51 Vorstandsvorsitzende großer US-Unternehmen drängen den US-Congress auf ein einheitliches Bundesgesetz zum Verbraucherschutz bei personenbezogenen Daten. In einem am 10. September 2019 veröffentlichten Brief der Konzernchefs an die Führungsspitzen von Senat und Repräsentantenhaus fordern sie eine nationale Datenschutzregelung, die die bisherige Flickschusterei der Einzelstaaten ablöst. Unterzeichnet haben unter anderem Amazon-Chef Jeff Bezos, IBM-Chefin Ginni Rometty, Dell-Chef Michael Dell, Comcast-Chef Brian Roberts und GM-Chefin Mary Barra.
Die Unternehmen begründen die Initiative mit dem Wildwuchs staatlicher Vorschriften. Man könne und solle von Verbrauchern nicht erwarten, dass sie Regeln verstehen, die sich je nach Wohnort, Internetzugang und Sitz des Unternehmens ändern könnten, schreiben die Unterzeichner. Die Zersplitterung bedrohe zudem Innovation und globale Wettbewerbsfähigkeit der USA. Bisher existiert auf Bundesebene lediglich das Kinderdatenschutzgesetz COPPA, das Unternehmen zu besonderen Pflichten bei Daten Minderjähriger unter 13 Jahren verpflichtet.
Framework verbietet eigene Regeln der Bundesstaaten
Der Brief enthält als Anhang ein „Framework for Consumer Privacy Legislation“ des Business Roundtable, des Lobbyverbands der US-Großkonzerne. Es sieht vor, dass ein Bundesgesetz sämtliche Datenschutzregeln der Bundesstaaten und Kommunen verdrängt. Kleine Unternehmen mit wenig Datenverarbeitung sollen ausgenommen werden, außerdem sollen grenzüberschreitende Datenflüsse ohne Hindernisse möglich bleiben. Konkrete technische Vorgaben gegen unbefugten Datenzugriff lehnt das Papier ab: Jeder Datenverarbeiter soll selbst entscheiden, welche Schutzmaßnahmen angemessen sind.
Durchsetzung nur bei Behörden, nicht bei Betroffenen
Der entscheidende Passus steht am Ende des Frameworks: Ein privates Klagerecht ist ausdrücklich nicht vorgesehen. Betroffene von Datenschutzverletzungen könnten damit keinen Schadenersatz einklagen. Zuständig wären allein die Handelsbehörde FTC sowie die Justizminister der Einzelstaaten, die für die Einwohner ihres Staates klagen dürften. Wie zahnlos solche Aufsatzklagen in der Praxis ausfallen können, zeigte zuletzt die Auseinandersetzung um Datensammlung in Kinder-Apps: Behörden gingen zwar gegen Entwickler und Google vor, einzelne Nutzer hatten darauf jedoch keinen Anspruch.
Bei den Verbraucherrechten setzt das Framework auf Dehnbarkeit. Konsumenten sollen „angemessenen“ Zugang zu verständlichen Angaben über den Datengebrauch erhalten und „angemessen“ über Sammlung und Nutzung ihrer Daten bestimmen können. Beim Verkauf an Dritte ist eine Auswahlmöglichkeit vorgesehen, für kostenlose Datenweitergabe dagegen nicht. Ein Löschrecht existiert, ist aber mit weitreichenden Ausnahmen für legitime Geschäftszwecke, Meinungsfreiheit und praktisch aufwendige Löschung versehen. Für Drittempfänger von Verbraucherdaten liegt die Verantwortung für die Einhaltung der Datenschutzentscheidungen allein beim Dritten, nicht bei der Datenquelle.
Für Softwarehäuser, App-Studios und Onlinedienste im Games- und IT-Bereich hätte das Gesetz weitreichende Folgen: Der Entwurf gilt nur für das Verhältnis zwischen Unternehmen und Verbrauchern, nicht gegenüber Behörden, und erfasst Beschäftigtendaten nicht. Datenschützer kritisierten das Papier von Beginn an als Regulierung ohne Zähne, während die Unternehmen betonen, klare und einheitliche Regeln seien die Grundlage für Innovation in der digitalen Wirtschaft.