Kommt bereits in wenigen Monaten eine verbindliche EU-Datenschutzverordnung? Es gibt einige Anzeichen dafür. Damit könnte sehr bald der Weg für ein EU-weit gleich ausgestaltetes Datenschutzrecht frei sein. Eine Verordnung gilt unmittelbar für alle Mitgliedstaaten, ohne dass noch ein Umsetzungsverfahren in das Inlandsrecht notwendig wäre. Erfreulich ist dabei, es werden wohl viele Regelungen, die in Deutschland bereits gelten, in die Regelung übernommen. Das Datenschutzniveau wird also nicht auf den kleinsten gemeinsamen Nenner gebracht, sondern vielmehr auf einen vergleichbaren Stand angehoben.
Eine Hauptaussage des Entwurfs ist, dass jede Verarbeitung persönlicher Daten im Tätigkeitskontext des Betriebs eines Halters oder Verarbeiters in der Union in Übereinstimmung mit dieser Verordnung durchgeführt werden muss, unabhängig davon, ob die Verarbeitung selbst innerhalb der Union stattfindet oder nicht.
Was sind die aus deutscher Sicht wesentlichen Regelungen, was könnte sich ändern?
- Es soll eine zentrale, unabhängige Europäische Aufsicht entstehen. Mitglieder sind die jeweils obersten Datenschutzbeauftragten der Mitgliedsländer.
- Die Unabhängigkeit der Aufsichtsbehörden soll noch weiter betont werden.
- Klargestellt wird, dass unabhängig vom tatsächlichen Verarbeitungsort der Datenschutz zu beachten ist, solange sich die für die Verarbeitung verantwortliche Stelle im Geltungsbereich befindet.
- Entsprechend ist ein inländischer Ansprechpartner für den Datenschutz vorgesehen.
- Der betriebliche Datenschutzbeauftragte soll europaweit ab einer bestimmten Unternehmensgröße verbindlich werden.
- Das Instrument der Standardvertragsklauseln bei Verarbeitung von Daten in Staaten ohne vergleichbares Datenschutzniveau soll ausgeweitet werden.
- Der Datenschutz gilt, sobald es sich nicht mehr zweifelsfrei um eine rein private Verarbeitung handelt.
- Eine Einwilligung ist nur noch dann taugliche Grundlage für eine Verarbeitung, wenn diese nicht im Rahmen eines Abhängigkeitsverhältnis erteilt wird.
- Die Auskunftsansprüche Betroffener werden sehr deutlich detaillierter und formalisierter zu beantworten sein.
- Vor der Aufnahme einer Datenverarbeitung sind deren mögliche Auswirkungen detailiert zu analysieren.
- Neben dem Recht auf Löschung, soll ein weitergehendes “Recht, vergessen zu werden” geschaffen werden.
- Natürliche Personen dürfen grundsätzlich keinen Maßnahmen mehr ausgesetzt sein, die auf einer Profilbildung beruhen.
- Biometrische und genetische Daten werden explizit in den Datenschutz einbezogen.
- Die Meldepflichten werden verschärft. Vermutete oder bestätigte Zugriffe durch Unberechtigten müssen innerhalb von 24 Stunden der Aufsichtsbehörde gemeldet werden. Regelmäßig sind auch die Betroffenen innerhalb eines Tages zu benachrichtigen.
- Die verhängbaren Bußgelder werden teils drastisch erhöht. Es können künftig bis zu 5% des weltweiten Umsatzes des Unternehmens verhängt werden. Stets sollen Bußgelder die finanziellen Vorteile eines Datenschutzverstoßes überschreiten.