Blog

Die EU Datenschutzgrundverordnung (EU-DSGVO) ist eine neue EU-Verordnung –  also eine Vorschrift, die in der ganzen EU gilt. Die Vorschrift regelt das Datenschutzrecht – also den Umgang von Unternehmen mit personenbezogenen Daten – einheitlich europaweit. Viele der aktuellen Vorschriften des deutschen Bundesdatenschutzgesetzes (BDSG) gelten dann nicht mehr bzw. das BDSG wird zeitgleich neu gefasst.2018 kommen auf alle Unternehmen weitreichende Änderungen zu: Ab dem 25. Mai 2018 gilt die neue EU Datenschutzgrundverordnung (EU-DSGVO) auch in Deutschland. Die EU-DSGVO trat schon zwar am 25. Mai 2016 in Kraft. Die EU-Mitgliedstaaten müssen die Datenschutzgrundverordnung erst ab dem 25. Mai 2018 anwenden.

Auf alle Seitenbetreiber, Dienstleister, Shopbetreiber oder Unternehmer kommen mit der EU-DSGVO Änderungen der Datenschutzbestimmungen zu. Auch Arbeitgeber, Personalvermittler, Betriebsräte und alle Institutionen, die Daten erheben, speichern, verarbeiten u.ä. fallen unter diese Verordnung.

Die Anforderungen an die Information und Belehrung der betroffenen Personen steigen durch die EU-DSGVO. Die Datenschutzbestimmungen mit allen notwendigen Informationen müssen deswegen zukünftig präzise, transparent, verständlich, leicht zugänglich, in klarer und einfacher Sprache verfasst sein und die Rechtsgrundlage für die Datenverarbeitung benennen. Nahezu alle Datenschutzerklärungen auf Webseiten müssen mit Geltung der EU-DSGVO neu erstellt oder überarbeitet werden.

Das hat sich im Wesentlichen verändert:

1. Der Anwendungsbereich hat sich erweitert: Mithin unterliegen auch Unternehmen und Anfragende aus Drittländern denselben Vorgaben wie die Mitgliedstaaten, sobald die Vorgänge EU-Bürger betreffen bzw. deren personenbezogene Daten.
2. Die Einwilligungshandlung muss strengeren Vorgaben genügen (z. B. durch Kontrollkästchen auf Webseiten, Auswahl spezifischer Einstellungen usf.). Das stillschweigende Einverständnis genügt nicht mehr. Sind unterschiedliche Datenverarbeitungsvorgänge geplant, muss in jeden einzelnen gesondert eingewilligt werden können.
3. Die erteilte Einwilligung muss der Betroffene jederzeit und unbegründet widerrufenkönnen. Der Widerruf muss einfach und verständlich möglich sein.
4. Es muss dem Betroffenen möglich sein, aktiv gegen einzelne Zwecke der Datenverarbeitung – etwa dem Profiling oder Direktmarketing – zu widersprechen.
5. Das bereits bestehende Koppelungsverbot wurde in der EU-Datenschutzgrundverordnung noch einmal verschärft: Ein Vertrag darf etwa nicht mehr davon abhängig gemacht werden, dass der Betroffene eine Einwilligung in die Datenverarbeitung erteilt.
6. Die Auskunftsrechte der Betroffenen wurden inhaltlich erweitert: Nunmehr sollen auch Angaben zu der jeweiligen Rechtsgrundlage der erhobenen und verarbeiteten Daten oder die Dauer der Speicherung bzw. der Kriterien genannt werden.
7. Mit der neuen EU-Verordnung zum Datenschutz müssen Unternehmen ferner in der Lage sein, die von dem Betroffenen überlassenen Daten in einem portablen und dennoch sicheren Format an diesen oder – auf dessen Wunsch – direkt an einen Dritten auszuhändigen.
8. Die Pflicht zur Löschung veralteter oder falscher Daten wurde erweitert, sodass nunmehr die öffentlichen und nicht öffentlichen Stellen, die solche an Dritte weitergegeben haben, die jeweiligen Ansprechpartner kontaktieren und über die Unrichtigkeit in Kenntnis setzen müssen.
9. Datenverarbeiter können bei Fehlern und Pannen vom Betroffenen mitunter auch direkt zur Verantwortung gezogen werden (Schadensersatzansprüche u. ä.).
10. Es bedarf einer regelmäßigen Risikobewertung (Datenschutzfolgenabschätzung).
11. Die Meldepflicht im Falle einer Datenpanne wurde beschränkt auf einen Zeitraum von 72 Stunden, sobald die Rechte und Pflichten des Betroffenen durch die Panne einem Risiko ausgesetzt sind.
12. Die Geldbußen im Falle eines Verstoßes gegen die in der EU-Datenschutzgrundverordnung festgehaltenen Grundsätze wurden noch weiter erhöht: auf bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Umsatzes des Unternehmens (der höhere Wert entscheidet am Ende).

Die EU-DSGVO erweitert für Unternehmen die bereits bekannten Pflichten und erhöht die rechtlichen, betrieblichen und technisch-organisatorischen Anforderungen an den Datenschutz. Neu sind insbesondere die umfassenden Informationspflichten und die Pflicht zur Datenschutz-Folgenabschätzung bei besonderen Risiken für die erhobenen Daten. Außerdem wird neu eingeführt, dass auch der Auftragsverarbeiter ein „Verzeichnis der Verarbeitungstätigkeiten“ führen muss. Das deutsche Umsetzungsgesetz erweitert außerdem die Gründe für die Benennung eines Datenschutzbeauftragten.

Die Verstöße gegen die EU-DSGVO werden strenger geahndet als bisher: Die Geldbußen im Falle eines Verstoßes gegen die in der EU-Datenschutzgrundverordnung festgehaltenen Grundsätze wurden noch weiter erhöht: auf bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Umsatzes des Unternehmens (der höhere Wert entscheidet am Ende).

Vor diesem Kontext wird deutlich, dass die rechtskonforme Umsetzung der EU-DSGVO eine intensive Prüfung und einen gewissen Aufwand erfordert. Wir raten daher dringend, sich so bald wie möglich rechtlich umfassend durch einen Rechtsanwalt oder externen Datenschutzbeauftragten beraten zu lassen, um die erforderlichen neuen Prozesse rechtzeitig zu etablieren.

Wir können Sie zu diesem Thema umfassend und rechtssicher beraten. Kontaktieren Sie uns.