Unternehmen in ganz Europa rätseln über das neue Datenschutzrecht. Fest steht, dass ab dem 25. Mai 2018 zahlreiche neue Vorschriften beachtet werden müssen. Unsicherheit besteht bei den meisten, wie sie die neuen datenschutzrechtlichen Anforderungen umsetzen sollen. Dabei gibt es eine einfache Methode, sich Klarheit zu verschaffen. Denn sowohl nach dem alten als auch nach dem neuen Datenschutzrecht besteht die Möglichkeit, sich in komplexen Rechtsfragen an die zuständigen Aufsichtsbehörden zu wenden. Ängste, sich selbst zu belasten, sind jedoch berechtigt – sofern man die Anfrage falsch angeht.
Herausforderung: Rechtsunsicherheit im Datenschutzrecht
Ein erfolgreiches Unternehmen aus Berlin verblüffte mich in der vergangenen Woche mit der Ankündigung, das eigene Gewerbe abmelden zu wollen. Hintergrund war das neue Datenschutzrecht, das noch einmal mehr Verpflichtungen mit sich bringe. Insbesondere die quälende Rechtsunsicherheit; mithin die Frage, wie nun das neue Datenschutzrecht anzuwenden sei, trieb dieses Unternehmen um. Auch wenn diese Ankündigung mehr ein unternehmerisches Wehklagen als vielleicht ein konkreter Plan war, kennen doch viele Unternehmer das Problem, dass datenschutzrechtliche Vorschriften den Rechtsanwender oftmals ratlos zurücklassen. Das ist eine der wenigen Gemeinsamkeit zwischen dem alten und dem neuen Datenschutzrecht.
Dr. Stephan Gärtner ist Gründer der Kanzlei STANHOPE und bundes- und europaweit als Rechtsanwalt für Datenschutzrecht tätig. Er berät v.a. mittelständische Unternehmen in datenschutzrechtlichen und angrenzenden Fragen, sowohl in Einzelfällen als auch als betrieblicher Datenschutzbeauftragter.
Lösung: Beratung durch die Aufsichtsbehörde
Wie ist nun mit einer offenen Frage zum Thema Datenschutzrecht umzugehen?
Die Lösung ist so simpel wie nahliegend. Das Unternehmen beantwortet die offene Rechtsfrage selbst und erkundigt sich dann bei der Behörde, ob die eigene Antwort richtig ist. Das steht so auch im Gesetz.
Im derzeit geltenden Bundesdatenschutzgesetz heißt es in § 38 Absatz 1 Satz 2 mit Blick auf die jeweils zuständige Aufsichtsbehörde:
Sie berät und unterstützt die Beauftragten für den Datenschutz und die verantwortlichen Stellen mit Rücksicht auf deren typische Bedürfnisse.
In der Bundeshauptstadt ist hierfür beispielsweise der Berliner Beauftragte für Datenschutz und Informationsfreiheit zuständig (§ 38 Absätze 1, 6 BDSG i.V.m. § 33 Absatz 1 BlnDSG).
Eine ähnliche Möglichkeit wird auch das neue Datenschutzrecht vorsehen (Artikel 58 Absatz 6 DSGVO i.V.m. § 40 Absatz 5 Satz 1 BDSG2018 und auch Artikel 58 Absatz 3 DSGVO).
Problem gelöst?
Wer nun meint, er könne bereits morgen zu der für ihn zuständigen Aufsichtsbehörde gehen und ein komplettes Datenschutzmanagementsystem kostenfrei abholen, irrt. Denn die behördliche Beratungs- und Unterstützungspflicht greift nur, wenn der Fragesteller ein Einzelfallproblem hinreichend genau beschrieben und bereits eigene Lösungsansätze entwickelt hat. Es empfiehlt sich daher, eine solche Anfrage ordentlich vorzubereiten.
Eine weitere Frage, die sich viele Unternehmer stellen, lautet: Was geschieht, wenn die Aufsichtsbehörde durch die Anfrage auf das Unternehmen erst aufmerksam wird? Muss man dann mit Bußgeldern rechnen?
Diese Frage lässt sich nicht leicht beantworten. Grundsätzlich sind die Behörden zwar gehalten, dem Fragesteller die Möglichkeit einzuräumen, das eigene Verhalten zu ändern, bevor es gleich Bußgelder hagelt. Ausnahmen sind hier aber selbstverständlich denkbar, insbesondere bei schwerwiegenden Verstößen.
Daher sollten behördliche Anfragen niemals leichtfertig gestellt werden. Eine eigene und fachkundige Vorbetrachtung ist unerlässlich.
Zusammenfassung
Was sollten Unternehmer nun also mitnehmen?
- Ab dem 25. Mai 2018 wird das neue Datenschutzrecht angewendet.
- Bis zu diesem Tag sollten alle Unternehmen ihre Prozesse und Sicherheitsmaßnahmen überprüfen und ggf. verändern. Hierbei empfiehlt sich sachkundige Unterstützung.
- Wenn bei dieser Überprüfung eine oder mehrere Fragen offenbleiben, sollte das jeweilige Unternehmen selbstbewusst eine eigene Lösung entwickeln.
- Diese Lösung kann man der zuständigen Aufsichtsbehörde vorstellen, um sicherzugehen, dass damit das Datenschutzrecht erfüllt wird.
- Diese Anfrage an die Behörde sollte sorgsam vorbereitet werden.
(4 votes, average: 4,25 out of 5)
