Ein Jahr DSGVO – eine erste Bilanz aus der Praxis

Am 25.05.2018 trat die EU-Datenschutzgrundverordnung (DSGVO) in Kraft. Ein Jahr nach Inkrafttreten der europaweit geltenden Datenschutzgrundverordnung scheint die erste Panikwelle unter kleinen und mittelständischen Unternehmen zunächst einmal verflogen. Jens Burkard, Geschäftsführer des Deutschen Datenschutz Instituts aus Bad Homburg, fasst die ersten 365 Tage nach Einführung zusammen.

Herr Burkard, die befürchtete große Abmahnwelle und Bußgelder in Millionenhöhe sind ausgeblieben. Auf der anderen Seite scheint die Verunsicherung noch immer hoch zu sein. Wie lautet Ihr Fazit nach den ersten 365 Tagen aus Sicht eines Datenschützers, der jeden Tag mit dem Thema zu tun hat?
Vorab gilt es zu sagen, dass der neue Gesetzesrahmen mit der EU-Datenschutzgrundverordnung und dem neuen Bundesdatenschutzgesetz ein guter ist. Wir haben mit dem neuen Gesetz erstmals eine Regelung, die für ganz Europa gilt und mit dem Europa deshalb einen großen Schritt gemacht hat. Aber es stimmt, es herrscht noch immer große Verunsicherung über das, was zu tun ist. Viele Unternehmen und auch Vereine und gemeinnützige Organisationen haben begonnen, sich dem Thema Datenschutz nun strukturiert anzunehmen, aber es gibt noch immer Unklarheiten. Selbst bei den Aufsichtsbehörden sind diese Unsicherheiten zu erkennen. Klare Aussagen oder Verbote zur Nutzung (von z. B. Office 365 in der Cloud oder Facebook) sucht man bislang leider vergeblich. Aktuell wird noch immer an vielen Stellen nicht richtig reagiert. Es gibt weiterhin Unternehmen, die das Thema nicht ernsthaft angegangen sind, andererseits gibt es Markteilnehmer, die aufgrund von Unkenntnis oder falscher Beratung überreagieren.

Vor einem Jahr zielte die mediale Berichterstattung im Wesentlichen auf die hohen Bußgelder ab, mit denen das Gesetz bei Missachtung droht. Bis zu 20 Mio. Euro oder gar 4 % des Jahresumsatzes stehen im Bußgeldkatalog der EU. Gab es bislang nennenswerte Strafen?
Die deutschen Aufsichtsbehörden hatten 2018 erklärt, dass sie im Jahr der Einführung des Gesetzes mit Bußgeldern eher zurückhaltend sein werden. Die Aufsichtsämter für Datenschutz wollten den Unternehmen so die Möglichkeit geben, die Regelungen in Ruhe einzuführen. So wurden bislang in Deutschlang lediglich 75 Bußgeldfälle bekannt. Dabei unterscheiden sich die einzelnen Bundesländer in ihrem Vorgehen deutlich. Die Zeitung „Welt am Sonntag" hat in den letzten Tagen eine Umfrage bei den zuständigen Aufsichtsämtern gemacht. Demnach wurden in sechs Bundesländern bisher Bußgelder verhängt: Baden-Württemberg (7 Fälle), Rheinland-Pfalz (9 Fälle), Berlin (18 Fälle), Hamburg (2 Fälle), Nordrhein-Westfalen (36 Fälle) und Saarland (3 Fälle). Mecklenburg-Vorpommern und Thüringen haben leider keine Auskünfte erteilt. Die höchste Strafe wurde mit 80.000 Euro in Baden-Württemberg verhängt, nachdem Gesundheitsdaten im Internet gelandet waren. Anders sieht die Situation bei unseren europäischen Nachbarn aus. So wurde bspw. in Portugal ein Bußgeld gegen ein Krankenhaus nach einem Datenschutzverstoß mit Patientendaten in Höhe von 400.000 Euro verhängt. Wir gehen davon aus, dass wir solche Strafen auch in Deutschland bald sehen werden.

Es ist in Deutschland also recht ruhig geblieben. Heißt das, dass wir bei uns die Vorgaben der DSGVO besser einhalten als die restlichen Europäer?
Grundsätzlich kann man dies wahrscheinlich nicht so sagen. Dennoch hat Deutschland einen entscheidenden Vorteil vor den anderen Mitgliedsländern in der EU. In unserem nationalen Umsetzungsgesetz, dem Bundesdatenschutzgesetz, haben wir festgelegt, dass Unternehmen, die mehr als 10 Mitarbeiter haben, die mit personenbezogenen Daten arbeiten, einen Datenschutzbeauftragen bestellen müssen, der über eine entsprechende fachliche Qualifizierung verfügt.

Wie geht es nun in Sachen Datenschutz bei uns weiter? Hat die ganze Aufregung aus dem letzten Jahr wirklich etwas gebracht?
Wir sehen bei unseren Mandaten jeden Tag aufs Neue, dass die DSGVO eine Veränderung bewirkt hat. Datenschutz ist plötzlich zur Chefsache geworden. Nicht jeder Unternehmenslenker macht dies aus innerer Überzeugung, aber das Thema wird ernst genommen. In einer Welt, die immer digitaler wird, ist das auch gut so! Der Schlüssel für eine erfolgreiche Umsetzung des Datenschutzes im Unternehmen liegt aber weiterhin bei den Mitarbeitern und deren Sensibilisierung. Wer hinterfragt, ob er den in seinem beruflichen Tätigkeitsfeld gelebten Umgang mit personenbezogenen Daten auch für sich selbst und seine eigenen Daten tolerieren würde, findet auch ohne Kenntnis der einschlägigen Gesetze meistens die richtige Antwort.

Auch das Datenschutzbewusstsein bei den Verbrauchern hat sich deutlich verändert. So ist die Anzahl der Datenschutzbeschwerden im letzten Jahr im Vergleich zum Vorjahr sprunghaft angestiegen. In Hessen bspw. wurden 2018 bei der zuständigen Aufsichtsbehörde 630 Beschwerden eingereicht. Im Vorjahr waren dies nur 85. In Nordrhein-Westfalen waren es 2018 sogar 1200 Vorfälle nach nur 60 in 2017. Dies bedeutet nicht, dass die Wirtschaft weniger sorgsam mit personenbezogenen Daten umgeht, dass Gegenteil ist der Fall, aber es zeigt deutlich, dass die Verbraucher sensibler geworden sind. Auch hier ist ganz deutlich eine positive Entwicklung zu verzeichnen.

Sogar bei den Internet-Giganten wie Facebook, Google und Amazon lässt sich Bewegung erkennen. Wir sind zwar immer noch sehr weit entfernt von einer Situation, die als positiv zu bezeichnen wäre, aber auch hier zeigt das neue Gesetz erste Wirkungen.

Zu der begonnenen positiven Entwicklung der ersten Monate wird sicherlich auch beitragen, dass die Aufsichtsbehörden nun verstärkt auf Umsetzungsüberwachung setzen. So kündigt bspw. Dr. Stefan Brink, Landesbeauftragter für den Datenschutz und die Informationsfreiheit (LfDI) in Baden-Württemberg, ganz klar an: „2019 wird das Jahr der Kontrollen.“

Sicher ist bei der Einführung der DSGVO nicht alles rund gelaufen und auch heute gibt es noch viele offene Fragen. Alles in allem würden wir, trotz der Aufregung und Stilblüten der ersten Monate, das Gesetz als einen positiven Beitrag für mehr Schutz der Persönlichkeitsrechte und damit als erfolgreich betrachten.

Jens Burkhard / Thomas Aichelmann
DDI-Deutsches Datenschutz Institut GmbH
Hessenring 71
61348 Bad Homburg
06172 595 122-0
thomas.aichelmann@deutsches-datenschutz-institut.de
www.deutsches-datenschutz-institut.de

Teilen Sie gerne mit Ihrem Netzwerk diese Information: