BerlinWenn EU-Justizkommissarin Viviane Reding morgen offiziell ihr Paket für ein neues europäisches Datenschutzrecht vorstellt, dann liegen gut 100 Überarbeitungen des Regelwerks hinter ihr. Dass sich die bislang geltende Datenschutzrichtlinie von 1995 in Zeiten von Facebook, Cloud-Computing und E-Government gewaltig überholt hat, steht außer Frage. Doch wie ein einheitliches Schutzniveau in den EU-Staaten und für EU-Bürger aussehen könnte, darum wurde erbittert gerungen. Während es für den Einzelnen um das Grundrecht auf Datenschutz geht, müssen Unternehmen personenbezogene Daten verarbeiten können - auch grenzüberschreitend.
Was über den Entwurf bislang bekannt wurde, mag vor allem Unternehmen verunsichern. Zwar könnten jene Firmen von den Neuerungen profitieren, die derzeit unter der Kakophonie nationaler Vorgaben litten, sagt Christoph Rittweger Partner der Kanzlei Baker & McKenzie. "Andererseits verschärft die Verordnung die Anforderungen an Unternehmen in vielen Bereichen deutlich, anstatt das Regelungsdickicht zu lichten", meint der Experte im Bereich IT.
Bislang bekannt ist, dass die Kommission eine EU-Verordnung erlassen will, die unmittelbar in jedem Mitgliedstaat gilt und die nationalen Datenschutzgesetze ersetzt. Anders als bei einer Richtlinie eröffnen sich für die einzelnen Länder also keine Spielräume mehr für eine eigene Ausgestaltung im Sinne gewachsener Rechtstraditionen. Das Bundesdatenschutzgesetz (BDSG) würde weitgehend außer Kraft treten. Nach dem derzeit kursierenden Entwurf müssen sich Firmen auf einige Änderungen einstellen. "Auch ausländische Unternehmen müssen prüfen, ob das EU-Recht für sie gilt, selbst wenn sie weder Sitz noch Ausrüstung in der EU nutzen, aber mit ihren Aktivitäten auf EU-Bürger abzielen - wie etwa Facebook", betont Jürgen Hartung, Datenschutzrechts-Experte von Oppenhoff & Partner.
Durch interne Richtlinien und Prozesse sollen Unternehmen künftig sicherstellen, dass das Datenschutzrecht eingehalten wird. Dazu gehören Dokumentationspflichten für die Datenverarbeitung und Folgenabschätzungen für Aktionen mit besonderen Risiken. Wird eine Sicherheitsverletzung festgestellt, muss dies den Behörden und zum Teil auch den Betroffenen innerhalb einer Frist von 24 Stunden gemeldet werden. Im Gegenzug gibt es Erleichterungen bei der Pflicht, einen Datenschutzbeauftragten zu bestellen. Das soll nach dem Willen der Kommission erst ab 250 Mitarbeitern erforderlich sein.
Bei Verstößen drohen zukünftig europaweit drastische Strafen: Unternehmen könnten je nach der Schwere des Verstoßes mit Bußgeldern von bis zu fünf Prozent des jährlichen weltweiten Umsatzes belegt werden.
