Es bleiben nur noch knapp 2 Jahre Zeit um die Voraussetzungen der dann eintretenden EU-DSGVO zu erfüllen. Was wird sich denn ändern und was blüht Unternehmen wenn diese sich nicht rechtzeitig darauf einstellen?

DS-GVO STICHT NATIONALES RECHT

Wurde bisher die Europäische Datenschutzrichtlinie (z. B. RL 95/46 EG) durch nationale Gesetze der Mitgliedsstaaten durchgesetzt, so wird die DS-GVO zukünftig unmittelbar in jedem EU-Mitgliedsstaat gelten. Dabei hat sie Vorrang vor möglichen nationalen Gesetzen. Muss aber entsprechend auch nicht erst in nationales Recht umgesetzt werden. Auch die Auslegung wird EU-weit die gleiche sein.

VERBOT MIT ERLAUBNISVORBEHALT

Auch hier tut sich einiges. Neu in Art. 5 beispielsweise, finden sich einige Grundsätze in Bezug auf die Verarbeitung personenbezogener Daten. Hier ist die Verantwortliche Stelle nun auch in der Pflicht z. B. Transparenz, Zweckbindung und Richtigkeit der Daten einzuhalten. Dies ist so zwar nicht ganz neu, allerdings waren diese Punkte bisher nicht mit Bußgeldern belegt, die ab 2018 sogar bis zu 4% des Vorjahresumsatzes oder 20 Mio. Euro hoch ausfallen können, je nachdem welcher Betrag der höhere ist! Gleich hoch sind auch die Bußgelder bei Verstößen bei der Einwilligung von Betroffenen oder bei unrechtmäßiger Drittlandsübermittlung.

MEHR BUSSGELDER

Auch Verstöße gegen Regelungen zu den Technischen und Organisatorischen Maßnahmen, Verfahrensverzeichnissen oder bei Auftragsdatenverarbeitung werden zukünftig direkt mit bis zu 10 Mio. Euro oder bis zu 2 % des weltweiten Vorjahresumsatzes belegt. Bei Verstößen gegen Anordnungen der Aufsichtsbehörde blühen Unternehmen ab 2018 ebenfalls bis zu 20 Mio. Euro oder bis zu 4 % des weltweiten Vorjahresumsatzes. Eine ganz wichtige Neuerung bei den TOM: Hieß es bisher, sie haben angemessen zu sein, so müssen sie mit der DS-GVO nun zusätzlich auch dem Stand der Technik entsprechen!

AUFTRAGSDATENVERARBEITUNG – JETZT HAFTET AUCH DER AUFTRAGNEHMER

Das allerseits so ungeliebte Thema Auftragsdatenverarbeitung erstrahlt im Licht der DS-GVO in neuem Glanz. War bisher der Auftraggeber alleine verantwortlich was die Verpflichtung zu einem Auftragsdatenverarbeitungsvertrag angeht, so teilt man sich hier zukünftig (Art. 28) die Haftung. Hier müssen also auch die Auftragnehmer darauf achten, dass ein Vertrag zustande kommt, wenn sie Bußgelder in Höhe von bis zu 10 Mio. Euro bzw. 2 % des weltweiten Vorjahresumsatzes abwenden wollen.

INFORMATIONS- UND DOKUMENTATIONSPFLICHTEN

Die Informationspflichten werden ebenfalls verschärft. So muss zum Zeitpunkt der Erhebung jetzt auch der Name des Verantwortlichen, sowie die Kontaktdaten des Datenschutzbeauftragten genannt werden. Aber auch der genaue Zweck der Verarbeitung sowie die Rechtsgrundlage oder das berechtigte Interesse dafür. Des weiteren ist ein Hinweis auf das Widerspruchsrecht und jede Absicht einer Drittlandübermittlung (z. B. USA!…bis 2018 wahrscheinlich auch Großbritannien) sowie ein Hinweis auf die Grundlage der Zulässigkeit dafür zu geben. Das heißt im Klartext: Die Datenschutzerklärungen müssen dringend dahingehend angepasst werden.
Die DS-GVO spricht davon, dass die Verfahren von verantwortlicher Stelle und Auftragsdatenverarbeiter „nur“ dokumentiert werden müssen, wenn Unternehmen über 250 Mitarbeiter haben und nur sofern die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, und nicht nur gelegentlich erfolgt oder besondere Datenkategorien (Art. 9) oder Straftaten (Art. 10) einschließt. Auch hier wieder neu: Sanktionen bei Verstößen von bis zu 10 Mio. Euro bzw. 2 % des weltweiten Vorjahresumsatzes.

DATENSCHUTZ FOLGENABSCHÄTZUNG

Wenn die Form der Verarbeitung „aufgrund der Art, des Umfangs und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten zur Folge“ hat so muss eine Datenschutz-Folgenabschätzung stattfinden. Dies ist nicht ganz neu und entspricht im Grunde genommen der bisherigen Vorabprüfung durch den Datenschutzbeauftragten. Hier muss eine Dokumentation der eingesetzten Abhilfemaßnahmen zur Eindämmung des Risikos, einschließlich Nachweisanforderungen stattfinden. Wenn trotz Maßnahmen bei einer solchen Abschätzung ein hohes Risiko verbleibt, ist im Vorhinein die zuständige Aufsichtsbehörde zu konsultieren. Verstöße sind auch hier mit bis zu 10 Mio. Euro oder 2 % des weltweiten Vorjahresumsatzes belegt.
Wer sich also hiermit bisher noch nicht beschäftigt hat sollte sich mit seinem Datenschutzbeauftragten absprechen, denn die zwei Jahre Übergangszeit sind schnell vorbei.