Heute beginnen die Kölner Tage Datenschutzrecht. Zwei Tage lang diskutieren mehr als 130 Teilnehmer die Aufgaben, die sich den Unternehmen und ihren Beratern stellen bei der Umstellung der Datenverarbeitungsprozesse auf das neue europäische Datenschutzrecht umzustellen. Vieles ändert sich. Gestaltungswille ist gefragt.

Herangehensweise national geprägt

Auch wenn die Datenschutz-Grundverordnung (DSGVO) das Datenschutzrecht in Europa weiter vereinheitlicht, ist die Herangehensweise an das neue Recht vom nationalen Recht geprägt. In Deutschland schauen wir auf das BDSG und suchen nach den Änderungen und Neuerungen, die die DSGVO bringt. In Frankreich, Italien und Österreich ist der Blick auf das neue Recht in ähnlicher Weise von den gewohnten nationalen Vorschriften geprägt. Der Umstellungsprozess ist weniger gesamteuropäisch als durch nationale Besonderheiten gekennzeichnet.

Dennoch dürfen wir bei der Umstellung nicht aus dem Auge verlieren, dass die DSGVO nicht nur „alten Wein in neuen Schläuchen“ bringt. So haben wir uns beispielsweise daran gewöhnt, dass das deutsche Datenschutzrecht Hand in Hand geht mit dem Grundrecht auf informationelle Selbstbestimmung. Die Einwilligung scheint das Paradewerkzeug der Selbstbestimmung zu sein und gilt als die bevorzugte Legitimation für die Datenverarbeitung. Nur wenn es unmöglich oder nicht praktikabel ist, Einwilligungen aller Betroffenen einzuholen, wagt man sich an die gesetzlichen Erlaubnistatbestände heran mit allen Unwägbarkeiten der vielen Abwägungstatbestände des BDSG.

Europarechtliche Vorgaben

Ein Grundrecht auf informationelle Selbstbestimmung gibt es in Europa nicht, stattdessen nur das schillernde „Grundrecht auf Datenschutz“ in Art. 8 Grundrechte-Charta (GRCh). Und in Art. 6 Abs. 1 DSGVO hat die Einwilligung keine Vorzugsstellung. Sie ist einer von sechs gleichrangigen Erlaubnistatbeständen. Insbesondere die Datenverarbeitung zur Vertragserfüllung (Art. 6 Abs. 1 Satz 1 lit. b DSGVO) und die Datenverarbeitung kraft berechtigten Interesses (Art. 6 Abs. 1 Satz 1 lit. f DSGVO) sind der Einwilligung (Art. 6 Abs. 1 Satz 1 lit. a DSGVO) in jeder Hinsicht ebenbürtig.

Die Neuregelung eröffnet Gestaltungsspielräume:

Art. 6 Abs. 1 Satz 1 lit. f DSGVO ist mehr als eine Norm, in der alles zusammengefasst ist, was bisher schon nach den §§ 28 und 29 BDSG galt. Wenn die „vernünftigen Erwartungen“ des Betroffenen (Erwägungsgrund 47 DSGVO) zum zentralen Bezugspunkt aller Abwägungen werden, werden wir umdenken müssen, zumal es nicht um „deutsche Vernunft“ geht, sondern um die „Erwartungen“ der Bürger in ganz Europa.

Gestaltungswille ist auch an anderen Stellen gefragt:

• Bei der Nutzung von Daten zu Werbezwecken, zur Vertragserfüllung oder auch zu präventiven Abwehrzwecken sind wir Berater gefragt, nicht vorschnell bei altem Rat stehen zu bleiben, sondern die neuen Wege auszuloten, die die DSGVO eröffnet.
• Wer sich bei der Auftrags(daten)verarbeitung darauf beschränkt, alte Verträge auf das neue Recht anzupassen, springt zu kurz. Primär ist zu fragen, ob die Auftragsverarbeitung, die nach altem Recht oft nur ein Notbehelf war, nach neuem Recht überhaupt noch sinnhaft ist.
• Im Konzern gilt es, die Spielräume auszuloten, die das „kleine Konzernprivileg“ eröffnet. Wer vorschnell „interne Verwaltungszwecke“ (Erwägungsgrund 48) allzu ängstlich-eng auslegt, bleibt in altem Denken verhaftet und lässt eine Gestaltungschance links liegen.

Auslegung = Gestaltung

Um die Auslegung der DSGVO wird es in den nächsten Jahren ein zähes Ringen geben zwischen den Aufsichtsbehörden, den Datenschutzpraktikern, den Gerichten und der Wissenschaft. Es wird die natürliche Rolle der Behörden sein, das neue Recht möglichst eng auszulegen, Schlupflöcher zu schließen und die Spielräume der Unternehmen einzuengen. Die datenverarbeitende Wirtschaft wird sich Spielräume erkämpfen müssen. Hierzu benötigt sie couragierten Rechtsrat, kreativ-gestaltend, meinungsfreudig und selbstbewusst.

Die DSGVO in der betrieblichen Praxis. Das neue Buch ist am 17. Juni 2016 erschienen und beantwortet mehr als 120 Fragen zum neuen europäischen Datenschutzrecht, das ab 25. Mai 2018 anzuwenden ist (Härting, Datenschutz–Grundverordnung, 2016).