EU-Datenschutzgrundverordnung (DSGVO) - Was hat sich geändert?

Neues Datenschutzrecht in der EU (DSGVO)

Neue Regelungen, mehr Bürokratie, mehr Aufwand – das neue Datenschutzrecht in der EU weckt erstmal wenige positive Assoziationen bei Online-Händlern. Doch ganz so dramatisch sind die Auswirkungen der EU-Datenschutzgrundverordnung (kurz DSGVO) nicht. Ziele der neuen Verordnung, die am 25. Mai 2018 in Kraft tritt, sind vor allem ein verbesserter Schutz personenbezogener Daten von EU-Bürger/-innen sowie die Stärkung der Kundenrechte. Das heißt allerdings auch eine Erweiterung der Pflichten für die verantwortlichen Betreiber. Die gute Nachricht lautet aber: viele Grundzüge der bestehenden Datenschutzverordnung bleiben gültig.

Das bleibt! Unverändert gelten viele Grundsätze

Prinzipien zur Datenerhebung und Verarbeitung, die bereits durch die europäische Datenschutzrichtlinie 95/46/EG etabliert wurden, bleiben auch weiterhin uneingeschränkt gültig. Dazu gehören u.a.:

Datensparsamkeit bei der Erhebung („nur so viel wie zwingend erforderlich“)
Datenrichtigkeit („nur so, wie beim Betroffenen inhaltlich und sachlich tatsächlich erhoben“)
Datensicherheit (Gewährleistung des Zugriffsschutzes und der Integrität der Daten)
Prinzip der strengen Zweckbindung („nur so, wie zur Erfüllung eines legitimen Zwecks nötig”)
Prinzip des Verbots mit Erlaubnisvorbehalt (Erhebungs- und Verarbeitungsvorgänge mit personenbezogenen Daten sind verboten, es sei denn sie werden durch einen gesetzlichen Erlaubnistatbestand oder eine ausdrückliche Einwilligung des Betroffenen gerechtfertigt)

Positiv zu bewerten ist auch die EU-weite Anpassung, d.h. das Datenschutzniveau darf generell nicht durch nationale Auflagen erhöht werden. Dies war zum Beispiel bisher in Deutschland mit dem Schriftformgebot für Einwilligungen oder Verträge mit Auftragsverarbeitern der Fall.

Stichtag 25. Mai 2018 für die EU-Datenschutzgrundverordnung beachten!

Es gibt bei der Einführung der DSGVO weder eine Übergangsfrist noch sonstige Milderungsgründe für Unternehmen, die den Umstieg verpassen. Online-Händler sollten den 25. Mai 2018 also unter keinen Umständen aus dem Blick verlieren. Dabei gilt es auch, bisherige Datenverarbeitungen und vor allem Einwilligungen bis zum Stichtag zu überprüfen. Denn sie bleiben nur dann gültig, wenn sie der EU Datenschutzgrundverordnung entsprechen! Hierfür sollten Sie spätestens jetzt mit Ihrem Datenschutzbeauftragten einen Zeitplan erstellen, um zum Stichtag die Einhaltung der Vorgaben gewährleisten zu können.

Was ändert sich? Neuerungen für Shop-Betreiber und Online-Händler innerhalb der DSGVO

DSGVO EU-Datenschutzgrundverordnung 2018

Datenschutzerklärung für Websites und Online-Shops

Zwar können grundlegende Elemente auf Websites beibehalten werden, bei der Fassung von Pflichtinformationen und Hinweisen und nicht zuletzt auch bei organisatorischen Überwachungs- und Dokumentationserfordernissen gibt es Änderungen. Hier müssen Händler also Anpassungen ihrer Internet-Präsenzen vornehmen.

Anpassungen erforderlich

Die Datenschutzerklärungen werden nach Art. 13 Abs. 1 DSGVO weit ausführlicher. Eine Neuerung liegt z.B. darin, dass in Zukunft nicht nur die Zwecke der Datenverarbeitung zu nennen sind, sondern auch eine klare Rechtsgrundlage für die Verarbeitung von personenbezogenen Daten.

Die Informationen sollen laut EU Datenschutzgrundverordnung „in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ für den Kunden zugänglich sein.

Zeitpunkt der Information

Eine der Webseite vorgeschaltete Datenschutzerklärung ist nach wie vor nicht notwendig. Die EU Verordnung knüpft die Informationspflicht an den Beginn des Nutzungsvorgangs. Der Nutzer muss also gleichzeitig mit dem Aufruf der Webseite die Gelegenheit haben, auf die Datenschutzerklärung zuzugreifen.

Mehr Bürokratie und Fleißarbeit erfordert

In Art. 5 Abs. 2 DSGVO wird erstmals die Pflicht eingeführt, auf behördliche Anforderung hin die Einhaltung aller grundlegenden Datenschutzprinzipien nachweisen zu können. Der Schwerpunkt liegt hier vor allem auf den Rechenschaftspflichten. Konkret bedeutet das für Online-Shop Betreiber erhöhte Dokumentations- und Nachweispflichten. Auf Anfrage hin muss also jederzeit belegt werden können, dass Datenverarbeitungsprozesse korrekt erfolgt sind. Sie müssen u.a. dokumentieren, welche personenbezogenen Daten Sie erfassen und speichern und ob Ihnen die erforderlichen Einwilligungen vorliegen und bei der Erfassung und Speicherung von sensiblen Daten die Einhaltung der vorgegebenen Standards belegen. Zwecke, Art und Umfang und risikomindernde Maßnahmen sollten also exakt dokumentiert werden.

Neu: „Privacy by Design“ und „Privacy by Default“

Neben Änderungen an bestehenden Richtlinien führt die EU-Datenschutzgrundverordnung aber auch neue Prinzipien ein: „Privacy by Design“ und „Privacy by Default“.

„Privacy by Design“ bedeutet „Datenschutz durch Technikgestaltung“ Art. 25 Abs. 1 DSGVO: Datenschutzmaßnahmen müssen also nach dem Stand der Technik bereits in die konzeptionelle Entwicklung von Verfahren einbezogen werden. Grundgedanken ist, dass sich der Datenschutz am besten dann einhalten lässt, wenn der Schutz personenbezogener Daten bereits durch technischer und organisatorischer Maßnahmen im Entwicklungsstadium integriert wird.

Maßnahmen zur Umsetzung

Zur Umsetzung der neuen Sicherheitsstandards sind die Pseudonymisierung und Anonymisierung eine mögliche Maßnahme, um dem Datenschutz durch Technikgestaltung zu genügen. Aber auch andere Standards, wie die IT-Grundschutzkataloge des Bundesamts für Sicherheit in der Informationstechnologie (BSI), sind sinnvoll.

„Privacy by Default“ bedeutet „Datenschutz durch datenschutzfreundliche Voreinstellungen“ (Erwägungsgrund 78): Das heißt Werkeinstellungen sollen bereits datenschutzfreundlich eingestellt werden. Grundgedanken ist hier insbesondere der Schutz von Nutzern, die weniger technikaffin sind und datenschutzrechtlichen Einstellungen nur schwer selbst vornehmen können. So müssen z.B. auch Onlineplattformen standardmäßig die höchste Datenschutzstufe haben.

Neuerungen auf Basis bekannter Grundsätze

Die neue Datenschutzgrundverordnung sieht vor allem einige Veränderungen im Detail vor, viele Grundsätze gelten aber auch in Zukunft. Sicher ist aber, dass sich der bürokratische Aufwand für Online-Händler aber künftig erhöhen wird. Denn die erhöhte Nachweispflicht zwingt zwangsläufig zu mehr Dokumentation. Daher gilt es den möglichen Mehraufwand bei der Umstellung nicht aus den Augen zu verlieren, damit pünktlich zum 25. Mai 2018 die Umstellung erfolgt ist. Im Vorteil sind daher diejenigen Unternehmen, die bereits in der Vergangenheit Maßnahmen zum Datenschutz dokumentiert und gesichert haben.

Rechtlicher Hinweis:
Dieser Blogbeitrag ersetzt keine rechtliche Beratung für Ihr Unternehmen, es werden lediglich Hintergrundinformationen bereitgestellt. Wir weisen Sie deshalb darauf hin, dass wir trotz sorgfältiger Recherche für Vollständigkeit und Richtigkeit der Angaben keine Haftung übernehmen.