Große Vergleichsstudie der Universität Oxford DSGVO schadet vor allem kleinen Unternehmen massiv, US-Internet-Giganten lässt sie kalt

Drei Prozent weniger Umsatz, neun Prozent weniger Gewinn: Die DSGVO stellt eine riesige Bürde für kleine Unternehmen dar

Abbildung: Adobe Stock, photoschmidt

Als die Datenschutzgrundverordnung (DSGVO) vor vier Jahren, am 25.05.2018, in Kraft getreten ist, wurde sie u.a. damit begründet, dass man "Datenkraken" wie Facebook einhegen wolle. Alle Unternehmen mit europäischen Kunden bzw. Nutzern wurden zur Einhaltung der DSGVO verpflichtet. Es ging also nicht nur um den Schutz der Konsumenten, sondern es sollte auch der Wettbewerb mit europäischen Unternehmen fairer gestaltet werden.

Jetzt zeigt eine Anfang Januar veröffentlichte große Vergleichsstudie der Universität Oxford, dass die DSGVO tatsächlich vor allem kleine und mittelständische Unternehmen belastet. Deren Umsätze seien als Folge der EU-Verordnung um 2,7 Prozent und ihre Gewinne sogar um 8,5 Prozent zurückgegangen. Noch schlimmer sei es kleinen und mittleren IT-Unternehmen ergangen, bei ihnen gingen die Umsätze zwar "nur" um 2,1 Prozent, die Gewinne aber um satte 12,1 Prozent zurück!

Gesetzgebung lässt große US-Konzerne Marktanteile gewinnen

Der Schaden bei ihnen ist damit drei Mal so hoch wie bei großen IT-Unternehmen, bei denen man einen Umsatzrückgang von nur 0,7 Prozent und einen Gewinnrückgang von 4,6 Prozent festgestellt hat. Bei den Großen der Branche konnte überhaupt kein signifikanter Rückgang festgestellt werden: "We find no statistically significant impacts on either profits or sales among large IT services providers, like Facebook, Microsoft, Amazon and Google" schreiben die Autoren. Statt dessen hätten diese von der Schwächung ihrer Wettbewerber profitiert: "Large technology companies have gained market share from their smaller competitors, offsetting the compliance costs associated with the GDPR."

Die Frankfurter Allgemeine Sonntagszeitung (FAS) betitelt einen Beitrag über die Oxford-Studie entsprechend wie folgt: "Die umstrittene Datenschutz-Verordnung schadet vor allem kleinen Unternehmen. Für Jeff Bezos ist sie halb so wild."

Halten sich große IT-Konzerne überhaupt an die DSGVO?

Auch stellt sich die Frage, ob sich IT-Konzerne wie Facebook überhaupt vollumfänglich an die europäischen Regeln halten. Facebook hat zwar (das berichten die Autoren der Studie) nach eigenen Angaben aufgrund der DSGVO rund tausend zusätzliche Mitarbeiter eingestellt, zugleich aber 2017 im Vorfeld des Inkrafttretens auch seine Lobbying-Ausgaben verdoppelt. Zusammen mit Google und Apple gehört Facebook nun zu den fünf Unternehmen mit den höchste Lobbying-Ausgaben in der EU.

Laut einem heise-Bericht hat die irische Datenschutzbehörde der Facebook-Mutter Meta wegen Nichtbeachtung von Regeln eine Frist bis April 2022 gesetzt und andernfalls den "Mexit", also das Abschalten der Meta-Dienste Facebook, Instagram, WhatsApp usw. angedroht. Auch dies wäre freilich für viele kleine Unternehmen, die diese Dienste als Werbemedien nutzen, ein schwerer Schlag, vom Protest privater Nutzer ganz abgesehen – weshalb es wahrscheinlich auch nie zu der angedrohten Abschaltung kommen wird.

Umständliche Internet-Nutzung kostet Umsatz, hoher bürokratischer Aufwand und Beratungsbedarf senkt Gewinne

Die Gewinnrückgänge erklären die Autoren mit den hohen Compliance-Kosten, die beim Versuch entstehen, den unklaren Regelungen der Datenschutzverordnung zu entsprechen. Große Unternehmen profitieren auch beim Einhalten bürokratischer Bestimmungen von Economies of Scale. Die besonders hohen Gewinnrückgänge bei kleineren Technologieunternehmen resultierten zudem aus dem gesteigerten Entwicklungsaufwand für datenschutzkonforme Lösungen.

Die Umsatzrückgänge wiederum entstehen dadurch, dass die Nutzung von Internet-Anwendungen durch die DSGVO umständlicher wird (die Autoren nennen das Wegklicken von Cookie-Bannern als Beispiel). Das nähmen Kunden bei großen Anbietern aufgrund von deren Marktmacht und breitem Angebot eher in Kauf. Sie können also eher die Zustimmung der Kunden zur Datenverarbeitung erhalten.

400.000 Unternehmen aus 61 Ländern und 34 Branchen verglichen

Die Schwelle zwischen großen und kleinen Unternehmen zogen die Wissenschaftler bei 500 Mitarbeitern. Soloselbstständige und Kleinstunternehmen dürften es kaum in die aus fast 400.000 Unternehmen bestehende Stichprobe geschafft haben, denn die Autoren nutzten die Orbis-Datenbank, die Unternehmen enthält, die Patente angemeldet haben. So war ein Vergleich über 61 Länder und 34 Branchen hinweg möglich. Neben dem Vergleich der Jahresabschlüsse vor und nach der DSGVO-Einführung berücksichtigten die Forscher auch als unabhängige Variable, wie hoch der Umsatzanteil in und außerhalb Europas war.

Schon zuvor hatten andere Studien einen negativen Effekte der DSGVO auf Web-Traffic und Onlineverkäufe nachgewiesen, einen Erhöhung der Anbieterkonzentration sowie negative Auswirkungen auf die Finanzierung von Technologie-Unternehmen. Am Beispiel des Gesundheitsbereichs wurde auch aufgezeigt, dass durch die DSGVO deren Digitalisierung gebremst wurde.

Rechtsunsicherheit als Kostentreiber

Auch wenn Solo- und Kleinstunternehmen aufgrund des Studiendesigns nicht Gegenstand der Untersuchung waren, besteht kein Zweifel, dass auch sie stark überproportional durch die DSGVO belastet werden. Kostentreiber dürften dabei gar nicht so sehr zu ergreifenden Maßnahmen selbst sein, als das hohe Maß an Rechtsunsicherheit, das seit der Einführung besteht. Die FAS verweist als Beispiel auf die ernsthaft geführte Debatte, "ob die Klingeln an Mehrfamilienhäusern noch mit Namen beschriftet werden dürfen".

Studienautor Carl-Bendikt Frey plädiert laut FAS dafür, dass die Politik darüber nachdenken solle, wie sie mittelständische Unternehmen vor den Folgen der Verordnung besser schützen könne.

Kleine und Unternehmen dürfen nicht länger Kollatteralschaden schlecht gemachter Gesetze werden!

Der digitalpolitische Sprecher der FDP-Bundestagsfraktion, Maximilian Funke-Kaiser, hat laut FAS vorgeschlagen, dass zur Ausgestaltung der DSGVO bundeseinheitlich verbindliche Beschlüsse gefasst werden sollten, auf die kleine und mittelständische Unternehmen sich in ihrer Arbeit verlassen können.

Das Beispiel DSGVO zeigt: Wenn gut gemeinte und eigentlich sinnvolle Gesetze, die Unternehmen betreffen, schlecht umgesetzt werden, führt dies über die dadurch ausgelöste Rechtsunsicherheit vor allem bei kleineren Unternehmen zu erheblichen Nachteilen und damit zu einer Verzerrung des Wettbewerbs. Die EU sollte bei künftigen Richtlinien und Verordnungen unbedingt besser darauf achten, dass solche unbeabsichtigten Kollateralschäden vermieden werden. Das gilt auch für den deutschen Gesetzgeber, der bei ihrer Umsetzung in deutsches Recht erfahrungsgemäß oft noch die Rechtsunsicherheit erhöht, statt für mehr Klarheit zu sorgen.