EDITORIAL
Das unangenehme Thema Datenschutzgrundverordnung beschäftigt leider auch die hausinterne Compliance-Funktion. Zwar müssen Sie die neuen rechtlichen Vorgaben i. d. R. nicht eigenverantwortlich umsetzen. Die hausinterne Umsetzung durch die jeweils zuständigen Bereiche muss aber von der Compliance-Funktion überwacht werden.
Hier werden sich viele Probleme ergeben. Wie so häufig ist das neue Gesetz zwar gut gemeint, wird in der Praxis aber eher für weitere Probleme als für mehr Rechtssicherheit sorgen. Dies hat mehrere Gründe.
Durch die Datenschutzgrundverordnung soll der Datenschutz einheitlich auf der europäischen Ebene geregelt werden. Dieses Vorhaben ist aber nur zum Teil geglückt, da verschiedene Öffnungsklauseln vorhanden sind. Insbesondere der Beschäftigtendatenschutz kann weiterhin auf der nationalen Ebene geregelt werden (Art. 88 DSGVO). Rechtsvereinheitlichung sieht anders aus.
Das Bundesdatenschutzgesetz (BDSG) wird mithin nicht überflüssig, muss aber an die neue DSGVO angepasst werden. Zwischenzeitlich liegt das neue BDSG vor.
Nunmehr muss geprüft werden, inwieweit sich auch insoweit evtl. Anpassungsbedarf ergibt, was uns alle wertvolle Zeit kostet. Inwieweit wiederum das neue BDSG einer Überprüfung durch den EuGH standhält, werden auch erst die nächsten Jahre zeigen.
Weitere Probleme ergeben sich dadurch, dass gegenwärtig in Deutschland mehrere Landes- und eine Bundesbehörde die Aufsicht über den Datenschutz ausführen. Zwar soll es durch die DSGVO zu einer Vereinheitlichung der Aufsichtspraxis kommen (vgl. Art. 51 Abs. 2 DSGVO). Wie die gesetzlichen Vorgaben aber in der Praxis umgesetzt werden sollen, bleibt noch offen. Erschwerend kommt hinzu, dass umfassende praxisgerechte Auslegungs- und Anwendungshinweise zu den neuen gesetzlichen Vorgaben gegenwärtig nicht vorhanden sind. Die Konkretisierung der Details durch Aufsicht, Rechtsprechung und Literatur wird Jahre dauern.
Wie geht man mit dieser Situation um? Möglicherweise wird es für viele Häuser zweckdienlich sein, die DSGVO etappenweise umzusetzen. In einem ersten Schritt sollte man sich auf die wesentlichen Grundlagen beschränken, welche sich direkt aus dem Gesetz herleiten lassen. Nach einer näheren Konkretisierung durch Aufsicht, Literatur und Rechtsprechung wird dann die Detailarbeit in Angriff genommen.
Der Compliance-Funktion kommt hierbei die wichtige Aufgabe zu, die Umsetzung risikoadäquat zu begleiten. Regelmäßig muss hinterfragt werden, ob die getroffenen Maßnahmen ausreichend sind oder mehr getan werden muss.
In der letzten Ausgabe habe ich Ihnen bereits die wichtigsten Neuregelungen der DSGVO im Überblick und den hausinternen Umsetzungsbedarf in seinen Grundzügen vorgestellt. Der Beitrag sollte Ihnen helfen, die Prüfungsschwerpunkte für die Compliance-Funktion zu ermitteln.
Über Ihr Feedback dazu würde ich mich freuen.
Herzliche Grüße und viel Spaß beim Lesen der Lektüre!
Dr. Ulrich Hallermann
Rechtsanwalt und Datenschutzbeauftragter
Investitions- und Strukturbank RLP