Privacy by Design – EU beschließt neue Datenschutzregeln

In der EU gelten neue Datenschutzregelungen. Seit 2011 wird die Neufassung diskutiert. Jetzt hat die EU die Datenschutz-Neuregelung vorgelegt. Mit der Neuregelung sollen die bestehenden Bestimmungen, die aus dem Jahr 1995 stammen, an die neuen Technologien angepasst werden. Vor allem die Rechte der Verbraucher werden damit gestärkt. Die Neuregelung nimmt zudem Anbieter stärker als bisher in die Pflicht. Für die Neufassung haben sich jetzt Vertreter von EU-Kommission, Europaparlament und EU-Staaten zu einem Kompromiss durchgerungen. Der muss jetzt noch vom EU-Ministerrat und dem EU-Parlament angenommen werden. Geschieht das, kann die neue Verordnung Anfang 2018 in den einzelnen Mitgliedsstaaten umgesetzt werden.

Internet Service Provider wie Facebook oder Google müssen die Zustimmung ihrer Nutzer ausdrücklich einholen. Zudem sollen Anwender das so genannte “Recht auf Vergessenwerden” bekommen und sie können künftig ihre Daten von einem Anbieter Portieren. Auch sieht die Neuregelung eine nationale Beschwerdestelle für Datenschutz-Fragen vor. So hätte etwa Max Schrems nicht in Irland gegen Facebook klagen müssen, sondern hätte seine Beschwerde in Österreich bei der entsprechenden Stelle eingeben können. Zudem gelten durch diese Regelung europäische Regeln automatisch für Unternehmen, wenn diese Dienste auf europäischem Boden anbieten.

Des weiteren müssen die Anbieter ihre Produkte schon bei der Entwicklung auf Datenschutz trimmen und die Produkte auch im Sinne des Datenschutzes voreinstellen.

Bei Verstoß gegen diese Regelungen behält sich der neue Kompromiss hohe Strafzahlungen vor. So können Unternehmen mit bis zu vier Prozent ihres Jahresumsatzes belangt werden.

Ein weitere wichtige Neuerung ist, dass Jugendliche unter 16 Jahren künftig eine Zustimmung der Eltern benötigen, um Soziale Netze wie Facebook und Instagram, Google+ und Twitter nutzen zu dürfen. Hier sieht die neue Direktive jedoch großen Gestaltungsspielraum vor, denn die einzelnen Staaten können das Mindestalter für die Mitgliedschaft in einem sozialen Netz auf bis zu 13 Jahre senken.

Online-Anbieter müssen zudem Datendiebstähle innerhalb von drei Tagen melden. Ausnahmen kann es unter bestimmten Voraussetzungen für kleinere Unternehmen geben.

Grundlegend besteht das Reformpaket aus zwei Teilen: erstens der allgemeinen Datenschutz-Regelung, die die Rechte des Einzelnen einheitlich definiert, und zweitens einer Datenschutz-Direktive für Strafverfolger, die die Rechte von Opfern, Zeugen und Verdächtigen in Ermittlungsverfahren festschreibt. Kommissionsvizepräsident Andrus Ansip nennt den aktuellen Beschluss daher eine “Einigung, die ein großer Schritt hin zu einem digitalen Binnenmarkt ist.”

Auch auch für Unternehmen berge der neue Entwurf Vorteile, versichert die EU. So werde es durch das einheitliche Gesetz einfacher und billiger, in der EU aktiv zu sein. Durch einen einheitlichen Gesetzestext und die Schaffung einer einzigen Behörde als Ansprechpartner für die Unternehmen könnten diese rund 2,3 Milliarden Euro einsparen.

Vor allem kleine und mittelständische Unternehmen müssen keine regelmäßigen Datenschutzberichte mehr einreichen. Für exzessive Dateneinsichtbegehren könnten sie nun Gebühren erheben. Unternehmen, bei denen Datenverarbeitung nicht in das Kerngeschäft fallen, müssen nun keinen Data Protection Officer mehr vorweisen.

One continent, One law

“In Zukunft gilt in der EU beim Datenschutz gleiches Recht für alle”, kommentiert Bitkom-Hauptgeschäftsführer Bernhard Rohleder. Der Verband führchtet jedoch mehr bürokratischen Aufwand und die Neuregelungen sorgten für “mehr Rechtsunsicherheit und sind teils praxisfern”, etwa die eingangs erwähnte Jugendschutzbestimmung für Soziale Netze.

Deutlicher fällt die Kritik des Bundesverbands Digitale Wirtschaft (BVDW) aus. Vizepräsident Thomas Duhr formulierte: “Grundsätze wie eine europaweite Harmonisierung und ein Wechsel zum Marktortprinzip sind zwar grundsätzlich zu befürworten, der Kompromiss zur Datenschutz-Grundverordnung zeigt aber leider mit aller Deutlichkeit, dass der europäische Gesetzgeber die Zeichen der Zeit nicht erkannt hat. Die für die Wettbewerbsfähigkeit der europäischen Digitalbranche so wichtige Risikodifferenzierung fehlt völlig. Stattdessen haben wir nun einen realitätsfernen, einwilligungsbasierten ‘One size fits all’-Ansatz, der erhebliche Hürden für entgeltfreie Dienste, also den Kern des Internets, schafft. Das widerspricht sowohl den Interessen der Unternehmen als auch denen der Nutzer.”

Grundsätzlich begrüße auch eco Vorstand für Politik & Recht, Oliver Süme, die neue Grundverordnung. “Auch wenn klar ist, dass dadurch auf die Unternehmen zunächst enorme Kosten zukommen. Sie müssen beispielsweise zahlreiche IT-Systeme, Dokumentationen und Schnittstellen anpassen, Mitarbeiter schulen und Vertragswerke neu aufsetzen, um die neuen Verpflichtungen zum Beispiel im Zusammenhang mit der Nutzereinwilligung, dem Recht auf Vergessenwerden, der Datenportabilität und dem Marktortprinzip zu erfüllen. Das betrifft alle Unternehmen, die mit personenbezogenen Daten zu tun haben. Das heißt, die Unternehmen treten hier in den nächsten zwei Jahren in Vorleistung.”

Süme sieht aber auch Chancen, denn mit Inkrafttreten 2018 würde auch “endlich” ein großer europäischer Markt mit einem einheitlichen Datenschutzniveau entstehen, was hoffentlich mehr Rechtssicherheit und erhebliche Einsparpotenziale bei zeitlichen und finanziellen Ressourcen bedeute. “Im Idealfall gleicht sich diese Bilanz also in ein paar Jahren aus, so dass sich die Datenschutz Grundverordnung unterm Strich sowohl für Unternehmen als auch für die Nutzer auszahlt.”

[mit Material von Florian Kalenda, ZDNet.de]

Tipp: Wie gut kennen Sie sich mit der europäischen Technologie-Geschichte aus? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.