Dieser Schildbürgerstreich genannt DSGVO wird ja immer besser. Jetzt ist das Gesetz seit 2 Jahren eigentlich aktiv und die Übergangsfrist (von 2 Jahre) endet am 25. Mai 2018 und trotzdem ändern die EU das Gesetz noch einmal 🙂

Vor einigen Tagen hat der Europäische Rat ein Corrigendum veröffentlicht, eine 386 Seiten starke Ergänzung und Klarstellung zur Datenschutzgrundverordnung. Immerhin ist die Korrekturen in allen EU-Amtssprachen, sodass nur rund 17 Seiten (ab Seite 47) uns betreffen

Was ist jetzt geändert worden?

Eigentlich dient ein solches ergänzendes Werk meist der Klarstellung – falsche Seitenverweise, Rechtschreibfehler, gegebenenfalls auch missverständliche Formulierungen. In diesem speziellen Fall ist aber auch eine Formulierung dabei, die durchaus viele Unternehmen nochmal zum Handeln zwingt. Datenschutzexperte Carlo Piltz hat die Änderungen analysiert und herausgefunden, dass durchaus das eine oder andere über reine Vertipper und Verweisfehler hinausgeht. So heißt es beispielsweise ursprünglich in Art. 25 Abs. 2 S. 1: „Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden“. In der Berichtigung wird das Wort „grundsätzlich“ entfernt, was in der Juristerei durchaus weitreichende Auswirkungen haben kann. „Grundsätzlich“ heißt nämlich, dass es auch Ausnahmen gibt, die von dem Grundsatz abweichen können.

Für den Versand einer Kunden-E-Mail oder auch eines Newsletters ist in der Praxis eigentlich nur die E-Mail-Adresse selbst erforderlich, wenn man nicht die Rechtsauffassung vertritt, dass eine individuelle Anrede oder Ansprache des Kunden zu einem solchen Schreiben gehört. Doch selbst dann wäre das Speichern weiterer Daten wie Adresse oder Telefonnummer untersagt. Auch die Anpassung an Alter oder Geschlecht bei der Auswahl von Produkten wäre ein solcher Punkt, der dadurch nicht mehr so einfach möglich wird.

Damit darf also in Zukunft nur noch die E-Mail-Adresse selbst abgefragt werden – in der anderen Variante hätte man wenigstens noch weitere Daten auf freiwilliger Basis abfragen dürfen. Mit etwas Galgenhumor könnte man sagen, dass bei vielen anderen Angaben ohnehin schon ein hoher Anteil an Fake-Daten verwendet wurde, aber das ist hier nicht der Punkt. Diese unumstößliche Beschränkung durch das entfallene „grundsätzlich“ wird viele Onlinehändler, aber auch andere Unternehmen, die Kunden ansprechen, vor neue Probleme stellen.

Und eine solche Maßnahme so spät zu kommunizieren und zu konkretisieren, trägt nicht dazu bei, dass die Unternehmen möglichst frühzeitig mit der Umsetzung beginnen, wie das ja eigentlich vorgesehen war. In den letzten Wochen häufen sich die mehr oder weniger fundierten Studien, die hervorheben, wie viele Unternehmen noch nicht oder nicht ausreichend auf das neue Gesetzeswerk vorbereitet sind.

Fazit

Tjo wie ich schon vermutet habe, es wird nichts so heiss gegessen wie es gekocht wird und wenn man jetzt kurz vor Schluss noch Änderungen durchführt, dann werden da noch viele neue Änderungen kommen und auch die Gerichte werden viel zu tun haben.