EU-Parlament beschließt neue EU-Datenschutzregeln

Das EU-Parlament hat am 14.4.2016 eine Reform des EU-Datenschutzrechts beschlossen. Die Kommission wird dazu eng mit den Datenschutzbehörden der Mitgliedstaaten zusammenarbeiten. Unternehmen müssen sich auf einige Neuerungen einstellen.

Die Verordnung schafft für Unternehmen ein einheitliches Regelwerk, das die Geschäftstätigkeit in der EU erleichtern und Kosten sparen soll. Bspw. wird es nur noch eine einzige Aufsichtsbehörde geben. Arbeitgeber mit Sitz außerhalb Europas, müssen dieselben Regeln befolgen, wie wenn sie Dienstleistungen in der EU anbieten. Außerdem soll es keine allgemeingültige Datenschutzverpflichtung mehr geben, sondern eine an das jeweilige Risiko angepasste. Der Umfang der Verantwortlichkeit eines Unternehmens soll sich aus der Gefährdung durch die Datenverarbeitung ergeben. Außerdem sollen die Datenschutzgarantien von der frühesten Entwicklungsphase an in Produkte und Dienstleistungen eingebaut werden. Dabei helfen datenschutzfreundliche Techniken, wie die Pseudonymisierung.
Insbesondere kleine und mittlere Unternehmen (KMU) profitieren von den Neuerungen. Sie sollen ihnen helfen, in neue Märkte vorzudringen, indem sie Verwaltungsaufwand reduzieren: Die Meldepflicht an die Aufsichtsbehörde entfällt. Sind Anträge auf Zugang zu bestimmten Daten offensichtlich unverhältnismäßig, dürfen KMU zukünftig Gebühren verlangen. Sie müssen keinen Datenschutzbeauftragten bestimmen (Ausnahme: Datenverarbeitung ist Hauptgeschäft). Besteht kein hohes Risiko, müssen KMU keine Folgenabschätzung durchführen.

Darüber hinaus vereinfacht sich für Bürger der Zugang zu den eigenen Daten. Sie dürfen über die Verarbeitung ihrer personenbezogenen Daten mehr bestimmen. Auch die Zusammenarbeit der Strafverfolgungsbehörden und der Datenschutz von an Strafverfahren beteiligten Bürgern soll sich verbessern. Zunächst wird es eine zweijährige Übergangsphase geben. In dieser Zeit informiert die Kommission über Rechte und Pflichten.
Die geplante Reform des EU-Datenschutzrechs überrascht nicht: Erst im Oktober letzten Jahres hatte der EuGH die Safe-Harbor-Entscheidung der Kommission für unwirksam erklärt (Urt. v. 6.10.2015 - C‑362/14, Schrems). Die Entscheidung aus dem Jahr 2000 hatte es Unternehmen ermöglicht, personenbezogene Daten in Übereinstimmung mit der europäischen Datenschutzrichtlinie aus der EU in die USA zu übermitteln.