Im Mai 2018, als die Datenschutz-Grundverordnung in Kraft trat, schrieb die FAZ vom „Tag, an dem das Internet ehrlich werden muss“. Sieben Jahre später lässt sich nüchtern feststellen: Das Internet ist nicht ehrlich geworden. Es ist nur kompetenter darin, seine Unehrlichkeiten in juristisch wasserdichte Sätze zu kleiden.

Cookie-Banner sind das sichtbarste Symptom dieses Verkrümmungseffekts. Was als Werkzeug der Aufklärung gedacht war — der Nutzer wird informiert, der Nutzer entscheidet —, ist zur Reibung geworden, die jeder so schnell wie möglich wegklickt. „Akzeptieren“ ist der schnellste Weg zum eigentlichen Ziel: dem Inhalt.

Die Asymmetrie, die niemand auflöst

Das Grundproblem der DSGVO war von Anfang an, dass sie eine Asymmetrie zwischen Bürger und Plattform verrechtlicht, ohne sie aufzulösen. Ein Mensch, der eine Stunde am Tag in fünf Apps unterwegs ist, kann nicht für jede einzelne Datenverarbeitung eine informierte Entscheidung treffen. Er kann nur, müde von der Wahl, klicken.

Die Plattform hingegen kann jede dieser Klick-Entscheidungen aggregieren, optimieren, A/B-testen. Sie weiß, welche Banner-Formulierung 12 Prozent mehr Akzeptanz produziert. Sie weiß, dass ein „Ablehnen“-Button, der zwei Klicks tief liegt, die Ablehnungsrate um zwei Drittel senkt. Diese Asymmetrie ist nicht juristisch zu schließen — sie ist die Geschäftsgrundlage.

Was die DSGVO trotzdem geleistet hat

Es wäre unfair, die Bilanz hier abzubrechen. Die Verordnung hat ein Recht auf Auskunft erstritten, das vorher faktisch nicht existierte. Wer heute bei Google, Facebook oder Spotify einen Datenexport anfordert, bekommt — innerhalb von 30 Tagen — eine ZIP-Datei mit etwas, das nüchtern „die eigene digitale Spur“ heißt. Auch wenn niemand sie liest, ihre bloße Existenz ist eine kulturelle Errungenschaft.

Strafzahlungen in Milliardenhöhe gegen Meta, Amazon und TikTok haben gezeigt, dass auch sehr große Unternehmen sich nicht beliebig über das Recht hinwegsetzen können. Das ist mehr als symbolisch.

Was kommt danach?

Die nächste Welle — KI-Verordnung, Digital Services Act, Digital Markets Act — versucht zu adressieren, was die DSGVO nicht konnte: nicht das individuelle Datum, sondern die strukturellen Effekte der Datenverarbeitung. Wer entscheidet, was uns angezeigt wird? Welche Algorithmen dürfen wie viel über uns wissen? Wer haftet für maschinell getroffene Entscheidungen?

Die Antworten darauf werden das Internet der nächsten zehn Jahre prägen. Aber sie werden auch ihre eigenen Cookie-Banner-Momente haben — die Stellen, an denen das Recht zur Geste wird, die alle wegklicken.