Der Countdown läuft

Grund dafür sind vor allem drakonische Strafen, die bei Nichtbeachtung verhängt werden können. Dass viele Unternehmen trotz ausreichender Vorbereitungszeit mit der Umsetzung hinterherhängen oder schlimmstenfalls noch gar nicht damit begonnen haben, können die vier Datenschutz-Experten am Runden Tisch der Personalwirtschaft erklären. Kleineren Unternehmen fehlte oftmals der Glaube, dass die Vorschriften auch für sie gelten könnten. Größere setzten sich mitunter nicht damit auseinander, dass sie ihre ureigensten Prozesse anpassen müssen. Sie hofften darauf, dass es ein Experte schon für sie richten wird. Nun drängt die Zeit, denn es gibt keine Übergangsfrist. Das ist unter anderem an der steigenden Zahl an Unternehmen abzulesen, die in diesen Tagen E-Mails an (ehemalige) Kunden verschicken und davon schreiben, ihre Adress-Datenbanken aktualisieren zu wollen.

Nahezu überall werden heute personenbezogene Daten verarbeitet. Das Bewusstsein dafür, was künftig noch erlaubt ist und was nicht, scheint sich aber nur langsam durchzusetzen. Eine wichtige Rolle nimmt der Datenschutzbeauftragte ein, der verstärkt beratend tätig wird. Er haftet bei Falschberatung – ebenso wie beispielsweise auch Auftragsdatenverarbeiter, die nicht gesetzeskonform handeln. Allein, jetzt noch qualifizierte Fachexperten zu finden, ist schwierig: Der Markt ist leergefegt.

Personaler in der Pflicht

Auch Personaler haben eine Schlüsselposition inne. Sie müssen dafür Sorge tragen, dass die Vorgaben in ihrem Bereich, wo in der Regel besonders viele personenbezogene Daten verarbeitet werden, umgesetzt werden. Hier sind vor allem das Informations- und Auskunftsrecht der Betroffenen zu nennen. Zudem können diese bei Vorliegen bestimmter Gründe verlangen, dass sie betreffende Daten unverzüglich gelöscht werden. Die Fristen dafür sind eng gesetzt. Wer sich erst Gedanken darüber macht, wenn die ersten Anfragen auf dem Tisch liegen, wird die Antworten kaum fristgerecht liefern können.

Eine bedeutende Änderung ist zudem die faktische Beweislastumkehr: Der Verantwortliche muss künftig nachweisen, dass er datenschutzkonform agiert. Überhaupt gewinnt die Absicherung aufseiten der Unternehmen an Bedeutung, nicht zuletzt aus Compliance- Gründen. Eine Unterschrift allein reicht nicht mehr: Die Unternehmen müssen belegen können, dass die Mitarbeiter mit den Inhalten der DSGVO vertraut sind. Insgesamt können Arbeitgeber jedoch in der Regel von Einwilligungen in die Datenverarbeitung absehen, wenn sie für Zwecke des Beschäftigungsverhältnisses erforderlich ist. Was genau „erforderlich“ ist, könnte jedoch manchmal diskutabel sein.

Indiskutabel sind dagegen die drohenden Sanktionen: 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes sieht die DSGVO als maximales Bußgeld vor. Inwiefern die Aufsichtsbehörden ihre Ressourcen aufgebaut haben oder aufbauen konnten, um die Einhaltung sinnvoll zu überprüfen, ist zwar unklar. Fest steht jedoch: Augen zu und durch funktioniert nicht. Ungemach kann nicht nur von den Aufsichtsbehörden drohen, sondern auch von Kunden oder Wettbewerbern. Hinzu kommt, dass über die DSGVO künftig auch Schadenersatz für immaterielle Schäden geltend gemacht werden kann.

Zum eigenen Glück gezwungen

Das grundsätzliche Urteil der Experten über die DSGVO fällt zwiespältig aus. Ja, die Strafen sind hoch und ja, der Aufwand der Umsetzung kann immens groß sein. Die Verordnung tritt aber gleichzeitig Missbrauch entgegen, wie er jüngst etwa bei Facebook Schlagzeilen machte. Und sie bietet Chancen, die eigenen Prozesse noch vertrauenswürdiger und übersichtlicher zu gestalten. Nicht zuletzt gibt sie Betroffenen mächtige Werkzeuge an die Hand, sich gegen Verstöße zu wehren. Und betroffen – das ist heutzutage letztlich jeder.

Personaler, die bis jetzt nicht aktiv geworden sind, können in den verbleibenden Tagen und Wochen zumindest noch einige Schritte in die richtige Richtung gehen: ein Problembewusstsein bei den Mitarbeitern schaffen, Prioritäten für die Umsetzung festlegen – und so schnell wie möglich damit anfangen.