Digital Enforcement zwischen Compliance, Kohärenz und Sanktionen: Michael Will vom Bayerischen Landesamt für Datenschutzaufsicht im Gespräch

Business Circle: Sehr geehrter Herr Will, zu Beginn etwas Persönliches: Sie sind Präsident des Bayerischen Landesamtes für Datenschutzaufsicht. Skizzieren Sie doch eingangs bitte kurz, wie Sie Ihr Weg dorthin geführt hat und warum Ihr Herz gerade für Datenschutz brennt.

Michael Will: Zugegebenermaßen gibt es bei mir keinen Lebensplan, der schon immer vorsah, für den Datenschutz zu arbeiten. Ich hatte 2009 das Glück nach sehr unterschiedlichen Aufgaben, vor allem dem juristisch spannenden und mit dem Datenschutz durchaus als Technik-Recht in vielen Punkten vergleichbaren Bereich des Bau- und Umweltrechts mit der Leitung des Datenschutzreferats im Bayerischen Innenministerium betraut zu werden. Dort durfte ich dann über mehrere Jahre den Prozess der europäischen Datenschutzreform rechtspolitisch begleiten, verbunden auch mit immer wiederkehrenden Verpflichtungen in Brüssel. Ich bin insoweit sehr dankbar, jetzt seit 2020 die Umsetzung der DSGVO als weiterhin herausragendem Leuchtturmprojekt des europäischen Rechts mit meinen vielen Kolleginnen und Kollegen in Bayern, Deutschland und Europa begleiten und im Interesse der Bürger:innen und Unternehmen mitgestalten zu dürfen.

BC: „Digital Enforcement 2026“ verspricht mehr Kohärenz und wirksamere Sanktionen. Wie realistisch ist ein einheitliches Enforcement-Niveau in Europa und wo liegen die größten Hürden: begrenzte Ressourcen, grenzüberschreitende Sachverhalte oder unterschiedliche Rechtsrahmen?

Will: Alle drei Aspekte sind sicherlich Hürden, aber kein Hindernis, vor allem, wenn wir uns darüber im Klaren sind, dass es bei der Betrachtung des „Enforcement-Niveaus“ immer Datenschutz um etwas anderes geht als zB bei der Ahndung von Verkehrsverstöße, wo wir mit sehr klar strukturierten Sachverhalten klar katalogisierte Sanktionen erwarten können. Wenn wir im Blick behalten, dass im Datenschutz am Ende immer eine Gesamtbetrachtung aller Umstände des Einzelfalls notwendig ist und gegebenenfalls auch gerichtlich geprüft wird, dann sind wir trotz explodierender Beschwerdezahlen doch eigentlich auf einem guten Weg. Es gibt mittlerweile für Sanktionen sogar von Gerichten als Grundlage bestätigte europäische Bußgeldbemessung-Leitlinien. Wir haben im nächsten Jahr eine europäische Verfahrens-Ordnung, die die Unterschiede nationaler  Verfahrensrechte ausgleichen wird. Und schließlich haben wir auf dem Weg zum zehnten Geburtstag der DSGVO bereits eine gut entwickelte, tagtäglich praktizierte Kultur der Zusammenarbeit der Datenschutzbehörde untereinander und sogar mit anderen Digital- Regulierungsbehörden. Das sind doch genug Gründe, hier optimistisch zu sein.

BC: Künstliche Intelligenz ist in aller Munde - und arbeitet mit globalen Datenströmen – Trainingsdaten, Modelle und Outputs überschreiten permanent nationale Grenzen. Wie realistisch ist es unter diesen Voraussetzungen, Datenschutz entlang nationaler oder europäischer Regelwerke konsistent durchzusetzen?

Will: Europa hat sich mit Art. 7 und 8 der Grundrechtecharta das Ziel gegeben, auch in einer Welt allgegenwärtige Datenflüsse personenbezogene Daten und die Privatsphäre von uns allen zu schützen. Gerade die globale Vernetzung zeigt uns doch immer wieder mit den ganz realen Folgen von Fake News, politischer Manipulation  oder von  Hass, Hetze und anderen verstörenden Persönlichkeitsverletzungen, wie wichtig es ist, Grundwerte unseres freiheitlichen Demokratie zum Schutz unserer Gesellschaften durchzusetzen. Gerade in einer Phase mit so wenigstens eine Generation nie da gewesen globalen Konflikten und Verunsicherungen tragen wir alle, die wir für den Datenschutz und andere zentrale digitales Standards Aufgaben übernommen haben, die Verantwortung diese europäischen Schutzversprechen einzulösen.

BC: Die europäische Datenschutzarchitektur setzt auf Kohärenzmechanismen zwischen den Aufsichtsbehörden. In der Praxis hört man jedoch häufig von unterschiedlichen Auslegungen Mit Ihrem Blick auf Österreich und Deutschland (Bayern):. Wie groß ist dieses Problem tatsächlich?

Will: Ich höre diese Sorge in allgemeiner Form sehr oft, erhaltet dann aber auf Nachfragen eigentlich so gut wie nie einen konkreten Beleg. Ich selbst habe diese Wahrnehmung jedenfalls nicht und würde eher sagen, dass ich mit großem Gewinn mich immer wieder mit den Kolleginnen und Kollegen in Wien austauschen darf und noch öfter in ihren Veröffentlichungen wertvolle Impulse für unsere Arbeit finde.

Verantwortlichkeiten richtig definieren

BC: Viele Datenschutzverstöße entstehen nicht durch fehlende Regeln, sondern durch menschliche Fehler: Fehlkonfigurationen, Unachtsamkeit oder falsche Prioritäten. Wird dieser Faktor in der Regulierung ausreichend berücksichtigt?

Will: Dreh- und Angelpunkt egal ob im aufsichtlichen Vollzug oder bei Klageverfahren vor Gericht scheint mir das richtige Verständnis des Grundsatzes der Verantwortlichkeit. Dabei geht es vor allem darum, vorhersehbares Fehlverhalten zu vermeiden, wirksam auf festgestellte Pflichtverletzungen zu reagieren, aber andererseits gerade nicht darum, jeden Alltagsverstoß in vollen Umfang zum Haftungsfall zu machen.

BC: Wenn Sie einer jungen Studentin einen Rat geben müssten, die eine Karriere im Datenschutz – sei es in einem internationalen Konzern oder in einer Aufsichtsbehörde – anstrebt: Welche Fähigkeiten werden in Zukunft entscheidend sein?

Will: Fähigkeiten oder Persönlichkeitsmerkmale will ich an dieser Stelle gar nicht streng trennen. Basics sind sicherlich Neugierde, Teamfähigkeit, Freude am interdisziplinären und sehr oft auch interkulturellen Arbeiten mit allen sich daraus ergebenden Anforderungen an Lernbereitschaft und Agilität, zum Schluss und vor allem aber eine große Portion Resilienz. Alle, die heute schon im Datenschutz aktiv sind,  wissen weshalb.

BC: Abschließend: Sie werden nun zum vierten Mal bei uns auf der Bühne stehen, herzlichen Glückwunsch dazu! Möchten Sie Ihren Eindruck von der österreichischen Ausgabe der PriSec mit uns teilen?

Will: Der PriceSec ist es -   egal, in welchem Jahr und an welchem Ort ich dabei sein durfte - stets gelungen, eine sehr besondere Mischung aus Programm, Publikum und – da bin ich leider sehr ansprechbar - kulinarischen Entspannungsangeboten am Ende eines langen Tages anzubieten. Insgesamt bin ich damit jedes Mal mit einem großen Gewinn an Wissen, praktischen Erkenntnissen und oft auch neuen Kontakten zu inspirierenden Kolleginnen und Kollegen wieder nach Hause gereist.

BC: Sehr geehrter Herr Will, Danke für das tolle Feedback! Wir freuen uns sehr, dass Sie wieder mit dabei sein werden.

‍