Warum der Datenschutz keine Daten schützt, sondern Nutzer*innen

Cookie-Banner wegklicken, AGBs lesen und Einwilligungen verwalten: Wer sich im Internet bewegt, weiß, wie lästig Datenschutz sein kann. Doch was wie eine individuelle Pflicht wirkt, ist eigentlich ein Weg, wie wir selbstbestimmter im Internet unterwegs sein können. Dieser Beitrag zeigt, warum das Wort Datenschutz eigentlich falsch gewählt ist und warum die Hauptverantwortung für wirksamen Datenschutz nicht bei den Nutzer*innen liegt. 

Jedes Mal, wenn wir das Internet nutzen, fallen Daten an, die Rückschlüsse darauf zulassen, wer wir sind und was uns gefällt. Das mag auf den ersten Blick harmlos klingen, denn auch Freunde oder Bekannte wissen einiges über uns. Wenn diese Daten jedoch dazu genutzt werden, um gezielt Werbung anzuzeigen oder Inhalte auf Plattformen vorzuschlagen, kann das konkrete Folgen haben: Wir sehen möglicherweise manche Stellenanzeigen nicht, weil unsere Daten nicht zur gebuchten Zielgruppe passen. In Online-Shops bekommen wir unter Umständen andere Preise angezeigt als andere, weil wir in eine andere Einkommensgruppe einsortiert wurden. 

Jonas zum Beispiel wohnt in einem Stadtteil mit hohen Mieten. Das verrät seine IP-Adresse, quasi die Postleitzahl im Internet. Er surft mit einem neuen iPhone und hat noch nie auf eine Rabattaktion geklickt. Der Shop kombiniert das zu einem Schluss: zahlungskräftiger, wenig preissensibeler Kundel. Beim nächsten Kauf sieht Jonas für dasselbe Produkt einen höheren Preis als jemand, der von einem älteren Gerät aus einer günstigeren Gegend surft. Er merkt es nicht einmal. Oder er kauft durch die passgenaue Werbung Dinge, die er eigentlich gar nicht kaufen wollte.

Damit Auswirkungen wie diese möglichst gering bleiben, sollen oder müssen wir uns jeden Tag mit Datenschutz beschäftigen. Das heißt, der Nutzung von Daten zustimmen oder sie ablehnen, Einstellungen prüfen, AGBs lesen, Haken setzen. Das alles kann manchmal ziemlich nervig sein, ist aber wichtig, damit wir selbst entscheiden können, was mit den Daten über uns passiert.

Geschützt wird nicht, was du denkst

Was genau schützt der Datenschutz also? Schützt Datenschutz wirklich Daten? Nein! Deshalb ist das Wort „Datenschutz“ eigentlich unpassend. Vielmehr geht es darum, Menschen vor den Folgen der Nutzung ihrer Daten zu schützen, nicht die Daten selbst. Daher müssten wir, wenn wir Datenschutz meinen, eigentlich von Nutzer*innenschutz sprechen. 

Die IP-Adresse von Jonas, irgendwo in einer Datenbank gespeichert, ist erstmal nichts weiter als eine Zahl. Sie alleine verursacht keine Folgen für Jonas. Schaden oder Vorteile entstehen erst dadurch, was mit den Informationen gemacht wird. Beispielsweise, wenn die IP-Adresse mit anderen Informationen über Jonas kombiniert wird. Diese Verschiebung des Blickwinkels ist mehr als nur sprachliche Haarspalterei: Sie verdeutlicht, wer geschützt werden sollte und wer die Verantwortung für diesen Schutz trägt und in der Pflicht ist.

Der Mythos der Eigenverantwortung

Die vielen Entscheidungen, die wir jeden Tag treffen sollen und mit denen wir festlegen, wofür Daten über uns verwendet werden dürfen, erwecken den Eindruck, dass wir als Internetnutzer*innen selbst dafür verantwortlich seien, Schäden abzuwenden (Guagnin, Feldhusen & Thor, 2026). Doch dafür müssten wir verstehen, wie die Datenverarbeitung technisch im Detail funktioniert, um gezielt nach möglichen Ursachen für potenzielle Schäden Ausschau halten zu können. Den Prozess der Datenverarbeitung kann jedoch kein*e Nutzer*in tatsächlich überprüfen. 

Das liegt an drei Gründen. Erstens haben wir als Nutzer*innen keinen Zugriff auf die internen Systeme der Plattformen, die wir täglich nutzen. Zweitens sind die Prozesse viel zu komplex und abstrakt, um sie genau nachvollziehen zu können. Sie sind zum Teil so komplex, dass selbst Unternehmen sie nur mit sehr viel Aufwand durchschauen. Hinzu kommt als dritter limitierender Faktor, dass es schlicht zu lange dauern würde, den gesamten Weg, den die Daten nehmen, zu rekonstruieren (Pohle & Lukat, 2026; Rost, 2018).

Zwar werden uns kleine, sehr komplexe Hebel präsentiert, wie etwa Datenschutzeinstellungen, deren Wirkung ist aber eher begrenzt. Es ist ähnlich wie beim Klimawandel: Auch als Einzelperson kannst du etwas bewirken, etwa indem du weniger fliegst oder bewusster einkaufst. Die wirklich wirksamen Hebel liegen aber bei der Politik und bei den Datenverarbeitern, also den Organisationen und Personen, die deine Daten nutzen. Die gute Nachricht: Genau hier gibt es ein starkes Werkzeug – der gesetzlich verankerte Datenschutz.

Die eigentlichen Verantwortlichen

Wer also trägt die Hauptverantwortung, wenn nicht die Nutzer*innen? In der Datenschutzgrundverordnung (DSGVO) werden die Unternehmen oder Personen, die unsere Daten verarbeiten, nicht ohne Grund als “Verantwortliche” (Art. 4 Abs. 7 DSGVO) bezeichnet. Sie sind diejenigen, die Systeme gestalten, also entscheiden, welche Daten wofür genutzt werden sollen. Und sie verdienen Geld mit der Verarbeitung dieser Daten über dich. Diese Kombination aus Gestaltungsmacht und wirtschaftlichem Interesse verschafft ihnen ungleich mehr Macht als einzelnen Nutzer*innen und genau deshalb tragen sie auch die Hauptverantwortung dafür, dass dir möglichst wenig Schaden entsteht. Das Gesetz verpflichtet Verantwortliche konkret zu Folgendem: Sie müssen verständlich erklären, welche Daten sie sammeln und wozu (Art. 12–14 DSGVO). Sie müssen dich um dein Einverständnis bitten, Daten über dich erheben und nutzen zu dürfen (Art. 6 DSGVO). Und sie müssen dafür sorgen, dass ihre Systeme so gestaltet sind, dass möglichst wenig Schaden für dich als Nutzer*in entsteht (Art. 32 DSGVO). 

Verkehrsregeln statt Airbag

Stell dir den Datenverkehr wie den Straßenverkehr vor. Niemand käme auf die Idee, Verkehrssicherheit sei allein Sache der Fußgänger*innen. Alle Teilnehmenden sind in der Pflicht, durch vorausschauendes Fahren, Rücksichtnahme und der Vermeidung von Gefährdungen Schäden zu vermeiden (Pohle & Lukat, 2026). Verkehrsschilder zeigen zusätzlich an, wo welche Regeln gelten und wer Vorrang hat. All das verfolgt ein Ziel: Schäden von vornherein zu verhindern, statt sie im Nachhinein zu reparieren. Genauso funktionieren die Datenschutz-Grundverordnung und der Digital Services Act: Sie regeln, wie Daten verarbeitet werden dürfen und wie nicht.

Der Staat sorgt für die Einhaltung

Doch Regeln allein reichen nicht. Sie müssen auch durchgesetzt werden. Damit Regeln nicht nur auf dem Papier stehen, gibt es in Deutschland siebzehn unabhängige Datenschutzaufsichtsbehörden: eine pro Bundesland und eine weitere auf Bundesebene. Wenn du den Eindruck hast, dass eine Plattform deine Daten unrechtmäßig verarbeitet, kannst du dich kostenlos und ohne Anwalt an sie wenden (Art. 77 DSGVO). Sie nehmen Beschwerden entgegen, prüfen Verstöße gegen Datenschutzgesetze und verhängen bei Bedarf Bußgelder. Damit diese Arbeit auch wirkungsvoll gemacht werden kann, brauchen die Behörden allerdings genug Personal und Geld. Genau das ist der Knackpunkt, an dem es in der Praxis oft hakt.

Was du trotzdem tun kannst

Heißt das, wir brauchen uns um nichts zu kümmern? Nicht ganz. Wir entscheiden, welche Dienste wir nutzen, wann wir der Nutzung unserer Daten zustimmen und wann nicht. Außerdem können wir Einstellungen anpassen und Einwilligungen widerrufen. Die Entscheidungen, die wir als Nutzer*innen treffen, ergänzen die Verantwortung der Unternehmen und des Staates, aber sie ersetzen sie nicht. Wir sind also nicht alleine für wirksamen Datenschutz verantwortlich, können uns durch informierte Entscheidungen jedoch zumindest selbst ein Stück weit schützen, solange wir verstehen, wo unsere Möglichkeiten enden und die Verantwortung anderer beginnt. Genau an diesem Punkt setzt unsere Forschung an.

Die Toolbox für Nutzer*innenschutz

Im Projekt Sicher im Datenverkehr erforschen wir, wie Personalisierung im Internet funktioniert und welche Vorteile und Risiken daraus folgen. Denn der Unterschied zwischen der Vorstellung, einem System ausgeliefert zu sein und der Vorstellung, dass es Regeln, Rechte und Stellen gibt, die uns schützen sollen, ist groß. Denn er macht klar, dass wir selbstbestimmt handeln können, wenn es darum geht, wie Daten über uns verwendet werden dürfen. Wie genau das funktioniert, kannst du demnächst in unserer Toolbox zu personalisierter Werbung im Internet herausfinden. Denn am Ende schützt guter Datenschutz nicht die Daten, sondern die Menschen dahinter.

Literatur

Europäisches Parlament und Rat der Europäischen Union. (2016). Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung). Amtsblatt der Europäischen Union, L 119. https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=celex%3A32016R0679

Europäisches Parlament und Rat der Europäischen Union. (2022). Verordnung (EU) 2022/2065 des Europäischen Parlaments und des Rates vom 19. Oktober 2022 über einen Binnenmarkt für digitale Dienste und zur Änderung der Richtlinie 2000/31/EG (Digital Services Act). Amtsblatt der Europäischen Union, L 277. https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=celex%3A32022R2065

Guagnin, D., Feldhusen, G., & Thor, L. (2026). Datenschutz-Risikokommunikation zwischen Surveillance und Personalisierung: Einwilligung oder Selbstbegrenzung? In Guagnin, D. & Pohle, J. (Hrsg.) Risikonarrative im Feld Privacy, Surveillance und Datenschutz. Nomos, Baden Baden.

Pohle, J., & Lukat M. (2026). Vollkörper-Airbags für Fußgänger:innen? – Zur Nutzung von Analogien in der Risikokommunikation im Datenschutz, oder: Wie mit guten Vergleichen über schlechte Lösungen aufgeklärt werden kann. In Guagnin, D. & Pohle, J. (Hrsg.) Risikonarrative im Feld Privacy, Surveillance und Datenschutz. Nomos, Baden Baden.

Rost, Martin (2018): Risiken im Datenschutz. vorgänge–Zeitschrift für Bürgerrechte und Gesellschaftspolitik, 57(2), S. 79-92.