EU-Datenschutz-Grundverordnung

Der erste Kommentar zum neuen EU-Datenschutzrecht

Das EU-Parlament hat die EU-Datenschutz-Grundverordnung (EU-DSGVO) beschlossen. Damit gilt ab Frühjahr 2018 für ganz Europa ein neues Datenschutzrecht und das deutsche Bundesdatenschutzgesetz (BDSG) gehört der Vergangenheit an. Aber was bedeutet das für den Datenschutz? Wie sieht der Arbeitnehmerdatenschutz genau aus? Dürfen die Mitgliedsstaaten strengere nationale Regeln erlassen? Wie steht es um das Recht auf Vergessenwerden? Auf alle diese Fragen gibt es hier erste Antworten.

Der Kurzkommentar enthält eine erste Kommentierung der neuen EU-Datenschutz-Grundverordnung (EU-DSGVO), sowie eine hilfreiche Synopse der EU-DSGVO und des bisher geltenden BDSG. Eine einführende Erläuterung vom Datenschutzexperten Peter Wedde erläutert das neue Recht und nimmt vor allem den Arbeitnehmerdatenschutz in den Fokus. Außerdem umfasst der Kommentar die hilfreichen Erwägungsgründe der EU-DSGVO, die den Umgang mit den neuen Rechtsvorschriften erleichtern.

Der Autor:
Dr. Peter Wedde, Professor für Arbeitsrecht und Recht der Informationsgesellschaft an der Frankfurt University of Applied Sciences und wissenschaftlicher Leiter des Instituts für Datenschutz, Arbeitsrecht und Technologieberatung in Eppstein

---

Diese Gefahren drohen durch das neue EU-Datenschutzrecht
Interview mit Dr. Peter Wedde: Welche Gefahren drohen und was Betriebsräte schon jetzt tun können, um die Arbeitnehmerdaten zu schützen.

1. Was sind die wichtigsten Änderungen im Datenschutz durch die neue EU-DSGVO?
Die EU-DSGVO wird das heute geltende Bundesdatenschutzgesetz weitgehend ersetzen. Sie gibt ab dem 25. Mai 2018 einen einheitlichen und zwingenden Datenschutzstandard für ganz Europa vor. Eine »Flucht« von Verantwortlichen Stellen in andere europäische Länder mit weniger Datenschutz wird damit sinnlos. Inhaltlich enthält die EU-DSGVO wichtige Neuerungen wie etwa ein »Recht auf Vergessen« oder den »Anspruch auf Datenübertragbarkeit«. Neu ist auch die zentrale Zusammenfassung allgemeiner Grundsätze, die der Verordnung in Art. 5 vorangestellt sind. Diese Grundsätze finden sich zwar teilweise auch im BDSG. Durch ihre Positionierung an prominenter Stelle im Eingangsteil der EU-DSGVO prägen sie aber den Datenschutz nunmehr entscheidend.

Dies hat vielfältige praktische Auswirkungen. So leitet sich etwa aus der in den Grundsätzen genannten Verpflichtung zur Datenminimierung für Datenverarbeiter die Notwendigkeit ab, für jedes personenbezogene Einzeldatum, das sie erheben wollen, zu prüfen, ob es für die benannten Verarbeitungszwecke erforderlich ist. Eine zweckfreie Vorratsdatenspeicherungen, die in vielen Betrieben etwa im Rahmen von sog. »Big Data«-Konzepten erfolgt, wird damit datenschutzrechtlich nicht zulässig.

Nicht zu unterschätzen sind schließlich die Geldbußen bis zu einer Höhe von zwanzig Millionen EUR bzw. von bis zu vier Prozent des weltweiten Jahresumsatzes des Vorjahres, die bei einem Verstoß gegen die EU-DSGVO gegen Verarbeiter verhängt werden können. Mit Blick auf diese (Maximal-)Beträge wird schlechter Datenschutz für Unternehmen ein echter Risikofaktor.

2. Welche Gefahren drohen durch die EU-DSGVO?
Eine grundlegende Gefahr folgt aus den beiden unterschiedlichen zwei Zielrichtungen der EU-DSGVO: Sie soll einerseits den Schutz personenbezogener Daten gewährleisten und andererseits den freien Datenverkehr garantieren. Bürger müssen sich deshalb darauf einstellen, dass die europa- und weltweite Datenverarbeitung weiter zunimmt. Ob die in der Verordnung enthaltenen Datenschutzregeln da etwa gegenüber großen Konzernen funktionieren, muss sich erst noch zeigen. Zumal ursprünglich geplante Schutzmechanismen gestrichen wurden. Hinzu kommt, dass die neunundneunzig Artikel der EU-DSGVO für Bürger textlich noch unverständlicher sind als die achtundvierzig Paragraphen des BDSG.

3. Gibt es etwas, was Betriebsräte jetzt schon tun können, um die Arbeitnehmerdaten zu schützen?
Die EU-DSGVO gilt zwar erst ab Mai 2018. Dennoch müssen sich Betriebsräte ab sofort mit dem neuen Datenschutzrecht befassen. Arbeitgeber tun dies schon seit der Verkündung des neuen Rechts und führen es teilweise bei Verhandlungen schon ins Feld, soweit es ihnen nützt. Schon deshalb ist es für Betriebsräte unumgänglich, die wesentlichen Prinzipien der EU-DSGVO zu kennen und zu verstehen. Zudem müssen sie sowohl für bestehende als auch für neu abzuschließende Betriebsvereinbarungen ausschließen, dass dort enthaltene Regelungen künftig in ihrer Wirksamkeit beschränkt oder ausgehöhlt werden, weil sie mit dem neuen Recht kollidieren. Und schließlich sollten Betriebsräte die Einhaltung der für Beschäftigte vorteilhaften Regelungen der EU-DSGVO wie etwa den erweiterten Anspruch auf Datenlöschung oder die vielfach notwendige IT-Folgenabschätzung schon jetzt in Betriebsvereinbarungen absichern.