11 Monate DSGVO: Was sind die wichtigsten Erkenntnisse?

4. Bußgelder sind nicht transparent

Bereits 2018 wurden diverse Bußgelder vollstreckt. Die Spanne reicht von dreistelligen Summen in Deutschland bis zu internationalen Bußgeldern in Millionen-Höhe. Eine Vielzahl an Bußgeldern wurden in unterschiedlicher Größenordnung, für verschiedene Vergehen vollstreckt.

Diese Vergehen sind zum Beispiel:

• Videoüberwachung ohne Anlass
• Nicht abgeschlossene Auftragsverarbeitung
• Offene E-Mail-Verteiler
• Mangelhafte Rollen- und Rechtekonzepte

Problematisch ist, dass es keinen einheitlichen Standard im Sinne eines Bußgeldkatalogs gibt. Sowohl für die Datenschutz-Beauftragten, als auch für die betroffenen Unternehmen ist es aktuell schwer einzuschätzen, welcher Verstoß zu welchem Bußgeld führt. Möglicherweise kann auch eine kooperative Zusammenarbeit mit den Aufsichtsbehörden eine Minderung der Bußgelder zur Folge haben. Allerdings gibt es auch dazu keine konkreten Ausführungen. Es wäre daher sinnvoll, dass die Aufsichtsbehörden einen abgestimmten Katalog erarbeiten, der transparent darstellt, bei welchen Kategorien von Verstößen, Unternehmen mit welchen Bußgeldern abgestraft werden.

5. Größtes Umsetzungsproblem ist die Rechtsunsicherheit

Eine Bitkom-Umfrage ergab, dass mehr als 50 Prozent der Unternehmen das größte Problem bei der Umsetzung der DSGVO in der Rechtsunsicherheit sehen.

Diversen Handreichungen der Datenschutzkonferenz zu verschiedenen kritischen Fragestellung werden bereits als Unterstützungsleistung angeboten. Beispielhaft zu nennen ist:

• Der Bestellpflicht eines Datenschutz-Beauftragten bei kleineren Arztpraxen
• Der Umgang mit Auftragsverarbeitungs-Verhältnissen
• Die Durchführung einer Datenschutz-Folgeabschätzungs inklusive der dafür notwendigen Kriterien (Blacklist / Whitelist)

Dennoch gibt es viele detaillierte praxisbezogene Rechtsfragen, die bis heute noch nicht umfassend beantwortet wurden. Dazu gehören zum Beispiel:

• Wie realisiere ich Informationspflichten, wenn ich eine Visitenkarte von einem Interessenten für meine Produkte bekomme?
• Müssen kleine Betriebe, die hoheitliche Aufgaben übernehmen (z.B. KFZ-Betriebe die eine Abgasuntersuchung durchführen) tatsächlich ein Datenschutz-Beauftragten bestellen?
• Was ist der Stand der Technik bei der Umsetzung der Datensicherheit?
• Wie gehe ich beim Mediensprung mit den Informationspflichten um?
• Ist ein Steuerberater der Lohnbuchhaltung durchführt auch ein Auftragsverarbeiter?

Diese und andere Fragen sind bis heute nicht abschließend geklärt und werden in den nächsten Monaten bis Jahren, entweder durch Handreichungen der Datenschutzkonferenz, Gesetzesanpassung oder Gerichtsurteile entschieden werden. Fakt ist aber auch das mindestens 80 Prozent der Aufgaben im Datenschutz durch jedes Unternehmen in Deutschland problemlos umgesetzt werden können. Auch im Bereich der Datensicherheit gibt es Mindeststandards (z.B. die ISO 27.1001, der BSI-IT-Grundschutz), sodass jedes Unternehmen grundlegende Maßnahmen zur Datensicherheit in Erfahrung bringen und umzusetzen kann.

Unbeachtet bei der Umsetzung der DSGVO sind auch in vielen Fällen die speziellen Rechtsgrundlagen der einzelnen Branchen. Es ist durchaus möglich, dass es bestimmte Rechtsgrundlagen ermöglichen, dass Unternehmen personenbezogene Daten erfassen oder verarbeiten, ohne vorher eine Einwilligung von den betroffenen Personen einzuholen. Der wesentliche Vorteil einer solchen Einwilligung ist es aber, dass man diese jederzeit widerrufen kann.

Zusammenfassend regelt die Datenschutz-Grundordnung viele prinzipielle Fragen bereits eindeutig. Sobald man sich aber in spezielle Branchen oder Rechtsgebiete bewegt, gibt es noch viele offene Fragen.

6. Datenschutz wird zur Billigware

Da die Nachfrage nach Datenschutzbeauftragten oder Experten für Datenschutz seit dem Mai 2018 stark gestiegen ist, gibt es viele relativ neue Anbieter, die in der Unsicherheit der Unternehmen finanzielle Chancen sehen. Aus diesem Grund tauchen im Moment zahlreiche sogenannte Datenschutz-Experten oder Anbieter von Datenschutz-Software am Markt auf. Teilweise werden sehr geringe Preise für die Bestellung als Datenschutz-Beauftragter oder sonstige Datenschutz-Leistungen aufgerufen. Problematisch dabei ist, dass seriöse Datenschutz-Beauftragte immer ein gewisses Haftungsrisiko selbst verantworten müssen. Die dafür notwendigen Absicherungen sind mit den aufgerufenen Preisen nicht zu finanzieren. Dieser Umstand lässt den Rückschluss zu, dass die angebotenen Leistungen keinen hochwertigen Datenschutz garantieren können.

Robin Data hat es sich deshalb zum Ziel gemacht Datenschutz auf höchstem Niveau anzubieten. Dazu haben wir ein Netzwerk an Partnern, welche ihre Datenschutz-Expertise branchenspezifisch über viele Jahren entwickelt haben. Datenschutz-Experten aus dem Netzwerk von Robin Data entwickeln mit und für unsere Kunden das optimale Datenschutz-Management-System.

Auch beim Datenschutz gilt: Wer billig investiert, investiert zweimal.