Newsletter Daten, IT und Medien

Wer ist für die Aufsicht zuständig?

Für die aufsichtsbehördliche Tätigkeit bleibt es dabei: 17 Aufsichtsbehörden auf Bundes- und Landesebene werden für die Anwendung der DS‑​GVO und die Anpassungsgesetze zuständig sein. Der von uns schon seit einigen Jahren beobachtete restriktive Vollzug der datenschutzrechtlichen Regulierung wird sich fortsetzen. Für die Einheitlichkeit und Kohärenz der Anwendung der europäischen Regelungen wird der Europäische Datenschutzausschuss sorgen; auf eine richterliche Rechtsfortbildung des Europäischen Gerichtshofs ist zu hoffen.

Im Kern bleibt es auch mit der DS‑​GVO bei der grundsätzlichen datenschutzrechtlichen Dogmatik: Im Rahmen eines Erlaubnisvorbehaltes bleibt jegliche Datenverarbeitung verboten, es sei denn, der Betroffene hat in die Verarbeitung freiwillig und konkret eingewilligt, oder ein (spezial‑)gesetzlicher Erlaubnistatbestand liegt vor. Auch in Zukunft führt das Datenschutzrecht also zu einer klassischen Verhältnismäßigkeitsprüfung, die die unterschiedlichen Interessen der verantwortlichen Stelle und der Betroffenen gegeneinander abwägt.

Wie müssen sich die verantwortlichen Stellen auf die neue Regulierung vorbereiten?

Von entscheidender Bedeutung ist Art. 5 Abs. 2 DS‑​GVO: Die verantwortliche Stelle trifft eine strikte Rechenschaftspflicht. Konkret: Jeder für eine Datenverarbeitung Verantwortliche muss gegenüber Aufsichtsbehörden, Wettbewerbern, Betroffenen und ggf. auch Verbraucherschutzverbänden „sprechfähig“ sein. Sind alle Datenverarbeitungsvorgänge innerhalb des Unternehmens oder der Institution bekannt? Existiert ein ausführliches Verfahrensverzeichnis? Wie erfolgt die Aktualisierung dieses Verzeichnisses bei neuen Verarbeitungen, etwa von Kunden- oder Beschäftigtendaten? Welche Dienstleister werden mit Datenverarbeitungsvorgängen betraut? Diese und viele weitere Fragen müssen beantwortet werden.

Erheblich erweitert werden die Informationspflichten gegenüber den Betroffenen, deren Daten die verantwortliche Stelle verarbeitet (Art. 12‑14 DS‑​GVO). Für eine Sicherstellung auch weiterer Betroffenenrechte (Art. 15‑22 DS‑​GVO) bedarf es auch hier einer rechtzeitigen Bestandsaufnahme, um sich auf die ab Mai 2018 geltende Regulierung vorzubereiten. Neu sind mit Blick auf die fortschreitende Digitalisierung die Prinzipien Privacy by design und Privacy by default, beides gesetzliche Vorgaben, die bei datenschutzrechtlich relevanten Produkten oder Innovationen schon zu einem frühen Zeitpunkt datenschutzfreundliche und datensparsame Vorkehrungen unterstützen und fördern sollen. Gleiches gilt für die Selbstregulierung durch Zertifizierungen, Code of Conducts oder bei größeren Unternehmensgruppen geltenden internen Verhaltensregeln. Auch bei letzteren ist nach wie vor zu beachten, dass es im Datenschutzrecht auch zukünftig kein Konzernprivileg gibt und Datenübermittlungen von einer Gesellschaft an die andere – egal, ob es sich hierbei um eine verbundene Unternehmensgruppe handelt – eigens rechtfertigungsbedürftig sind.

Fazit

Selbst wenn die DS‑​GVO – bis auf die erheblichen Sanktionen (dazu sogleich) – keine Revolution darstellt, ist bereits jetzt eines sicher: Der Vollzug durch die zuständigen Landesdatenschutzbehörden wird ebenso zunehmen wie wettbewerbsrechtliche Verfahren und die Verfolgung von Verstößen seitens der Verbände. Gewappnet hierfür sind allein die verantwortlichen Stellen, die bereits führzeitig ihre datenschutzrechtlich relevanten Geschäftsprozesse ausreichend dokumentiert und angepasst haben.

Unionsrechtswidrigkeiten im Telemediengesetz

Die branchenübergreifend praxisrelevanten Vorschriften des TMG setzen neben der E‑​Privacy‑​Richtlinie auch die (allgemeine) EG‑​Datenschutzrichtlinie um. Weil diese Richtlinie ab dem 25. Mai 2018 durch die unmittelbar geltende DS‑​GVO ersetzt wird, ist insoweit ein deutsches Umsetzgesetz nicht nötig – mehr noch: Ein solches Gesetz ist wegen der unmittelbaren Wirkung von EU‑​Verordnungen unionsrechtswidrig und unanwendbar. Das gilt nach der Rechtsprechung des EuGH aus Gründen der Rechtssicherheit sogar dann, wenn das Umsetzungsgesetz den Wortlaut der EU‑​Verordnung lediglich wiederholt.

Diese Rechtsprechung wirkt sich unmittelbar auf das deutsche TMG aus: Es ist ab dem 25. Mai 2018 insoweit unionsrechtswidrig, als es solche Bereiche regelt, die auch unter die DS‑​GVO fallen. Insoweit wird das TMG zumindest partiell unanwendbar sein. Ein dringend notwendiges Bereinigungsgesetz des Bundes ist nicht in Sicht – erst recht nicht, wenn es noch eine Bundestagsneuwahl geben soll. Anstelle des TMG werden daher Unternehmen und Behörden dann die DS‑​GVO beachten müssen. Relevant ist dies z. B. für die – nach Art. 34 DS‑​GVO sehr viel strengeren – Vorgaben im Fall von unrechtmäßiger Kenntniserlangung von personenbezogenen Daten („data breach“) und den diesbezüglichen Pflichten von verantwortlichen Stellen, die Datenschutzaufsicht, Betroffene oder ggf. die Öffentlichkeit zu informieren.

E‑​Privacy‑​Verordnung lässt auf sich warten

Weil eine „E‑​Privacy‑​Verordnung“ notwendiges Gegenstück zur neuen DS‑​GVO ist, hätte sie der Unionsgesetzgeber eigentlich schon erlassen und die alte E‑​Privacy‑​Richtlinie aufheben müssen. Hierzu gibt es zwar mittlerweile ein EU‑​Gesetzgebungsverfahren. Das ist aber noch lange nicht abgeschlossen, zumal die derzeitigen Entwürfe von EU‑​Kommission und Europäischen Parlament noch massiv überarbeitungsbedürftig sind. Dass die E‑​Privacy‑​Verordnung gleichzeitig mit der DS‑​GVO zu gelten beginnt, ist praktisch ausgeschlossen.

Fazit

Beim Datenschutz für die elektronische Kommunikation werden daher Behörden und Unternehmen ab 25. Mai 2018 die DS‑​GVO einhalten und das TMG ignorieren müssen, um dann – geraume Zeit später – wieder neue Vorgaben, die E‑​Privacy‑​Verordnung, zu beachten. Gute Gesetzgebung sieht anders aus.