Nach rund vier Jahren Verhandlungen ist der Durchbruch geschafft: Mitte Dezember 2015 haben sich Europäisches Parlament, Rat und Kommission auf den Text der EU-Datenschutz-Grundverordnung geeinigt. Politisch ist die Reform damit beschlossen, die formale Verabschiedung durch Parlament und Rat wird für das Frühjahr 2016 erwartet. Danach haben Unternehmen zwei Jahre Zeit, sich vorzubereiten. Das klingt nach viel, ist es aber nicht. Wir geben einen ersten Überblick, was auf Sie zukommt.
Was ist die Datenschutz-Grundverordnung?
Die Verordnung ersetzt die EU-Datenschutzrichtlinie aus dem Jahr 1995. Der entscheidende Unterschied: Eine Richtlinie muss jeder Mitgliedstaat in eigenes Recht umsetzen, in Deutschland geschah das über das Bundesdatenschutzgesetz (BDSG). Eine Verordnung gilt dagegen unmittelbar in allen Mitgliedstaaten. Damit sollen in der ganzen EU künftig weitgehend die gleichen Regeln gelten.
Für deutsche Unternehmen ist vieles nicht völlig neu, denn das BDSG war schon bisher vergleichsweise streng. Trotzdem bringt die Verordnung einige spürbare Änderungen.
Der Zeitplan
| Wann? | Was? |
|---|---|
| Dezember 2015 | Politische Einigung auf den Text |
| voraussichtlich Frühjahr 2016 | Formale Annahme durch Rat und Europäisches Parlament, danach Veröffentlichung im Amtsblatt |
| zwei Jahre nach Inkrafttreten, voraussichtlich 2018 | Die Verordnung gilt verbindlich für alle Unternehmen |
Bis dahin gilt in Deutschland weiterhin das Bundesdatenschutzgesetz. Wie das BDSG an die neue Verordnung angepasst wird, muss der deutsche Gesetzgeber noch entscheiden.
Was ändert sich für Unternehmen?
Deutlich höhere Bußgelder
Die wohl meistzitierte Neuerung: Verstöße können künftig mit Bußgeldern von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Das sind Höchstwerte, die einen kleinen Handwerksbetrieb kaum treffen werden. Aber sie zeigen, dass Datenschutz kein Thema mehr ist, das man nebenbei erledigen kann.
Rechenschaftspflicht
Unternehmen müssen nicht nur die Regeln einhalten, sondern auch nachweisen können, dass sie es tun. Wer Daten verarbeitet, braucht also eine saubere Dokumentation: Welche Daten, zu welchem Zweck, auf welcher Rechtsgrundlage, wie geschützt?
Meldung von Datenpannen
Kommt es zu einer Datenschutzverletzung, etwa durch einen Hackerangriff oder einen verlorenen Laptop, muss diese in der Regel innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet werden. Dafür braucht es einen klaren internen Ablauf.
Mehr Rechte für Betroffene
Kunden, Mitarbeiter und andere Betroffene erhalten gestärkte Rechte, etwa auf Auskunft, Löschung („Recht auf Vergessenwerden“) und neu auf Datenübertragbarkeit. Sie können verlangen, ihre Daten in einem gängigen Format zu erhalten, um sie zu einem anderen Anbieter mitzunehmen.
Datenschutz durch Technik und Voreinstellungen
Systeme und Prozesse sollen von Anfang an datenschutzfreundlich gestaltet werden, und die Standardeinstellungen sollen nur so viele Daten erfassen wie nötig. Wer neue Software einführt, muss das künftig mitdenken.
Strengere Anforderungen an Einwilligungen
Wer Daten auf Grundlage einer Einwilligung verarbeitet, etwa für einen Newsletter, muss diese künftig nachweisen können. Die Einwilligung muss freiwillig, für einen bestimmten Zweck und unmissverständlich erteilt werden, ein vorangekreuztes Kästchen genügt dafür nicht. Und sie muss sich so einfach widerrufen lassen, wie sie erteilt wurde. Prüfen Sie deshalb schon jetzt, wie Ihre Einwilligungen eingeholt und dokumentiert werden.
Marktortprinzip
Auch Anbieter von außerhalb der EU müssen sich an die Verordnung halten, wenn sie ihre Dienste Menschen in der EU anbieten. Das ist eine gute Nachricht für europäische Unternehmen, die bisher mit ungleichen Spielregeln zu kämpfen hatten.
Und der Datenschutzbeauftragte?
Hier bleibt vieles beim Alten, zumindest vorerst. Die Verordnung schreibt einen Datenschutzbeauftragten vor allem für Behörden und für Unternehmen vor, deren Kerntätigkeit eine umfangreiche Verarbeitung bestimmter Daten ist. Sie erlaubt den Mitgliedstaaten aber, strengere Regeln beizubehalten. Ob die deutsche Pflicht ab zehn Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, bestehen bleibt, ist noch offen. Wir gehen davon aus, dass Deutschland an seiner bewährten Regelung festhält, sicher ist das aber nicht.
Was Unternehmen jetzt schon tun können
Zwei Jahre Übergangszeit verleiten dazu, das Thema zu verschieben. Das wäre ein Fehler, denn viele Schritte sind schon nach heutigem Recht sinnvoll oder sogar Pflicht:
- Bestandsaufnahme: Welche personenbezogenen Daten verarbeiten Sie, wo liegen sie, wer hat Zugriff?
- Verfahrensverzeichnis prüfen: Das BDSG verlangt schon heute eine Übersicht über Ihre Verarbeitungen. Wer sie hat und pflegt, ist gut vorbereitet.
- Dienstleister sichten: Mit wem haben Sie Verträge zur Auftragsdatenverarbeitung, und wo werden Daten außerhalb der EU verarbeitet? Nach dem Ende von Safe Harbor ist das ohnehin dringend.
- Prozesse für Anfragen und Pannen: Wer beantwortet Auskunftsersuchen, wer meldet einen Vorfall?
- Verantwortung klären: Wer kümmert sich im Unternehmen um Datenschutz, intern oder extern?
- Am Ball bleiben: Der endgültige Text, die deutsche Anpassung und erste Hinweise der Aufsichtsbehörden werden in den nächsten Monaten folgen.
Unsere Einschätzung
Für gut aufgestellte deutsche Unternehmen ist die Datenschutz-Grundverordnung keine Revolution, aber eine deutliche Verschärfung bei Dokumentation und Nachweis. Wer bisher wenig getan hat, sollte die Übergangszeit nutzen und nicht auf den letzten Drücker anfangen. Unsere Erfahrung aus anderen Fristen: Je näher der Stichtag rückt, desto knapper werden Berater und desto teurer die Hektik.
Wir helfen Ihnen gerne
Sie möchten wissen, wo Ihr Unternehmen beim Datenschutz steht und was die Datenschutz-Grundverordnung für Sie bedeutet? Das Datenschutz-Team der Mittelstandsoptimierer macht mit Ihnen eine Bestandsaufnahme und erstellt einen Fahrplan. Rufen Sie uns an: 06131 144928-0.
Herzliche Grüße aus Mainz
