Solche einfachen Erklärungen suggerieren, dass mit mehr Wissen, besseren Checklisten oder zusätzlichen Kontrollen künftig alles besser würde. Die Realität ist eine andere. In der überwiegenden Zahl der bekannten Datenschutzvorfälle waren die rechtlichen Anforderungen bekannt. Die Risiken waren benannt. Oft lagen sogar konkrete Warnungen vor und dennoch fiel die Entscheidung anders aus. Die häufigste Grundursache lautet nicht: „Wir wussten es nicht“, sondern: „Wir wussten es, aber wir haben uns trotzdem so entschieden.“
Diese Erkenntnis ist unbequem, weil sie den Fokus verschiebt: weg von Gesetzen, weg von Regelwerken, hin zu den Entscheidungsmechanismen innerhalb von Organisationen. Datenschutz scheitert in der Praxis nicht primär an Normen, sondern an der Art und Weise, wie unter Unsicherheit Entscheidungen entstehen.
