Bericht der EU-Kommission zur DSGVO Dem Datenschutz steht noch ein langer Weg bevor

Die EU-Kommission hat die bereits erwartete Evaluierung der Datenschutz-Grundverordnung (DSGVO) veröffentlicht. Die Reaktionen reichen von Lob bis zur tiefen Enttäuschung. Für Unternehmen lautet die Botschaft, dass es auf allen Ebenen noch viel zu tun gibt. Helfen können dabei Instrumente der DSGVO, die bisher kaum Beachtung finden und deren Nutzung die EU-Kommission empfiehlt.

Anbieter zum Thema

FTAPI Software GmbH

Insider Research

„Wir haben den Evaluierungsbericht der EU-Kommission zur DSGVO mit Spannung erwartet. Von dem, was nun vorgelegt wurde, sind wir enttäuscht“, so Bitkom-Präsident Achim Berg. „Die Kommission konzentriert sich auf Details und blendet dabei viele wirklich wichtige Fragen aus“.

Es bleibe unklar, ob die DSGVO die oft beschworenen Wettbewerbsvorteile durch einen starken Datenschutz auch tatsächlich erzeugt hat. Unklar bleibe auch, wie die DSGVO so überarbeitet werden kann, dass datengestützte Lösungen zum Beispiel in der Gesundheitsversorgung und der Bildung wirksamer gefördert werden können, so der Bitkom-Präsident weiter. Auch lasse der Bericht offen, wie die Datenschutzregeln in der Praxis mit neuen Technologien wie z.B. Künstlicher Intelligenz und Blockchain umgesetzt werden sollen. Den Unternehmen bereite die uneinheitliche Auslegung der DSGVO in den Mitgliedstaaten nach wie vor Bauchschmerzen. Die EU hätte den Überprüfungsprozess der DSGVO nutzen sollen, um praxisnahe Vorschläge für eine verbesserte Harmonisierung zu machen. Dies sei leider unterblieben, wie der Digitalverband Bitkom kommentiert.

Security-Insider Podcast – Folge 15

Es waren einmal zwei Jahre DSGVO...

Für den Verband der Internetwirtschaft eco hat Europa mit der Datenschutzgrundverordnung den Rahmen für die zukünftige Ausgestaltung des Schutzes von personenbezogenen Daten gesetzt. Zersplitterte Regulierung, die zuvor in nationalen Datenschutzgesetzen unterschiedlich gehandhabt wurde, wurde in einer zentralen europäischen Verordnung gebündelt, systematisiert und nach denselben Prinzipien aufgestellt.

Doch es besteht weiter Handlungsbedarf, so eco Geschäftsführer Alexander Rabe: „Die Unternehmen brauchen klare Regeln und pragmatische Hilfestellung, bei deren Umsetzung – hier muss die Beratungsfunktion der Datenschutzaufsichtsbehörden viel besser greifen! Wir begrüßen, dass auch die Kommission erkannt hat, dass die bestehenden bürokratischen Hemmnisse und Rechtsunsicherheiten im Datenschutz nur durch einen ganzheitlichen europäischen Ansatz überwunden werden können. Dieser Ansatz muss die jetzigen Unsicherheiten beseitigen und zugleich einen innovationsfreundlichen und marktgerechten Rechtsrahmen garantieren, damit wir das uneinheitliche Datenschutz-Niveau Europas endlich ausgleichen.“

Für Änderungen an der DSGVO ist es zu früh

Vielleicht hat man sich einfach zu viel versprochen von dem Bericht der EU-Kommission zur Evaluierung der Datenschutz-Grundverordnung (DSGVO / GDPR) (pdf). Wirkliche Veränderungen waren auch gar nicht möglich, wohl aber Feststellungen, wo man etwas anders machen sollte.

Wie die meisten Interessenträger und Datenschutzbehörden ist auch die EU-Kommission der Ansicht, dass es für endgültige Schlussfolgerungen über die Anwendung der DSGVO und Vorschläge für ihre Überarbeitung noch zu früh ist.

Wenn sich also Wirtschaftsverbände nun enttäuscht zeigen nach der Lektüre des Kommissionsberichts, dann sollte dies nicht in der Kritik enden, sondern als Startpunkt für weitere Schritte der Umsetzung der DSGVO genutzt werden. Tatsächlich ist die DSGVO noch lange nicht so umgesetzt, wie man es sich für das Ziel eines einheitlichen europäischen Rechtsrahmens für den Datenschutz vorstellen würde. Das gilt nicht nur für Unternehmen, sondern auch für die Aufsichtsbehörden und die Mitgliedsstaaten der EU, wie auch der Kommissionsbericht zeigt.

Zwei Jahre Datenschutz-Grundverordnung

Was an der DSGVO geändert werden soll und kann

Mehr Harmonisierung erforderlich, bei den Mitgliedsstaaten und den Aufsichtsbehörden

So erklärt die EU-Kommission zum Beispiel, dass die Harmonisierung in den Mitgliedstaaten zunimmt, auch wenn ein gewisses Maß an Fragmentierung bestehe, das ständig überwacht werden muss. Letztlich bedeutet dies, dass es Mitgliedsstaaten gibt, die die Öffnungsklauseln so stark nutzen, dass es eben noch keinen wirklich einheitlichen Datenschutz in der EU geben kann. Didier Reynders, EU-Kommissar für Justiz, beschreibt dies so: „Der heutige Bericht zeigt (…), dass wir noch mehr tun können. So brauchen wir beispielsweise EU-weit mehr Einheitlichkeit bei der Anwendung der Vorschriften: Dies ist für Bürgerinnen und Bürger ebenso wichtig wie für Unternehmen und insbesondere KMU“.

Der Bericht besagt zudem, es könne noch mehr für eine echte gemeinsame Datenschutzkultur getan werden. Insbesondere die Bearbeitung grenzüberschreitender Fälle durch die Aufsichtsbehörden erfordere einen effizienteren, einheitlicheren Ansatz und einen wirksamen Einsatz aller in der Datenschutz-Grundverordnung vorgesehenen Mechanismen für die Zusammenarbeit der Datenschutzbehörden.

Welche Maßnahmen den Unternehmen besonders helfen könnten

Es ist zwar interessant zu hören, dass auch die Mitgliedsstaaten und die Aufsichtsbehörden noch Hausaufgaben für die Umsetzung der DSGVO zu tun haben. Doch für die Unternehmen ist es insbesondere wichtig zu wissen, wie ihnen konkret geholfen werden kann, die DSGVO noch besser einzuhalten.

Aus der Vielzahl der Punkte, die für eine vollständige Umsetzung der DSGVO noch erforderlich sind, sollen deshalb nun die hervorgehoben werden, die besonders für die Unternehmenspraxis relevant sind:

• Mehrere Datenschutzbehörden haben neue Instrumente, wie Beratungsstellen für Einzelpersonen und Unternehmen oder Toolkits für Klein- und Kleinstunternehmen, geschaffen. Die auf nationaler Ebene bereitgestellten Hilfsangebote müssen unbedingt vollständig mit den Leitlinien des Europäischen Datenschutzausschusses in Einklang stehen, so die EU-Kommission. Dies dient nicht nur der Harmonisierung. Vielmehr müssen nun einheitliche Leitlinien zu praktischen Fragen ausgebaut werden, die gerade KMU unterstützen können, die DSGVO umzusetzen.

• Die EU-Kommission nennt auch Beispiele: Der Europäische Datenschutzausschuss arbeitet derzeit an speziellen Leitlinien für die Zertifizierung und an Verhaltenskodizes für die Datenübermittlung an Drittländer und internationale Organisationen, die so bald als möglich fertiggestellt werden müssen, wie die EU-Kommission betont. Zweifellos ist dies ein Bereich, in dem viele Unternehmen auf entsprechende Leitlinien warten.

• Das Instrumentarium der DSGVO ist in vollem Umfang einzusetzen, um die Anwendung der Vorschriften z. B. im Wege von Verhaltenskodizes zu fördern, so die EU-Kommission. Tatsächlich werden Instrumente wie die Verhaltensregeln bisher nur minimal bis gar nicht genutzt. Unternehmen würden hier aber wichtige Unterstützung finden, denn Unternehmensverbände könnten branchenspezifische Verhaltensregeln entwickeln und diese von der zuständigen Aufsicht genehmigen lassen. Dazu würden auch Verhaltensregeln gehören, die speziell die Besonderheiten der KMU in den Blick nehmen.

• Die EU-Kommission stellt zudem klar: Der zukunftssichere und risikobasierte Ansatz der DSGVO wird auch im künftigen EU-Rahmen für künstliche Intelligenz und bei der Umsetzung der europäischen Datenstrategie Anwendung finden. Das bedeutet für Unternehmen, dass nicht geplant ist, zum Beispiel für KI einen völlig anderen Datenschutz zu etablieren, sondern die DSGVO wird auch dort Anwendung finden.

• Interessant ist auch der Hinweis der EU-Kommission, dass die DSGVO nicht nur Sanktionen wie z. B. die Verhängung von Bußgeldern, Verwarnungen und Verweisen vorsieht. Beispielsweise könne ein Verbot der Verarbeitung oder die Aussetzung von Datenströmen sehr viel wirksamer sein als ein Bußgeld. Für Unternehmen ein Grund mehr, die DSGVO so genau wie möglich umzusetzen, denn „ein Verbot der Verarbeitung oder die Aussetzung von Datenströmen“ kann im Zeitalter der Digitalisierung letztlich eine Betriebsunterbrechung nach sich ziehen, mit massiven Folgen für ein Unternehmen.

Neues eBook „DSGVO – ein Jahr danach“

Bilanz und Evaluierung der Datenschutz-Grundverordnung

Alle sind gefragt, um einen einheitlichen, starken Datenschutz zu sichern

Der Bericht der EU-Kommission nennt viele Bereiche, in denen die Arbeit zur Umsetzung der DSGVO voranschreiten muss, insbesondere empfiehlt der Bericht:

• die Verabschiedung weiterer Richtlinien, die praktisch und leicht verständlich sind, klare Antworten liefern und Unklarheiten in Bezug auf Fragen im Zusammenhang mit der Anwendung der DSGVO vermeiden, beispielsweise bei der Verarbeitung von Kinderdaten und Rechten betroffener Personen, einschließlich der Ausübung des Zugangsrechts und des Rechts auf Löschung der Daten

• Überprüfung der Leitlinien, wenn weitere Klarstellungen im Lichte der Erfahrungen und Entwicklungen erforderlich sind, einschließlich in der Rechtsprechung des Gerichtshofs der EU

• Entwicklung praktischer Instrumente wie harmonisierte Formulare für Datenschutzverletzungen und Vereinfachung bei den Aufzeichnungen über Verarbeitungsaktivitäten, um KMU mit geringem Risiko bei der Erfüllung ihrer Verpflichtungen zu unterstützen.

Dies sind durchaus Punkte, die sich Unternehmen ebenfalls wünschen würden. Wenn solche Punkte erreicht werden, am besten vor dem nächsten Bericht zur Evaluierung der DSGVO in 2024, könnte und sollte die Enttäuschung bei einigen Verbänden weichen, denn zweifellos hat die DSGVO auch schon jetzt viel Gutes erreicht und kann noch mehr erreichen, wenn sich alle gemeinsam für einen einheitlichen Datenschutz stark machen, auf EU-Ebene, auf der Ebene der Mitgliedsstaaten, bei den Aufsichtsbehörden und bei den Unternehmen.

(ID:46669529)