Europa • DSGVO • News
Seit 2018 regelt die Europäische Union den Datenschutz auf EU-Ebene mittels der Datenschutzgrundverordnung (DSGVO). Für Verbraucher:innen bedeutet das vor allem mehr Entscheidungsmöglichkeiten, inwiefern personenbezogene Daten weiterverarbeitet werden dürfen. Die EU reagiert damit auch auf die zunehmenden Herausforderungen der Digitalisierung. Alle relevanten News zur Datenschutzgrundverordnung gibt es von der Europe.Table-Redaktion.
DSGVO: Wie ist der aktuelle Stand 2021?
Bis 2018 war der Datenschutz in den einzelnen EU-Staaten sehr unterschiedlich geregelt. Die DSGVO, die aus insgesamt 99 Artikeln besteht, löste die bereits seit 1995 gültige Datenschutzrichtlinie ab. Die Verabschiedung der DSGVO sorgte nicht nur für eine einheitliche Regelung in den einzelnen Mitgliedsländer und den jeweiligen Unternehmen, sondern auch für eine Anpassung an digitale Veränderungen. Für Nicht-EU-Staaten des europäischen Binnenmarkts (Island, Liechtenstein und Norwegen) gilt die DSGVO ebenfalls verbindlich.
Die überarbeitete Datenschutzgrundverordnung beruht ebenso wie die bis dahin geltende Datenschutzrichtlinie auf den Prinzipien der „Zweckbindung und Datenminimierung“. Personenbezogene Daten dürfen also nur noch für den Zweck der Dienstleistung und nicht etwa für unabhängige Dienstleistungen z.B. Werbung weiterverarbeitet werden (Zweckbindung). Außerdem beschränken sich Inhalt und Ausmaß der erfassten Daten ebenfalls auf einen festgelegten Zweck: Zusätzliche Informationen dürfen im Sinne der Datenminimierung nicht erhoben werden.
Was ändert die DSGVO für Verbraucher:innen?
Grundlegende Neuerungen der DSGVO gibt es insbesondere in Bezug auf die Privatsphäre der Verbraucher:innen. Die Prinzipien „Privacy by Design“ und „Privacy by Default“ regeln per Voreinstellungen den größtmöglichen Datenschutz. Dazu müssen Verbraucher:innen im Vorfeld darüber informiert werden, welche Datenverarbeitung beispielsweise für die Vertragserfüllung unerheblich sind. Für jede weitere Weiterverarbeitung der Daten muss eine Einwilligung erteilt werden, die jederzeit widerrufen werden kann.
Gleichzeitig müssen Verbraucher:innen über den Zweck der Datenerhebung informiert werden und können bei unrechtmäßiger oder falscher Datenverarbeitung Berichtigung und Löschung verlangen. Ebenso können Verbraucher:innen Widerspruch bei unsachgemäßer Datenverarbeitung einlegen. Bei der Um- und Durchsetzung der Datenschutzrechte helfen sogenannte Datenschutzbehörden und Verbraucherzentralen. Dort können Betroffene auch Auskunftsrechte erwirken und Schadensersatzansprüche geltend machen.
DSGVO: Aktueller Stand in der EU
Die DSGVO gilt für sämtliche auf dem europäischen Markt operierenden Dienstleister und Anbieter von Waren. Das umfasst unter anderem auch Unternehmen ohne Firmensitz in der EU. Für die Datenverarbeitung in Nicht-EU-Ländern gelten dann weiterhin die Rechte zur Information, Auskunft Berichtigung, ggf. Löschung, Widerspruch und Beschwerde.
Der Europäische Gerichtshof (EuGH) entschied 2020, dass US-Unternehmen personenbezogenen Daten von EU-Bürgern nicht in die USA übermitteln dürfen. Ein österreichischer Datenschützer hatte gegen die Weitergabe von Facebook-Daten an den Mutterkonzern in den USA geklagt und Recht bekommen. Mit diesem EuGH-Urteil wurde das sogenannte „Privacy Shield-Abkommen“ für ungültig erklärt, nachdem bereits 2013 das Vorgängerabkommen „Safe Harbor“ gekippt wurde. US-Unternehmen können jedoch weiterhin die von der EU-erstellten Standardvertragsklauseln nutzen.
Ein Kernelement der DSGVO ist der Einsatz von Datenschutzbehörden in den einzelnen Mitgliedsstaaten. Allerdings sind die Behörden in Irland und Liechtenstein immer wieder im Fokus der Kritik. Aufgrund der günstigen Steuersituation sind dort viele (Digital-)Unternehmen angesiedelt und die Behörden sind oftmals personell ausgelastet. Datenschutz-Aktivist:innen werfen den Staaten vor, bei der rechtlichen Datenlage großer Konzerne zu häufig Standardvertragsklauseln gelten zu lassen anstatt Datenschutzrechtlinien zu prüfen.
Datenverarbeitung außerhalb der EU: US-Privacy Shield
Ursprünglich verpflichteten sich Unternehmen mit der Einhaltung des Privacy Shield personenbezogene Daten nur dann außerhalb der EU zu verarbeiten, wenn dort vergleichbar strenge Datenschutzrechtlinien gelten. Das ist nach der EuGH-Entscheidung nun nicht mehr ohne weiteres in den USA möglich. Das Gerichtsurteil hat demnach datenschutzrechtliche Folgen für multilaterale Konzerne wie Facebook oder Google, die ihren Sitz in den USA haben. Nach Ansicht von Datenschützer:innen erhöht das den Druck auf Datenschutzrichtlinien weltweit. Bei Verstoß gegen das Urteil, drohen Bußgelder. Die Höhe der Bußgelder können nach Artikel 83 Absatz 5 der DSGVO bis zu 20 Millionen Dollar betragen respektive vier Prozent des weltweiten Jahresumsatzes.
Im Zuge des Brexits wird auch das Vereinigte Königreich (Großbritannien und Nordirland) langfristig als datenschutzrechtliches Drittland begriffen. Derzeit ist jedoch noch eine Übergangsperiode in Kraft, die mit der Äquadenzentscheidung der EU-Kommission endet. Datenübertragungen bleiben übergangsweise möglich. Sowohl der EuGH als auch nationale Gerichte befassen sich mit Auslegungsfragen.
DSGVO: Umsetzung in Deutschland
Mit dem Beschluss vom 25. Mai 2018 gilt die Verordnung auch in Deutschland. Zuvor regelte das Bundesdatenschutzgesetz (BDSG) auf Basis des Grundrechtes auf informationelle Selbstbestimmung den Datenschutz hierzulande. Darüber hinaus verfügte bis Mai 2018 jedes Bundesland über ein eigenes Landesdatenschutzgesetz.
Eine wesentliche und unmittelbare Veränderung der EU-weiten Datenschutz-Grundverordnung stellen zum Beispiel deutlich höhere Bußgelder dar. Konkret änderte sich weiterhin, dass mit dem Inkrafttreten der DSGVO Datenschutzbeauftragte in allen Unternehmen ernannt werden müssen. Ausnahmen bilden kleine Unternehmen, in denen weniger als 20 Personen mit der Verarbeitung personenbezogener Daten beschäftigt sind. Zuständige Behörden für Datenschutzverstöße und entsprechende Bußgelder sind in Deutschland unter anderem die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit und die einzelnen Landesbeauftragten für den Datenschutz
DSGVO als Chance begreifen
Die EU-Kommission kommt bei einem Bericht zur Umsetzung der DSGVO zu dem Schluss, dass die Richtlinien besonders für kleine und mittlere Unternehmen schwer umsetzbar seien. Es entstünden vor allem zusätzliche Kosten durch Mitarbeiterschulungen. Außerdem müssten die EU-Mitgliedsstaaten die nationalen Datenschutzbehörden in ihrer Arbeit stärken und besonders belastete Länder wie Irland und Luxemburg unterstützen. Grundsätzlich aber feiert die EU-Kommission die DSGVO als einen Erfolg und Chance für weltweite Standards des Datenschutzes. Durch die Stärkung der Betroffenenrechte sei sie wegweisend für die Regulierung der digitalen Wirtschaft.
Wird die DSGVO weiter reformiert?
Doch auch wenn die Bilanz der EU-Kommission positiv ausfällt, werden auch immer wieder Forderungen nach einer Novelle der DSGVO laut. Datenschutz-Aktivist:innen fordern, die Einwilligungserklärungen transparenter zu gestalten und die vor allem die sogenannten Cookie-Banner zu vereinfachen. Auch der verhältnismäßig harte Umgang mit kleinen Unternehmen wird von Lobbyverbänden kritisiert.
Die EU-Kommission hält dagegen, dass sich die DSGVO in besonderen Krisenzeiten während der Corona-Pandemie bewährt hatte. Wiederkehrende Klagen und Rechtsstreit mit Konzernriesen wie Facebook und Google zeigen aus Sicht der Aktivist:innen allerdings, dass es einer Nachbesserung der Standards bedarf. Die EuGH-Urteile gegen das Privacy Shield und das Vorgängerabkommen Safe Harbour legen das ebenfalls nahe. Alle relevanten News zur Entwicklung der DSGVO gibt es von der Europe.Table-Redaktion.