Ab heute gilt die DSGVO: Die wichtigsten Punkte für Unternehmen

Heute endet die zweijährige Übergangsfrist: Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) gilt ab dem 25. Mai 2018 in allen Mitgliedstaaten. Am selben Tag tritt das neue Bundesdatenschutzgesetz in Kraft, das der Bundestag mit dem Datenschutz-Anpassungs- und -Umsetzungsgesetz EU beschlossen hat. Es ergänzt die DSGVO dort, wo diese den Mitgliedstaaten Spielraum lässt.

Was das neue BDSG regelt

Das BDSG enthält unter anderem Vorschriften zum Beschäftigtendatenschutz (§ 26 BDSG), zur Videoüberwachung öffentlich zugänglicher Räume (§ 4 BDSG), zu Einschränkungen der Betroffenenrechte und zur Benennung von Datenschutzbeauftragten. Nach § 38 BDSG müssen nichtöffentliche Stellen einen Datenschutzbeauftragten benennen, wenn in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Die aus dem bisherigen Recht bekannte Schwelle bleibt damit erhalten.

Prioritäten für Unternehmen, die noch nicht fertig sind

Viele Unternehmen haben die Umstellung nicht abgeschlossen. Das ist kein Grund zur Panik, wohl aber zur Priorisierung. Aufsichtsbehörden werden zunächst auf das achten, was nach außen sichtbar ist oder Betroffene unmittelbar betrifft. Wir empfehlen folgende Reihenfolge:

• Datenschutzerklärung der Website auf Art. 13 DSGVO umstellen, mit Rechtsgrundlagen, Speicherdauern und Hinweis auf das Beschwerderecht.
• Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO mit Hostern, IT-Dienstleistern, Newsletter- und Cloud-Anbietern abschließen.
• Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO anlegen. Es muss der Aufsichtsbehörde auf Anfrage vorgelegt werden.
• Einen Prozess für die Meldung von Datenpannen binnen 72 Stunden (Art. 33 DSGVO) festlegen, mit klaren Zuständigkeiten.
• Einen Prozess für Auskunftsersuchen (Art. 15 DSGVO) einrichten. Die Antwortfrist beträgt grundsätzlich einen Monat.

Cookies und Tracking: weiter unklar

Die ePrivacy-Verordnung, die Cookies und Tracking neu regeln sollte, ist nicht rechtzeitig fertig geworden. Die Datenschutzkonferenz hat im April 2018 die Auffassung vertreten, dass die Vorschriften des TMG zur Datenverarbeitung (§§ 12 ff. TMG) neben der DSGVO nicht mehr anwendbar sind und für Tracking, das Nutzerprofile erstellt, eine Einwilligung erforderlich ist. Ob das zutrifft, ist umstritten. Ein Vorabentscheidungsersuchen des BGH zu Cookie-Einwilligungen (Planet49) liegt beim EuGH. Wir raten bis zur Klärung zu einer vorsichtigen Gestaltung.

Bußgelder und Abmahnungen

Die neuen Bußgeldrahmen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes gelten ab heute. Die Aufsichtsbehörden haben allerdings angekündigt, mit Augenmaß vorzugehen und kleine Unternehmen nicht sofort mit Höchstbußgeldern zu belegen. Ernster nehmen sollten Unternehmen das Risiko wettbewerbsrechtlicher Abmahnungen durch Mitbewerber. Ob Verstöße gegen die DSGVO nach dem UWG abgemahnt werden können, ist ungeklärt.

Einwilligungen nicht neu einholen, wenn sie wirksam sind

In den letzten Tagen haben viele Unternehmen ihre Kunden per E-Mail um eine erneute Einwilligung gebeten. Das ist oft unnötig. Bisher erteilte Einwilligungen gelten fort, wenn sie den Bedingungen der DSGVO entsprechen (Erwägungsgrund 171). Wer eine wirksame Einwilligung hatte, verliert sie im Gegenteil, wenn der Kunde auf die Bitte nicht antwortet und die Mail so formuliert ist, dass ohne Antwort keine Einwilligung mehr besteht.

Fragen dazu? Wir prüfen Ihren Umsetzungsstand und unterstützen bei Verzeichnissen, Verträgen und Datenschutzerklärungen. Nutzen Sie unsere Onlineberatung oder lesen Sie mehr zu Datenschutzrecht, Datenpannen und Datenschutzerklärungen.