MDR SACHSEN-ANHALT: Herr Professor Döring, Ihre Professur für Wirtschaftsinformatik an der Hochschule Merseburg ruht gerade. Sie haben 2018 das Start-Up "Robin Data" gegründet, das eine Datenschutz-Software für Unternehmen anbietet, Unternehmen Datenschutzbeauftragte stellt und in dieser Sache berät. Was fasziniert Sie denn so am Datenschutz, dass Sie vom Wissenschaftler zum Start-Up-Gründer wurden?

Andre Döring: Das Thema Datenschutz ist für mich ein persönlich wichtiges Thema. Er leitet sich ja aus dem Recht auf informationelle Selbstbestimmung ab und dieses bezieht sich auf unsere Persönlichkeitsrechte aus dem Grundgesetz. Datenschutz schützt also unsere Persönlichkeitsrechte, damit nicht jeder – Unternehmen oder Behörden – mit unseren persönlichen Daten machen kann, was er will. Deshalb berate ich sehr gern Behörden und Unternehmen und versuche, den Datenschutz zu verbessern. Außerdem ist spannend, dass der Datenschutz viele Prozesse in einer Organisation betrifft. Als Berater kann ich auch Hinweis geben, um Prozesse zu verbessern. Das führt häufig zu mehr Datenschutz. Also: Beim Digitalisieren und Optimieren ist ein Datenschützer nicht nur ein "Kostenfaktor", sondern kann sich bei kompetenter Beratung auch finanziell rechnen.

Und Ihre Professur?

Als ich mit Daniel Ramsch "Robin Data" gegründet habe, bin ich ja eher rückfällig geworden. Denn vor meinem Ruf an die Hochschule Merseburg hatte ich schon eine Firma für Managementberatung im Mittelstand. Ich bin seit Jahren – als Berater, Professor und Wissenschaftler – Begleiter und Ratgeber vor allem für Inhaber familiengeführter Unternehmen. Und bei aller Liebe zur Hochschule und zur Wissenschaft, in die ich sicher später zurückkehren werde: Als Unternehmer kann ich nahezu alles selbst entscheiden und gestalten. Man trägt natürlich auch Verantwortung für die Entscheidungen, die mal gut und mal weniger gut sind. Im öffentlichen Dienst ist das Einkommen zwar sicher, aber die Entscheidungsmöglichkeiten werden durch zum Teil starre Regeln und Vorschriften eingeschränkt.

Und wie wollen Sie mit Datenschutz Geld verdienen?

Unser Kernprodukt ist unsere "Robin Data" Software, mit der Berater für Datenschutz und auch interne Datenschutzverantwortliche alle Aufgaben im Datenschutz gesetzeskonform managen können. Wenn Datenschutzverantwortliche unsere Vorlagen nutzen, sparen sie eine Menge Zeit bei Routineaufgaben, können sich auf die kniffeligen Fragestellungen konzentrieren und aktiv die Daten von Kunden, Kolleginnen oder Bürgern schützen. Außerdem haben wir die "Robin Data Akademie" gegründet, die Nutzern zu Datenschutz verhilft oder ihre Fachkenntnis erweitert. Und wir bieten jede erdenkliche Dienstleistung im Datenschutz und in der Informationssicherheit an: Wir bestellen oder werden selbst externe Datenschutz- oder Informationssicherheitsbeauftragte, führen Sicherheits-Audits durch, setzen Office 365 datenschutzkonform um und bieten mit unseren 50 Partnern maßgeschneiderte Datenschutz- oder Cyber-Security-Versicherungen an.

Datenschutz, informationeller Selbstbestimmung: Theoretisch findet das jeder immer gut, das zeigen auch immer wieder Umfragen. Aber warum fällt es uns im Alltag so schwer, uns für datenschutzkonforme Dienste und Angebote zu entscheiden?

Der Hauptgrund ist, dass es oft nicht transparent ist, ob ein Dienst wirklich datenschutzkonform ist. Die DSGVO fordert das eigentlich. Aber Datenschutzbedingungen, die den Umfang eines John-Sinclair-Heftes haben, helfen keinem. Sie bieten nur den gleichen Horror wie hoffentlich eine John-Sinclair-Geschichte. Auf der anderen Seite werden die "coolen" Dienste meistens von US-Unternehmen wie Facebook, Google oder Amazon angeboten. Die verdienen ihr Geld, indem sie Daten sammeln, auswerten und nutzen. Und da gilt derzeit leider das Motto "Friss oder stirb" oder "Gib mir deine Daten oder bleib außen vor". Also man kann die Angebote nur nutzen, wenn man seine Daten preisgibt. Ich würde es sehr begrüßen, wenn man zum Beispiel Google auch bezahlen könnte und so wenige bis keine Daten von mir analysiert und zu Profilen zusammengeführt würden. Aber das ist leider ein Wunschdenken.

Ich habe Werbung für Ihr Start-Up auch schon in sozialen Medien gesehen. Wie gehen Sie denn mit dem Zwiespalt um: "Robin Data" einerseits bekannter zu machen – und auf der anderen Seite damit eben Dienste zu nutzen, die es mit der informellen Selbstbestimmung nicht wirklich ernst nehmen, weil ihr Geschäftsmodell sonst nicht funktionieren würde?

Das ist tatsächlich ein Zwiespalt. Grundsätzlich habe ich kein Problem damit, wenn jemand soziale Netzwerke nutzt. Denn sie erfüllen ja durchaus sinnvolle Zwecke. Allerdings sollte man als Unternehmen auch die Vorgaben des Datenschutzes umsetzen. Dazu gehört, ein Cookie-Banner zur Deaktivierung des Nutzertrackings auf der eigenen Website einzubauen oder die Einbindung von Social-Media-Plugins transparent zu beschreiben oder explizite Einwilligungen einzuholen. Aber bei aller Technik wird sicher dennoch etwas von den großen Anbietern getrackt. Aus diesem Grund liegt es am Ende am Nutzer selbst, ob er oder sie sich entscheidet, in einem sozialen Netzwerk aktiv zu sein.

An welcher Stelle im gesellschaftlichen Leben nervt es Sie eigentlich am meisten, wenn Sie den Datenschutz grundsätzlich verteidigen müssen? Denn mein Eindruck ist, Datenschutz wird oft vorgeschoben, wenn ein digitales Vorhaben am Ende doch nicht funktioniert.

Ich finde es bedauerlich, dass der Datenschutz häufig als Verhinderer genannt wird. Ein aktuelles Beispiel ist die Corona-Warn-App. Sie sichert unsere Daten durch höchste Datenschutzanforderungen ab. Aber sie wirkt in der Pandemie nicht so richtig, weil zu wenige Bürgerinnen und Bürger die App nutzen. Bei mir hat sie jedenfalls funktioniert und mich gewarnt, so dass ich einen PCR-Test gemacht habe. Natürlich gibt es bei der App auch offene Fragen: Warum war die so teuer, warum gibt es keine neuen Features wie in der Luca-App. Aber das hat primär nichts mit dem Datenschutz zu tun.

Ein anderes Beispiel ist die Datenverarbeitung im medizinischen Bereich. Hier beschweren sich Krankenkassen, dass sie wegen des Datenschutzes die Daten der Patienten nicht einfach miteinander kombinieren dürfen, um zum Beispiel gefährliche Doppelmedikationen von Patienten herauszufinden. Dieser einzelne Anwendungsfall ist natürlich absolut sinnvoll. Aber durch Kombination von Kassendaten lassen sich auch andere Dinge herausfinden. Und deren Offenlegung kann sich auf meine Versicherbarkeit auswirken. Deshalb macht Datenschutz Sinn. Und es gibt auch eine konkrete Lösung: Wenn man die Analyse dieser Daten zu medizinischen Zwecken erlauben möchte, muss der Gesetzgeber ein entsprechendes Gesetz mit einem klar umrissenen Zweck erlassen und dann sind diese Auswertungen aus Sicht des Datenschutzes erlaubt. Um es auf den Punkt bringen: Der Datenschutz verhindert keine Innovationen, sondern er verhindert, dass Unternehmen und Behörden unsere Daten sammeln und kombinieren können, um damit machen zu können, was sie wollen.

Sie bieten Ihre Dienste anderen Firmen an. Warum müssen sich alle Unternehmen – vom Anwalt, über den Bäcker bis zum Zoo – eigentlich um Datenschutz kümmern?

Alle diese Firmen verarbeiten personenbezogene Daten. Aber ein guter Datenschützer wird immer differenzieren, wie viel Risiko in der Verarbeitung dieser Daten im Einzelfall steckt. Ein Bäcker hat vielleicht ein paar Kundendaten, wie deren Namen oder auch Wohnadressen bei Lieferungen. Diese Daten darf der Bäcker problemlos zur Erfüllung seiner Dienstleistungen verarbeiten. Aber er muss sie dann auch schützen. Wenn einer seiner Kunden seine Adresse schützen und nur für die Lieferungen angeben will, dann muss er sich darauf verlassen können, dass der Bäcker seine Daten auch datenschutzkonform verarbeitet.

Auf der anderen Seite verarbeiten Anwälte, Steuerberater oder Ärzte sehr persönliche Daten von uns. Deren Bekanntwerden könnte zu größeren Schäden führen: von Reputationsverlust bis zu konkreten gesellschaftlichen Nachteilen. Deshalb müssen sie deutlich höhere Maßstäbe an den Datenschutz und die Datensicherheit anlegen als der Bäcker. Diese Berufsgruppen müssen konkrete Risikoanalysen durchgeführt und entsprechende Sicherheitsmaßnahmen einführen. Aber meine Erfahrung ist, dass sowohl kleine Unternehmen, aber auch Anwälte, Ärzte oder Steuerberater, in der Regel aus Eigeninteresse sehr sorgsam mit den Daten der Kunden und Mitarbeiter umgehen. Für die Geschäftsführung kann es aus Haftungsgründen sinnvoll sein, ein professionelles Datenschutz-Management-System zusammen mit einem externen Berater umzusetzen.

Was sind die drei wichtigsten Tipps, die Sie Ihren Kunden als erstes geben?

Erstens: Behandle die personenbezogenen Daten deiner Kunden und Mitarbeiter so, wie du möchtest, dass deine eigene Daten behandelt werden. Zweitens: Versuche nicht, den Datenschutz selbst im Detail zu verstehen, sondern suche dir lieber einen Experten und spare viel Zeit und Nerven. Drittens: Überlege bei jedem kostenlosen Dienst im Internet, ob er es Wert ist, eigene Daten gegen die angebotene Leistung preiszugeben.

Wie halten Sie es selbst im Alltag? Nutzen Sie zum Beispiel Dienste von Google, Amazon oder zum Beispiel Microsoft? Apples iPhones oder Geräte mit Googles Betriebssystem Android? Haben Sie dort spezielle Software installiert, die zum Beispiel überwacht, was die Geräte senden?

Ja, ich nutze alle diese Dienste und Tools in der einen oder anderen Form. Es ist schwer, an den Produkten der großen Anbieter vorbei zu kommen. Deshalb arbeiten wir gerade zum Beispiel daran, eine Dienstleistung anzubieten, um Office 365 von Microsoft datenschutzkonform und sicher in Unternehmen einzusetzen. Und auch wenn Google für viele von uns Alltag ist, empfehle ich Suchmaschinen wie Startpage oder Duckduckgo zu nutzen. Die nutzen zwar im Hintergrund Google oder andere Suchmaschinen, schützen aber unsere Privatsphäre besser. Die Suchergebnisse sind etwas anders und weniger personalisiert, aber daran gewöhnt man sich schnell.

Als Smartphone habe ich ein iPhone, das per se recht sicher ist, weil die Daten verschlüsselt gespeichert werden. Meine Internetverbindung sichere ich über einen speziellen Netzwerkdienst, der auch in öffentlichen WLANs meine gesendeten und empfangenen Daten verschlüsselt. Auf Android gibt es ähnliche Tools. Aber auch solche Dienste setzen ein hohes Vertrauen an den Anbieter voraus, weil alle meine Daten über deren Server laufen.

Inwieweit ist der Gedanke eigentlich sinnvoll, dass Daten irgendjemandem gehören?

Ich halte diesen Gedanken für essentiell. Meine personenbezogenen Daten beschreiben im Kern Eigenschaften meiner Persönlichkeit, meines Gesundheitszustandes, meiner politischen Meinung oder auch nur meiner aktuellen Lebensstationen. Wer also diese Daten kennt, kennt auch mich. Ich bin deshalb der Meinung, dass ich selbst entscheiden können muss, was mit meinen eigenen Daten passiert. Genau das möchte der Datenschutz erreichen.

Wenn meine persönlichen Daten auf einem Blatt Papier stehen, versteht jeder, dass das die eigenen Daten sind. Werden personenbezogene Meta-Daten aber zum Beispiel bei einem Klick auf einem Amazon-Produkt generiert, wird es schwieriger: Im Hintergrund wird der Klick mit anderen Daten kombiniert, aus denen dann vielleicht ein psychologisches Profil errechnet wird. So können uns andere Artikel präsentiert werden, von denen wir noch nicht einmal wussten, dass wir sie brauchen. All das kann man als Laie kaum nachvollziehen. Und hier sind Datenschutzbeauftragte gefragt, diese Dinge zu überwachen und, wenn notwendig, einzuschränken. Aber wir wissen, dass das in der Praxis mit den großen Anbietern ein dickes Brett ist, was es zu bohren gilt. Als Datenschützer bleiben wir dran und haben einen langen Atem und auch schon einiges erreicht.

Start-Ups ist ja eigen, dass sie auch scheitern können oder verkauft werden. Wie wünschen Sie sich Ihre Zukunft mit "Robin Data"? Gibt es ein Ausstiegs-Szenario?

Scheitern ist keine Option (lacht). Fakt ist: Wir bewegen uns in einem spannenden Markt, mit einem komplexen und erklärungsbedürftigen Produkt bei hoher Konkurrenz. Aber wir sind mittlerweile im Markt gut sichtbar, haben viele gute und treue Kunden und Partner, wir lernen täglich dazu und wachsen Schritt für Schritt. Im Wesentlichen haben wir ja zwei Ziele: Erstens wollen wir den Datenschutzverantwortlichen mit unserer "Robin Data" Software das bestmögliche Tool an die Hand geben, gesetzeskonform Datenschutz zu betreiben und sie dabei von Routineaufgaben entlasten. Zweitens bieten wir unseren Kunden gemeinsam mit unseren deutschlandweiten Beratungs- und IT-Partnern alle verfügbaren Leistungen rund um den Datenschutz und die Datensicherheit an. Das gelingt mittlerweile sehr gut. Wir entwickeln uns dynamisch, darüber freuen wir uns. Und wir freuen uns auch auf die Zukunft und darüber, dass wir Investoren gewinnen konnten, unter anderem den Landes-Investitionsfond Sachsen-Anhalt, vertreten durch BMP Ventures. Wir haben auch einige Business-Angels überzeugt. In einigen Jahren werden wir als profitables Unternehmen sehr wahrscheinlich an einen größeren Investor verkauft werden, um so für diesen Investor spezifische Probleme zu lösen oder im Portfolio des Investors einen weiteren Wachstumsschritt gehen zu können. Und die Marke Robin Data bliebt dabei dann hoffentlich erhalten!

Die Fragen stellte Marcel Roth.