Quo vadis Datenschutz – neue Wege wurden seit Inkraftsetzen der Datenschutzgrundverordnung (DSGVO) der EU am 24. Mai 2016 beschritten. Gültig ist die Verordnung seit dem 25. Mai 2018. Ich habe diese Woche eine Schulung zum Datenschutzbeauftragten besucht. Für mich war Datenschutz bisher immer ein Thema, das ich mir aus der Ferne angesehen haben. Ich halte es durchaus für wichtig – mich hat jedoch die kleinteilige Arbeit abgeschreckt.Aufgrund der DSGVO haben unsere Kunden erhöhten Bedarf an dieser Expertise. So bin ich dann zur Schulung und Zertifizierung als Datenschutzbeauftragter gekommen. Das Thema ist spätestens seit April in aller Munde und leider mit viel Halbwissen garniert. So hatte auch ich die ersten Berührungspunkte mit der DSGVO aus den Medien – ein Schreckgespenst wurde gezeichnet. Der Umgang einer meiner Arbeitgeber mit dem Thema hat dieses Bild weiter gestärkt. Im Fokus standen nicht etwa die Rechte (vgl. Kapitel 3 DSGVO) der Betroffenen (vgl. Artikel 4 DSGVO) sondern: bloß nicht in die Strafen zu laufen. Diese sind zu Recht hoch angesetzt – die höchste beträgt 20.000.000 EUR oder 4% des Vorjahresumsatzes (je nachdem welcher Wert höher ist).
Als Mitarbeiter war ich ja auch Betroffener und habe extra eine Hochglanzbroschüre nach Hause geschickt bekommen. In der wurde mir erklärt, dass Datenschutz natürlich ein hohes Gut ist und die Firma selbstredend auch meine Rechte und Daten schützt. Das erzählen ja Google und Facebook auch und die sind ja nett und glaubhaft oder? Übrigens hat Google die absurde Anzahl von 500 Personenjahren (sprich 500 Personen haben 1 Jahr gearbeitet) in die Umsetzung der DSGVO gesteckt (vgl. heise Artikel vom 14. Mai 2018 – Link). Eine Webschulung zum Datenschutz musste ich damals natürlich auch verpflichtend absolvieren. Alles kurz vor der Angst mit dem 25. Mai im Nacken.
Jedenfalls ist mir in der Schulung deutlich geworden: ein Problem hat nur, wer leichtfertig mit anvertrauten personenbezogenen Daten umgeht. Leider wissen viele Unternehmen gar nicht, wo wann und wie sie personenbezogenen Daten erheben. Da ich als Verantwortlicher aber die Rechte der Betroffenen zu schützen haben fangen so die Probleme schon an. Ich kann Euch nur ans Herz legen, überlegt genau welche Daten Ihr benötigt und wozu. Vor allem sollte Ihr überlegen, ob es wirklich notwendig ist personenbezogenen Daten zu monetären Zwecken zu erfassen. Fraglich ist hier bspw. ob Amazon jeden Klick protokollieren und über Jahre hinweg speichern muss (siehe hierzu den Artikel von Katarina Noctun auf Spiegel online – Link).
Natürlich ist die DSGVO nicht allumfassend und die Interpretation der Gerichte wird zukünftig den weiteren Umgang mit dem Schutz personenbezogener Daten zeigen. Aus meiner Sicht wurde ein wichtiger Schritt getan und sei es nur, weil erzwungener Maßen über das Thema nachgedacht wird. Es ist nun auch an den Aufsichtsbehörden leichtfertigem Umgang mit personenbezogenen Daten von selbst nachzugehen. Darauf dann natürlich auch die entsprechende Reaktionen folgen zu lassen.
Über die sogenannten Öffnungsklauseln ermöglicht die DSGVO nationale Spezifikationen zum Datenschutz. In Deutschland ist das im Bundesdatenschutzgesetz (BDSG) umgesetzt.
Jedenfalls bin ich überzeugt, dass wir unsere Kunden gut unterstützen und ihnen Sicherheit geben können. Datenschutz geht uns alle an und jeder Verantwortliche sollte sich klar machen, dass auch er an irgendeiner Stelle Betroffener ist. Also lieber einmal mehr nachgedacht, anstatt „Augen zu und durch“.