EU-Datenschutzgrundverordnung gilt ab 2018

Die EU-Datenschutzgrundverordnung (EU-DSG oder auch EU-DSGVO oder nur DS-GVO) wurde am 04.05.2016 im Amtsblatt der Europäischen Union veröffentlicht und trat am 20. Tag nach der Veröffentlichung, also am 25.05.2016 in Kraft. Sie ersetzt die alten Regelungen nach dem Bundesdatenschutzgesetz (BDSG) und das Telemediengesetz (TMG), die noch auf der aus 1995 stammenden Datenschutzrichtlinie (95/46/EG) beruhen.

Allerdings gilt das neue Recht nicht sofort. 750 Tage, gerechnet ab der Veröffentlichung, bleiben der Wirtschaft, um ihre Praxis an die neuen Anforderungen anzupassen. Die Verordnung wird nach einer zweijährigen Übergangsfrist am 25.05.2018 geltendes Recht (Art. 99 DS-GVO). Die 99 neuen Artikel werden in 173 Erwägungsgründen erläutert. Sie gelten dann ohne weitere Umsetzungsakte in allen 28 Mitgliedsstaaten der Europäischen Union.

Größtes EU Reformvorhaben

Eines der größten EU-Reformvorhaben der letzten 20 Jahre strebt ein verbessertes einheitliches Daten­schutz­niveau in der EU an. Möglicherweise ist es mit der Einheitlichkeit am Ende nicht ganz so weit her, denn in 70 Öffnungsklauseln, die Regelungsmöglichkeiten an die EU-Mitgliedsstaaten übertragen, ist Potential für abweichende Regelungen. So wird beispielsweise das Alter für die Fähigkeit datenschutzrechtlich wirksame Einwilligungen zu erteilen durch die DS-GVO in Art. 8 auf 16 Jahre bestimmt. Einen Absatz weiter wird den EU-Staaten jedoch erlaubt, das Alter auch herabzusetzen, allerdings nur bis zum vollendeten 13. Lebensjahr. Man kann also künftig auf unterschiedliche Bestimmungen treffen. EU-weite Aktionen werden sich dann nach dem Land mit den schärfsten Bestimmungen richten müssen. In Deutschland wird man abwarten müssen, welche Vorgaben gemacht werden. Zurzeit ist das Bundesdatenschutzgesetz in der Überarbeitung.

Das gesamte Gesetzeswerk ist letztendlich ein Kompromisskonstrukt großer Lobbygruppen. Über 4.000 Änderungsanträge seit dem Jahr 2012 zeugen von heftigen politischen Kämpfen und zähen Verhandlungen. Kritisiert werden jetzt unscharfe Formulierungen.

Datenverarbeitung verboten, wo nicht erlaubt

Der bislang im deutschen Datenschutzrecht geltende Grundsatz des Verbots mit Erlaubnisvorbehalt gilt auch künftig fort. Danach ist jede Datennutzung verboten, wenn sie nicht gesetzlich erlaubt ist oder eine Einwilligung des Betroffenen vorliegt.

Ansonsten spielen Grundsätze, wie Rechtmäßigkeit, Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit und Rechenschaftspflicht (siehe Art. 5) künftig eine wichtige Rolle. Vieles davon ist im deutschen Recht bekannt. Aber dennoch kommen erhebliche Änderungen auf die Wirtschaft zu und es droht angesichts der vagen Formulierungen eine längere Zeit der Rechtsunsicherheit. Nach dem oben erwähnten Grundsatz kommen Erlaubnistatbeständen und dem neu geregelten Recht der Einwilligung natürlich besondere Bedeutung zu.

Werbung nach Abwägung weiter möglich

So ist die Legitimation für Werbung unter Nutzung von personenbezogenen Daten versteckt in Art. 6 Abs. 1 Buchstabe f der Verordnung geregelt. Nach Art. 6 ist die Datenverarbeitung personenbezogener Daten nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

Unter Buchstabe f) heißt es dann:

f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Von der Postwerbung über Datentracking bis hin zur Vermietung von Adressen regelt sich künftig alles über diese wenigen Zeilen, die allein auf eine Interessenabwägung abstellen. Hier bleiben mehr Fragen offen, als beantwortet werden. Man kann sich leicht vorstellen, dass solche vagen Regelungen eher die Rechts­unsicher­heit, denn Rechtssicherheit befördern. Hier sollen die sogenannten Erwägungsgründe helfen. Für die Werbung gilt Erwägungsgrund 47. Dort heißt es:

Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.“ Dieses Lobby-Ergebnis gibt natürlich eine Tendenz vor. Einzelfragen bleiben aber unbeantwortet.

Zeit zu handeln

Derzeit sind nach § 43 BDSG Bußgelder von bis zu 300.000 Euro pro Einzelfall möglich. Künftig drohen Geldbußen bis zu 20 Millionen Euro oder bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes im vorangegangenen Geschäftsjahr; je nachdem, welcher Wert der höhere ist. Zudem können seit kurzem Verbraucherschutzorganisationen auch im Datenschutzbereich abmahnen. Da sind 2 Jahre recht kurz, um beispielsweise zu prüfen, ob die vorhandenen Einwilligungen der Kunden auch künftigen Anforderungen entsprechen.