Datenschutz-Grundverordnung verabschiedet: zwei Jahre Zeit für die Umstellung

Nach mehr als vier Jahren Verhandlungen ist die Datenschutz-Grundverordnung beschlossen. Das Europäische Parlament hat am 14. April 2016 zugestimmt, heute ist die Verordnung (EU) 2016/679 im Amtsblatt der EU (L 119 vom 4. Mai 2016) veröffentlicht worden. Sie tritt am zwanzigsten Tag nach der Veröffentlichung in Kraft, gilt aber erst ab dem 25. Mai 2018. Bis dahin bleiben das Bundesdatenschutzgesetz und die Datenschutzregeln des Telemediengesetzes anwendbar.

Verordnung statt Richtlinie

Anders als die Datenschutzrichtlinie 95/46/EG wirkt die DSGVO unmittelbar in allen Mitgliedstaaten. Das BDSG wird in seiner jetzigen Form weitgehend verdrängt. Der deutsche Gesetzgeber kann nur noch dort eigene Regeln treffen, wo die Verordnung Öffnungsklauseln enthält, etwa beim Beschäftigtendatenschutz (Art. 88 DSGVO) oder bei der Pflicht zur Benennung eines Datenschutzbeauftragten (Art. 37 Abs. 4 DSGVO). Ein Anpassungsgesetz des Bundes ist zu erwarten.

Neu ist auch das Marktortprinzip in Art. 3 Abs. 2 DSGVO. Unternehmen ohne Niederlassung in der EU fallen unter die Verordnung, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Für deutsche Anbieter verbessert das die Wettbewerbsbedingungen gegenüber außereuropäischen Plattformen.

Die wichtigsten neuen Pflichten

• Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO): Unternehmen müssen die Einhaltung der Grundsätze nachweisen können.
• Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) statt des bisherigen Verfahrensverzeichnisses.
• Meldung von Datenschutzverletzungen an die Aufsichtsbehörde binnen 72 Stunden (Art. 33 DSGVO).
• Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko (Art. 35 DSGVO).
• Erweiterte Informationspflichten (Art. 13, 14 DSGVO) und ein neues Recht auf Datenübertragbarkeit (Art. 20 DSGVO).
• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO).

Bußgelder bis 20 Millionen Euro

Der deutlichste Einschnitt betrifft die Sanktionen. Art. 83 DSGVO sieht Geldbußen von bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Das BDSG kennt bislang Höchstbeträge von 300.000 Euro. Hinzu kommt ein ausdrücklicher Anspruch auf Ersatz materieller und immaterieller Schäden in Art. 82 DSGVO. Wir rechnen damit, dass Betroffene diesen Anspruch künftig häufiger geltend machen werden.

Auftragsverarbeitung: Verträge müssen angepasst werden

Art. 28 DSGVO regelt die Auftragsverarbeitung neu. Auftragsverarbeiter haften künftig selbst und können eigenständig mit Bußgeldern belegt werden. Die Pflichtinhalte des Vertrags ähneln § 11 BDSG, sind aber nicht identisch. Bestehende Verträge mit IT-Dienstleistern, Hostern und Cloud-Anbietern sollten bis Mai 2018 überprüft und ergänzt werden.

Zwei Jahre sind kürzer, als sie klingen

Erfahrungsgemäß unterschätzen Unternehmen den Aufwand. Die Bestandsaufnahme aller Verarbeitungen, die Anpassung von Prozessen für Auskunfts- und Löschanfragen und die Überarbeitung von Verträgen und Einwilligungstexten binden Personal in IT, Rechtsabteilung und Fachbereichen. Wir empfehlen folgende Reihenfolge:

• Verantwortlichkeit im Unternehmen festlegen und Budget einplanen,
• Datenflüsse erfassen und mit dem bestehenden Verfahrensverzeichnis abgleichen,
• Rechtsgrundlagen prüfen, insbesondere bestehende Einwilligungen,
• Verträge mit Dienstleistern und Konzerngesellschaften anpassen,
• Meldeprozess für Datenpannen und Prozess für Betroffenenanfragen aufsetzen.

Fragen dazu? Wir begleiten Ihr Umstellungsprojekt von der Bestandsaufnahme bis zur Vertragsanpassung. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Auftragsverarbeitung und Compliance.