EU, USA und China – der internationale Datenschutzvergleich

2. Art und Umfang der Regulierungen

Seit 2018 hat die EU mit der Datenschutz-Grundverordnung (DSGVO) den weltweit umfassendsten und strengsten Datenschutzrahmen. Ihr zentrales Prinzip ist die Sicherung der persönlichen Datensouveränität und die informationelle Selbstbestimmung. Daher regelt sie vor allem die Anforderungen an die Erhebung, Verarbeitung und Speicherung von personenbezogenen Daten. Sie gilt unmittelbar und einheitlich in allen EU-Mitgliedstaaten, soll den freien Verkehr personenbezogener Daten innerhalb der EU fördern und gleichzeitig die Rechte der betroffenen Personen und die Durchsetzungsbefugnisse der Aufsichtsbehörden stärken.

In den USA gilt kein landesweites einheitliches Datenschutzgesetz. Stattdessen gibt es unterschiedliche Verordnungen in den einzelnen Bundesstaaten, wie den California Consumer Privacy Act (CCPA) oder den Colorado Privacy Act (CPA). Außerdem existieren Datenschutzgesetze für spezifische Branchen, Bereiche und Sektoren, etwa für Gesundheitsdaten (HIPAA) oder den Datenschutz von Kindern im Internet (COPPA). Auf übergeordneter Ebene überwacht die Federal Trade Commission (FTC) die Einhaltung der Richtlinien.

In China liegt der Datenschutz in der Hand des Staates, ist zentralistisch geregelt und gilt für öffentliche und private Unternehmen, die personenbezogene Daten in China verarbeiten. Das Gesetz über den Schutz persönlicher Daten (Personal Information Protection Law, PIPL) wurde 2021 eingeführt. Ähnlich wie die DSGVO regelt es die Rechte von betroffenen Personen und die Vorgaben für Unternehmen. Die größten Unterschiede betreffen die Rolle und die Rechte des Staates bei der Überwachung und der Datenkontrolle.

Im internationalen Datenschutzvergleich zeigt sich: Während die EU auf individuelle Rechte setzt, dominiert in China die staatliche Kontrolle.

3. Die Rechte der Betroffenen

Die DSGVO der EU gibt strenge Vorgaben für die Einwilligung zur Datennutzung vor, die transparent und mit freiwilligem Einverständnis erfolgen muss. Sie gewährt EU-Bürgern zudem weitreichende Rechte in Bezug auf Auskunft über die gespeicherten Daten, deren Berichtigung und Löschung („Recht auf Vergessenwerden“).

In den USA hängen Art und Umfang dieser Rechte von dem jeweiligen Bundesstaat oder dem betroffenen Sektor ab. In der Regel sind sie jedoch nicht so weitreichend wie die Regelungen der DSGVO.

Das chinesische PIPL gewährt zwar ähnlich wie die DSGVO ebenfalls individuelle Rechte bezüglich des Zugangs und der Korrektur von Daten, sie reichen aber nicht so weit. Es sieht zudem staatlich verordnete Einschränkungen für die Möglichkeit der Datenlöschung oder des Widerspruchs gegen die Verarbeitung von Daten vor.

4. Durchsetzung, Kontrolle und Sanktionierung

In der EU drohen bei Verstößen hohe Bußgelder. Die DSGVO sieht empfindliche Strafen vor, wenn Unternehmen gegen Datenschutzvorgaben verstoßen. Diese Strafen können bis zu vier Prozent des weltweiten Jahresumsatzes oder 20 Millionen Euro betragen, je nachdem, welcher Wert höher ist. Zuständig für die Verfolgung von Datenschutzverletzungen sind die Europäische Datenschutzbehörde (EDPB) und die nationalen Aufsichtsbehörden.

Kontrolle, Strafverfolgung und Bestrafung von Datenschutzverstößen hängen in den USA von dem jeweiligen Bundesstaat, respektive dem industriellen Sektor ab. Übergreifend spielt die Federal Trade Commission (FTC) eine wichtige Rolle bei der Überwachung. Ihre Befugnisse sind allerdings vergleichsweise begrenzt.

Die Einhaltung der PIPL-Verordnungen wird in China grundsätzlich vom Staat überwacht und sieht bei Übertretungen ebenfalls hohe Strafen vor. Gleichzeitig steuert er die Strafverfolgung in Abhängigkeit davon, ob Interessen des Staates betroffen sind. Der Datenschutz wird also instrumentell je nach Eigeninteresse behandelt. Entscheidend ist, was dem Staat dient, etwa beim Thema Social Scoring. Gerade bei der Durchsetzung gesetzlicher Vorgaben zeigt der internationale Datenschutzvergleich eine deutliche Spaltung zwischen freiheitlichem, unternehmerisch orientiertem und staatszentriertem Ansatz.

„Der Datenschutz genießt in den USA, China und der EU einen sehr unterschiedlichen Stellenwert, obwohl die rechtlichen Rahmenbedingungen teilweise gar nicht so furchtbar weit auseinanderliegen“, erklärt Alain Blaes, Gründer und Geschäftsführer der Kommunikationsagentur PR-COM. „So sind einige Regularien von DSGVO und PIPL recht ähnlich. Doch entscheidend ist der Umgang mit diesen Gesetzen und deren praktische Umsetzung. Und die könnten konträrer kaum sein.“