Die Änderung der DSGVO hat 2018 für viel Verunsicherung in der Wirtschaft gesorgt. Waren die damaligen Ängste vor den neuen Datenschutzrichtlinien berechtigt?
Norina Köslich: Tatsächlich haben auch die Behörden lange gebraucht, bis sie sich auf die mit der DSGVO verbundenen Änderungen eingestellt hatten. Mittlerweile nehmen die Bußgeldverfahren aber zu. Die Umsetzung der Verordnung kann vor allem für kleinere Unternehmen eine Herausforderung darstellen. Im Fokus der Behörden steht allerdings eher die Kontrolle der größeren Unternehmen oder dem Nachgehen von Anzeigen.
Gibt es viele Fälle wegen Verstößen gegen die DSGVO?
Norina Köslich: Es gibt zahlreiche Verstöße, verfolgt wird davon jedoch nur ein eher geringer Teil. Durch die Corona-Pandemie sind in Deutschland zuletzt weniger Bußgelder verhängt worden, was wohl damit zu tun hat, dass die Behörden anderweitig stark eingebunden waren. Die nötigen Hilfestellungen, die etwa mit der Umstellung auf Homeoffice und Homeschooling verbunden sind, haben viele behördliche Ressourcen in Anspruch genommen. Diese Schonzeit sollte nun aber vorbei sein, sodass wieder mit einer stärkeren Verfolgung zu rechnen ist.
Was sind im Alltag die wichtigsten datenschutzrechtlichen Regelungen?
Norina Köslich: Auf Privatleute findet die DSGVO erst einmal keine Anwendung. Für Firmen ist es wiederum wichtig, dass sie ihre Pflichten prüfen: Gegebenenfalls müssen sie ein Verarbeitungsverzeichnis erstellen und einen Datenschutzbeauftragten bestellen. Fast jedes Unternehmen braucht eine Datenschutzerklärung und Verträge mit Auftragsverarbeitern. Auftragsverarbeitung bedeutet, dass einzelne Aufgabenbereiche eines Unternehmens ausgelagert und mit den dazugehörigen Daten an andere Unternehmen weitergegeben werden.
Mit der Umsetzung der EU-Datenschutz-Grundverordnung (DS-GVO) Ende 2019 wurden die nationalen Regelungen des Bundesdatenschutzgesetzes (BDSG) aufgehoben. Gibt es Änderungen, die für Unternehmen von Relevanz sind?
Norina Köslich: Vieles, was in der DSGVO geregelt ist, war bereits im alten BDSG angelegt. Die wichtigste Änderung liegt in den Sanktionsmöglichkeiten bei Datenschutzverstößen großer Unternehmen, insbesondere bei der Verarbeitung personenbezogener Daten. Auch die Stellung eines Datenschutzbeauftragten, die Pflichten zur Transparenz und Dokumentation, die Auftragsverarbeitung und der Arbeitnehmer-Datenschutz sind neu geregelt worden. Zudem gibt es das BDSG-neu, das als nationales Gesetz die DSGVO über ihre Öffnungsklauseln ergänzt und konkretisiert. Kleine Unternehmen, die sich schon an die Datenschutzbestimmungen des alten BDSG gehalten hatten, sollten durch die Änderungen keine allzu großen Umstände bekommen haben. So besteht beispielsweise bei Unternehmen mit weniger als 20 Mitarbeitern keine Pflicht zur Bestellung eines Datenschutzbeauftragten.
Die strengeren datenschutzrechtlichen Vorgaben zielten eigentlich auf die großen US-Anbieter. Wurde das Ziel eines besseren Umgangs mit personenbezogenen Daten erreicht?
Norina Köslich: Das ist schwer zu sagen – gerade wurde jedenfalls die Konstruktion des Privacy Shields vom EuGH gekippt. Dabei handelte es sich nämlich nur um eine Selbstverpflichtung der Unternehmen und nicht um eine Zertifizierung durch eine unabhängige Stelle. Viele kleinere Unternehmen sind frustriert, weil sie zahlreiche Pflichten erfüllen müssen, während viele große US-Unternehmen kaum zur Rechenschaft gezogen werden. So hat zum Beispiel Facebook seinen Hauptsitz in Irland. In diesem Zusammenhang wird vielfach kritisiert, die dortige Datenschutzbehörde tue nicht genug für die Umsetzung der Datenschutzbestimmungen.
