In genau einem Jahr, am 25. Mai 2018, löst die Verordnung zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (kurz: Datenschutz-Grundverordnung oder DSGVO) die bisherige nationale und europäische Datenschutz-Gesetzgebung ab. An diesem Tag endet die Übergangszeit von zwei Jahren, die nach der Veröffentlichung und dem Inkrafttreten der DSGVO begann und nun bereits zur Hälfte verstrichen ist.

Die teilweise massiven Veränderungen bei der Datenverarbeitung im Unternehmensbereich, die durch das neue europäische Datenschutzrecht eintreten werden, lassen sich grob in drei Kategorien unterteilen:

• erweiterte Informations- und Meldepflichten (gegenüber Betroffenen und Aufsichtsbehörden)
• ausführlichere Dokumentationspflichten und der Nachweis der Rechtmäßigkeit der Datenverarbeitung (Rechenschaftspflicht)
• verstärkte Anforderungen an die IT-Sicherheit (nach dem Stand der Technik)

Außerdem steigt wegen des erhöhten Sanktionsrahmens und der neuen Rechenschaftspflicht das Risiko bei Datenschutzverstößen auch noch im Nachhinein empfindlich belangt zu werden. Die Geldbußen werden mindestens um den Faktor 60 erhöht und orientieren sich an den Größenordnungen, die aus dem Kartellrecht bekannt sind.

Alle Unternehmen sollten sich also mit dem neuen Gesetz rechtzeitig vertraut machen und ein internes Projekt zur Umsetzung der Anforderungen aufsetzen. Nach aktuellen Schätzungen haben derzeit noch über 50 % der Unternehmen in Deutschland überhaupt nicht mit einem Umsetzungsprojekt zur DSGVO begonnen.

Für diese Unternehmen wird es jetzt höchste Zeit sich dem Thema zu widmen. Gute Möglichkeiten zum Einstieg finden sich in den Leitfäden zur DSGVO, die der Arbeitskreis Datenschutz des Bitkom e.V. entwickelt hat.

Am 15. Dezember 2015 einigten sich Rat, Kommission und Parlament auf einen Kompromiss für die neue Datenschutz-Grundverordnung. Die Verordnung muss nun noch vom Ausschuss für bürgerliche Freiheiten, Justiz und Inneres und dann vom Parlament bestätigt werden und tritt dann mit einer Übergangsfrist von zwei Jahren in Kraft. In dieser Zeit müssen alle Mitgliedsstaaten die Gesetzesänderung in lokales Recht umsetzen. Dann entscheidet sich auch, ob die Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten in Deutschland erhalten bleibt. Im Folgenden werde ich einige Links und Kommentare zum Thema sammeln:

„Der heutige Abend hat den erwarteten Durchbruch für ein neues Datenschutzgesetz in der Europäischen Union gebracht.“ Jan Philipp Albrecht, Verhandlungsführer des Europäischen Parlaments für die Datenschutzverordnung

Kompromissvorschlag der Datenschutzverordnung, gefunden bei Härting Rechtsanwälte

„Trilog erfolg­reich, Ein­wil­li­gung tot“ deutliche Kritik von Niko Härting

Ebenfalls kritische Auseinandersetzung mit der Verordnung von Winfried Veil auf CR-Online: Angriff auf Internet und Meinungsfreiheit (Teil I, II und III)

Weiterführende Informationen des Berufsverbands der Datenschützer (BvD): https://www.bvdnet.de/themen/dsgvo/

Update: Das Gesetz  zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU) wurde mittlerweile von Bundestag und Bundesrat beschlossen. Die Pflicht zur Bestellung eines betrieblichen Datenschutzbeauftragten gilt in Deutschland weiterhin für alle Unternehmen, „soweit sie in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen“.

Am 6. Oktober 2015 hat der Europäische Gerichtshof entschieden, dass die Safe Harbor Regelung zum Transfer von personenbezogenen Daten in die USA aus dem Jahr 2000 ungültig ist. Begründet wurde dies im Verfahren, das Max Schrems gegen irische Datenschutzbehörde in Sachen Facebook führt u.a. mit den Enthüllungen von Edward Snowden im NSA-Skandal. Hier gibt es das Urteil im deutschen Volltext. Im Folgenden werde ich einige Links und Kommentare zum Thema sammeln:

Max Schrems: Initial Response

Anna Biselli auf netzpolitik.org: Europäischer Gerichtshof: Safe Harbor ist ungültig! Schluss mit der blauäugigen Datenübertragung in die USA.

Sascha Lobo auf Spiegel Online: Safe-Harbor-Urteil: Entschuldigung, ich verstehe nur Verschiebebahnhof

Joerg Heidrich auf Heise Online: Nach dem EuGH-Urteil: Alternativen zu Safe Harbor

Niko Härting: Safe Harbor: Geburtsstunde eines europäischen Verfassungsgerichts?

Pressemittelung des Berufsverbands der Datenschützer (BvD): EuGH: Safe Harbor gekippt

Patrick Beuth auf Zeit Online: Ein leises Donnerwetter vom EuGH

Matthias Lachmann: Safe Harbor-Urteil: EuGH setzt Zeichen gegen Massenausspähung mit wirrer Argumentation

Positionspapier der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz) vom 26.10.1015

Schon wieder ein Jahr vorbei – das Jahr eins nach den Snowden-Enthüllungen über den NSA-Spähangriff. Der Eingriff in die Persönlichkeitsrechte des einzelnen und die Auswirkungen auf unser demokratisches Leben sind abstrakt und nur bedingt erfassbar. Die Empörung oder zumindest das Bewusstsein für die permanente Bedrohung des einzelnen sind nur schwer aufrecht zu erhalten. Das Misstrauen gegenüber den Institutionen und der Politik ist gewaltig und hinterlässt einen stets schalen Nachgeschmack beim Leben im Netz.

Vordenker und CCC-Chef Frank Rieger hatte sich vor einiger Zeit in einem FAZ-Artikel klug mit den Auswirkungen des NSA-Skandals auseinander gesetzt und uns vor allem mit seinen Ausführungen zum Vertrauensaufbau aufhorchen lassen. Da wir nun die „dunkle Seite“ des Internets kennen, so Rieger, könnte ein Weg aus der Zwickmühle heraus der Aufbau von Vertrauen sein. Dies könne zum einen vonstatten gehen, indem sich Personen und Institutionen immer wieder tadellos verhalten und somit Vertrauen in sich aufbauen und dies immer wieder bestätigen – eine harte Nuss in unseren schnelllebigen Zeiten.

Passend dazu loteten die Datenschutz-Experten bei der diesjährigen ULD-Sommerakademie in Kiel das Spannungsfeld zwischen den Grundrechten auf freie Entfaltung und dem Anspruch auf absolute Sicherheit aus. Ben Scott, Programmdirektor bei der Stiftung Neue Verantwortung e.V., überzeugte mit einer grundsätzlichen Einordnung zum „Datenschutz in einer Post-Snowden-Welt“, in dem er auf die jeweiligen Stärken in den USA und Deutschland verwies. Als Lösungansatz nennt er ein gemeinsames rechtliches Rahmenwerk zur transatlantischen Sicherheits- wie die Datenschutzpolitik, um so die Auswüchse in puncto Totalüberwachung einzudämmen.

Einen lesenswerten Artikel gibt es u.a. bei heise.de. Außerdem sei auf die Zusammenfassung der ULD Sommerakademie hingewiesen.

In Zeiten von Spähattacken und biometrischen Erkennung: Kann Datenschutz ein zentraler Wettbewerbsfaktor für Deutschland und Europa werden? Dies war zentrales Thema der Verbandstage des Berufsverbands der Datenschutzbeauftragten Deutschlands (BvD).

erstellt mit: wordle.net

Mit der Bundesdatenschutzbeauftragten Andrea Voßhoff und Jan Philipp Albrecht, Datenschutz-Berichterstatter im EU-Parlament, äußersten sich prominente und profunde Experten bei der zweitägigen Tagung Ende Mai in Berlin.

Bundesjustizminister Heiko Maas (SPD) betonte gegenüber den rund 200 Datenschützern, dass sich ihr Metier aktuell zu einem bedeutenden Faktor für wirtschaftliche Wettbewerbsvorteile entwickelt. Er wies in diesem Zusammenhang auf die wichtige Stellung der Datenschutzbeauftragten in Deutschland hin und befürwortete, ihre Position weiterhin zu schützen und zu stärken – auch europaweit.

In ihren Redebeiträgen vor 200 Datenschutzbeauftragten betonten Maas, Voßhoff und Albrecht übereinstimmend, wie notwendig und richtig die unabhängige innerbetriebliche Kontrolle von Datenverarbeitung in der von Datenflut und Überwachung geprägten Gesellschaft ist. Sie befürworteten ausdrücklich, dass sich dieses in Deutschland bewährte Modell des betrieblichen Datenschutzbeauftragten in ganz Europa wieder finden soll.

Einen interessanten Beitrag bei den Datenschutztagen kam von Alexander Nouak vom Frauenhofer-Institut für Grafische Datenverarbeitung (IGD) – er zeigte in seiner Präsentation den Stand der Dinge hinsichtlich sicherer Authentifizierung mit biometrischen Methoden sowie Vorteile und Risiken der Biometrie auf.

Sichere Identitäten sind auch Thema eines aktuelles Wettbewerbs, den die Bundesdruckerei GmbH ausgelobt hat: Unternehmen, StartUps, Institutionen, Design-Studenten und Schüler können dabei Ideen, Konzepte und Projekte rund um sicheres und benutzerfreundliches Identitätsmanagement in der digitalen Zukunft einreichen. Einreichungen sind möglich bis zum 17. August diesen Jahres https://www.digitaler-handschlag.de/de – viel Erfolg!

Vorratsdatenspeicherung adé: Die EU-Kommission hat Anfang April 2014 vom Europäischen Gerichtshof einen klaren Arbeitsauftrag erhalten. Sie muss die Richtlinien zur Vorratsdatenspeicherung neu aufsetzen. Eine Speicherung von Kommunikationsdaten ist nur erlaubt im Verdachtsfall und mit richterlicher Anordnung.

Der EuGH hat die aktuelle Gesetzgebung für verfassungswidrig erklärt – wie bereits das deutsche Bundesverfassungsgericht im März 2010. Der aktuelle Tenor auf EU-Ebene: Solange bei Bürgern kein Verdacht auf Straftaten vorliegt, ist das Sammeln ihrer Daten rechtswidrig. Die Richtlinie sei „ein besonders schwerwiegender Eingriff in die Grundrechte auf Achtung des Privatlebens und auf Schutz personenbezogener Daten“, so das Urteil. 

Was wird gekippt? Internetprovider in der EU durften die Verbindungsdaten ihrer Kunden für eine Dauer von mindestens sechs Monate und maximal zwei Jahren speichern – ohne Tatverdacht. Aufbewahrt werden die Metadaten eines Kommunikationaktes, also Ort, Zeit, Dauer, Teilnehmer und Art eines Telefonats (Festnetz, mobil, IP) bzw. der Nachricht (E-Mail, SMS). Der Inhalt der Kommunikation wird hingegen nicht erfasst.

Hier im Überblick:

Die Richtlinie von 2006: sie muss außer Kraft gesetzt werden.

Die Pressemitteilung des EuGH zum aktuellen Urteil: hier.

Das Urteil des Gerichtshofes: hier.

Zur Autorin: Von nun an wird Kathrin Koehler hier in regelmäßiger Folge für Brainosphere Themen aus der Branche zusammenstellen. Sie ist freiberuflich tätige Journalistin sowie Trainerin und Speakerin für Social Media Themen.

„Datenschutz – Gestalten statt Verwalten“ lautet der Titel der diesjährigen Verbandstage vom Bundesverband der Datenschutzbeauftragten Deutschlands (BvD) am 24. und 25. April 2013 in Berlin.

Die BvD-Datenschutztage haben sich mittlerweile zu einem festen Termin für Datenschutzbeauftragte etabliert. Gregor Klar, Geschäftsführer der brainosphere 1 GmbH, ist an beiden Verbandstagen dabei. Von Personen wie ihm, die das komplexe Thema Datenschutz aktiv mitgestalten, wird neben der Kompetenz und dem Sachverstand ebenfalls ein Sinn für die technischen Prozesse und die daran Beteiligten gefordert. Alle Teilnehmer können sich auf den aktuellsten Stand der Diskussionen rund um den Datenschutz und zu aktuellen Entwicklungen, besonders auf europäischer Ebene, bringen lassen.

Gregor Klar freut sich besonders auf die Keynote und das Plenum, u.a. mit Sabine Leutheusser-Schnarrenberger, Bundesministerin der Justiz, Chris Newiger, Konzerndatenschutzbeauftragter Deutsche Bahn und Peter Schaar, Bundesbeauftragter für den Datenschutz und die Informationsfreiheit. Außerdem wird er das BVD-Sonderseminar “Einführung in das Wettbewerbsrecht und Werbereicht für bDSB” besuchen.

Ausführliche Informationen rund um das Programm, die Sonderseminare und die Mitgliederversammlung finden Sie auf der BvD-Homepage.

Hier erhalten Sie das gesamte Programm als pdf-Download.

Immer mehr Unternehmen ernennen Compliance Officer und implementieren zum Teil umfassende Compliance Programme. Deren Aufgabe ist es, die Einhaltung von Rechtsvorschriften durch das Unternehmen sicherzustellen. Sie helfen zum Beispiel Korruption und unzulässige Kartellabsprachen, Geldwäsche sowie Betrugs- und Untreuefälle zu verhindern und aufzuklären. Doch auch das Compliance-Programm selbst muss stets den gesetzlichen Anforderungen genügen. Vor allem das Datenschutzrecht stellt hierbei viele Anforderungen und setzt Grenzen.

Fälle aus der Vergangenheit haben gezeigt, dass selbst vermeintliche Verstöße des Compliance-Programms gegen den Datenschutz erhebliche Imageschäden für das Unternehmen und sogar persönliche Konsequenzen für das Management haben können. Es drohen Bußgelder und im Extremfall strafrechtliche Verfolgung.

Rechtsanwalt Dr. Thomas Helbing, Inhaber der Kanzlei für Datenschutz und IT-Recht, hat eine 12-seitige Checkliste mit dem Titel „Datenschutz bei Compliance Programmen – eine Checkliste mit Erläuterungen und Best Practices“ entworfen. Diese hilft, datenschutzrelevante Themen bei Compliance-Programmen zu erkennen. Neben Kontrollfragen enthält die Checkliste Erläuterungen sowie Empfehlungen und Best Practices. Die Checkliste wendet sich an Compliance Officer, Mitarbeiter von Compliance-, Rechts- und Revisions-Abteilungen sowie Datenschutzbeauftragte.

Die Checkliste deckt derzeit folgende Bereiche ab:

1. Interne Compliance Ermittlungen
2. Einsichtnahme und Auswertung von Mitarbeiter E-Mails
3. IT-Forensische Untersuchungen / Compliance Screenings / Massendatenanalysen
4. Hinweisgebersysteme (Whistleblowing)
5. Zentrale Compliance im Konzern / Verbund

Weitere geplante Themen: E-Discovery, Pre-Employment Screenings, Terrorlisten Screenings und Geldwäscheprävention

Die Checkliste wird regelmäßig aktualisiert und ergänzt. Auf der Webseite der Kanzlei können Sie die jeweils aktuelle Version kostenlos herunterladen.

Das Oberlandesgericht (OLG) München hat in einer vieldiskutierten Entscheidung die etablierte Praxis des Double-Opt-In in Frage gestellt. Das Urteil (Az. 29 U 1682/12) sorgt für Verwirrung und Unverständnis unter Rechtsexperten.

Im Herbst 2012 hat das Gericht entgegen der gängigen Rechtsprechung entschieden, dass selbst die Bestätigungs-E-Mail nach der Anmeldung zu einem Newsletter belästigende Werbung, Spam, darstellt. In vielen Internetblogs sorgt das Urteil für Ratlosigkeit. Vom faktischen Untergang des Newsletter-Marketings ist die Rede.

Der Bundesgerichtshof (BGH) in Karlsruhe sollte in naher Zukunft die Gelegenheit erhalten, die Entscheidung zu korrigieren. Die Revision zum BGH wurde zugelassen. Der BGH wird dem OLG München aber wohl nicht folgen. Als Reaktion auf das Urteil vom OLG München ist nun eine erneute Abmahnwelle nicht auszuschließen. Die zugrunde liegende Krux zum Double-Opt-In wird bei optivo, einem der größten E-Mail-Marketing-Dienstleister im deutschsprachigen Europa, in Form einer Infografik dargestellt.

Im Fachbeitrag von Dr. Philipp Kramer und David Oberbeck, Experten für Datenschutzrecht und Recht der neuen Medien, sind hierzu Hinweise für Unternehmen im Magazin von Gründerszene erschienen.