Die EU-Datenschutzgrundverordnung (DSGVO-E) zur Harmonisierung des datenschutzrechtlichen Niveaus in der Europäischen Union ist nunmehr in den Trilog-Verhandlungen beschlossen wurden. Es stellt sich die Frage, inwieweit diese Entwicklungen Auswirkungen auf das in Deutschland geltende Recht haben.

1. Grundlegende Neuerungen der EU-Datenschutzgrundverordnung

Die Kernaspekte der EU-Datenschutzgrundverordnung befassen sich mit den allgemeinen Bestimmungen zur Verarbeitung personenbezogener Daten und deren transparenten Informationsausgestaltung. Daneben wurden in Bezug auf die zur Diskussion stehenden aktuellen datenschutzrechtlichen Erfordernisse Lösungsansätze normiert. Zu erwähnen ist die Einbeziehung von personenbezogenen Daten eines Kindes zum Kinderschutz (z. B. Mindestalter für eine wirksame Einwilligung grundsätzlich erst ab 16 Jahre). Weiterhin werden die Ausführungen des vom EuGH beschlossenen Rechts auf Vergessen zur Durchsetzung von Löschungsansprüchen kodifiziert.

Als Schlussfolgerung ergeben sich für Unternehmen in der EU Regelungen wie

• die einheitliche Bestellung eines Datenschutzbeauftragten unter bestimmten Voraussetzungen,
• die Durchsetzung von Prinzipien zum Datenschutz durch Technik und datenschutzkonforme Voreinstellungen („Data protection by design and by default“),
• Profiling,
• Widerspruchsrecht und Zertifizierungsmaßnahen

Ein weiteres Augenmerk, liegt auf der Behandlung von Übermittlungen personenbezogener Daten in Drittländer oder an internationale Organisationen. In den Regelungen wird auch auf besondere Konstellationen und Arten von personenbezogenen Daten (z.B. Gesundheitsdaten, genetische Daten, Daten mit Beschäftigungskontext, Daten über die Soziale Sicherheit, Archivdaten, historische oder statistische Daten, Daten für Strafurteile und Straftaten) referenziert. Im Bereich der Bußgeldhöhe fand eine Anhebung von bis zu 10 Millionen oder bis zu 4% des Jahresumsatzes des Unternehmens statt.

Die abschließend in die Sprachen der Mitgliedsstaaten übersetzten Fassungen sind voraussichtlichen in diesem Jahr im Februar/März zu erwarten. Nach der Umsetzungsfrist bis zum Jahr 2018 sollten im Unternehmen die vorzunehmenden Umsetzungsmaßnahmen abgeklärt werden.

III.          Weitere Datenschutzrechtliche Neuerungen Anfang 2016

Das Bundesdatenschutzgesetz als Grundgerüst der deutschen Datenschutzgesetzte stellt ein hohes Datenschutzniveau sicher. Die konkrete Ausgestaltung der Neuerungen der EU-Datenschutzgrundverordnung in den anderen Mitgliedsstaaten lassen sich hinsichtlich der verschiedenen Standards nicht ganzheitlich beurteilen. Es ist aber davon auszugehen, dass Deutschland als einer der Wegbereiter des Datenschutzrechts, weiterhin umfangreiche Befugnisse das Datenschutzrecht nach eigenen Motiven im Einklang mit den harmonisierenden Regelungen zu gestalten.

Zur Stärkung des Datenschutzes trägt ab Januar 2016 auch die gesetzliche Neuregelung einer unabhängigen Datenschutzaufsichtsbehörde bei. Die Datenschutzkontrolle auf Bundesebene kann nun unabhängig unter Leistung der Bundesbeauftragten für den Datenschutz Andrea Voßhoff ausgeführt werden.

Ebenfalls wurden auf der EU-Ebene von der Behörde des Europäischen Datenschutzbeauftragten hinsichtlich der elektronischen Kommunikationsprozesse neue Richtlinien herausgegeben. Die aufgestellten Grundsätze sollen eine Hilfestellung bieten, um den Umgang mit persönlichen Daten bei der elektronischen Kommunikation und bei der Verwendung von mobilen Endgeräten zu vereinfachen. In den Fokus dieser Betrachtung rückt insbesondere die Ausgestaltung von privater und dienstlicher Nutzung bei der beruflichen Tätigkeit.

Des weiteren haben die Datenschutz-Arbeitsgruppen (Bundesverbandes Gesundheits-IT [bvitg], der Gesellschaft für Datenschutz und Datensicherheit (GDD) und der Deutschen Gesellschaft für Medizinische Informatik, Biometrie und Epidemiologie (GMDS)) sich in einer Stellungnahme dazu geäußert, dass insbesondere bezüglich der Digitalisierung im Bereich der Gesundheitswesens unter Berücksichtigung des gekippten Safe Harbor Abkommens klare Mindeststandards in einer Auftragsdatenverarbeitungsvereinbarung definiert werden müssen.

Im Hinblick auf das Safe Habor Abkommen bleibt abzuwarten, wie die Ausgestaltung der neuen Regelungen erfolgen soll, aus dem Antwortschreiben der Bundesregierung, ergibt sich das Personalaufstockungen für die Klärung veranschlagt werden sollen.

III.          Ausblick

Für die datenschutzrechtliche Gesamtsituation ist festzuhalten, dass vor allem im Jahr 2015 das Bewusstsein in der Wirtschaft für die Einhaltung der Normen gewachsen ist. Neben dem Know-How-Schutz stellt der Datenschutz ein immer mehr in den Vordergrund rückendes Thema dar. Der Bedarf einer datenschutzrechtlichen Auseinandersetzung und der Einsatz an Mitteln für den Datenschutz kommen auch in einer Studie (http://www.nifis.de/veroeffentlichungen/news/datum/2015/11/12/studie-2016-mehr-investitionen-in-it-sicherheit/) aus dem November 2015 zur IT-Sicherheit von der Nationale Initiative für Informations- und Internet-Sicherheit e.V. (NIFIS) zum Ausdruck. Angesichts der zunehmenden „Bedrohungslage“ gehen 53 Prozent der deutschen Firmen von steigenden Ausgaben für IT-Sicherheit und Datenschutz für das nächste Jahr aus.