Je näher der Stichtag 25. Mai rückt, desto größer ist die allgemeine Verunsicherung wegen der neuen europäischen Datenschutzregeln. Jetzt warnte der Digitalverband Bitkom, dass alleine schon die Annahme einer Visitenkarte eines Geschäftspartners ein Unternehmen einem Datenschutzverstoß nahe bringt.
„Bei strenger juristischer Auslegung kann man zu dem Schluss kommen, dass ein Unternehmen bei der Übergabe einer Visitenkarte direkt informieren muss, was es mit den Kontaktdaten machen wird“, sagte Susanne Dehmel, Geschäftsleiterin für den Bereich Datenschutz und Sicherheit. Spätestens wenn ein Unternehmen den Namen, Anschrift, Telefonnummer und E-Mail-Adresse in die Kundendatei übertrage oder diese Daten das erste Mal benutze, müsse der Betroffene explizit informiert werden.
Das klingt skurril: Schließlich kann man davon ausgehen, dass jemand seine Karte genau deshalb überreicht, damit sein Gegenüber die Daten auch irgendwann nutzt. Und tatsächlich: „Für die Kontaktaufnahme zur Abwicklung eines Geschäfts braucht man auch in Zukunft keine Einwilligung“, sagte Dehmel. Das sei gesetzlich erlaubt. Über die Umstände der Datenerhebung müsse trotzdem informiert werden. „Grundsätzlich kann das mündlich geschehen, dies ist dann aber im Zweifelsfall nicht nachweisbar“, so Dehmel.
Möglicherweise erinnere sich jemand in einigen Jahren nicht mehr, dass er einst seine Visitenkarte überreichte. Bei einer Beschwerde des Geschäftspartners kann dies ein Unternehmen in Erklärungsnot bringen. Die Beweislastumkehr gehört zu den wesentlichen Neuerungen der Datenschutzgrundverordnung (DSGVO).
Hektik haben sich Unternehmen selbst zuzuschreiben
Bei der Berliner Aufsichtsbehörde bestätigte man diese Einschätzung grundsätzlich. Die Visitenkarte sei allerdings nicht das Problem. „Die Entgegennahme der Visitenkarte für sich genommen löst noch keine Informationspflicht aus“, sagte ein Sprecher der Berliner Beauftragten für Datenschutz und Informationsfreiheit. Erst wenn die darauf enthaltenen Daten gespeichert würden, sehe die Verordnung vor, dass der Betroffene informiert werden müsse.
Um auf Nummer sicher zu gehen, empfiehlt Bitkom-Geschäftsleiterin Dehmel, dem Visitenkarteninhaber eine E-Mail zu schicken, in der er Pflichtangaben über die Verarbeitung seiner Daten bekommt und in der er darüber aufgeklärt wird, wie er gegebenenfalls der Verarbeitung widersprechen kann. Wie die Mitarbeiter des Verbands in Zukunft selbst mit Visitenkarten umgingen, sei noch nicht entschieden, so Dehmel.
Der künftige Umgang mit Visitenkarten ist ein besonders anschauliches Beispiel dafür, mit welchen Fragen sich Unternehmen und Verbände derzeit herumschlagen. Es geht oft um ganz praktische Dinge, an die lange Zeit niemand bei der Umsetzung der Verordnung gedacht hatte – oder nicht denken wollte. Der datenschutzkonforme Umgang mit dem Chatprogramm WhatsApp ist dafür ein anderes Beispiel, das derzeit vor allem Handwerksbetriebe und Freiberufler umtreibt.
Vieles von dem, was jetzt diskutiert wird, war auch nach bisherigem Recht verboten. Doch durch die DSGVO wird nicht nur der Schutz persönlicher Daten noch einmal an der einen oder anderen Stelle verschärft, sondern auch der Strafenkatalog. Bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes können die Behörden bei Verstößen künftig fordern. Besonders das sorgt bei vielen Unternehmen in den letzten Tagen vor dem Stichtag für Unruhe.
Die Hektik haben sich die Unternehmen selbst zuzuschreiben. Große Teile der Wirtschaft schieben das Thema bereits seit Jahren vor sich her. Die Verordnung ist offiziell bereits seit zwei Jahren in Kraft. Am 25. Mai 2018, also an dem Tag, auf den nun alle hinfiebern, wird sie endgültig scharf geschaltet.
Große Verunsicherung macht sich breit
Eine Bitkom-Umfrage zeigt das ganze Ausmaß des Dilemmas: Lediglich 24 Prozent aller Unternehmen gehen davon aus, dass sie die neuen Vorgaben bis zum Stichtag vollständig umgesetzt haben. Jedes dritte Unternehmen will bis dahin seine Hausaufgaben zumindest „größtenteils“ erledigt haben. Der Rest ist noch nicht so weit, zwei Prozent haben nicht einmal mit der Umsetzung angefangen. „Das ist wenig schmeichelhaft für die Wirtschaft“, sagte Bitkom-Präsident Achim Berg. Die Zahlen basieren auf einer Umfrage bei 500 deutschen Unternehmen.
Die Rechtsunsicherheit, wie die Verordnung genau auszulegen ist, werden von den Unternehmen als eine der größten Herausforderungen genannt. Sie wissen einfach nicht, wie sie die in vielen Punkten sehr allgemein gehaltene Verordnung auszulegen haben – etwa bei dem Punkt Visitenkarten. Das macht es für Unternehmen nach eigenen Angaben so schwer, den Aufwand für die Umsetzung der Vorgaben abzuschätzen. „Bei der Auslegung der Datenschutzgrundverordnung mangelt es von offizieller Seite bis heute an praktischen Hilfestellungen“, sagte Berg. Hier seien die Aufsichtsbehörden in der Pflicht.
Der Vorwurf in Richtung Aufsichtsbehörden überrascht nicht, müssen viele Unternehmen in den kommenden Wochen doch auf Nachsicht bei der Kontrolle der neuen Vorgaben hoffen. Vier von zehn befragten Unternehmen plädieren für eine verlängerte Schonfrist nach dem 25. Mai – also dafür, dass die möglichen Sanktionen ausgesetzt werden.
Die Hälfte spricht sich dafür aus, dass bei Verstößen zunächst nur Verwarnungen ausgesprochen werden. „Auch für die Behörden muss das Motto zunächst einmal lauten: helfen statt bestrafen“, sagte Verbandspräsident Berg. Trotz der eigenen Versäumnisse bei der Umsetzung können Unternehmen tatsächlich auf Nachsicht hoffen. Das signalisierte bereits EU-Justizkommissarin Vera Jourova.
Und hat die neue Verordnung aus Sicht der Wirtschaft nun mehr Vor- oder mehr Nachteile? Die Ergebnisse der Umfrage ergeben ein Bild, das zu der großen Verunsicherung der Unternehmen passt. Während 51 Prozent dank der DSGVO einen Wettbewerbsvorteil für europäische Unternehmen sehen, befürchten 34 Prozent einen Wettbewerbsnachteil.
Dieser Text erschien zuerst bei Welt.de.