz zu behandeln.

Ein dritter Bereich, der in der öffentlichen Debatte kaum vorkommt, ist der öffentliche Sektor selbst. Melderegister, Gesundheitsdaten und Sozialleistungsverwaltung enthalten die empfindlichsten Bestände überhaupt, und ihre Verarbeitung erfolgt nicht auf der Grundlage von Einwilligung, sondern gesetzlicher Ermächtigung. Die Kontrolle liegt damit vollständig bei Aufsichtsbehörden und Gerichten — also bei genau jenen Stellen, deren Ausstattung oben als unzureichend beschrieben wurde. Wer den Datenschutz vorrangig als Verhältnis zwischen Nutzern und Unternehmen versteht, übersieht den Teil, in dem Betroffene ohnehin keine Wahl haben.

Man hätte erwarten können, dass diese Diagnose zu einer Debatte über Behördenausstattung führt. Stattdessen wird über Vereinfachung diskutiert. Beides schließt sich nicht aus, aber die Reihenfolge ist aufschlussreich: Vereinfachung senkt die Kosten der Regelbefolgung, Durchsetzung erhöht die Kosten der Regelverletzung. Wer nur über das erste spricht, betreibt Deregulierung unter einem anderen Namen — was legitim sein kann, aber benannt werden sollte.

Schließlich sei ein Punkt genannt, der in Fachkreisen unstrittig und in der öffentlichen Debatte unbekannt ist: Datenschutz und Datennutzung stehen nicht durchweg im Gegensatz. Verfahren, die Daten nur in aggregierter Form verlassen, erlauben Forschung und schützen Einzelne gleichzeitig; sie sind technisch anspruchsvoll und werden selten gefördert. Dass Investitionen hier gering sind, während über Prinzipien gestritten wird, gehört zu den bemerkenswerteren Zügen der Debatte.

Was also wäre zu tun? Vor einer Reform wäre zu klären, welches Ziel Priorität hat: individuelle Kontrolle, Begrenzung von Gruppenschäden oder Ermöglichung nützlicher Auswertung. Diese drei Ziele stehen teilweise gegeneinander, und jede Regelung, die alle drei zugleich verspricht, wird keines erreichen. Eine ehrliche Debatte müsste mit dieser Wahl beginnen, statt mit dem Klick zu enden.