Der Bundestag hat soeben das neue Datenschutz-Gesetz mit dem abschreckenden Namen Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU verabschiedet und damit die – noch so ein Wortungetüm – EU-Datenschutzgrundverordnung (DSGVO) in nationales Recht umgesetzt, das bereits vor einem Jahr in Kraft trat.

Tim Wybitul von Hogan Lovells

Mehr als abschreckend findet das Ergebnis Tim Wybitul, Partner bei Hogan Lovells und Experte für betrieblichen Datenschutz und prophezeit ein Chaos:

„Politiker lassen Unternehmen im Regen stehen, denn das Gesetz ist selbst für Experten schwer zu verstehen.“ Für sie werde es nun teuer. Jetzt müssen Unternehmer sehen, wie sie mit diesem Chaos umgehen.“ Dasselbe gelte für Verbraucher und Verbände: sie können nur mit einem Gesetz arbeiten, das verständlich ist.

Damit nicht genug: Die Datenschutzbehörden haben angekündigt, dass sie das Gesetz teils für unzulässig halten und – entsprechend – nicht anwenden wollen.

Was das Datenschutzgesetz für Unternehmen bedeutet:

·         Hohe finanzielle Risiken bei Fehlern: Bußgelder von bis zu 20 Millionen Euro oder vier Prozent ihres globalen Umsatzes – je nachdem, welcher Betrag höher ist

·         Schmerzensgeld: Arbeitnehmer können Schadensersatzansprüche auch wegen Nicht-Vermögensschäden geltend machen. Das ist neu und führt zu erheblichen wirtschaftlichen Risiken für Unternehmen.

Denn: Verbraucher und Verbände haben Verbandsklagerechte, die ihnen das Geltendmachen tatsächlicher oder behaupteter Ansprüche erleichtern.

·         Beweislast wird umgekehrt: Der Arbeitgeber muss nachweisen können, dass er die geltenden datenschutzrechtlichen Vorgaben einhält. Unter anderem auch die umfassenden Dokumentationspflichten der DSGVO.

·         Sonderregeln: Das Gesetz enthält Sonderregeln in Spezialgebieten wie Datenschutz am Arbeitsplatz, Videoüberwachung oder Profiling.

·         Teile vom bisherigen Datenschutzes bleiben: Der Gesetzgeber versucht, möglichst große Teile des bisherigen deutschen Datenschutzes zu übernehmen

·         Compliance-Kontrollen werden schwieriger: Das Aufklären von Straftaten im Unternehmen oder anderen Pflichtverstößen bleibt erlaubt, muss aber strengen Anforderungen genügen – gerade bei der Transparenz der Datenverarbeitung.

·         Betriebsräte und der Paragraf 26 BDSG: Auch die Datenverarbeitung durch Betriebsräte muss sich nun an den Maßstäben des BDSG und der DSGVO messen lassen.

·         Betriebsvereinbarungen: Diese Kollektivvereinbarungen bleiben zulässig, um – erlaubte – Datenverarbeitung zu regeln. Sie müssen aber die Anforderungen von Artikel 88 Absatz 2 DSGVO und Paragraf 26 BDSG erfüllen. Die Folge: Auch viele schon geltende Betriebsvereinbarungen müssen nun einzeln oder durch den Abschluss entsprechender Rahmenbetriebsvereinbarungen angepasst werden.