Am 04.12.2017 fand das letzte EU-Briefing in diesem Jahr statt, in dessen Rahmen die EU-Datenschutz-Grundverordnung (EU-DSGVO), die ab dem 25. Mai 2018 rechtsverbindlich sein wird, im Detail besprochen wurde. Als Fachexperten konnte die Europäische Bewegung Sachsen Herrn Sven Hermerschmidt, Leiter des Referats 11 (u.a. nationale Umsetzung europäischen Datenschutzrechts) bei der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, sowie den Sächsischen Datenschutzbeauftragten Herrn Andreas Schurig gewinnen. Beide Referenten befassen sich seit mehr als 20 Jahren mit datenschutzrechtlichen Themen.

Herr Hermerschmidt machte zunächst deutlich, dass es sich bei der EU-DSGVO um unmittelbar geltendes Recht handelt (anders als im Falle von europäischen Richtlinien, die erst in mitgliedstaatliches Recht umgesetzt werden müssen). Der Referent erinnerte daran, dass bereits im Jahre 2015 eine europäische Datenschutz-Richtlinie verabschiedet worden ist. Nicht zuletzt aufgrund der unterschiedlichen Verwaltungstraditionen und Aufsichtspraktiken in den einzelnen EU-Staaten konnten die anfänglich hohen Erwartungen, die Rechtslandschaften in Europa zu harmonisieren, nicht vollkommen erfüllt werden.

Die EU-DSGVO, die aus insgesamt 11 Kapiteln und 99 Artikeln besteht, setzte als ein Top-Down-Instrument mit unmittelbarer Geltung in allen EU-Mitgliedstaaten einen neuen Anspruch. Einem One-Size-Fits-All-Ansatz kommt sie indessen nicht nach, denn die Europäische Kommission entschied, an bestimmten Stellen Öffnungsklauseln (Regelungsmöglichkeiten für die nationalen Gesetzgeber) einzurichten. Diese bestehen in zwei Variationen. So betreffen die Regelungsverpflichtungen im Wesentlichen die institutionellen und staatsorganisatorischen Fragen. Regelungsspielräume eröffnen den Mitgliedstaaten hingegen die Möglichkeit, nationale Ordnungsprinzipien durchzusetzen. So dürfen beispielsweise die Rechte von betroffenen Personen unter Umständen beschnitten werden – sofern dies im Interesse der öffentlichen Sicherheit ist.

Eine der interessantesten Neuerungen bezieht sich auf die Zusammenarbeit der europäischen Datenschutzbehörden. So können die EU-Mitgliedstaaten in Einzelfällen in einem noch zu gründenden Datenschutzausschuss zu verbindlichen Entscheidungen kommen. Für Deutschland wurde in diesem Kontext aufgrund des föderalen Staatsaufbaus eine Sonderregelung geschaffen. So hat die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit als gemeinsame Vertreterin Deutschlands einen Stellvertreter, der über den Bundesrat die Länder repräsentieren soll. Ein eigener Kooperationsmechanismus regelt dabei die Zusammenarbeit.

Sven Hermerschmidt machte darauf aufmerksam, dass der Rahmen für die Geldbußen massiv erhöht wurde, sodass für die schwersten Fehlverhalten bis 20 Millionen Euro oder bis vier Prozent des global erzielten Jahresumsatzes eines Konzerns zu entrichten wären. Doch nicht nur aus Furcht, sondern auch aus Compliance-Gründen, die die eigens festgelegten ethischen Standards betreffen, würden sich viele dafür entscheiden, die EU-DSGVO umzusetzen.

Foto: V. Novak

Unternehmen, die auf dem Territorium der EU operieren, ohne da niedergelassen zu sein, werden sich ebenfalls auf Neuerungen einstellen müssen. Der Referent betonte: „Jedes Unternehmen, das Waren oder Dienstleistungen auf dem europäischen Raum anbietet, muss sich in Zukunft an die EU-DSGVO halten“.

Herr Schurig unterstrich seinerseits, dass der Freistaat im Hinblick auf weite Teile des öffentlichen Dienstes zu den vier Bundesländern zählt, die Spitzenreiter in der Umsetzung der EU-DSGVO sind (zusammen mit Niedersachsen, Brandenburg und Bayern). Darüber hinaus verdeutlichte er, dass die Verordnung einen sehr umfassenden Wirkungsgrad hat, sodass auch beispielsweise die Kirchen ihre eigenen Datenschutzregelungen unter anderem im sozialen Bereich (Caritas, Diakonie etc.) anpassen müssen.

Herr Schurig wies im Besonderen darauf hin, dass sich die grundlegende Aufgabe des Sächsischen Datenschutzbeauftragten ab dem 25. Mai 2018 ändern wird. So wird nicht die Kontrolle, sondern die Regulierung in Zukunft im Zentrum stehen. Das bedeutet, dass die Aufsichtsbehörde nicht nur dann einschreiten wird, wenn Fehlverhalten festgestellt wird, sondern sie muss Handlungsanweisungen geben. Konsequenterweise wird der Sächsische Datenschutzbeauftragte stärker beratend und unterstützend agieren. Dies würde vor allem Kleinstunternehmen, kleine und mittlere Unternehmen betreffen, da Großunternehmen nicht selten eigene Rechtsanwälte oder ganze Rechtsabteilungen hätten.

Andreas Schurig betonte, dass Deutschland und damit auch Sachsen im datenschutzrechtlichen Bereich nun noch enger mit anderen EU-Staaten verbunden sein werden. In der Praxis heißt das, dass die Mitarbeiterinnen und Mitarbeiter in der Verwaltung ihre Englischkenntnisse optimieren müssten, denn „grundlegende Dokumente werden in englischer Sprache veröffentlicht und die deutsche Übersetzung kommt erst ein paar Monate später“.

Zusammenfassend lässt sich festhalten, dass beide Fachexperten einen exzellenten Überblick über die EU-DSGVO boten. Sie machten deutlich, dass zahlreiche Neuerungen im datenschutzrechtlichen Bereich auf Bundes- und Landesebene zu erwarten sind. Die zum Teil mühsamen rechtlichen Modifikationen stärken das informationelle Selbstbestimmungsrecht des Einzelnen.