Verschärfung des Europäischen Datenschutzes: Der Countdown läuft

Von Dr. Tobias Fuchs, Partner – KPMG Rechtsanwaltsgesellschaft mbH

Nur noch 20 Monate verbleiben bis die Datenschutzgrundverordnung (DS-GVO) gilt. Unternehmen müssen spätestens jetzt aktiv werden, um ihre Prozesse noch rechtzeitig anzupassen.

Die umfassende Digitalisierung weiter Teile des gesellschaftlichen Zusammenlebens hat in den letzten Jahren zu einer massiven Aufwertung der Bedeutung des Datenschutzrechts geführt. Den Wettbewerb um Kunden gewinnen immer öfter solche Unternehmen, die bei der Nutzung von Daten smart vorgehen. Unternehmen ohne effektive Datenschutzorganisation haben in der zunehmend digitalen Wirtschaft eher schlechte Karten.

Deutsches Datenschutzrecht als Vorbild

Mit der DS-GVO werden die datenschutzrechtlichen Anforderungen an Unternehmen noch einmal deutlich verschärft. Das in Deutschland ohnehin schon hohe Datenschutzniveau war in vielen Punkten Vorbild für den neuen europäischen Rechtsrahmen. Teilweise präzisiert und konkretisiert die Datenschutzgrundverordnung daher die nach deutschem Datenschutzrecht bereits zu beachtenden Vorgaben lediglich. Das Auskunftsrecht des Betroffenen, die Verpflichtung zur Bestellung eines betrieblichen Datenschutzbeauftragten, das Verfahrensverzeichnis oder Meldepflichten bei Datenschutzverstößen sollten in deutschen Unternehmen bereits wohlbekannt sein.

Neue Rahmenbedingungen

Mit der DS-GVO kommen aber auch neue Vorgaben hinzu. So wird etwa die Stellung des betrieblichen Datenschutzbeauftragten durch die DS-GVO ganz wesentlich gestärkt. Er muss nicht mehr nur auf die Einhaltung datenschutzrechtlicher Vorgaben hinwirken, sondern diese auch aktiv überwachen. Mit dieser wachsenden Verantwortung gehen schmerzhafte Sanktionen einher: Die DS-GVO erweitert den bisherigen Bußgeldrahmen für Datenschutzverstöße auf bis zu 20 Mio. EUR oder bis zu 4% des weltweit erzielten Jahresumsatzes des vorangegangen Geschäftsjahres. Gleichzeitig werden datenschutzrechtliche Fallstricke bei fortschreitender Vernetzung jedoch nicht weniger. Datenschutzrechtliche Haftungsrisiken werden mit der DS-GVO also deutlich steigen.

Auf einen Blick

• Die DS-GVO gilt ab dem 25. Mai 2018 europaweit unmittelbar, ohne dass es eines Umsetzungsgesetzes bedarf.
• Die DS-GVO vereinheitlicht europäisches Datenschutzrecht auf hohem Niveau und schafft einen neuen Rahmen für den Umgang mit personenbezogenen Daten.
• Datenschutzverstöße werden auf Grundlage der DS-GVO empfindlich bestraft und strenger verfolgt.
• Viele Unternehmen schätzen den Aufwand für die Umstellung ihrer Prozesse falsch ein und sind sich der an sie gestellten Anforderungen nicht bewusst.
• Mit unseren Beratungsleistungen minimieren wir rechtliche Risiken und unterstützen Sie bei der Bewältigung datenschutzrechtlicher Herausforderungen.

Mangelnde Vorbereitung trotz hoher Sanktionsrisiken

Angesichts solcher Sanktionsrisiken kann die derzeit zu beobachtende zögerliche Vorbereitung der Unternehmen fatal sein. Aktuelle Studien zeigen, dass nur eine im einstelligen Prozentbereich liegende Zahl von Unternehmen konkrete Pläne zur Umsetzung der neuen europarechtlichen Vorgaben entwickelt hat. Die Datenschutzbehörden haben uns gegenüber bereits durchblicken lassen, dass ihr bisher überwiegend kooperativer Ansatz auf gesamteuropäischer Ebene nicht länger durchzuhalten sein wird. Es ist damit zu rechnen, dass Sanktionen weitaus häufiger verhängt und signifikant höher ausfallen werden. In anderen europäischen Ländern ist dies bereits der Fall.

Jetzt aktiv werden

Wer immer noch glaubt, er könne sich mit der Vorbereitung auf die DS-GVO weiter Zeit lassen, unterschätzt den damit verbundenen Implementierungsaufwand. Erfahrungsgemäß herrscht in vielen Unternehmen schon jetzt kaum Klarheit über Art und Umfang der bestehenden Datenverarbeitungsstrukturen. Die DS-GVO fordert aber genau diese Transparenz und auch IT-Sicherheit ein, indem sie etwa die Auskunftsrechte des Betroffenen stärkt und Unternehmen zu detaillierten Datenschutz-Folgeabschätzungen zwingt.

Betroffen sind auch Standardprozesse: Die schon bislang nicht einfach zu gestaltende datenschutzrechtliche Einwilligung muss zu ihrer Wirksamkeit bald noch deutlicher über die Zwecke der Datenerhebung und -verarbeitung informieren. Hinzu kommt schließlich, dass der Gedanke der „Privacy by Design“ zum Leitbild erhoben wird, Unternehmen also zum Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen gehalten sind. Unternehmen haben also nicht mehr viel Zeit, diese zahlreichen technischen und organisatorischen Herausforderungen zu bewältigen. Wir unterstützen Sie gerne!

Leistungen von KPMG Law

Unser Team von hoch spezialisierten Rechtsanwälten berät internationale und nationale Konzerne, kleinere und mittelständische Unternehmen, öffentliche Körperschaften, sowie Finanzinvestoren und Start-Ups umfassend im Bereich Informationsmanagement (Datenschutz und IT-Sicherheit), insbesondere bei der Identifikation, Analyse und Bewertung bestehender rechtlicher Dokumentation und interner Prozesse zum Umgang mit personenbezogenen Daten („Privacy Impairment Check“) sowie deren Optimierung.

Darüber hinaus beraten wir gestaltend bei der datenschutzkonformen Einführung eines Informations- und Datenmanagements sowie der Entwicklung und Markteinführung von Produkten („Privacy by Design“).

Selbstverständlich beraten wir Sie auch anlassbezogen bei internen oder externen Untersuchungsverfahren, z.B. nach einem „Data Loss Incident“ im Krisenfall und vertreten Sie in allen behördlichen oder gerichtlichen Verfahren (Prozessvertretung). Sprechen Sie uns jederzeit gerne auf unsere Beratungsangebote an!

Offline lesen(PDF)

Kontakt

KPMG Rechtsanwaltsgesellschaft mbH

Dr. Tobias Fuchs
Rechtsanwalt, Partner
Leiter der Practice Group Technologie, Medien & Telekommunikation (V.i.S.d.P.)
Ganghoferstraße 29,
80339 München

T +49 89 5997606-1380
tobiasfuchs@kpmg-law.com
www.kpmg-law.de

Sebastian von Rüden