DSGVO - Resümee der vergangenen Wochen

Am 25. Mai 2018 hatten viele von uns mehr E-Mails in Ihrem Postfach als zu Weihnachten und am Geburtstag zusammen - die Datenschutz-Grundverordnung (DSGVO) ist in Kraft getreten. Schon zwei Jahre zuvor am 24. Mai 2016 wurde die DSGVO (engl. GDPR – General Data Protection Regulation) auf EU-Ebene verabschiedet. Folglich hatte jede Genossenschaft zwei Jahre Zeit, um sich auf den 25. Mai dieses Jahres vorzubereiten. Trotzdem ist eine regelrechte Hysterie um das Thema ausgebrochen; keine Zeitung und keine Talkshow sind um das Thema herumgekommen. Die drakonischen Strafen (Art. 83 Abs. 4-5 DSGVO) in Höhe von bis zu 20 Millionen EUR bzw. 4% des weltweiten Jahresumsatzes bei Verstößen ließen Genossenschaften aller Art aufschrecken. Aus Angst vor diesen Strafen haben sogar schon einige amerikanische Firmen wie Verve (https://adexchanger.com/mobile/verve-closes-european-business-thanks-to-gdpr/) das Europageschäft eingestellt. Zwei Monate nach dem Inkrafttreten kann ein erstes Resümee gezogen werden.

Nahezu jede größere Rechtsanwaltskanzlei, Handelskammer und Datenschutzbehörde hat mittlerweile einen Artikel zum Thema DSGVO herausgebracht. Wir empfehlen die Zusammenfassungen des Themas von der Handelskammer Hamburg und des Bundesverbands der Datenschutzbeauftragten Deutschlands e.V. (BvD). Erstere geht sehr genau auf einzelne Elemente der DSGVO und die Bedeutung für Unternehmen ein. Der BvD fasst das Thema verständlich zusammen und gliedert dabei das Thema in 10 einzelne Schritte:

https://www.hk24.de/produktmarken/beratung-service/recht_und_steuern/wirtschaftsrecht/medien_it_recht/datenschutzgrundverordnung/3740520

https://www.bvdnet.de/wp-content/uploads/2016/12/Foliensatz_EU-DSGVO_Vers_2_0.pdf

Weiterhin stehen hilfreiche Vorlagen für die Erfassung der Verarbeitungstätigkeiten gem. Art. 30 Abs. 2 DSGVO auf der Website des BvD zur Verfügung:

https://www.bvdnet.de/muster-fuer-verzeichnisse-gemaess-art-30/

Fraglich ist allerdings, ob die Richtlinie in ihrer jetzigen Form ihr Ziel verfehlt. Offensichtlich ist es wichtig und richtig in Zeiten von „Big Data“ die Speicherung und Nutzung von Daten zu regulieren. Allerdings greift die Richtlinie eben nicht nur bei „Datenkraken“ wie Google und Co, sondern eben auch und ganz besonders bei kleinen und mittelständischen Unternehmen sowie Genossenschaften innerhalb der EU. Außerdem ist es ohne Zweifel für die föderalen Datenschutzbehörden unmöglich jedes kleine und mittelständische Unternehmen auf die Einhaltung der DSGVO zu kontrollieren. Im Moment herrscht sowohl auf Seite der Genossenschaften wie auch auf Seite der Behörden eine große Unsicherheit. Mit drohenden Abmahnwellen und anderen Begleiterscheinungen der DSGVO wurden kleine und mittelständische Unternehmen allein gelassen. Erst am Vortag des Inkrafttretens hieß es hierzu von der Bundesjustizministerin in einem Spiegel Interview:

„… Deswegen sehe ich auch die Gefahr von Abmahnungen, die viele Betroffenen fürchten, hier als gering an. Gegen das Abmahnungswesen werden wir aber insgesamt vorgehen. Das haben wir auch so im Koalitionsvertrag vereinbart.“ (http://www.spiegel.de/netzwelt/netzpolitik/katarina-barley-zu-dsgvo-justizministerin-ueber-die-datenschutz-grundverordnung-a-1209088.html)

Zwei Wochen später sind sich Union, SPD und FDP dann schließlich einig, dass die DSGVO in der jetzigen Form nicht bestehen kann und Änderungen vorgenommen werden müssen. Zum einen soll das schon erwähnte Abmahnen bei Verstößen nur noch von glaubhaften Institutionen und nicht mehr von der Konkurrenz durchgeführt werden dürfen; zum anderen ist die Rede von dem „Aufklärung vor Strafe Prinzip“. (https://www.handelsblatt.com/politik/deutschland/dsgvo-koalition-einigt-sich-auf-massnahmen-gegen-datenschutz-abmahnungen/22676192.html?ticket=ST-805787-Mtb4wMp1NDFtBQhQxPyd-ap2)

Dies zeigt, dass die Politik im Moment versucht die Auswirkungen der DSGVO zu relativieren, und deutsche Unternehmen und Genossenschaften schützen möchte. Da es sich jedoch um eine EU Verordnung handelt, stellt sich die Frage inwiefern eine schnelle Anpassung überhaupt möglich ist. Die drakonischen Strafen sind nun einmal in Art. 83 Abs. 4-5 DSGVO festgehalten und in der aktuellen Fassung ist weder von Eskalationsstufen noch von dem „Aufklären vor Strafe Prinzip“ die Rede. Folglich kann es nahezu als unternehmerisch fahrlässig bezeichnet werden, sich auf die politischen Deeskalationsversuche zu verlassen. Solange es keine Änderung in der Verordnung gibt, müssen europäische Unternehmen und Genossenschaften die DSGVO mit all ihnen zur Verfügung stehenden Mitteln umsetzen.

Sie haben Fragen zur Umsetzung der DSGVO in Ihrer Genossenschaft? Dann melden Sie sich bei unserer Expertin Astrid Busch, astrid.busch@dhv-pruefungsverband.de, Telefon 040-82-21-88-15.