Gleich in ihrer ersten "Rede zur Lage der Union" im September 2020 rief EU-Kommissionspräsidentin Ursula von der Leyen Europas "Digitale Dekade" aus. Es brauche einen gemeinsamen Plan mit "klar definierten Zielen bis 2030 für Bereiche wie Konnektivität, digitale Kompetenzen und öffentliche Verwaltung", forderte von der Leyen. Hierfür benötige die Europäische Union klare Prinzipien wie das Recht auf Privatsphäre und Zugang, freie Meinungsäußerung, freien Datenfluss und Cybersicherheit. Europa müsse nun in Sachen Digitalisierung "schnell handeln" – oder es werde lange anderen folgen müssen, die diese Standards setzten, sagte von der Leyen.
Die Bilanz etwas mehr als zwei Jahre nach dieser Ankündigung ist gemischt: Einerseits sind zahlreiche Digitalvorhaben der Europäischen Union in Arbeit. Dabei haben Russlands Angriffskrieg auf die Ukraine und die COVID-19-Pandemie die Verständigung auf eine gemeinsame Digitalpolitik in der EU beschleunigt. So wurden zahlreiche regulatorische Vorhaben vorangebracht, mit denen die EU tatsächlich Standards für den Umgang mit Digitalisierung setzt und die weltweit Strahlkraft haben. Andererseits war zuvor jahrelang sträflich wenig geschehen, um auf den technologischen Wandel und die steigende Macht großer IT-Konzerne zu reagieren.
Die tragenden Säulen der neuen Regularien, mit denen der EU eine "Digitale Dekade" unter Wahrung demokratischer Prinzipien gelingen soll, sind das Externer Link: Gesetz für digitale Märkte (Digital Markets Act, DMA), das Externer Link: Gesetz für digitale Dienste (Digital Services Act, DSA) und das noch in Aushandlung befindliche Externer Link: Gesetz für Künstliche Intelligenz (Artificial Intelligence Act, AI Act). Mithilfe dieser drei Gesetze sollen unter anderem der Wettbewerb zwischen großen Digitalunternehmen gesichert, die Rechte der Nutzenden im Internet hinsichtlich freier Meinungsäußerung und Schutz vor Hassrede gewahrt und der Umgang mit Automatisierung geregelt werden.
Eine entscheidende Vorleistung zum Gelingen dieser neuen Regularien ist die
Im internationalen Vergleich ist die DSGVO das aktuell wohl strengste Datenschutzrecht. Doch immer noch wird rege darüber diskutiert, ob sie beispielsweise in der Forschung zu streng oder gar hinderlich sei, wie ihre Durchsetzung zu verbessern wäre und wie wirksam sie tatsächlich gegen die Big-Tech-Konzerne ist. Dies verdeutlicht auch in Bezug auf Vorhaben wie DMA, DSA und AI Act: Derart umfassende Gesetze und ihr Wirken sind langwierige Aushandlungsprozesse, die Zeit benötigen und auch stetig an veränderte Rahmenbedingungen angepasst werden müssen.
DMA – das Gesetz für digitale Märkte
Der Digital Markets Act soll einen gerechteren Wettbewerb im Internet ermöglichen und dazu großen Technologiekonzernen wie Apple, Google (Alphabet), Facebook (Meta) oder Microsoft den Missbrauch ihrer enormen Marktmacht in Europa erschweren. In einigen Feldern geht es wohl in erster Linie darum, überhaupt so etwas wie Wettbewerb herzustellen. Erfasst von den DMA-Vorgaben sind sogenannte "Gatekeeper" – also große Unternehmen, die zumindest 75 Milliarden Euro Marktkapitalisierung oder 7,5 Milliarden Euro Jahresumsatz erzielen. Abseits dieser wirtschaftlichen Erträge müssen solche Konzerne mindestens einen "zentralen Plattformdienst" anbieten, der monatlich 45 Millionen Nutzende und jährlich 10.000 Geschäftskunden hat. Unter diese Kategorie fallen derzeit zehn Unternehmen, die entweder Suchmaschinen, Online-Plattformen oder Messenger-Dienste anbieten – die meisten davon stammen aus den USA.
Ein wesentlicher Aspekt des DMA betrifft das Zusammenführen von Nutzerdaten, unter anderem zu Werbezwecken: Aus mehreren Quellen ist dies nur noch mit Einwilligung der Nutzenden erlaubt. Falls sie nicht zustimmen, muss ihnen eine Nutzungsalternative angeboten und so ein "Bezahlen mit allen Daten" unterbunden werden. Verbessert werden die Auswahlmöglichkeiten für die Nutzer:innen: Die Anbieter von Betriebssystemen, Suchmaschinen oder Browsern werden durch den DMA verpflichtet, bei der Erstnutzung eine Wahl zwischen ihren eigenen Produkten und jenen von anderen Mitbewerbern zu ermöglichen.
Auch ein De-Installieren von Apps muss in Zukunft möglich sein. Hinzu kommt eine Pflicht zur Interoperabilität bei Messenger-Diensten – also die Möglichkeit, in einem Messenger wie WhatsApp auch Nachrichten aus anderen Angeboten wie beispielsweise Signal zu erhalten. Für Gruppenchats soll dies mit drei Jahren Verzögerung gelten, um Standards wie Ende-zu-Ende-Verschlüsselung nicht durch allzu kurzfristige Anforderungen zu unterminieren. Durch all diese Schritte soll das Ausnutzen einer marktbeherrschenden Stellung durch einzelne Anbieter verhindert werden.
Halten sich die "Gatekeeper" nicht an die Vorgaben des DMA, drohen ihnen empfindliche Strafzahlungen – diese können bei ersten Verstößen bis zu zehn, bei wiederholten Vergehen bis zu 20 Prozent des Jahresumsatzes betragen. Kommt es zu sogenannten "systematischen Verstößen", können auch Übernahmen von Mitbewerbern für einen gewissen Zeitraum blockiert werden. Die Durchsetzung der neuen Regeln durch das Gesetz für digitale Dienste obliegt in erster Linie den EU-Mitgliedsländern und deren Wettbewerbsbehörden und Gerichten. Zudem wird ein Beratergremium eingerichtet, das mit europäischen Expert:innen besetzt sein soll, die EU-Kommission wird ein Vetorecht gegen Urteile nationaler Gerichte erhalten.
Unter den neuen EU-Digitalgesetzen ist der DMA bereits am weitesten fortgeschritten: Nachdem das Gesetz vom Europäischen Parlament und Rat Mitte September angenommen worden war, wurde es am 12. Oktober 2022 im Amtsblatt der EU veröffentlicht. Ab Mai 2023 tritt es in Kraft.
DSA – das Gesetz für digitale Dienste
Den oft auch als "Plattformgrundgesetz" bezeichneten Digital Services Act hält von der Leyen für eine "historische Einigung" der EU-Mitgliedsstaaten. Wie überfällig das neue Gesetz für digitale Dienste in der EU ist, verdeutlicht das Alter seiner Vorgängerregelung: So soll der DSA die europäische E-Commerce-Richtlinie aus dem Jahr 2000 an die gegenwärtige Situation im Internet anpassen – damals waren beispielsweise Facebook oder Twitter, wesentlich vom DSA betroffene soziale Netzwerke, noch gar nicht online. Nach mehr als zwei Jahrzehnten, in denen solche Unternehmen von Start-ups zu globalen Playern wurden, gelten mit dem DSA für sie künftig in der EU strengere Regeln bei der Moderation von Inhalten, Online-Werbung und Berichtspflichten.
Ähnlich wie beim Gesetz für digitale Märkte werden auch im DSA die betroffenen Konzerne mit Schwellenwerten und strengeren Regeln erfasst – ab einer Marke von 45 Millionen Nutzenden gelten Plattformen als "besonders groß", für sie ist die Aufsicht auf EU-Ebene vorgesehen. So erhält die EU-Kommission ihnen gegenüber das Recht, die Einhaltung der Regeln einzufordern und Einblick in ihre Daten zu erhalten, um die Regelkonformität kontrollieren zu können.
Der DSA soll mehr Transparenz in die Empfehlung von Inhalten bringen. Darum werden die großen Plattformbetreiber dazu verpflichtet, die wesentlichen Parameter ihrer Empfehlungsalgorithmen in ihren Allgemeinen Geschäftsbedingungen offenzulegen. Forschende und zivilgesellschaftliche Organisationen sollen zudem Zugang zu Daten der Plattformen erhalten, wenn Behörden dies einfordern. Ein Kernstück des DSA sind neue Pflichten für die sozialen Netzwerke beim Moderieren ihrer Inhalte. Sie müssen ihren Nutzenden künftig unabhängige Beschwerdestellen beim Melden illegaler Inhalte ermöglichen. Vereinheitlicht wird hierbei europaweit, dass solche Inhalte auf Anordnung von Behörden zu löschen sind oder über Löschungen Auskunft gegeben werden muss. Sollten Accounts oder gepostete Inhalte zu Unrecht gelöscht werden, sind bessere Einspruchsmöglichkeiten vorgesehen.
Nur in abgeschwächter Form gibt es Einschränkungen für personalisierte Werbung – hier waren in den Verhandlungen zum DSA strengere Regeln im Gespräch. Nun werden lediglich solche "targeted ads" untersagt, die sich an Minderjährige richten oder sensible Daten wie etwa die sexuelle Orientierung auswerten. Falls den Nutzenden Schäden durch DSA-Verstöße entstehen, sollen diese auch Schadensersatzansprüche geltend machen können. Irreführende Designelemente, sogenannte "dark patterns", werden verboten, damit Nutzende nicht mehr versehentlich Benutzeroberflächen anklicken. Online-Dienste sollen zudem künftig Wahlmöglichkeiten, beispielsweise zu Cookies, neutral darstellen und die Nutzenden nicht durch stärker hervorgehobene Schaltflächen zum Abonnieren ihrer Angebote drängen. Die Kündigung von Abonnements soll zudem genauso leichtfallen wie das Abschließen eines Abos.
"Krisenmodus" unter Eindruck des Ukraine-Kriegs aufgenommen
Ein weiterer Punkt im DSA, der erst spät unter dem Eindruck des Kriegs in der Ukraine aufgenommen wurde, ist dessen sogenannter Krisenmodus (engl. "Crisis response mechanism"): Dieser gibt der EU-Kommission, zum Beispiel im Falle eines Krieges oder einer Pandemie, das Recht, eine außerordentliche Prüfung bisheriger Risikobewertungen einzufordern. Zudem kann die Kommission von sehr großen Plattformen einfordern, akute Bedrohungen in ihren sozialen Medien einzuschränken. Dieser Krisenmodus soll auf drei Monate begrenzt sein – falls die Kommission eine Verlängerung will, muss sie erneut darum bitten.
Kleinere Plattformen treffen deutlich weniger der neuen Pflichten aus dem DSA, jedoch müssen auch sie Melde- und Abhilfeverfahren für unzulässige Inhalte ermöglichen. Bei der Aufsicht über die Einhaltung des DSA müssen die Mitgliedsländer sogenannte "Digital Service Coordinators" ernennen. Doch allein die Kommission ist für Kontrolle der sehr großen Plattformen und Suchmaschinen zuständig. Nach der Veröffentlichung des DSA im Amtsblatt der EU am 27. Oktober 2022 gelten zentrale Regeln aus der Verordnung bereits ab 16. November 2022, während der Großteil erst ab 17. Februar 2024 anwendbar sein wird.
AI Act – das Gesetz für Künstliche Intelligenz
Ein weiterer wichtiger Baustein der digitalen EU-Dekade, das Gesetz für Künstliche Intelligenz, befindet sich noch in Verhandlungen. Der AI Act soll auf eine Kategorisierung und dann auf eine Regulierung "hochriskanter" Einsatzfelder abzielen. Dazu gehören etwa der Umgang mit Sozialkreditsystemen (engl. "Social scoring"), biometrische Überwachung, KI-Anwendungen in der Verwaltung und Strafverfolgung sowie sogenannte "Deepfakes", also täuschend echte Videomanipulationen, die mit dem AI Act einen rechtlichen Rahmen erhalten sollen.
Bislang ist vieles noch nicht geklärt – beginnend bei der zugrundeliegenden Definition von KI bis hin zum Umstand, ob beispielsweise Themen der nationalen Sicherheit in den AI-Act integriert oder ob hier Ausnahmen gemacht werden. Bis zum Ende des Jahres 2022 wollen die EU-Mitgliedsstaaten im Europäischen Rat ihre gemeinsame Position zum AI Act festlegen, damit die Trilog-Verhandlungen mit EU-Parlament und Kommission beginnen können.
Gesetze haben Vorbildfunktion über Grenzen der EU hinaus
Es ist noch nicht klar, wie gut die verschiedenen europäischen Digitalregulierungen aufeinander abgestimmt werden – und wie die Mitgliedsstaaten ihren Spielraum bei der Umsetzung nutzen. Zudem erhält die EU-Kommission ein großes Bündel an Aufsichtskompetenzen und Befugnissen, in deren Anwendung sie sich erst beweisen muss. Jedenfalls haben die bisher beschlossenen Rechtsakte bereits Vorbildfunktion über die Grenzen der EU hinaus. So werden in den USA aktuell strengere Regeln für Plattformen von den dortigen Big-Tech-Konzernen vehement bekämpft, nicht zuletzt infolge der europäischen Einigung auf den DSA.
Wie wirkmächtig der Einfluss der neuen Digitalgesetze der EU innerhalb ihrer Grenzen und darüber hinaus tatsächlich noch wird, lässt sich aus heutiger Sicht kaum absehen. Ein Blick auf die DSGVO zeigt zwar, dass diese einigen großen Online-Unternehmen durchaus ein Dorn im Auge ist – so drohte Meta Anfang des Jahres 2022 mit einer Abschaltung seiner Dienste in der EU wegen der Datenschutzbestimmungen, dementierte aber wenig später. Zugleich gelang es Google und Co. bisher vielfach, die relativ strenge DSGVO zu umgehen. Hier trifft die Marktmacht der EU mit ihren knapp 450 Millionen Einwohner:innen auf die Marktmacht mächtiger Konzerne.
Auch geopolitisch sind die Auswirkungen der DSGVO mit Hinblick auf Datentransfers zwischen den USA und der EU noch nicht entschieden – ein Nachfolger für das gekippte Privacy-Shield-Abkommen ist noch nicht vereinbart. Mit Blick auf die jüngst verfassten Gesetze, den DMA und DSA, bleibt umso mehr abzuwarten, welche Effekte diese haben werden. Ob die Digitalregulierung der EU auch international Bestand hat, wird an der Umsetzung der neuen Regeln in Europa liegen.
