Warum künf­tig hohe Stra­fen bei Daten­lecks dro­hen

Für Unternehmen, die Daten verarbeiten, gelten künftig umfangreichere Informationspflichten. In ihren Datenschutzerklärungen müssen sie zum Beispiel Namen und Kontaktdaten von Verantwortlichen nennen und angeben, für welchen Zweck und auf welcher Rechtsgrundlage sie die Daten verarbeiten. Sie müssen  Kunden ferner darüber aufklären, wie und welche Daten in Ländern außerhalb der EU verarbeitet werden, wie lange sie gespeichert werden und welche Rechte die Betroffenen haben, etwa in Bezug auf die Berichtigung oder Löschung ihrer Informationen. Für die Aufsichtsbehörden müssen die meisten Firmen zudem ein Verzeichnis anlegen, in dem sie Ihre Verarbeitungstätigkeiten dokumentieren. Besonders Online-Shops oder Arztpraxen dürften hier nachbessern müssen, da sie viele oder sehr sensible Daten nutzen.

Völlig neu ist die sogenannte Datenschutzfolgeabschätzung, die vor allem auf Unternehmen zukommt, die besonders viele oder sensible Daten verarbeiten. Sie müssen zunächst das Risiko für die Rechte und Freiheiten ihrer Kunden abschätzen, falls es zu einem Datendiebstahl kommen sollte. Hoch dürfte es zum Beispiel bei der Nutzung von Gesundheitsdaten sein. Im zweiten Schritt müssen die Firmen bewerten, ob ihre Sicherheitsvorkehrungen ausreichen, um die Daten zu schützen. Zudem haben sie nachzuweisen, dass sie die EU-Datenschutzgrundverordnung einhalten und die Interessen der Betroffenen wahren. Besteht trotz Schutzmaßnahmen weiterhin ein hohes Risiko, ist die zuständige Datenschutzbehörde einzuschalten. Sie spricht dann Empfehlungen aus.

Die EU-DSGVO zieht neue Grenzen, ab der Unternehmen einen Datenschutzbeauftragten stellen müssen. Bislang gilt die Pflicht für Betriebe, in denen mindestens zehn Mitarbeiter mit der automatisierten Datenverarbeitung befasst sind. Künftig trifft die Vorgabe alle Unternehmen, die wenigstens zehn Mitarbeiter beschäftigen. Noch engere Grenzen gelten für Betriebe oder Freiberufler, die mit sensiblen Daten hantieren, wie zum Beispiel Ärzte. Sie müssen schon bei weniger als zehn Mitarbeitern einen Datenschutzbeauftragten benennen. Dieser muss wie bislang beruflich und fachlich qualifiziert sein, den Datenschutz überwachen zu können. Bislang gibt es auch nur geringe Sanktionsmöglichkeiten, wenn Unternehmen keinen Datenschutzbeauftragten benennen. Das ändert sich in Zukunft.

Gelangen personenbezogene Informationen in unbefugte Hände, müssen Unternehmen die Datenschutzbehörden und die betroffene Kunden darüber informieren. Solche Meldepflichten gibt es zwar schon heute, die Hürden dafür werden mit der EU-DSGVO jedoch gesenkt. Demnach ist grundsätzlich jede Datenpanne der Aufsicht zu melden, es sei denn, das Leck führt „voraussichtlich nicht zu einem Risiko für die betroffenen Kunden“. Das zu beurteilen, dafür haben die Unternehmen aber nur wenig Zeit: Innerhalb von 72 Stunden nach einem Datenabgriff müssen sie die Aufsicht informieren. Verstöße gegen die Meldepflicht werden künftig strenger bestraft. Bis zu zwei Prozent des Jahresumsatzes oder bis zu 10 Millionen Euro sind dann fällig. 

Die strengeren Anforderungen an die Datensicherheit bedeuten auch, dass die Unternehmen technisch aufrüsten müssen. Konkrete Vorgaben an die IT-Sicherheit enthält die EU-DSGVO zwar nicht, sie verpflichtet die Firmen aber zu einem „dem Risiko angemessenen Schutzniveau“. Heißt konkret: Je sensibler die genutzten Daten sind und je folgenschwerer ihr Verlust wäre, desto aufwendiger muss die IT gesichert sein. Im Zweifel müssen Unternehmen mehr als nötig in ihre IT-Sicherheit investieren, um im Ernstfall von den Aufsichtsbehörden nicht für Versäumnisse belangt werden zu können. Bislang werden IT-Sicherheitslücken nur selten sanktioniert. Das dürfte sich aber ändern.

Die Missachtung der Datenschutzvorschriften wird künftig härter sanktioniert. Leichte Verstöße, wenn etwa das Verzeichnis der Verarbeitungstätigkeiten fehlt, werden mit einem Bußgeld in Höhe von zwei Prozent des Jahresumsatzes oder bis zu 10 Mio. Euro belegt. Bei schweren Verstößen, dazu zählt etwa die Nutzung persönlicher Daten ohne ausreichende Einwilligung der Betroffenen, drohen sogar Geldstrafen in Höhe von bis zu vier Prozent des Jahresumsatzes oder bis maximal 20 Mio. Euro. Solche Summen können selbst große Konzerne empfindlich treffen. Bislang werden schwere Datenschutzverstöße in Deutschland mit maximal 300.000 Euro geahndet.