Was ändert sich mit dem neuen Recht für Unternehmen?
Vier Jahre lang heftig diskutiert und debattiert, erfolgte im April 2016 die Zustimmung seitens EU-Rats und EU-Parlaments. Die neue EU-Datenschutzgrundverordnung (EU-DSGVO) wird 20 Tage nach der Veröffentlichung im EU-Amtsblatt in Kraft treten und zwei Jahre nach der Veröffentlichung wirksam sein. Ab Mai 2018 gelten dann für fast alle EU-Länder die gleichen (hohen?) Standards. Mit Ausnahme von Dänemark und Großbritannien, die im Bereich Justiz und Inneres spezielle Richtlinien ausgehandelt haben.
„Es war dringend an der Zeit“, erklärt die geprüfte und anerkannte Sachverständige für IT und Datenschutz Regina Mühlich . „Die bisherigen Datenschutzregeln stammen aus dem Jahr 1995. Zu weiten Teilen veraltet, wurden sie in den einzelnen Ländern der Gemeinschaft auch unterschiedlich umgesetzt. Bald gehört der bisherige Flickenteppich nationaler Regelungen der Vergangenheit an.“ Als allgemeine Regelung mit unmittelbarer innerstaatlicher Geltung, verfügt die neue EU- DSGVO über eine „Durchgriffswirkung“. Diese grundsätzliche Vollharmonisierung ersetzt nationales Datenschutzrecht.
Betriebliche Vorbereitungen rechtzeitig starten
Als externe Datenschutzbeauftragte weiß Regina Mühlich, dass Unternehmen gut beraten, sich bereits jetzt auf das Inkrafttreten der neuen EU-Datenschutzgrundverordnung vorzubereiten: „Unabhängig davon, wie Bestimmungen mit Öffnungsklauseln in der nationalen Umsetzung konkret ausformuliert werden, führt an der verschärften Regelung kein Weg vorbei. Damit es im Mai 2018 kein böses Erwachen gibt, sollten die betrieblichen Vorarbeiten baldmöglichst anlaufen!“ Im Einzelnen rät sie Unternehmen:
– Prüfen Sie bereits jetzt, welche Systeme im Unternehmen von der neuen
Gesetzgebung betroffen sind.
– Prüfen Sie Ihr bestehendes Datenschutzmanagement-System auf
Gesetzeskonformität.
– Wo steht Ihr Unternehmen jetzt und was ist wann zu tun, um den zukünftigen
gesetzlichen Anforderungen gerecht zu werden?
– Führen Sie eine Risiko-Analyse durch. Welche Risiken und Gefährdungen drohen
Ihrem Unternehmen?
– Planen Sie Ihre Ressourcen – sowohl im Hinblick auf Mitarbeiter als auch auf das
Budget. Es gibt viele Veränderungen und Vieles wird anzupassen sein.
– Erstellen Sie einen Plan. In größeren Unternehmen wird die Transformation auf die
Datenschutzgrundverordnung eine große Herausforderung. Beginnen Sie
rechtzeitig – einige Arbeitsschritte können schon jetzt umgesetzt werden.
– Die EU-DSGVO sieht vor, dass die meisten Unternehmen einen
Datenschutzbeauftragten bestellen müssen. Unabhängig davon, wie der deutsche
Gesetzgeber mit der Öffnungsklausel umgeht: Jetzt ist der beste Zeitpunkt, die
interne Situation zu prüfen und sich rechtzeitig externe Unterstützung zu holen.
– Das neue Datenschutzgesetz sieht umfassende Rechenschafts- und
Dokumentationspflichten vor. Überlegen Sie, wie und mit welchen Mitteln Sie dies
zukünftig gewährleisten können.
– Dies alles verursacht (hohe) Umsetzungskosten. Planen Sie diese auch in Ihr
zukünftiges Budget ein.
Was ändert sich mit dem neuen Recht für Unternehmen?
Waren sie bisher kaum ein Thema, macht Brüssel bei den Sanktionen nun Ernst. Sie sollen „wirksam und abschreckend“ sein. Halten sich Unternehmen oder ein Betrieb nicht an die neuen Vorgaben, drohen empfindliche Geldbußen, z. B. bei Verstößen gegen Organisationsregeln bis zu zwei Prozent des Umsatzes oder 10 Mio. Euro – je nachdem, welche Summe höher ist. Bei Verstößen gegen Zulässigkeit und Rechte der Betroffenen sollen zukünftig Bußgelder bis 20 Mio. Euro oder vier Prozent des weltweiten Jahresumsatzes verhängt werden. Der Bußgeldkatalog ist bindend. Die Aufsichtsbehörden haben keinen Ermessensspielraum.
Die Unternehmen und Betriebe müssen, wie bisher auch, wirksame Datenschutzrichtlinien einführen und ihre Mitarbeiter schulen. Neu ist, dass die Einhaltung nachgewiesen werden muss. Ein effektives Datenschutz-Managementsystem inklusive Risikoanalysen, Strukturen, Prozessen, Kontrollen und Change Management wird notwendig. Des Weiteren müssen Unternehmen betroffene Personen über deren Datenverarbeitung künftig umfassender und früher informieren. Bei Nichtbeachtung drohen auch hier hohe Bußgelder.
Neue Rechte für betroffene Personen
Datenschutz klingt vordergründig, als müssten Daten geschützt werden. Doch vielmehr geht es um den Schutz all der Personen, welche diese Daten „verursachen“. Die Schutzwürdigkeit der Persönlichkeitsrechte liegt dem Datenschutz zugrunde bzw. macht ihn überhaupt erst notwendig. Demzufolge ist es nur logisch, dass die neue EU-DSGVO insbesondere die Rechte der betroffenen Personen stärkt.
An erster Stelle sei das neue „Right to be forgotten“ genannt. Es bedeutet, dass bei der Veröffentlichung von Daten angemessene, auch technische, Maßnahmen ergriffen werden müssen, um dritte Parteien über einen Löschungswunsch informieren zu können. Damit haben Nutzer zukünftig das Recht, Informationen leichter wieder löschen zu lassen. Auch der Empfänger, an den ein Unternehmen Daten weitergegeben hat, muss über eine Löschung informiert werden.
Für den Arbeitnehmerdatenschutz gibt es eine nationale Öffnungsklausel. Es bleibt abzuwarten, wie die Bundesregierung damit umgeht. Es ist davon auszugehen, dass § 32 BDSG „Datenerhebung, -verarbeitung und -nutzung für Zwecke des Beschäftigungsverhältnisses“ weitestgehend unverändert bleibt. Wenn immer möglich, sind diese Daten zu pseudonymisieren. Insbesondere dem Grundsatz Datenschutz durch Technik (data protection by design) und datenschutzfreundliche Voreinstellungen (data protection by default) ist hier Genüge zu tun.
„Ob das EU-Datenschutzgesetz wirklich strenger als das bisherige deutsche Recht ist, wird kontrovers diskutiert“, so Regina Mühlich. „Wie so oft kommt es auf den Blickwinkel des einzelnen Unternehmens an. Die EU schraubt an vielen Stellen. Datenschutz ist kein Produkt, Datenschutz ist ein Prozess! Unter diesem Aspekt werden aber auch die Herausforderungen der neuen EU-Datenschutzgrundverordnung zu meistern sein.“
Regina Mühlich, Inhaberin von AdOrga Solutions in München, www.adorgasolutions.de ist als externe Datenschutzbeauftragte und Managementberaterin tätig. Die geprüfte und anerkannte Sachverständige für IT und Datenschutz, Datenschutzauditorin (DSA-TÜV) und Qualitätsmanagementbeauftragte betreut bundesweit kleine und mittelständische Unternehmen.
Firmenkontakt
AdOrga Solutions
Regina Mühlich
Drachenseestraße 15
81373 München
+49 89 41 17 26 35
+49 89 41 17 26 35
info@adorgasolutions.de
http://www.adorgasolutions.de
Pressekontakt
MM-PR GmbH
Carina Quast
Markt 21
95615 Marktredwitz
+49 9231 9637 0
+49 9231 63545
info@mm-pr.de
http://www.mm-pr.de