Auch bei der Implementierung der neuen Vorschriften können Firmen auf Modelle setzen. Die EU-Datenschutzverordnung (DSGVO) tritt am 25. Mai 2018 in Kraft. "Die neuen Regelungen sind für alle Firmen ohne Ausnahme relevant", sagt Rechtsanwalt und Datenschutzrechtler David Oberbeck. Begründung: Die neuen Regelungen gelten für alle, die persönliche Informationen bearbeiten. Nach Oberbeck ist dies erlaubt oder wenn der Betreffende der Verwendung der Angaben explizit zugestimmt hat.
Die Unternehmen benötigen dann die Zustimmung der Beteiligten, wie es in der aktuellen Gesetzeslage bereits der Fall ist. In Zukunft wird das Problem jedoch auftreten, wenn keine Zustimmung da ist. "Dies gilt nach der Basisdatenschutzverordnung als unbefugte Datenverarbeitung", mahnt der Anwalt. "Endlich werden die Strafen für alle Straftaten mit der Datenschutz-Grundverordnung erheblich angehoben, so der Datenschutzrechtler.
Im Falle einer unrechtmäßigen Bearbeitung personenbezogener Informationen können Firmen zukünftig von der verantwortlichen staatlichen Datenschutzbehörde mit einer Geldbuße von bis zu 20 Mio. EUR oder 4 % des im Vorjahr insgesamt erwirtschafteten weltweiten Umsatzes verfolgt werden, je nachdem, welcher Wert größer ist. "Trotzdem empfiehlt er, die neuen Vorschriften nicht auf die leichte Schulter zu nehmen.
Insbesondere haben Firmen neue Informationsverpflichtungen zu beachten, so der Datenschutzbeauftragte. Diese werden immer dann wirksam, wenn eine neue Zustimmungserklärung der betreffenden Personen eingeholt wird. Weil sie dann die Kundinnen und Kunden in schriftlicher Form darüber unterrichten müssen, was sie mit den gesammelten Informationen zu tun beabsichtigen - zum Zeitpunkt der Datenerfassung. Auch haben die Beteiligten ein Recht auf Information.
"Daher müssen Firmen auf Anfrage auch in Einzelfällen offen legen, welche Informationen sie über eine bestimmte Personen und zu welchem Zwecke speichern", erklärt der Anwalt. Einige Innovationen kommen auch bei der Dokumentierung in die Firmen. Sie müssen beispielsweise in Zukunft im so genannten "Verzeichnis für die Bearbeitung von Tätigkeiten" erfassen, welche persönlichen Informationen im Betrieb bearbeitet werden und zu welchem Zwecke sie verwendet werden.
In manchen Fällen muss die Unterlage auch eine datenschutzrechtliche Folgenabschätzung mit einbeziehen. In diesem Kontext werden gesundheitliche Daten, die Volkszugehörigkeit oder die Religionszugehörigkeit einer Persönlichkeit als besonders empfindlich eingestuft. Eine ZDH Richtlinie mit vielen Vorlagen unterstützt die Implementierung der neuen Vorschriften. Befragung: Haben Sie bereits einen Beauftragten für den Datenschutz?