Datenschutzgrundverordnung für Dummies. Christian Szidzek
immer, bevor Ihnen etwas um die Ohren fliegt!
Wie es weitergeht
Wie es weitergeht, hängt von Ihnen ab! Beginnen Sie dort zu lesen, wo es Ihnen Spaß macht oder wo Sie vor lauter Wissensdurst nicht mehr ein noch aus können. Egal welches Thema Sie interessiert, schlagen Sie einfach das entsprechende Kapitel auf, und Sie werden finden, was Sie brauchen. Betrachten Sie dieses Buch als Werkzeug! Scheuen Sie sich nicht, Notizen zu machen (mit Bleistift, andere wollen das Buch vielleicht auch noch lesen …), und begeben Sie sich in die Tiefen des Datenschutzes! Der Tag wird kommen, und wie der Phönix aus der Asche werden Sie bald als ein neuer Datenschützer emporsteigen. Sie können natürlich auch die Larve und den Schmetterling als Vergleich heranziehen, wenn Sie Biene-Maja-Fan sind.
Viel Spaß damit und viel Erfolg wünscht Ihnen Ihr Christian Szidzek.
Teil I
Was sie ist
IN DIESEM TEIL …
Wenn Sie sich mit neuen Rechtsgebieten wie dem Datenschutz beschäftigen wollen, kommen Sie nicht daran vorbei, sich mit Gesetzen zu beschäftigen. Dazu können Sie ganz einfach das jeweilige Gesetz aufschlagen und es lesen. Als juristischer Laie ist das aber eine große Herausforderung. Jurastudenten gewöhnen sich oft erst nach Wochen und Monaten an die umständliche juristische Sprache, die sich von der Umgangssprache dadurch unterscheidet, dass jeder Begriff normiert ist, also eine ganz bestimmte rechtliche Bedeutung hat. Als Laie müssen Sie dann bei fast jedem Rechtsbegriff in einem juristischen Lexikon nachschlagen. Dazu kommt, dass es auch noch eine juristische Auslegung unbestimmter Rechtsbegriffe gibt, und ob Sie es glauben oder nicht, manche Begriffe in unterschiedlichem Kontext auch noch eine unterschiedliche juristische Bedeutung haben. Wenn Sie nachts einmal durch Frankfurt spazieren und die Ohren spitzen, können Sie manchmal ein leises, gebrechliches Schluchzen aus den Kellern der Bürotürme in Frankfurt vernehmen. Das sind Bankjuristen. Denn im Bankrecht ist es am schlimmsten.
Im Datenschutz gilt seit Mai 2018 die EU-Datenschutzgrundverordnung (DSGVO), und hier gilt nichts anderes als auch bei anderen Gesetzestexten. Um Ihnen die grausame Lektüre des Verordnungstextes zu ersparen, stellen wir Ihnen im ersten Teil des Buches deshalb erst einmal die DSGVO selbst vor und wie Sie sich darin zurechtfinden können. Sie erfahren die Hintergründe für ihren Erlass, ihre Einordnung in das europäische Rechtssystem, an wen sie sich richtet (Adressaten), lernen ein paar grundlegende Begriffe im Datenschutz kennen und welche Daten im Datenschutz überhaupt geschützt werden.
Gesetze werden aber nicht einfach nur aus Spaß erlassen oder um Juristen die Lebensgrundlage zu sichern. Sie verfolgen bestimmte gesellschaftliche Ziele. Im weiteren Verlauf des ersten Teils werden Sie daher auch erfahren, welche Ziele die DSGVO verfolgt. Schließlich lernen Sie noch einige düstre Gestalten kennen, denen Sie in den nachfolgenden Teilen des Buchs immer wieder begegnen werden. Wir haben Sie Protagonisten genannt.
Kapitel 1
Ein Monster namens DSGVO
IN DIESEM KAPITEL
erfahren Sie, wie Monster gemacht werden
welche Art von Monster die DSGVO ist
werden Sie erstaunt sein, wen das Monster alles beißen kann
Bereits im Dezember 2011 tauchte erstmals wie ein scheues Rehkitz ein geleakter Entwurf für eine Neuregelung des europäischen Datenschutzes in Form einer Verordnung im Internet auf. Bis dahin und noch einige Zeit länger galt in der EU die Richtlinie 95/46/EG zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, die im Jahr 1995 von der Europäischen Gemeinschaft (EG) erlassen worden war und die von den Mitgliedstaaten in nationale Gesetze umgesetzt werden musste.
Das geschah in den Mitgliedstaaten mit mehr oder weniger großer Begeisterung und einer beeindruckenden Vielfältigkeit, was das jeweils erreichte Datenschutzniveau anbelangt. Internationale Konzerne ließen sich deshalb einfach dort nieder, wo das Datenschutzniveau unterirdisch war. Die teils lächerlichen Geldbußen bei Datenschutzverstößen wurden als marginales, operationelles Risiko betrachtet. Besonders Staaten wie Irland und Luxemburg taten sich als Oasen eines nahezu unkontrollierten und grenzenlosen Verkehrs personenbezogener Daten hervor und zogen so Unternehmen aus aller Welt an. Erfahrungen hatten sie ja bereits als Steueroasen ausreichend gesammelt. Gewusst wie, konnten Datenschutzvorgaben so in ruhigen Gewässern und großer Gelassenheit umsegelt werden.
Das sollte sich aber ändern. Im Januar 2012 erfolgte offiziell die Vorstellung eines ersten Entwurfs eines neuen europäischen Datenschutzrechts durch die EU-Kommission. Der Entwurf wurde im Juni 2013 von den Innen- und Justizministern der Mitgliedstaaten der EU empört abgelehnt. Es dauerte bis zum Oktober 2013, bis im Ausschuss für bürgerliche Freiheiten, Justiz und Inneres (LIBE) des Europäischen Parlaments ein Kompromiss gefunden werden konnte über den wesentlichen Inhalt einer europäischen Datenschutzreform. Bis dahin hatte sich das scheue Rehkitz allerdings bereits zu einem ausgewachsenen Reh entwickelt und wurde zunehmend weniger scheu. Eine erste Lesung des neuen zweiten Entwurfs für eine Datenschutzgrundverordnung (DSGVO) erfolgte dann im März 2014 im Europäischen Parlament und wurde am Folgetag durch das Europäische Parlament veröffentlicht. Nach weiteren und langwierigen Verhandlungen kam es schließlich zu einem dritten Entwurf. Dieser wurde im Juni 2015 durch den EU-Ministerrat veröffentlicht. Es wurde schnell klar, dass man es offenbar nicht mit einem Reh, sondern eher mit einem Elch zu tun bekommen würde. Gerüchte über ein Recht auf Vergessenwerden, neue Löschpflichten, umfassende Betroffenenrechte sowie drakonische Sanktionen bei Verstößen gegen die beabsichtigten neuen Vorschriften geisterten durch die Medien.
Schließlich begannen die ersten Trilog-Treffen, und im letzten davon, an einem 15. Dezember im Jahr 2015, konnte man sich auf einen finalen Stand einer DSGVO einigen. Am 25. Mai 2016 trat die DSGVO dann als Verordnung (EU) 2016/679 in Kraft. Von Rehen oder Elchen wollte aber plötzlich niemand mehr reden. Stattdessen war von einem Monster die Rede, das Einzug in Behörden und Unternehmen in den Mitgliedstaaten halten würde.
Aber nicht nur in der EU begann man zu realisieren, dass es zu einem Paradigmen-Wechsel im europäischen Datenschutz gekommen war. Auch im außereuropäischen Ausland registrierte man bestürzt, dass die EU es mit dem Datenschutz nun offenbar wirklich ernst meinen würde. Denn auch Unternehmen, die keinen Sitz in einem europäischen Mitgliedstaat hatten, wurden durch die Vorschriften der DSGVO nun erbarmungslos mit Sanktionen bedroht, sollten Sie es – wie bisher – wagen,