thinkstock.com, Ralwel
Der Datenschutz sichert das Grundrecht auf die sogenannte "informationelle Selbstbestimmung". Sie beschreibt das Recht des Einzelnen, grundsätzlich selbst über die Preisgabe und Verwendung seiner personenbezogenen Daten zu bestimmen. Bisher regelt dies bei uns das Bundesdatenschutzgesetz (BDSG) – in anderen Ländern der Europäischen Union gelten entsprechend andere nationale Gesetze.
Seit dem 25. Mai 2018 gilt mit der Datenschutzgrundverordnung (DSGVO) in der EU nun erstmals ein einheitliches Datenschutzrecht. In Deutschland werden diese Bestimmungen in einem dazugehörigen neuen BDSG umgesetzt, das die DSGVO konkretisiert und zum Teil auch ergänzt.
Ziel der DSGVO ist es, den bisherigen Flickenteppich an nationalen Datenschutzregeln zu ersetzen. Sie gilt im Prinzip für alle, die personenbezogene Daten von EU-Bürgern verarbeiten, nutzen und speichern. Streng genommen ist die neue Verordnung bereits seit zwei Jahren in Kraft. Erst jetzt endet allerdings eine Übergangsfrist, womit die Bestimmungen ihre volle Wirkung entfalten.
Was sind personenbezogene Daten?
Als personenbezogene Daten gelten alle Informationen, die sich auf eine direkt oder indirekt identifizierbare Person beziehen. Dabei kann es sich um einen Namen, ein Geburtsdatum oder eine Emailadresse, aber zum Beispiel auch Kreditkarteninformationen, Beiträge aus sozialen Medien oder ein Foto handeln. Auch IP-Adressen – also die Adresse eines Computers oder Servers – zählen zu den personenbezogenen Daten.
Was sind die wesentlichen Neuerungen?
Deutschland hat schon jetzt eines der strengsten Datenschutzgesetze der Welt. Die DSGVO wird das bisher gültige Recht nicht völlig umkrempeln, aber doch einige Neuerungen bringen. Für Verbraucher gilt: Ihre Rechte werden durch neue Transparenz- und Informationspflichten grundsätzlich gestärkt. Im Gegenzug bedeutet dies, dass auf die Datenverarbeiter höhere Anforderungen zukommen werden.
Sie müssen künftig unter anderem noch umfassender als bisher darüber informieren, welche Daten sie in welcher Form speichern und wie sie diese verwenden. Es bleibt dabei, dass Nutzer der Verwendung ihrer Daten grundsätzlich zustimmen müssen – es sei denn, das Gesetz erlaubt die fragliche Art der Datennutzung ausdrücklich.
Neu eingeführt wird zum Beispiel ein "Recht auf Vergessenwerden". Es bedeutet, dass jede Person von Datenverarbeitern verlangen kann, ihre personenbezogenen Daten zu löschen. Eine ähnliche Löschpflicht galt in Deutschland zwar schon – mit der DSGVO kommen für die Betroffenen jedoch zusätzliche Pflichten hinzu und auch die Möglichkeit von Ausnahmen wird eingeschränkt.
Wen betrifft die Verordnung?
Unmittelbar von der Verordnung betroffen sind alle Organisationen, die mit personenbezogenen Daten arbeiten. Dabei gilt die neue Regelung nicht nur für Organisationen mit Sitz in der Europäischen Union. Auch wer im Ausland sitzt, sich mit seinen Angeboten aber an EU-Bürger richtet, muss sich künftig an die DSGVO halten. Das heißt, auch Internetgiganten wie Google, Facebook und Amazon sind in der Pflicht – vor allem sie sollte die Verordnung ursprünglich zu mehr Sorgfalt im Umgang mit Daten bringen.
Auswirkungen hat die Reform in erster Linie für Unternehmen und Behörden. Doch das Mitgliederverzeichnis eines Vereins fällt ebenfalls schon unter die DSGVO. Auch Einzelpersonen, die zum Beispiel eine Wohnung vermieten und somit Daten ihrer Mieter verarbeiten, müssen aufgrund der neuen Regelung einige Punkte beachten.
Gleiches gilt für die Betreiber von Internetblogs. Denn jeder Zugriff auf eine Homepage übermittelt automatisch die IP-Adresse. Damit fällt allein das Bereitstellen einer Webseite in den Geltungsbereich der DSGVO: Sobald auch nur teilweise kommerzielle Interessen hinter ihrer Webseite stehen, müssen Betreiber die neuen Vorgaben beachten und zum Beispiel ihre Datenschutzerklärung anpassen.
Privatpersonen sind von der Verordnung ausgenommen – allerdings nur, wenn sie diese Daten ausschließlich für persönliche oder familiäre Zwecke verwenden. Daneben wird es unter anderem auch für Journalisten wie bisher bestimmte Ausnahmen geben.
Welche Folgen drohen bei Verstößen?
Bei Verstößen gegen den Datenschutz können die Bußgelder künftig erheblich höher ausfallen als bisher: bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Kleinere Unternehmen, Vereine oder Selbständige sollten angesichts solcher Sanktionsmöglichkeiten jedoch nicht in Panik verfallen. Zum einen ist für die Höhe der Strafe immer die Art, Schwere, Dauer und der vorsätzliche Charakter entscheidend.
Zum anderen wollen die für die Umsetzung zuständigen Datenschutzbehörden der Länder zunächst auch in beratender Funktion zur Seite stehen. Sehen sie, dass sich ein Betrieb bemüht, können sie kleinere Verstöße abmahnen, ohne dass es gleich zum Bußgeld kommt. Nicht auszuschließen ist, dass spezialisierte Abmahnanwälte versuchen, die Verordnung auszunutzen, indem sie systematisch kleinere Betriebe ohne besonderes rechtliches Knowhow vor den Kadi bringen.
