Der Komet 5800 – Seite 16

BSM Fünf Jahre DSGVO: Was hat sich getan und was bringt die Zukunft? Nach einem mehrjährigen Gesetzgebungsverfahren ist die Datenschutz-Grundverordnung (DSGVO) am 25. Mai 2018 in Kraft getreten und entfaltet seitdem einen umfassenden Schutz für die personenbezogenen Da- ten innerhalb der Europäischen Union (EU). Sie gilt weltweit als „,Goldstandard" und sollte u.a. dafür sor- gen, dass der Datenschutz trotz des rasanten techno- logischen Fortschritts gewahrt bleibt. Ob die DSGVO diesen Erwartungen nach fünf Jahren noch gerecht wird, haben wir die Rechtsanwälte Dr. Christian Lenz und Joshua Kniesburges gefragt. Sie beraten mittel- ständische Unternehmen in den Bereichen IT- und Da- tenschutzrecht und fungieren in vielen Organisationen als externe Datenschutzbeauftragte. Wieso brauchte es die DSGVO? Lenz: Die DSGVO war das Ergebnis einer langen Debat- te über die Zukunft des europäischen Datenschutzes. Die schnelle Entwicklung des Internets und die Digita- lisierung in allen Lebensbereichen stellten den euro- päischen Gesetzgeber vor die Herausforderung, effek- tive Lösungen zum Schutz personenbezogener Daten innerhalb der EU zu finden. Mit der DSGVO, die die Da- tenschutzrichtlinie aus dem Jahr 1995 ablöste, schuf die EU ein modernes Gesetz, das in den letzten Jahren viele Stärken offenbarte, teilweise aber nicht pragma- tisch umgesetzt wurde. Welchen konkreten Nutzen hat die DSGVO? Kniesburges: Zunächst stellt die DSGVO jede Verarbei- tung personenbezogener Daten unter einen Erlaubnis- vorbehalt. Das bedeutet, eine Datenverarbeitung ist grundsätzlich verboten, außer der Datenverarbeitende kann sie auf eine Rechtsgrundlage stützen. Mit diesem Grundsatz bringt die Verordnung zum Ausdruck, wel- chen Stellenwert der Schutz personenbezogener Da- ten hat. Einzelne werden somit nicht zum Objekt der Verarbeitung ihrer Daten. Lenz: Außerdem hat die DSGVO betroffenen Personen die Möglichkeit gegeben, aktiv und effektiv die Nut- zung ihrer personenbezogenen Daten durch Dritte zu gestalten und zu überwachen. Sie können ihre Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit oder Wider- spruch gegen die Verarbeitung gegenüber Datenver- arbeitenden geltend machen und so den rechtmäßi- gen Umgang mit ihren Daten kontrollieren. Im Falle einer rechtswidrigen Nutzung können sie sich bei einer Aufsichtsbehörde beschweren, die weitere Verarbei- tung untersagen und Schadensersatz geltend machen. Wo gibt es aktuell noch Nachbesserungsbedarf? Kniesburges: Die Aufsichtsbehörden sind mit effekti- ven Mitteln ausgestattet. Sie haben die Möglichkeit, Kontrollen durchzuführen und bei Verstößen Bußgel- der in Höhe von bis zu 20 Mio. € oder 4% des weltwei- ten Jahresumsatzes zu verhängen. Dieses Jahr wurde das bislang höchste Bußgeld in Höhe von 1,2 Milliarden € gegen Meta wegen der rechtswidrigen Übermittlung von Facebook-Nutzerdaten in die USA verhängt. Der- artige empfindliche Strafzahlungen sind starke Anreize für z.B. große Technologie-Unternehmen, unsere euro- päischen Gesetze einzuhalten. Allerdings ist hier noch ein Weg zu gehen. Eine Schwäche ist vielleicht, dass Kontrollen oft erst nach einer Beschwerde durch Pri- vatpersonen oder Datenschutzorganisationen stattfin- den und die Verfolgung der Verstöße durch die Daten- schutzbehörden oft sehr langwierig ist. Grund hierfür sind deren oftmals eingeschränkte Kapazitäten und bestehende Ermessensspielräume. Lenz: Ich finde es wichtig, dass rechtssichere Wege durch die Aufsichtsbehörden aufgezeigt werden. Ein Beispiel sind Videokonferenz-Tools, die teilweise fast durchgängig kritisch beurteilt wurden, insbesondere seit der Pandemie aber für Unternehmen unverzicht- bar sind. Gefragt sind hier wieder die großen Techno- logie-Unternehmen, die rechtssichere Lösungen schaffen müssen. Zudem muss die Politik ihre Haus- aufgaben machen und z.B. rechtssichere Abkommen für den Datentransfer in die USA schaffen. Nach den Urteilen „Schrems I und II" stellt sich die Frage, ob das jetzige Abkommen hält. Kniesburges: Zudem fehlt es noch an Standards, z.B. für die Ausfüllung der Prinzipien „Privacy by design and by default". Hiernach sind z.B. bei Softwareprodukten Datenschutzgrundsätze wie Datenminimierung be- reits im Rahmen der Technikgestaltung und Voreinstel- lung zu verfolgen. Bei diesen Prinzipien ist es proble- matisch, dass direkt nur die Datenverarbeitenden und nicht die Hersteller von Softwareprodukten verpflich- tet werden. Setzen marktmächtige Unternehmen mit ihren Produkten einen Industriestandard, sodass klei- ne und mittelständische Unternehmen mangels Res- sourcen an deren Einsatz nicht vorbeikommen, sind diese großen Unternehmen als Hersteller nicht unmit- telbar zur Einhaltung dieser Prinzipien verpflichtet. So geht der,,Schutz personenbezogener Daten von Beginn an" zumindest teils unter. Gibt es Inhalte der DSGVO, die sich in den letzten fünf Jahren verschärft oder gar gelockert haben? Lenz: Das ist schwierig zu sagen, da es ja zu Beginn nur den Gesetzestext, die Erwägungsgründe und die Ver- waltungspraxis zum alten Bundesdatenschutzgesetz gab. Im Laufe der letzten Jahre haben wir durch die Verwaltungspraxis und einige Urteile zur DSGVO ein- fach mehr Klarheit bekommen. Kniesburges: Durch dieses Mehr an Klarheit haben wir nun weniger Verteidigungspositionen, wenn es um Verstöße wie fehlende Vereinbarungen zur Auftrags- verarbeitung oder einen fehlenden bzw. ungeeigneten Datenschutzbeauftragten geht. Ansonsten sehen wir, dass man behördliche Verfahren bei Datenschutzvor- fällen auch glimpflich erledigt bekommt, wenn die grundsätzliche Datenschutzorganisation seriös aufge- baut ist. Welche Datenschutzthemen halten Sie zukünftig für relevant? Lenz: Neben dem Datentransfer in die USA halte ich vor allem Basisthemen wie die Datensicherheit für be- deutsam. Hier sollte sich jedes Unternehmen perma- nent um seine technischen und organisatorischen BSM IHR PARTNER Maßnahmen (TOMs) kümmern, sprich diese prüfen und stetig verbessern. Wir sehen hier vor allem das IT- Risikomanagement, wie es für Banken und kritische In- frastrukturen teils schon verpflichtend ist, als eine gute Orientierung, gegebenenfalls in abgespeckter Form. Dies dient nicht nur dem Schutz personenbezo- gener Daten, sondern auch dem Schutz der Betriebs- und Geschäftsgeheimnisse. Kniesburges: Ein weiterer großer Bereich ist die Ent- wicklung der künstlichen Intelligenz (KI). Für das Trai- ning einer Kl sind enorme Datenmengen nötig. Diese werden häufig aus frei zugänglichen Daten im Internet gesammelt. Ob hierfür immer eine passende Rechts- grundlage vorliegt, ist jedenfalls fraglich. Außerdem bie- tet Kl neue Möglichkeiten für automatisierte Entschei- dungsfindungen. Sie kann die Kreditwürdigkeit einer Person berechnen oder von Staaten nach dem Beispiel von China für ein Social-Scoring-System eingesetzt wer- den. Diese neuen Gefahren hat die EU jedoch erkannt und arbeitet seit 2022 am Artificial Intelligence Act, der neben der DSGVO gelten und diese stärken soll. Lenz: Insgesamt ist das gesetzgeberische Handeln der EU im Bereich Daten deutlich besser als sein Ruf. Sinnvoll wä- ren allerdings stärkere Abschichtungen zwischen gro- Ben, mittleren und kleinen Unternehmen und ein Ein- schreiten der Behörden, wenn Marktmacht im Zusammenhang mit Datennutzungen missbräuchlich eingesetzt wird. Außerdem ist es erforderlich, das Da- tenschutzrecht mit dem Datenwirtschaftsrecht rechts- sicherer zusammenwirken zu lassen. Auf diese Weise kann das Datenpotenzial bestmöglich genutzt werden und der umfassende Schutz der Daten, insbesondere der Betriebs- und Geschäftsgeheimnisse, ist gewährt. Dr. Christian Lenz ist Rechtsanwalt bei der dhpg. Der Fokus seiner Tätigkeit liegt in der IT und datenschutz- rechtlichen Beratung mittelständischer Unternehmen. Er ist ein ausgewiesener Experte bei Fragestellungen zur DSGVO und hat viele Unternehmen bei der Umset- zung dieser Anforderungen begleitet. Als zertifizierter Datenschutzbeauftragter (TÜVⓇ) ist sein Know-how in vielen Unternehmen als externer Datenschutzbeauf- tragter gefragt. Ein Fachgebiet, das er als Referent mit einem breiten Angebot an Schulungen und Vorträgen begleitet. Joshua Kniesburges ist Rechtsanwalt bei der dhpg. Sein Schwerpunkt liegt in der IT- und datenschutzrecht- lichen Beratung mittelständischer Unternehmen. Man- danten unterstützt er bei Compliance-Prüfungen, Soft- wareprojekten und der Erstellung komplexer IT-Verträge. dhpg aktuell 09/23 16 IHR PARTNER BSM Größter Verband der Schausteller und Marktkaufleute 5800 | 30.09.2023 Der Komet