Die EU-Datenschutzrichtlinie – Früher war die Welt noch in Ordnung?

Episode von Spaß mit Datenschutzrecht (und Informationsfreiheit) von Henry Krasemann · 8. November 2025 · 14 min

Sie kennen die Datenschutz-Grundverordnung? Sie Streber. Macht aber nichts. Die Älteren werden sich vielleicht noch daran erinnern, dass es eine Zeit gab, als der Datenschutz nicht als Verordnung, sondern als Richtlinie daherkam.

Kurz gesagt, gelten Verordnungen der EU direkt und sofort in der ganzen EU und Richtlinien müssen erst noch in nationales Gesetz gegossen werden. Und so war es 1995 mit der Datschutzrichtlinie auch der Fall. Doch der Reihe nach.

Es war die Zeit, in der Kapitäne des Traumschiffs stets am Ende einer Folge großkotzig in ihrer Abschlussrede durchscheinen ließen, dass natürlich eine Vollüberwachung auf dem Schiff erfolgte. Schließlich wusste er stets, wer da mit wem was angefangen hatte und welche Schicksale sich in Wohlbefinden aufgelöst hatten. Und zum Schrecken jedes zuschauenden Datenschützers wurde das auch von den Betroffenen einfach weggelächelt. Der blanke Horror – freigegeben ab 6 Jahren und bezahlt von unseren Gebühren. Das ist heute auch noch immer so. Warum ich das hier erzähle? Weil ich nicht wusste, wo ich den Gag sonst unterbringen sollte.

Doch zurück zur Datenschutzrichtlinie.

Die hört auf den schönen Namen „Richtlinie 95/46/EG“, was einem ja gleich Lust darauf macht, sich mit ihr zu beschäftigen. Die Idee, das Thema Datenschutz auf europäischer Ebene anzugehen, stammt schon aus der Mitte der 70er Jahre. Das Europäische Parlament sah da schon die Gefahr, dass persönliche Daten der Bürger missbraucht werden könnten – von öffentlichen wie privaten Stellen. Die Kommission hingegen war nicht ganz so Feuer und Flamme. Die hatte eher den gemeinsamen Markt und den freien Handel im Blick. Und dafür ist es gut, wenn Daten ungehindert fließen können. Keine Ahnung, ob da schon in der Kantine der Kommission von „Daten als neues Öl“ geschwärmt wurde. Auf jeden Fall brauchte es zwanzig Jahre, bis man über ein eher als Empfehlung anzusehendes Übereinkommen des Europarats hinaus ging und die Datenschutzrichtlinie mit dem tollen Namen erließ.

Mich persönlich nervt es  immer wieder in solchen Büchern, wenn alle davon ausgehen, dass man die Institutionen der EU draufhat. Daher hier für das nächste Partygespräch eine kurze Auffrischung. Die haben Sie natürlich nicht nötig. Aber vielleicht ist der folgende Absatz ja gut für den Kollegen, dem Sie das Buch demnächst mal ausleihen wollen.

Das, was wir regelmäßig bei der „Europawahl“ wählen, ist das Europäische Parlament. Das ist ein wenig vergleichbar mit unserem Bundestag, auch wenn es nicht ganz so weitreichende Rechte hat. Aber hier werden die europäischen Rechtsvorschriften gefasst. Die Initiative dafür stammt oft von der Europäischen Kommission. Das ist quasi die Regierung. Und dann gibt es noch etwas wie den Bundesrat, das ist der Rat der Europäischen Union. In dem sitzen die Ministerinnen und Minister der Mitgliedsstaaten. Und schließlich haben wir da noch so etwas wie eine Lenkungsgruppe oder einen Aufsichtsrat, der die EU als Ganzes im Blick hat: der Europäische Rat. Der setzt sich aus den Staats- und Regierungschefs der Mitgliedsstaaten zusammen. Gesetze erlassen ist nicht deren Ding, aber die EU-Verträge haben sie unter ihrer Kontrolle – quasi das Herzstück Europas, das zum Glück die kriegerische Auseinandersetzung ersetzt hat. Großartig, dass es sowohl den „Rat der Europäischen Union“, wie auch den „Europäischen Rat“ gibt. Das hilft sicherlich, dieses Konstrukt über Ratesendungen hinaus populär zu machen. Von solchen Marketingsünden gibt es so einige bei der EU. Neben dem Europäischen Gerichtshof (EuGH, für Gebildete auch Gerichtshof der Europäischen Union genannt) gibt es noch das Gericht der Europäischen Union (EuG), quasi die Vorinstanz des EuGH. Und daneben existiert noch der Europäische Gerichtshof für Menschenrechte, der die Einhaltung der Europäischen Menschenrechtskonvention sicherstellt. Irgendetwas müssen wir Juristen ja im Studium lernen … und ich verspreche Ihnen, mit diesem Wissen sind Sie der Renner bei jedem Speeddating – zumindest, wenn es um die Geschwindigkeit bei dem Wechsel der Gesprächspartner geht.

Die Älteren erinnern sich noch, wir waren bei der Datenschutzrichtlinie. Ich erwähnte, dass Richtlinien erst noch in nationales Recht gepackt werden müssen. Dafür hatten die Mitgliedsstaaten immerhin fast drei Jahre bis zum Herbst 1998 Zeit. Deutschland nahm sich noch ein paar Sabbatjahre zusätzlich und kam dem erst im Mai 2001 mit der Änderung des Bundesdatenschutzgesetzes nach. Das auch erst, nachdem die EU-Kommission ein Vertragsverletzungsverfahren eingeleitet hatte. Und weil man schonmal dabei war, sich ehrenlos zu verhalten, war die Umsetzung der Richtlinie auch noch teilweise Mist, zumindest in den Bundesländern. Denn die Datenschutzaufsichtsbehörden waren nicht ausreichend unabhängig ausgestaltet worden. Teilweise hatte z. B. der Ministerpräsident noch ein Wörtchen mitzureden. Bei einer Behörde, die auch ihn kontrollieren soll, keine gute Lösung. Wieder gab es ein Vertragsverletzungsverfahren. Und 2010 entschied der EuGH, dass die Vorgaben in Deutschland tatsächlich falsch umgesetzt worden waren. Ehre genommen, Danke !

Inhaltlich war aber ansonsten in der Richtlinie Vieles, was wir in der heutige Datenschutz-Grundverordnung wieder entdecken werden. Zum Beispiel war man schon sehr sensibel, was sensible Daten anging. Kommen wir noch zu. Auch war die Einwilligung die Grundlage von fast allem. Klingt nach Bundesverfassungsgericht und jeder soll gefälligst selbst entscheiden, wer was wann über einen weiß. Ist aber leider dann doch nicht immer die perfekte Lösung. Warum? Hier wird noch nicht gespoilert.

Wie kreativ-zurückhaltend man jedoch bei der Umsetzung von Richtlinien trotz eindeutigem Wortlaut sein konnte, dafür gibt es zur Datenschutzrichtlinie für elektronische Kommunikation (2002/58/EG) ein prägnantes Beispiel. Das war die Sonder-Datenschutzrichtlinie für den Telekommunikationsbereich von 2002. Immerhin hatte man dafür schnell einen griffigeren Namen bei der Hand: ePrivacy-Richtlinie, oder gehässiger: Cookie-Richtlinie. Funfact: Auch die ePrivacy-Verordnung sollte passend zur Datenschutz-Grundverordnung ebenfalls ab 2018 wirksam sein. Ob es die EU bis heute geschafft hat, diesen nicht ganz banalen Bereich angemessen zu regeln? Bleiben Sie dran und lesen Sie weiter …

Weitere Episoden von „Spaß mit Datenschutzrecht (und Informationsfreiheit)“

Alle Episoden von Spaß mit Datenschutzrecht (und Informationsfreiheit) · Mehr Government-Podcasts