Datenschutz: Mehr Gewissenhaftigkeit

Das Thema Datenschutz wird immer präsenter. Die EU-Datenschutzgrundverordnung (DS-GVO) beziehungsweise das neue Bundesdatenschutzgesetz legen jetzt die Latte deutlich höher. Was das bedeutet und auf was der Autohandel achten muss, erklärt Rechtsanwalt Dr. Marc Störing, Partner bei Osborne Clarke, im Interview mit AUTOHAUS. AH: Die neue EU-Datenschutzgrundverordnung (DS-GVO) stellt Unternehmen vor neue Herausforderungen. In welcher Form ist der Autohandel davon betroffen? M. Störing: Die DS-GVO betrifft nicht etwa lediglich IT-Unternehmen, sondern unabhängig von der Branche jedes Unternehmen. Betroffen sind Unternehmen, soweit sie sogenannte personenbezogene Daten verarbeiten, also Daten über Menschen. Dies tut aber praktisch jedes Unternehmen. Selbst wer nur gewerbliche, aber keine privaten Kunden hat, hat im Zweifel eigene Mitarbeiter. Der Autohandel ist insgesamt also voll betroffen. Denn neben dem Umgang mit Mitarbeiterdaten werden ja in der Branche auch Kundendaten immer wichtiger. AH: Was wird neu geregelt? M. Störing: Die DS-GVO erneuert praktisch alle Aspekte des Umgangs mit personenbezogenen Daten. Aber trotzdem wird hier das neue Recht etwas überschätzt. Denn wir haben schon bisher ein strenges und detailliertes Datenschutzrecht; die DS-GVO ist da keine revolutionäre Neuerung, sondern eine teilweise sinnvolle und teilweise weniger gelungene Evolution. Ich habe den Eindruck, dass teilweise die Neuerungen durch die DS-GVO für einige Unternehmen "gefühlt" viel größer sind als die tatsächlichen Neuerungen. Das hat einen einfachen Grund: Wer sich bisher eher weniger um Datenschutz gekümmert hat und nun auf die DS-GVO schaut, hat eben nicht nur die Neuerungen, sondern die Materie als Ganzes als Herausforderung neu vor sich. AH: Wie hat sich der Handel darauf einzustellen? M. Störing: Der Handel muss sich darauf einstellen, dass das Datenschutzrecht dauerhaft einen hohen Stellenwert einnehmen wird. Die horrenden Bußgelder sind ein großes Thema. Bei Verstößen können bis zu 20 Millionen Euro Bußgeld drohen, oder - wenn dies noch mehr ist - bis zu vier Prozent des konzernweiten, weltweiten Jahresumsatzes. Als Folge dessen werden auch Vertragspartner, also etwa auch Hersteller, stärker auf die Einhaltung des Datenschutzrechts auch beim Handel achten, denn hier bestehen neben bloßen Reputationsrisiken auch echte Bußgeldrisiken der Hersteller für Verstöße durch den Handel. Schwerpunkt Dokumentation AH: Welche Maßnahmen müssen im Detail ergriffen werden? M. Störing: Die gute Nachricht ist, dass die DS-GVO im Zweifel kaum einen konkreten Umgang mit Daten, der bisher zulässig war, zukünftig verbieten wird. In seinem innersten Kern wird das Datenschutzrecht also gar nicht strenger werden - da wird die DS-GVO häufig falsch verstanden. Aber das neue Recht legt einen großen Schwerpunkt auf die Dokumentation. Zukünftig muss sehr viel dokumentiert werden: Welche Daten sind für welche Zwecke in welcher Form vorhanden, wie sind die Daten gesichert, welche Risiken könnten entstehen, warum sind bestimmte Verarbeitungen eigentlich zulässig? Fehlen diese Dokumentationen, ist dies schon ein Verstoß. Bildlich gesprochen: Bisher durfte man sich in einer Tempo-30-Zone einfach nicht blitzen lassen; da sind so manche auch auf Sicht gefahren und haben nach Blitzern Ausschau gehalten. Und selbst im Fall der Fälle war es nicht teuer. Zukünftig dürfen Sie ohne Tempomaten nicht losfahren, jeder Verstoß ist damit dokumentiert und die Bußgelder sind extrem hoch. AH: Welche Rolle spielt die Größe des Betriebs? M. Störing: Das ist leider ein sehr unschöner Aspekt der DS-GVO. Denn im Grunde spielt das keine Rolle. Sicher fallen bei kleineren Betrieben Bußgelder je nach Verstoß geringer aus. Aber echte, greifbare Erleichterungen wird es kaum geben. Verarbeiten weniger als zehn Mitarbeiter personenbezogene Daten, ist kein Datenschutzbeauftragter erforderlich. Eine skurrile Ausnahme verspricht auch einige wenige Erleichterungen bei der Dokumentation für manche Unternehmen; aber leider ist diese Ausnahme so wirr geregelt, dass Rechtsexperten derzeit davon ausgehen, dass diese Ausnahme praktisch nie greift. Mitarbeiter vernünftig schulen AH: Was kommt auf die Mitarbeiter im Autohaus zu? M. Störing: Mitarbeiter müssen vernünftig geschult werden und haben dann einfach einen Bereich, in dem sie leider - mit vielleicht drastischen Folgen - einiges falsch machen könnten. Zuletzt gab es übrigens auch wiederholt Bußgelder nicht gegen das Unternehmen, sondern gegen einzelne Mitarbeiter. Natürlich sind diese Bußgelder dann deutlich geringer. Aber viele Mitarbeiter glauben derzeit wohl, eigene Fehler würden immer nur den Arbeitgeber treffen. Wenn aber der Fahrer über die rote Ampel fährt, bekommt ja auch er persönlich das Bußgeld, nicht die Spedition. Kurz: Das Risiko steigt auch für einzelne Mitarbeiter. AH: Welche Rolle hat künftig der Datenschutzbeauftragte? M. Störing: Hier ändert sich tendenziell wenig. Der Datenschutzbeauftragte muss die Einhaltung des Datenschutzrechts im Unternehmen überwachen. Passiert trotzdem etwas, ist er wohl nicht persönlich verantwortlich. Wichtig ist, jemanden zu bestellen, der rechtlich wie technisch Ahnung hat und auch konfliktfrei ist, als etwa sich als Leiter der IT oder gar Geschäftsführer nicht selbst kontrollieren zu müssen. Alibi-Bestellungen helfen nicht und lösen wieder das Bußgeldrisiko aus. Für Autohäuser dürften vielfach externe Dienstleister die bessere Lösung sein. Kunden umfangreicher informieren AH: Wie müssen die Kunden eingebunden werden? M. Störing: Kunden müssen zukünftig umfangreicher über Verarbeitungen informiert werden. Auch haben Kunden - und übrigens auch Mitarbeiter - zukünftig deutlich weitergehende Rechte. Deshalb werden Kunden und vielleicht auch Mitarbeiter viel stärker von ihren erweiterten Rechten Gebrauch machen und mehr Informationen oder gleich ihre ganzen Daten verlangen, der Verarbeitung widersprechen oder überhaupt vermehrt kritische Rückfragen stellen. AH: Ist dieser Aufwand überhaupt angemessen? M. Störing: In dieser undifferenzierten Form, in der das Gesetz dies alles verlangt, nicht. Der Gesetzgeber hatte wohl eher Google, Facebook, Amazon und Co vor Augen, aber die Regelungen erfassen genauso das kleine Autohaus um die Ecke. Wirklich große Unternehmen können sich eigene Experten oder ganze Fachabteilungen für das Thema leisten. Die Anforderungen sind aber eben wie besprochen für kleine Unternehmen kaum geringer. AH: Sind die Aufsichtsbehörden der Länder in der Lage, auch die Details zu überprüfen? M. Störing: Hier schlagen die deutschen Behörden tatsächlich Alarm. Mit Meldepflichten und Abstimmungsgeboten müssen Unternehmen zukünftig viel intensiver den Dialog mit Aufsichtsbehörden suchen - die nach teilweise eigener Aussage das kaum stemmen können werden. Ich glaube, es wird hier vielleicht nicht sofort eine flächendeckende Überprüfung stattfinden. Die Erfahrung zeigt aber, dass die Aufsichtsbehörden dann bei identifizierten Einzelfällen natürlich nicht weniger nachsichtig sein werden. Das Thema gewissenhaft angehen AH: Wann weiß ich als Unternehmer, dass ich die Vorschriften erfüllt habe bzw. wie schätze ich die bestehenden Risiken ein? M. Störing: Wichtig ist, sich gewissenhaft um die Themen zu kümmern. Hier wird erst einmal niemand perfekt sein, aber man kann das Thema nicht mehr - so wie ja bisher mitunter geschehen - mehr oder weniger ausblenden. Gesetzlich definierte Zertifizierungen werden zukünftig unter der DS-GVO erstmals möglich sein. Unabhängig davon werden wir als Berater häufig darum gebeten, den Status quo zu bewerten. Dann helfen wir bei der Bewertung und Priorisierung sowie Behebung von Defiziten. Ich persönlich glaube, die unternehmerische Risikobetrachtung wird unangenehm bleiben. Dass etwas passiert, ist vielleicht wenig wahrscheinlich. Wenn dann aber etwas passiert, wird es sehr wehtun. Das ist frustrierend. Wir sehen auch immer, dass neben den Behörden eben auch Kunden, Betriebsräte oder auch Mitarbeiter entweder mit offenem Visier oder auch aus der Anonymität heraus Missstände an Behörde, Medien oder neue Arbeitgeber kommunizieren. Datenschutz wird insgesamt immer präsenter. AH: Was empfehlen Sie sollten die Unternehmen jetzt als Nächstes tun? M. Störing: Im ersten Schritt sollten die Unternehmen dokumentieren, welche Daten sie wie zu welchen Zwecken erheben, verarbeiten, weitergeben und warum sie das dürfen. Sollten keine größeren Vorarbeiten oder gar keine guten Vorkenntnisse vorhanden sein, wird Aufwand groß und der Weg schwierig. Jedenfalls dann geht es wohl ohne externe Hilfe nicht. Interview: Ralph M. Meunzel Kurzfassung Der Handel muss sich darauf einstellen, dass das Datenschutzrecht dauerhaft einen hohen Stellenwert einnehmen wird. Das neue Recht legt einen großen Schwerpunkt auf die Dokumentation. Bei Verstößen können bis zu 20 Millionen Euro Bußgeld drohen, oder - wenn dies noch mehr ist - bis zu vier Prozent des konzernweiten, weltweiten Jahresumsatzes. Als Folge dessen werden auch Vertragspartner, also etwa Hersteller, stärker auf die Einhaltung des Datenschutzrechts auch beim Handel achten. Es bleibt nicht viel Zeit Unternehmen sollten das Thema EU-Datenschutzgrundverordnung (EU-DSGVO), beziehungsweise neues Bundesdatenschutzgesetz unbedingt zeitnah angehen. Es bleibt nicht mehr viel Zeit, ab dem 25.05.2018 gelten die neuen Regeln. Der Datenschutz sollte nicht auf die leichte Schulter genommen werden, denn die Sanktionen bei Verstößen gegen das neue Datenschutzrecht können existenzbedrohend sein.

Maserati wird elektrisch: Blitz ohne Donner

Mazda CX-80: Eine Nummer größer

Pkw-Markt: Oster-Minus in Europa

Elektromobilität: Kia und e-mobilio kooperieren langfristig

Werk Grünheide: Tesla reduziert Zahl der Leiharbeiter

Alle Schlagzeilen

Datenschutz: Mehr Gewissenhaftigkeit

WEITERLESEN

NEWSLETTER