Robert Steiner verfügt über mehr als zwei Jahrzehnte Erfahrung in der Entwicklung von regelkonformen Produkten und dem Aufbau von Partnerschaften in den Bereichen Bankwesen, Pharmazie, Fertigung und Unternehmenstechnologie – dabei hat er sich mit PCI DSS, DSGVO, GxP, SOX, PSD2, eIDAS und WCAG in länderübergreifenden Umgebungen auseinandergesetzt und mit Teams auf fünf Kontinenten zusammengearbeitet. Heute ist er als Vize-Präsident bei COMPASS tätig.

Frage: Was ist die Mission von COMPASS?

Herr Steiner: Europa erlässt gute Gesetze, setzt sie aber schlecht um. Zwischen dem Gesetz, wie es im Amtsblatt veröffentlicht wird, und dem Gesetz, wie es eine Person erlebt, die um 7 Uhr morgens auf „Alle Cookies akzeptieren“ klickt, klafft eine riesige Lücke. COMPASS wurde gegründet, um diese Lücke zu schließen.

Die Mission, die all dem zugrunde liegt, ist einfach: Digitale Technologie sollte dem Menschen dienen, nicht umgekehrt. Regulierung ist der Mechanismus, und die menschliche Erfahrung, Würde und Teilhabe sind das Ziel.“

Frage: Welche Art von Arbeit leisten Sie? Und wie geht die Organisation dabei vor?

Herr Steiner: Vier Arten von Arbeit: Wir überwachen die Umsetzung – wir verfolgen, wie sich Vorschriften wie das KI-Gesetz, die DSGVO und der DSA verhalten, sobald sie Brüssel verlassen und auf die Realität treffen. Wir veröffentlichen unabhängige Analysen – unsere jüngsten Beiträge befassen sich mit der Omnibus-Abstimmung zum EU-KI-Gesetz, einem praktischen Leitfaden zum KI-Gesetz und dem Mechanismus zur Einwilligung in Cookies als „Datenschutz-Theater “. Wir übersetzen – dieselben Informationen müssen sowohl für einen Compliance-Beauftragten als auch für einen Fünfzehnjährigen verständlich sein, ohne für den einen oder anderen verwässert zu werden. Und wir leiten unsere Erkenntnisse an diejenigen weiter, die die Regeln verfassen und durchsetzen. Vorausgesetzt natürlich, sie sind bereit zuzuhören.

Wie wir dabei vorgehen, ist uns genauso wichtig wie das, was wir tun. Die von uns veröffentlichten Behauptungen lassen sich auf überprüfbare Quellen zurückführen, Erkenntnisse werden von Schlussfolgerungen getrennt, und Korrekturen werden veröffentlicht, wenn die Fakten dies erfordern. Wir haben die Governance-Infrastruktur – Richtlinien zu Interessenkonflikten, Finanzierungsethik, Datenschutz durch Technikgestaltung – vom ersten Tag an aufgebaut, anstatt sie später nachzurüsten, und wir leben vor, wofür wir eintreten, bis hin zu einer Website ohne „Dark Patterns“, ohne Cookies – nicht einmal funktionale – und ohne Werbung oder Profiling-Skripte jeglicher Art. Die einzigen Analysen, die wir durchführen, sind cookiefrei und aggregiert.

Frage: Was war der Anstoß für die Gründung von COMPASS? Gab es ein bestimmtes Ereignis?

COMPASS-Logo. Bild: COMPASS

Herr Steiner: Es war weniger ein einzelnes Ereignis als vielmehr ein Muster, das sich immer wiederholte. Das entscheidende Beispiel ist eines, das jeder Europäer nur zu gut kennt – die Cookie-Einwilligung. Ein Gesetz zum Schutz der Privatsphäre, das durch mangelhafte Umsetzung Hunderte Millionen Menschen dazu gebracht hat, auf „Alle akzeptieren“ zu klicken – und damit genau das Gegenteil seiner Absicht bewirkte. Niemand hatte die Überwachung dieser Lücke als eigentliche Aufgabe. Universitäten waren zu groß, um schnell genug zu reagieren, den Regulierungsbehörden fehlte die operative Tiefe, kommerzielle Compliance-Unternehmen bedienen zahlende Kunden, und Aktivisten werden von den Institutionen, die sich ändern müssen, oft allzu leicht als Gegner abgetan. Es mag keine schöne Wahrheit sein, aber leider ist es die Realität.

Als wir sahen, wie der AI Act in genau dieses Vakuum hineintrat – in einem Ausmaß, das die DSGVO überschaubar erscheinen lässt –, war die Schlussfolgerung unvermeidlich.

Wir haben COMPASS aus persönlicher Überzeugung gegründet – aus Liebe sowohl zur Technologie als auch zu Europa –, denn die Alternative wäre gewesen, zuzusehen, wie sich die Geschichte mit den Cookie-Bannern mit viel höheren Einsätzen wiederholt. Und das alles geschah noch vor dem „Digital Omnibus“ – damit hatten wir ganz sicher nicht gerechnet.“

Frage: Welche EU-Gesetze oder -Vorschriften beobachten Sie derzeit am aufmerksamsten? Und gibt es einen sich abzeichnenden Trend oder ein Thema, das Sie besonders hervorheben möchten?

Herr Steiner: Am genauesten verfolge ich das EU-KI-Gesetz und die Auswirkungen des „Digital Omnibus“ darauf, die DSGVO, wie sie gelebt wird und nicht, wie sie geschrieben steht, den DSA sowie „Chat Control“ als aktuelle legislative Bedrohung für die Verschlüsselung. Ein Thema, bei dem Sie sehr direkt waren – und das hat uns wirklich stolz gemacht, Sie ausgewählt zu haben.

Das übergeordnete Problem, das ich hervorheben möchte, ist, dass sich die Umsetzungslücke, zu deren Überwachung wir gegründet wurden, nun absichtlich vergrößert. Die Einigung zum „Digital Omnibus“ vom Mai dieses Jahres verschiebt die Verpflichtungen des KI-Gesetzes für Bereiche mit hohem Risiko – also die Vorschriften für KI bei der Personalauswahl, im Bildungswesen und bei wesentlichen Dienstleistungen – vom 2. August 2026 auf den 2. Dezember 2027. Die EU hat bereits entschieden, dass diese Systeme ein hohes Risiko darstellen; nun hat sie auch beschlossen, dass sie noch sechzehn Monate warten können. Nun ja … „beschlossen“ … nach einem Vorbereitungsprozess, bei dem von den 138 Eingeladenen zu den fünf zentralen „Reality-Check“-Sitzungen der Kommission 114 die Wirtschaft und neun die Zivilgesellschaft vertraten – das Corporate Europe Observatory hat dies im November 2025 dokumentiert.

Lobbyarbeit ist und bleibt eine enorme Herausforderung für die EU. Wir haben die Omnibus-Abstimmung im Parlament eingehend analysiert, und die Zahlen zu den Enthaltungen sprechen für sich. Die Quelle für die „Reality Check“-Zahlen finden Sie hier.

Die Karte der strukturellen Defizite zeigt, welche digitalen EU-Vorschriften COMPASS beobachtet. Screenshot: COMPASS

Drei Trends in diesem Zusammenhang bereiten uns die größten Sorgen. Erstens „Chat Control“ – die Normalisierung der Vorstellung, dass Verschlüsselung verhandelbar ist, was Ihre Leser besser als jeder andere wissen.

Zweitens das, was Forscher als „algorithmische Monokulturen“ bei der Personalauswahl bezeichnen – ein Thema, das uns geradezu beschäftigt, das aber selbst auf LinkedIn, wo man es am ehesten erwarten würde, kaum erwähnt wurde. Wenn viele Arbeitgeber dieselben KI-Auswahlmodelle einsetzen, wird derselbe Bewerber überall aufgrund derselben statistischen Bewertung abgelehnt – ein Fehlerfall, für dessen Behebung die Verpflichtungen für Hochrisikofälle im KI-Gesetz ursprünglich vorgesehen waren – und zwar bereits in zwei Wochen. Bis Dezember 2027 sind die einzigen Schutzmaßnahmen Vorschriften, die nie für dieses Problem konzipiert wurden, und das Omnibus-Paket bietet keine Übergangslösung dafür, wie die Europäer in der Zwischenzeit geschützt werden sollen.

Und drittens ein kulturelles, wenn nicht gar popkulturelles Problem: das ungezügelte, fast schon spamartige Teilen von Tools und Arbeitsabläufen zur „Vibe-Codierung“ in sozialen Medien, ohne jegliche kritische Bewertung der Datenschutz- oder Sicherheitsrisiken. Es gibt Influencer, die Tools empfehlen, ohne auch nur das geringste Verantwortungsbewusstsein dafür zu zeigen, dass jemand durch das Befolgen ihrer Ratschläge Nachteile erleiden könnte. Die Tools sind nicht das Problem; vielmehr sind es der Mangel an kritischem Denken und die blinde Übernahme ohne Prüfung – Anmeldedaten, die in Eingabefelder eingefügt werden, generierter Code, der ungeprüft ausgeliefert wird, eine Sicherheitspraxis, die aus einem Tutorial übernommen wurde. Es ist wirklich nicht schwer, eine Datenschutzerklärung in ein beliebiges LLM zu kopieren und zu prüfen, ob Risiken bestehen – das Problem ist, dass das Bewusstsein für die Notwendigkeit, dies zu tun, fehlt.

Frage: Was ist Ihnen bei der E-Mail-Kommunikation wichtig?

Herr Steiner: Es gibt viele entscheidende Aspekte, die man bei der Auswahl eines E-Mail-Anbieters berücksichtigen kann, insbesondere für das eigene Unternehmen. Wir können nur mitteilen, was wir für die E-Mail-Kommunikation als am wichtigsten erachtet haben – dass sie sicher und privat ist, dass Tracker, verdächtige E-Mail-Adressen oder Links entweder entfernt oder als Risiko hervorgehoben werden, dass die Benutzeroberfläche einfach zu bedienen ist und dass der Anbieter aus Europa stammt.

Wir könnten mit unserer Entscheidung für Tuta nicht zufriedener sein. Und das sagen wir aus Erfahrung im Produktmanagement und nach zwanzig Jahren intensiver, täglicher Nutzung von E-Mail. Die größte Herausforderung, die wir lösen wollten, bestand darin, eine einzige einfache, benutzerfreundliche und sichere Lösung für alle unsere E-Mail-Adressen zu nutzen – eine europäische Lösung mit einem makellosen Ruf in Sachen Sicherheit und Datenschutz.“

Frage: Warum haben Sie sich für Tuta Mail statt für einen anderen E-Mail-Anbieter entschieden?

Herr Steiner: Bei der Auswahl von Anbietern – und das gilt auch für Hosting und andere Dienste – entscheiden wir uns für diejenigen, deren Werte wirklich mit unseren übereinstimmen. Wir haben COMPASS aus persönlicher Überzeugung gegründet, aus Liebe zur Technologie und zu Europa, und wir schätzen Anbieter, die wirklich an das glauben, was sie tun.

Frage: Was gefällt Ihnen an Tuta Mail am besten und warum ist das wichtig?

Herr Steiner: Als Produktmensch ist die Aufforderung, eine einzige Lieblingsfunktion auszuwählen, so, als müsste ich mich für eine Lieblings-Eissorte entscheiden – sie passen so gut zusammen, dass ich mir gleich drei gönne. :) Mein Favorit wäre die Möglichkeit, den Austausch sensibler Nachrichten durch ein Passwort zu schützen. Das ist so einfach, so elegant umgesetzt und eine äußerst nützliche Funktion, wenn man etwas weitergibt und sicherstellen möchte, dass man über diese zusätzliche Ebene an Sicherheit und Datenschutz verfügt. Knapp dahinter auf Platz zwei liegt die Warnmeldung, wenn eine Nachricht von einer E-Mail-Adresse kommt, die nicht verifiziert werden konnte. Ein kleiner Konzentrationsverlust am Ende eines besonders E-Mail-intensiven Tages oder ein hinterhältiger und raffinierter Betrugsversuch – und schon in Sekundenbruchteilen kann einem ein Fehler unterlaufen, ganz gleich, wie viele Cybersicherheitsschulungen man absolviert hat – diese einfache Funktion ist daher von unschätzbarem Wert. Und schließlich die Gewissheit, dass unsere Kommunikation uns gehört – dass kein Marketing darauf zugeschnitten wird, dass kein Modell damit trainiert wird. Es ist traurig, dass dies im Jahr 2026 so einzigartig und wichtig ist, aber es ist nun einmal so, und wir sind jeden Tag dankbar dafür.

Frage: Warum ist es für Sie wichtig, dass Tuta Mail alle Daten, soweit möglich, Ende-zu-Ende verschlüsselt?

Herr Steiner: Angesichts der Tatsache, dass Meta im Mai dieses Jahres die Ende-zu-Ende-Verschlüsselung aus den Instagram-Direktnachrichten entfernt hat und „Chat Control“ eine Funktion zu gefährden droht, die vor nicht allzu langer Zeit einfach als Standard eines hochwertigen Dienstes galt, ist es für Anbieter wie Tuta unerlässlich, an den Praktiken und Werten festzuhalten, von denen wir nie gedacht hätten, dass sie gerade von den Institutionen in Frage gestellt werden würden, denen wir den Schutz unserer Privatsphäre anvertraut haben. Der von Meta angegebene Grund war übrigens, dass sich nur sehr wenige Nutzer dafür entschieden hätten – was für mich ein Argument für bessere Standardeinstellungen ist, nicht für die Abschaffung.

Mehr denn je ist eine Ende-zu-Ende-Verschlüsselung unverzichtbar für Demokratie, Meinungsfreiheit, bürgerschaftliches Engagement und die Möglichkeit, frei zu kommunizieren.“

Wie viele andere haben Andrea und ich früher beobachtet, was in anderen Teilen der Welt geschah, und uns glücklich geschätzt, Europäer zu sein. Zu sehen, wie die EU-Institutionen nun von diesem Standard abrücken – und kurz davor stehen, einen legalen Markt für das Durchsuchen der privaten Kommunikation von Europäern zu schaffen –, ist entmutigend.

Frage: Tuta Mail wird oft so gesehen, dass es Kunden aufgrund der Verschlüsselung einen Reputationsvorteil verschafft. Ist das in Ihrem Land genauso? Inwiefern kommt dies COMPASS zugute?

Herr Steiner: Da Tuta hinter unserer eigenen Domain läuft, wissen die Freiwilligen, Organisationen und Politiker, mit denen wir kommunizieren, nicht wirklich, welche Anbieter wir nutzen – tatsächlich geben wir dies mit diesem Interview absichtlich öffentlich preis. Abgesehen natürlich von jenem einen Kommentar, in dem ich auf LinkedIn vor Stolz überschwänglich war, als ich sah, wie Sie für den Erhalt von E2EE kämpften. Ich würde sagen, es funktioniert umgekehrt – es ist eine Erwartung, die die andere Seite an uns hat, aufgrund unserer öffentlichen Richtlinien und unserer Haltung zu Privatsphäre und Datenschutz – und mit Tuta wird unsere Infrastruktur diesem Anspruch gerecht. Auf eines achten wir als NGO besonders: Wir bleiben gegenüber jedem Anbieter und Partner vollkommen unabhängig, unabhängig davon, welche Beziehung wir zu ihnen haben mögen. Das stellt sowohl sicher, dass wir euch kontinuierlich an euren eigenen Standards messen, als auch, dass unser Urteilsvermögen frei bleibt, sollten wir jemals etwas Verdächtiges bei einem Anbieter oder Partner bemerken.

Frage: Was würden Sie einer anderen Organisation sagen, die einen Wechsel zu Tuta in Erwägung zieht?

Herr Steiner: Die Nutzung ist unglaublich einfach und macht Spaß. Ich glaube, die meisten Organisationen scheuen sich vor dem Gedanken, den Anbieter zu wechseln, weil sie erwarten, dass dies komplex, langwierig oder unglaublich langweilig ist – ich kann bestätigen, dass nichts davon zutrifft. Wir haben unsere zwölf E-Mail-Adressen ohne Probleme umgestellt, und der Lernaufwand ist minimal, da die Benutzeroberfläche recht übersichtlich ist. Natürlich dauert es, wie bei jedem neuen Dienst, ein oder zwei Tage, bis man sich daran gewöhnt hat, aber die Benutzeroberfläche macht es wirklich einfach.

Machen Sie mit!

Im Folgenden hat Robert drei Möglichkeiten vorgestellt, wie Sie sich bei COMPASS engagieren können, geordnet nach steigendem Zeitaufwand.

• Lest und teilt die Arbeiten – sie sind öffentlich, kostenlos und so verfasst, dass sie leicht verständlich sind.

• Engagieren Sie sich ehrenamtlich bei uns – wir betreiben ein wachsendes EU-weites Freiwilligenprogramm mit konkreten Aufgaben (Politikforschung, Texterstellung, Daten, Design, Fördermittel) und einem richtigen Portal, nicht einem Posteingang, in dem Lebensläufe in der Versenkung verschwinden.

• Unterstützen Sie uns – COMPASS befindet sich in der Gründungsphase, ist von Grund auf unabhängig und aus der Not heraus aus eigenen Mitteln finanziert, und jeder Beitrag fließt direkt in die Überwachungs- und Aufklärungsarbeit ein.