Jetzt wird’s ernst – oder doch erst später?

Die EU plant eine Datenschutzverordnung. Der erste Entwurf ist seit kurzem im Internet verfügbar: http://ec.europa.eu/justice/data-protection/document/review2012/com_2012_11_de.pdf

Diese Verordnung wird – so sieht es das europäische Recht vor – das nationale Recht nicht ergänzen, sondern vollständig ersetzen. Es ist davon auszugehen, dass mit Inkrafttreten der Verordnung das bisherige deutsche Datenschutzrecht (das BDSG genauso wie die Landesdatenschutzgesetze) nicht mehr gilt.

Anlass für diese Verordnung ist – so die Aussage der Kommission – die ausgesprochen uneinheitliche Regelung des Datenschutzes in den einzelnen EU-Mitgliedsländern.

Deutschland hat in der EU bislang eine führende Rolle in Bezug auf das Thema Datenschutz eingenommen. Die Regelungen, die der deutsche Gesetzgeber bislang erlassen hatte, sind sehr weitgehend, das Schutzniveau für den einzelnen Betroffenen ist daher hoch. Mit der Einführung einer einheitlichen Verordnung geht die Gefahr einher, dass dieses hohe Niveau nun nicht mehr gehalten werden kann.

Die Verordnung bringt aber auch Fortschritte: So werden z. B. viele Begriffe endlich konkretisiert und eindeutig definiert. Beispielsweise liefert die Verordnung klare Definitionen, was mit genetischen Daten, biometrischen Daten und Gesundheitsdaten gemeint ist. Bislang wird im deutschen Recht lediglich unterschieden zwischen personenbezogenen Daten und besonderen Arten personenbezogener Daten, wobei der Übergang durchaus als fließend anzusehen ist.

Betroffen von der Verordnung sind annähernd alle Unternehmen Europas, Behörden und Vereine. Ein tiefgreifender Einschnitt also, welcher zu hohen Investitionen führen wird. Angefangen bei der Fortbildung der betrieblichen Datenschutzbeauftragten, über die darauf folgenden Maßnahmen und Projekte, bis hin zur Implementierung der neuen Verordnung im Rahmen der unternehmensinternen Compliance-Prozesse.

Hat das BDSG mit der Novelle im Jahr 2009 die Bußgeld- und Strafvorschriften verzehnfacht (bis zu 300.000 Euro sind aktuell vorgesehen), so werden die Beträge mit der Verordnung  auf bis zu 1.000.000 Euro nochmals mehr als verdreifacht.

Die Verordnung ist zwei Jahre nach dem Inkrafttreten anzuwenden. Es ist davon auszugehen, dass die Verhandlungen noch eine Weile laufen werden, so dass mit einer Anwendung nicht vor dem Jahr 2015 oder 2016 zu rechnen ist.

Obwohl bis zum Inkrafttreten der Verordnung noch Zeit bleibt, wird empfohlen, den Gesetzgebungsprozess sorgfältig zu beobachten und zeitnah mit der Verabschiedung die Umsetzungsaktivitäten zu beginnen.

Für weitere Informationen zur EU-Datenschutzverordnung oder auch einen Workshop stehe ich gerne zur Verfügung. Sprechen Sie mich an!