Viele Unternehmen schaffen es nicht, die Anforderungen der DSGVO fristgerecht umzusetzen. Das liegt an Unklarheiten in der Verordnung, aber oft auch an mangelnder Vorbereitung. Es hilft nichts, die Datenschutz-Grundverordnung muss dennoch zum Stichtag 25. Mai 2018 vollständig umgesetzt sein. Bei einigen Punkten gilt es trotzdem, auf weitere Informationen zu warten.

VIELE STUDIEN – STAGNIERENDE UMSETZUNG

Die Durchführung der Vorschriften der neuen DSGVO gerät nicht nur gefühlt in jedem Unternehmen ins Stocken, sondern viele Studien bestätigen dies auch noch. Befragungen der Aufsichtsbehörden lassen einen groben Einblick zu, worauf der Fokus zukünftiger Prüfungen gelegt werden wird. Das Bayerische Landesamt für Datenschutz (BayLDA) gab eine Befragung in Auftrag, welche den Umsetzungsstand der neuen gesetzlichen Verordnungen bei bayerischen Unternehmen beleuchtet. Die Quintessenz dieser Befragung lässt erkennen, dass die Umsetzung der Unternehmen noch nicht so weit sei wie eigentlich erhofft war.
Natürlich lassen solche Aussagen der Behörden viel Spielraum für Spekulationen – sollte man denken. Als Unternehmen sollte man nicht darauf vertrauen, dass hier Lücken vorhanden sein dürfen. Frei nach dem Motto: Andere sind sicher auch noch nicht so weit! Priorität Nummer eins eines jeden Unternehmens sollte die lückenlose Umsetzung der neuen Gesetzesverordnung sein.
In verschiedenen Bereichen der DSGVO fehlen aber noch Informationen, die Unternehmen bei der Umsetzung helfen können. Dies ist den Aufsichtsbehörden bewusst. Unternehmen sollten genau die Augen aufhalten, ob es detaillierte Anforderungen und Orientierungshilfen der Aufsichtsbehörden gibt. Sobald der Europäische Datenschutzausschuss (EDA), bestehend aus Vertretern der nationalen Aufsichtsbehörden in der EU, aktiv wird, werden von dort zahlreiche, weitere Informationen kommen, die manche Unklarheit, die jetzt besteht, beseitigen könnten.

KONKRETE VORGABEN VON AUFSICHTSBEHÖRDEN UND DEM EDA ERWARTET

Die DSGVO nennt in Artikel 70 insbesondere die Bereiche, zu denen noch Leitlinien, Empfehlungen und bewährte Verfahren von dem Europäischen Datenschutzausschuss erstellt werden sollen. Das bedeutet, dass hier die DSGVO von einem Bedarf an weiteren Informationen ausgeht. Die explizit genannten Bereiche sind:

• Format und Verfahren für den Austausch von Informationen zwischen den Verantwortlichen, den Auftragsverarbeitern und den Aufsichtsbehörden in Bezug auf verbindliche interne Datenschutzvorschriften.
• Verfahren für die Löschung von Links zu personenbezogenen Daten oder Kopien oder Replikationen dieser Daten aus öffentlich zugänglichen Kommunikationsdiensten (Recht auf Vergessenwerden).
• Nähere Bestimmung der Kriterien und Bedingungen für die auf Profiling beruhenden Entscheidungen gemäß Artikel 22 DSGVO.
• Feststellung von Verletzungen des Schutzes personenbezogener Daten und die Festlegung der Unverzüglichkeit im Sinne des Artikels 33 DSGVO, und zu den spezifischen Umständen, unter denen der Verantwortliche oder der Auftragsverarbeiter die Verletzung des Schutzes personenbezogener Daten zu melden hat.
• Umstände, unter denen eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen im Sinne des Artikels 34 DSGVO zur Folge hat.
• Kriterien und Anforderungen für die Übermittlungen personenbezogener Daten, die auf verbindlichen internen Datenschutzvorschriften von Verantwortlichen oder Auftragsverarbeitern beruhen, und der dort aufgeführten weiteren erforderlichen Anforderungen zum Schutz personenbezogener Daten der betroffenen Personen.
• Verfahren für die von natürlichen Personen vorgenommene Meldung von Verstößen gegen die DSGVO.
• Förderung der Ausarbeitung von Verhaltensregeln und der Einrichtung von datenschutzspezifischen Zertifizierungsverfahren sowie Datenschutzsiegeln und –prüfzeichen.
• Akkreditierung von Zertifizierungsstellen und deren regelmäßige Überprüfung, Führung eines öffentlichen Registers der akkreditierten Einrichtungen und der in Drittländern niedergelassenen akkreditierten Verantwortlichen oder Auftragsverarbeiter.
• Präzisierung der Anforderungen im Hinblick auf die Akkreditierung von Zertifizierungsstellen.

PRIORITÄT VORBEREITUNG UND DEREN DOKUMENTATION

Offensichtlich wird es eine ganze Reihe von Leitlinien, Empfehlungen und bewährte Verfahren geben, die Unternehmen praktisch helfen sollen. Auch das Recht auf Datenübertragbarkeit braucht offensichtlich noch eine weitere Detailierung, wie eine Studie der Stiftung Datenschutz ergab. Zudem werden weitere Working Paper der Artikel 29 Datenschutz-Gruppe erwartet, die in der Praxis helfen können.
Aber Achtung: Unternehmen sollten sich jetzt nicht darauf ausruhen, dass ja weitere Informationen fehlen. Vielmehr gilt es, die Umsetzung der DSGVO so weit wie möglich voranzutreiben und den Umsetzungstand mit Begründungen zu dokumentieren. Und: Hilfe von den Aufsichtsbehörden kommt und soll weiter kommen!