DSGVO
Die Ruhe vor dem Sturm
Fortsetzung des Artikels von Teil 1
Wundertüte Brexit
Die größte Unsicherheit für Unternehmen – nicht nur in Sachen Datenschutz – lauert 2019 beim Thema Brexit. Gibt es noch eine Vereinbarung oder kommt zum 31. Oktober der „harte“ Brexit ohne Abkommen? Für den Umgang mit personenbezogenen Daten hat die Antwort auf diese Frage erhebliche Auswirkungen. Ringen sich die Briten doch noch zu einem geregelten Austritt durch, ändern sich für EU-Firmen erstmal nichts. Im Austrittsabkommen ist eine Übergangsphase bis Dezember 2020 vereinbart. In dieser Zeit wird Großbritannien nach wie vor wie ein EU-Mitglied behandelt. Damit gilt beim Datenaustausch weiterhin die DSGVO in Verbindung mit dem Bundesdatenschutzgesetz. Eine völlig andere Situation ergibt sich im Fall eines ungeregelten Ausstiegs. Wie alle anderen europäischen Abkommen, endet auch die Gültigkeit der DSGVO mit dem Austrittstag. Am nächsten Tag gilt das Vereinigte Königreich dann als Drittland ohne entsprechende Datenschutzbestimmungen. Damit dürfen personenbezogenen Daten nicht mehr ohne Weiteres mit Großbritannien ausgetauscht werden.
Auch wenn ihre Kunden nicht in Großbritannien sitzen, sollten Unternehmen deshalb einmal einen genauen Blick in die Liste ihrer Dienstleister werfen. Ob Mailing-Agenturen, Hoster oder Software-as-a-service-Anbieter – viele der großen Player und Hidden Champions in diesen Bereichen sitzen auf der Insel.
Statt sich auf zwischenstaatliche Regelungen berufen zu können, müssen dann die Unternehmen selbst geeignete Garantien beim Datenschutz nachweisen. Bei Unternehmens-gruppen mit Standorten in der EU und in Großbritannien können dies so genannte Binding Corporate Rules (BCR) sein. Über diese wird der Umgang mit Daten für die gesamte Unternehmensgruppe geregelt; sie müssen die Vorgaben der DSGVO erfüllen. Eine weitere Möglichkeit besteht in der Anwendung von EU-Standardvertragsklauseln, die in Verträge zwischen britischen und EU-Unternehmen aufgenommen werden müssen. Zu guter Letzt können Unternehmen die jeweilige Verarbeitung durch eine Datenschutzbehörde der EU zertifizieren lassen.
Egal welche Variante gewählt wird, alle bedeuten einen erheblichen Aufwand. Und diese neuen Rechtsgrundlagen müssen am Tag des Austritts stehen. Bei einem ungeregelten Brexit gibt es keine Übergangsfristen. Jede Übermittlung personenbezogener Daten nach Großbritannien ist dann sofort verboten und kann bei Zuwiderhandlung mit Bußgeldern belegt werden.
Kommt sie oder kommt sie nicht? Die ePrivacy-Verordnung
Ein wichtiger Baustein der DSGVO steht noch aus: die ePrivacy-Verordnung. Darin wird der ganze Bereich der elektronischen Kommunikation datenschutzrechtlich geregelt. Die Verordnung sollte ursprünglich zeitgleich mit der DSGVO in Kraft treten, bis jetzt gibt es jedoch noch keinen endgültigen Entwurf. Denn der Interessenskonflikt zwischen Datenschützern und Digitalwirtschaft ist gewaltig. Vor allem die Regelungen zum Thema Direktwerbung und Tracking werden kontrovers diskutiert. Während die Datenschützer das nur noch mit Einwilligung erlauben wollen, befürchten Online-Werbeagenturen, dass damit die Möglichkeiten der Online-Werbung mit Tracking und Retargeting praktisch erledigt sind. Der Ausgang dieser Diskussion ist ungewiss, ein endgültiger Entwurf soll jedoch Ende des Jahres fertig sein. Mit Übergangsfristen wird die Verordnung allerdings nicht vor 2022 seine Wirkung entfalten.
Raue Zeiten im zweiten Halbjahr
Nachdem das Jahr 2019 in Sachen Datenschutz bisher recht ruhig verlaufen ist, wird sich das im zweiten Halbjahr zunehmend ändern. Nationale Faktoren wie die vermehrten Kontrollen der Aufsichtsbehörden treffen auf internationale Faktoren wie den Brexit. Die DSGVO bringt also noch viel Arbeit für Unternehmen. Sie bietet ihnen aber auch eine Chance, ihre bisherigen Prozesse auf Schwächen zu prüfen. Gemeinsam mit Datenschutz-Agenturen, die Unternehmen sowohl Ressourcen als auch Know-how bieten, können Unternehmen so Datenschutz und Datensicherheit langfristig auf ein neues Level bringen.
Kivanc Semen, Geschäftsführer und Mitgründer von DataGuard
- Die Ruhe vor dem Sturm
- Wundertüte Brexit
Lesen Sie mehr zum Thema
