EU-Datenschutz-Grundverordnung ist in Kraft getreten
> Juni 2016
Nach der Veröffentlichung im Amtsblatt der Europäischen Union am 04.05.2016 ist die EU-Datenschutz-Grundverordnung (DSGVO) am 25.05.2016 in Kraft getreten. Das neue Recht ist 24 Monate später – also ab dem 25.05.2018 – anwendbar.
Das Ziel der Verordnung ist die Vereinheitlichung des Datenschutzes in der Europäischen Union. Anders als die mit der DSGVO aufgehobene EU-Datenschutzrichtlinie (95/46/EG) entfaltet die DSGVO unmittelbare gesetzliche Wirkung in den Mitgliedstaaten. Alle nationalen Gesetzgeber sind nun gefordert, die innerstaatlichen Regelungen des Datenschutzes zu prüfen und entweder anzupassen oder aufzuheben. Obwohl viele Paragrafen der DSGVO an deutsches Recht angelehnt sind, ergeben sich auch in Deutschland Änderungen. Unternehmen sollten sich daher bereits jetzt auf das neue Datenschutzrecht vorbereiten und die Datenverarbeitungsprozesse und interne Organisation anpassen.
Aufgrund der DSGVO werden erheblich höhere Bußgelder fällig als nach dem aktuell in Deutschland geltenden Bundesdatenschutzgesetz (BDSG). Das derzeit maximale Bußgeld im BDSG in Höhe von € 300.000,00 wurde nur selten verhängt. Auf Basis der DSGVO können ab Sommer 2018 nun Strafzahlungen von bis zu 20 Millionen Euro oder 4 % des gesamten weltweit erzielten Jahresumsatzes eines Konzerns fällig werden. Die DSGVO verlangt sogar, dass Bußgelder unter anderem „abschreckend“ sein sollen. Es ist damit zu rechnen, dass Datenschutz durch eine vermehrte Anzahl stichprobenartiger Überprüfungen von Unternehmen und Vor-Ort-Kontrollen durch die zuständigen Aufsichtsbehörden einen weit höheren Stellenwert einnehmen wird als bisher. Auch die in der DSGVO gestärkten Verbraucherrechte werden zu vielen Beschwerden bei den Aufsichtsbehörden führen.
Die Datenschutzaufsichtsbehörden haben den Prüfdruck auf Unternehmen bereits erhöht, wie ein Beispiel des Bayerischen Landesamtes für Datenschutzaufsicht zeigt. Nach dem Zufallsprinzip wurden Unternehmen ausgewählt und anhand eines Fragebogens die Umsetzung von wichtigen datenschutzrechtlichen Rahmenbedingungen wie Datenschutzbeauftragter, Verfahrensverzeichnis, Regelungen zur Auftragsdatenverarbeitung, Sicherheitskonzept usw., kontrolliert. Die Statistik der im ersten Halbjahr 2016 durchgeführten Prüfung finden Sie hier.
Für Unternehmen besteht daher erheblicher Handlungsbedarf. Es ist davon auszugehen, dass der deutsche Gesetzgeber die Regelungen für Datenschutzbeauftragte nach dem geltenden BDSG voraussichtlich beibehalten wird. Unternehmen müssen in Deutschland ab zehn Mitarbeitern, die mit personenbezogenen Daten arbeiten (die also z.B. über einen PC-Zugang verfügen) einen Datenschutzbeauftragten bestellen. In der Vorbereitung auf die DSGVO sollten Unternehmen im ersten Schritt daher prüfen, ob Sie verpflichtet sind, einen Datenschutzbeauftragten zu bestellen. Sodann sollten ggfs. in Zusammenarbeit mit dem Datenschutzbeauftragten die Datenverarbeitungsvorgänge im Unternehmen dokumentiert und Datenschutzkonzepte und richtlinien eingeführt werden. Auf die Informationssicherheit in der Datenverarbeitung sollte ein besonderer Schwerpunkt gelegt und die Möglichkeit einer Zertifizierung sollte in Betracht gezogen werden. > EU-Datenschutz-Grundverordnung (DSGVO)
> Broschüre der Bundesbeauftragten für Datenschutz und die Informationsfreiheit zur DSGVO
