Nachdem die viel diskutierte europäische Datenschutzgrundverordnung (EU –DSGVO) am 04.05.2016 im Amtsblatt der Europäischen Union veröffentlicht wurde, trat sie vor wenigen Tagen nun in Kraft. Die DSGVO gilt allerdings nicht sofort, sondern wird erst nach einer zweijährigen Übergangsfrist am 25.05.2018 geltendes Recht (Art. 99 DS-GVO).
Das Werk ist eines der größten EU-Reformvorhaben der letzten 20 Jahre und weist 99 Artikel auf. Bislang regeln sich datenschutzrechtliche Fragen vor allem nach dem Bundesdatenschutzgesetz (BDSG) und dem Telemediengesetz (TMG). Diese resultieren aus der Richtlinie 95/46/EG (Datenschutzrichtlinie), welche von 1995 stammt.
Verbessertes einheitliches Datenschutzniveau
Die letztgenannten gesetzlichen Grundlagen sind bald Geschichte. 750 Tage, gerechnet ab der Veröffentlichung, bleibt nun vor allem auch dem Handel Zeit, sich auf die neuen Rechtsregeln einzustellen. Denn im Mai 2018 gelten die 99 neuen Artikel mit 173 Erwägungsgründen versehen dann ohne weitere Umsetzungsakte in allen 28 Mitgliedsstaaten der Europäischen Union. Das Bundesdatenschutzgesetz wirkt dagegen nur als kleiner Besinnungsaufsatz.
Ein verbessertes einheitliches Datenschutzniveau wird angestrebt. Allerdings lassen rund 70 Öffnungsklauseln, die Regelungsmöglichkeiten an die EU-Mitgliedsstaaten überträgt, nichts Gutes ahnen. Beispiel: Das Alter für die Fähigkeit datenschutzrechtlich wirksame Einwilligungen zu erteilen setzt die DS-GVO in Art. 8 auf 16 Jahre fest. Das verspricht freundliche Auseinandersetzungen mit Sohn oder Tochter, die aber mit 14 schon zu Facebook wollen.
Ein Absatz weiter wird den EU-Staaten jedoch erlaubt, das Alter auch herabzusetzen, allerdings nur bis zum vollendeten 13. Lebensjahr. Je nach EU-Land können also 13, 14, 15 oder 16-jährige und älter künftig Einwilligungen erklären. Ein einheitliches Recht ist davon deutlich entfernt. In Deutschland wird man also abwarten müssen, wie das neue BDSG dann die Vorgaben macht.
Verbot mit Erlaubnisvorbehalt
Der bislang im deutschen Datenschutzrecht geltende Grundsatz des Verbots mit Erlaubnisvorbehalt gilt auch künftig fort. Danach ist jede Datennutzung verboten, wenn sie nicht gesetzlich erlaubt ist oder eine Einwilligung des Betroffenen vorliegt.
Damit kommen Erlaubnistatbeständen und dem neu geregelten Recht der Einwilligung natürlich besondere Bedeutung zu. Ansonsten spielen Grundsätze, wie Rechtmäßigkeit, Treu und Glauben, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit und Rechenschaftspflicht (siehe Art. 5) künftig eine wichtige Rolle. Vieles davon ist im deutschen Recht bekannt. Aber dennoch kommen erhebliche Änderungen auf die Wirtschaft zu und es droht angesichts der vagen Formulierungen eine längere Zeit der Rechtsunsicherheit.
Das gesamte Gesetzeswerk ist letztendlich ein Kompromisskonstrukt großer Lobbygruppen auch und vor allem aus den USA. Über 4000 Änderungsanträge seit dem Jahr 2012 zeugen von heftigen politischen Kämpfen und zähen Verhandlungen. Es ist wohl Edward Snowden und seinen Enthüllungen zu verdanken, dass die Politik hier ausreichend Einigungsdruck verspürte und jetzt das neue Recht in Gang setzten konnte. Kritisiert werden allerdings unscharfe Formulierungen.
Legitimation für Werbung in Art. 6
Beispielsweise findet sich die Legitimation für Werbung unter Nutzung von personenbezogenen Daten versteckt in Art. 6 Abs. 1 Buchstabe f. Nach Art. 6 ist die Datenverarbeitung personenbezogener Daten nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:
Unter Buchstabe f) heißt es dann:
„f) die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.“
Diese Vorschrift stellt die wohl wichtigste rechtliche Grundlage für die Zukunft dar. Von der Postwerbung über Datentracking bis hin zur Vermietung von Adressen regelt sich alles über Art. 6 Abs. 1 f), wobei allein auf eine Interessenabwägung abgestellt wird. Man kann sich leicht vorstellen, dass solche vagen Regelungen eher die Rechtsunsicherheit, denn Rechtssicherheit befördern. Helfen sollen hier aber die sogenannten Erwägungsgründe. In Erwägungsgrund 47 heißt es:
„Die Verarbeitung personenbezogener Daten zum Zwecke der Direktwerbung kann als eine einem berechtigten Interesse dienende Verarbeitung betrachtet werden.“
Dennoch bleiben natürlich wichtige Fragen bei Investitionen offen. Wann sollen etwa Adressvermietungen, die wichtig für das Neukundengeschäft sind mit welchen konkreten Daten künftig in wirksame Verträge gegossen werden können?
Diese und weitere Fragen sollten in den nächsten Jahren noch beantwortet werden. Wir werden Sie wie gewohnt unterrichtet halten.