Source: https://www.security-insider.de/missachtung-der-dsgvo-ist-kein-kavaliersdelikt-a-604517/
Timestamp: 2020-01-26 03:42:11
Document Index: 8483515

Matched Legal Cases: ['Art. 3', 'Art. 5', 'Art. 5', 'Art. 17', 'Art. 20', 'Art. 83', 'Art. 7', 'Art. 8', 'Art. 28', 'Art. 29', 'Art, 30', 'Art. 30', 'Art. 35']

Mit der DSGVO gilt jetzt europaweit gleiches Datenschutz-Recht für alle und damit auch gleiche Wettbewerbsbedingungen für alle. (Bild: Noerr LLP)
Security-Insider: In Deutschland haben Unternehmen sich über viele Jahre an die Anforderungen des Bundesdatenschutzgesetz (BDSG) gewöhnt. Jetzt kommt die Datenschutz-Grundverordnung (EU-DSGVO). Haben deutsche Unternehmen davon einen spürbaren Nutzen?
Prof. Dr. Peter Bräutigam: Ja, haben sie: Jetzt müssen sich nämlich alle Unternehmen EU-weit an dieselben datenschutzrechtlichen Spielregeln halten. Bislang haben Unternehmen , die in anderen EU-Ländern ansässig sind, einen Wettbewerbsvorteil, weil nicht alle Staaten die bisherigen Vorgaben der EU-Datenschutzrichtlinie so strikt umgesetzt haben wie Deutschland. Diese Praxis wird im Mai 2018 vorbei sein. Mehr noch: Durch das Marktortprinzip haben sich auch Unternehmen aus dem EU-Ausland, also etwa aus den USA, an europäisches Datenschutzrecht zu halten, wenn deren Datenverarbeitung mit dem Angebot von Waren und Dienstleistungen an EU-Bürger oder mit der Beobachtung von deren Verhalten im Zusammenhang steht (Art. 3 Abs.2 a und b DSGVO). Insoweit gilt nun: Gleiches (Datenschutz-)Recht für alle und damit gleiche Wettbewerbsbedingungen für alle.
Security-Insider: Welches sind die wichtigsten neuen Pflichten durch die DSGVO, auf die sich das Management und die IT eines deutschen Unternehmens einstellen müssen?
Prof. Bräutigam: Für Unternehmen bestehen bereits durch das BDSG umfassende Pflichten, welche durch die DSGVO zum Teil verschärft und zum Teil erweitert werden. Zu nennen sind vor allem die Grundsätze der Zweckbindung (Art. 5 Abs. 1 b DSGVO) und der Datenminimierung (Art. 5 Abs. 1 c DSGVO). die hohe Hürden für Big Data aufstellen. Darüber hinaus kommt es zu einer Erweiterung der Betroffenenrechte durch Einfügung des Rechts auf Vergessenwerden (Art. 17 Abs. 2 DSGVO), das neben den bereits nach bisherigem Recht bestehenden Anspruch auf Datenlöschung tritt und zusätzlich die Pflicht statuiert, auch Dritte darüber zu informieren, dass ein Betroffener die Löschung von Kopien seiner personenbezogenen Daten und aller Links dorthin verlangt hat. Eine besondere Herausforderung für Unternehmen stellt auch das neue Recht auf Datenportabilität (Art. 20 DSGVO) dar, wonach der Betroffene die von ihm bereitgestellten Daten in einem „strukturierten, gängigen und maschinenlesbaren Format“ erhalten soll.
Hinzu kommt: Die Missachtung der oben genannten Pflichten ist alles andere als ein Kavaliersdelikt. Im Gegenteil, die DSGVO erhöht den Bußgeldrahmen hierfür dramatisch auf 20 Mio. Euro oder - im Falle von Unternehmen – auf 4 Prozent des gesamten erzielten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 a und b DSGVO)! Auch wenn noch nicht ausgemacht ist, in welchen Fällen die Behörden diesen Rahmen ausschöpfen werden, muss das Management diese drakonische Sanktionsmöglichkeit im Blick haben.
Security-Insider: Wo liegen die rechtlichen Fallstricke der Datenschutz-Grundverordnung und wie umgeht man sie am einfachsten?
Prof. Bräutigam: Angesichts der eben genannten horrenden Bußgelder ist es mit einfachen Umgehungslösungen nicht getan. Die Unternehmen müssen vielmehr bis Mai 2018 kritisch hinterfragen, ob ihre Datenverarbeitung den Anforderungen der DSGVO entspricht, und bei identifiziertem Handlungsbedarf ihre Hausaufgaben machen. Insbesondere gilt es, vorhandene Prozesse anzupassen und weitere neu aufzusetzen. So sind die bereits in den vorhandenen Abläufen vorgesehenen Mechanismen und Rahmenbedingungen an Einwilligungen auf Konformität mit dem neuen Recht (Art. 7 und Art. 8 DSGVO) zu überprüfen. Gleiches gilt für die Verhältnisse, in denen sich das Unternehmen Dritter bei der Auftragsdatenverarbeitung bedient (Art. 28 und Art. 29 DSGVO). Auch die Verfahrensverzeichnisse sind an das neue Recht anzupassen (Art, 30 DSGVO). Die Pflicht, Verfahrensverzeichnisse aufzustellen trifft nun, anders als bisher, auch den Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO). Schließlich ist die Durchführung und Dokumentation der neuen Pflicht zur Datenschutzfolgeabschätzung (Art. 35 DSGVO) einzuführen.
Daneben stellt sich noch eine weitere Herausforderung: Die Datenschutz-Grundverordnung überlagert in ihrem Anwendungsbereich das deutsche Recht. Dennoch wird es an vielen Stellen den Mitgliedstaaten ermöglicht, eigene Regelungen zu schaffen. Wie dieser Spielraum zukünftig umgesetzt wird, ist eng im Auge zu behalten, um böse Überraschungen zu vermeiden.
Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 44667913 / Compliance und Datenschutz )
Vogel IT; Vogel IT-Medien; Noerr LLP; © adam121 - stock.adobe.com; ©psdesign1 - stock.adobe.com; gemeinfrei © Wokandapix - Pixabay; bluedesign - stock.adobe.com; Stefan Voelker; Vogel IT-Medien GmbH; ©Sir_Oliver_AdobeStock;