Allgemein

Neue EU-Datenschutzverordnung enthält weitreichende Neuerungen

Nachdem zuletzt die Neuregelung des Arbeitnehmerdatenschutzes die Datenschutzdiskussion in Deutschland beherrschte, hat die EU-Kommission Ende Januar ihren Entwurf für ein neues, einheitliches Datenschutzrecht vorgelegt, das auch in Deutschland unmittelbare Anwendung finden soll. Wenngleich aus deutscher Sicht viele Prinzipien erhalten bleiben, „sieht der Entwurf einige weitreichende Änderungen gegenüber der derzeit in Deutschland geltenden Gesetzeslage vor“, so Jörg Futter, Experte für Datenschutz und Counsel bei Clifford Chance.

09. Februar 2012

So ist z. B. nach geltendem Recht die Einwilligung ein gängiges Mittel, die Rechtmäßigkeit von Datenverarbeitungsvorgängen im Unternehmen sicherzustellen. „Gerade in Bezug auf Arbeitnehmer soll sich dies nach dem Entwurf aber gravierend ändern“, so Futter. Eine Einwilligung soll generell ausscheiden, wenn ein erhebliches Ungleichgewicht zwischen Betroffenem und Datenverarbeiter besteht, was nach Auffassung der EU-Kommission gerade im Rahmen von Beschäftigungsverhältnissen der Fall ist. „Dieser Vorschlag geht an der betrieblichen Praxis vorbei und erschwert sachgerechte und zweckmäßige Lösungen“, so Futter weiter. Dabei enthält der Entwurf keine Spezialregelungen zum Arbeitnehmerdatenschutz, sondern erlaubt den Mitgliedstaaten ausdrücklich nationale Sonderregelungen, die sich allerdings im Rahmen der Vorgaben der Verordnung halten müssen.

Die von der Bundesregierung geplante Neuregelung des Arbeitnehmerdatenschutzes bleibt also weiter möglich. Auch hinsichtlich der bei Verstößen drohenden Sanktionen sind erhebliche Verschärfungen vorgesehen: Drohten Unternehmen bisher Bußgelder bis zu 300 000 Euro, sollen Aufsichtsbehörden künftig bis zu 2% des weltweiten Jahresumsatzes als Bußgeld festsetzen können. Ein weitere Änderung, die laut Futter in der Praxis erheblich Bedeutung hätte, ist die verschärfte Meldepflicht bei „Datenpannen“, die es entgegen der aktuellen Rechtslage künftig bei jeglichem Verlust personenbezogener Daten geben soll und nach der eine entsprechende Meldung innerhalb von 24 Stunden erfolgen muss.

Der Verordnungsentwurf sieht ein Inkrafttreten zwei Jahre nach seiner Verabschiedung vor, frühestens also Ende 2014. Bis dahin, so Futter, sei noch mit einigen Änderungen zu rechnen. Nicht nur die deutsche Politik wird bei der weiteren Ausgestaltung noch ein gewichtiges Stück mitreden wollen.