Die Änderung der DSGVO hat 2018 für viel Verunsicherung in der Wirtschaft gesorgt. Waren die damaligen Ängste vor den neuen Datenschutzrichtlinien berechtigt?
Yvonne Werner: Sie haben Recht. Das Wirksamwerden der DSGVO im Jahre 2018 hat insbesondere Selbständige, kleine und mittelständische Unternehmen stark verunsichert. Anlass dafür war einerseits die mit der DSGVO einhergehende Erhöhung der möglichen Bußgelder bei Verstößen gegen datenschutzrechtliche Bestimmung auf bis zu 20 Millionen Euro bzw. bis zu 4 % des gesamten weltweit erzielten Jahresumsatzes. Neben den hohen Bußgeldern wuchs die Sorge vor teuren Abmahnungen geschäftstüchtiger Rechtsanwälte. Nach nunmehr zwei Jahren ist die Angst größtenteils verflogen. Die befürchteten Abmahnwellen sind bislang bis auf vereinzelte Versuche ausgeblieben. Demgegenüber ist die Zahl der von den Aufsichtsbehörden der Bundesländer verhängten Bußgelder wegen Datenschutzverstößen drastisch gestiegen.
Gibt es viele Fälle wegen Verstößen gegen die DSGVO?
Yvonne Werner: Mit Wirksamwerden der DSGVO sind auch gleich die ersten Abmahnungen durch Wettbewerber verschickt worden. Die Frage, ob ein Datenschutzverstoß überhaupt wettbewerbsrechtlich abgemahnt werden kann, haben die erstinstanzlichen Gerichte unterschiedlich beantwortet. Der Rechtsunsicherheit dürfte es zu verdanken sein, dass die große Abmahnwelle bislang ausgeblieben ist. Anders sieht es da bei den von den Aufsichtsbehörden verhängten Bußgeldern wegen Verstößen gegen die DSGVO aus. Hier gibt es vergleichsweise viele Fälle und es zu erwarten, dass die Zahl der geahndeten Verstöße weiter zunehmen wird.
Was sind im Alltag die wichtigsten datenschutzrechtlichen Regelungen?
Yvonne Werner: Eine der wichtigsten datenschutzrechtlichen Regelungen im Alltag ist sicher die Erfüllung der in Art. 13 DSGVO normierten Informationspflicht. Wichtigstes Anwendungsbeispiel ist hier das Vorhalten einer entsprechenden Datenschutzerklärung auf der Unternehmenswebseite.
Daneben ist die in Art. 32 DSGVO geregelte Sicherheit der Verarbeitung von Bedeutung. Danach müssen Verantwortliche technische und organisatorische Maßnahmen treffen, um ein angemessenes Schutzniveau zu gewährleisten.
Mit der Umsetzung der EU-Datenschutz-Grundverordnung (DS-GVO) Ende 2019 wurden die nationalen Regelungen des Bundesdatenschutzgesetzes (BDSG) aufgehoben. Gibt es Änderungen, die für Unternehmen von Relevanz sind?
Yvonne Werner: Die DSGVO gilt als Verordnung unmittelbar und muss nicht erst in nationales Recht umgesetzt werden. Da sie in der Normenhierarchie über dem nationalen Recht steht, genießt sie einen Anwendungsvorrang. Das BDSG-neu ergänzt deshalb lediglich die DSGVO in einigen Bereichen, in denen Mitgliedstaaten ein gewisser Gestaltungsspielraum verblieben ist. So regelt § 1 Abs. 5 BDSG-neu, dass seine Regelungen keine Anwendung finden, sowie die DSGVO unmittelbar gilt. Beispielsweise mussten die in § 42 BDSG-neu normierten Strafvorschriften im BDSG.neu geregelt werden, da in der DSGVO lediglich Bußgeldvorschriften geregelt sind.
Die strengeren datenschutzrechtlichen Vorgaben zielen eigentlich auf die großen US-Anbieter. Wurde das Ziel eines besseren Umgangs mit personenbezogenen Daten erreicht?
Yvonne Werner: Die DSGVO ist nunmehr seit über zwei Jahren wirksam. Allerdings steht eine spürbare Strafe gegen die großen US-Anbieter wie Facebook oder Google noch aus. Die EU-Kommission hat deshalb den Druck insbesondere auf Irland, wo Facebook, Google, Microsoft und Apple ihren europäischen Hauptsitz haben, erhöht.
Für ein Erdbeben sorgte allerdings der Europäische Gerichtshof (EuGH) am 16.07.2020, als er das Privacy-Shield-Abkommen zwischen der EU und den USA für unwirksam erklärte. Das Urteil stellt klar, dass im Rahmen des internationalen Datenverkehrs die Grundrechte der europäischen Bürgerinnen und Bürger beachtet und besondere Schutzmaßnahmen ergriffen werden müssen.
