Auch vier Monate nach Inkrafttreten sorgen die neuen EU-Datenschutzregeln noch für Unsicherheit: Der Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) sieht vor diesem Hintergrund Nachbesserungsbedarf bei der seit Mai geltenden Datenschutz-Grundverordnung (DSGVO).
„Wir brauchen mehr Klarheit in den Prozessen und weniger Bürokratie für kleine und mittelständische Unternehmen“, sagte Verbandschef Thomas Spaeing dem „Handelsblatt“. Auch ehrenamtlich geführte Vereine fühlten sich von der DSGVO überfordert.Nach Erhebungen des BvD haben bisher nur etwa 40 Prozent der Unternehmen und Organisationen in Deutschland ihre Prozesse DSGVO-konform gestaltet. „Mit fortschreitender Zeit steigt für diese Unternehmen das Risiko im Bereich des Datenschutzes“, warnte Spaeing. Ein Grund sei eine „wachsende Verunsicherung“ bei der Frage, wann ein Unternehmen zur Bestellung eines Datenschutzbeauftragten verpflichtet sei.
Auch ohne Datenschutzbeauftragten volle Haftung
„Doch ob nun ein Datenschutzbeauftragter benannt ist oder nicht, entbindet das Unternehmen nicht von der Umsetzung sämtlicher Anforderungen aus der DSGVO.“ Die Umsetzung der Datenschutzregeln sei nicht von Betriebsgrößen abhängig, so Spaeing. In einem Positionspapier des Verbands, über welches das „Handelsblatt“ berichtet, wird etwa eine Entschärfung der Meldepflicht bei Datenpannen gefordert.
Bislang mussten die Aufsichtsbehörden nur informiert werden, wenn bestimmte „sensible“ personenbezogene Daten wie etwa Gesundheits- oder Bankdaten von Pannen betroffen waren. Mit der DSGVO gilt die Meldepflicht für jegliche Verletzung personenbezogener Daten.
Einfache Regelungen bei einfachen Datenpannen
Der Datenschützerverband regt eine Neuregelung für „einfache Datenpannen“ an. Diese sollten nur an den benannten Datenschutzbeauftragten gemeldet werden, der sie dokumentiere und der Datenschutzbehörde jederzeit Einsicht gewähre. Für gemeinnützige und ehrenamtlich geführte Vereine fordert der Verband weitreichende Ausnahmeregelungen. Sofern sie keine Daten verarbeiten, die ein „hohes Risiko“ für die Betroffenen darstellten, sollten sie etwa von Informationspflichten, der Meldepflicht bei Datenpannen sowie der Verhängung eines Bußgelds befreit werden, heißt es in dem Positionspapier.
