DAFTA: Diese Datenschutz-Themen stehen für das nächste Jahr an

Die DAFTA (Datenschutzfachtagung) ist die bedeutendste jährliche Tagung zum Thema Datenschutz. Hier diskutieren Expertinnen und Experten aktuelle Datenschutz-Themen und Fragestellungen. Die hier besprochenen Themen sind oft ein guter Anhaltspunkt für Organisationen, um bei sich selbst noch einmal genauer hinzuschauen und akute Themen zeitnah umzusetzen.

So auch in diesem Jahr. Es standen vor allem drei Themen auf der Tagesordnung: die EU-Datenstrategie, Google Fonts und das Hinweisgeberschutzgesetz. Wir stellen Ihnen die drei wichtigsten Themen kurz vor und zeigen, warum sie die Datenschutzwelt betreffen. 

Eines der Hauptthemen: die EU-Datenstrategie. Die Strategie ist bereits angelaufen und einzelne Gesetze aus dem Gesetzespaket sind bereits in Kraft – es kommen aber noch weitere hinzu. Das grundsätzliche Ziel der EU-Datenstrategie ist es, den Austausch und die Nutzung von Daten zu erleichtern sowie die Entwicklung eines europäischen Binnenmarkts für Daten zu fördern. Die neuen Verordnungen sollen dabei ein Daten-Ökosystem für den europäischen Binnenmarkt schaffen. Die europäische Digitalwirtschaft soll im internationalen Wettbewerb zum Ökosystem der fairen digitalen Wertschöpfung werden.

Die Datenstrategie baut dabei auf die DSGVO auf; der Datenschutz soll nicht bremsen, sondern integraler Bestandteil der Datenstrategie sein. Es ist allerdings fraglich, wie DSGVO und Datenstrategie zusammenpassen. Einer der wichtigsten Grundsätze der DSGVO ist die Datensparsamkeit. Die Datenstrategie hingegen hat die umfassende Verarbeitung von Daten zum Inhalt. Die DSGVO soll daher die Rechtsgrundlagen für eine legitime Datenverarbeitung liefern.

Das Gesetzgebungsverfahren besteht aus folgenden Verordnungen:  

Die EU-Datenstrategie betrifft immer auch personenbezogene Daten. Datenschutzbeauftragte sind daher mehr denn je gefragt, sich mit den neuen und geplanten Verordnungen auseinanderzusetzen und sich schon jetzt strategisch aufzustellen.

Ein weiteres Thema, das aktuell nicht nur die Datenschutz-Expert:innen auf Trab hält, ist die Abmahnwelle im Rahmen von Google Fonts. Der Grund: Tausende von Abmahnungen werden von wenigen Einzelpersonen im Akkord an Unternehmen geschickt und Schadensersatz eingefordert. Dabei ist egal, ob die Unternehmen tatsächlich Google Fonts einsetzen.

Das Problem mit Google Fonts: Sind die Schriftarten dynamisch eingebunden, werden personenbezogene Daten – insbesondere die IP-Adresse – an Googles Server in den USA übermittelt. Dass die USA kein sicheres Drittland sind, sollte nach Schrems II mittlerweile bekannt sein. Somit wäre eine Einwilligung erforderlich. Die liegt aber oft nicht vor.

Wegen eines Urteils des Landgerichts München, das einem Kläger 100 Euro Schadensersatz zugesprochen hat, versuchen weitere ihr Glück und mahnen Unternehmen im Akkord ab. Was Sie tun können, wenn Sie eine Abmahnung erhalten, haben wir hier für Sie zusammengefasst: Abmahnwelle Google Fonts: Wie Sie reagieren sollten und sich vorbereiten können.

So oder so wird uns dieses Thema auch im neuen Jahr erhalten bleiben. Nicht zuletzt, da weitere Dienste wie YouTube oder Google Maps ebenfalls erst nach Erteilung der Einwilligung geladen werden dürfen. Es ist leider nicht auszuschließen, dass sich die aktuelle Abmahnwelle auch auf derartige Dienste erweitert – spätestens durch ein neues Urteil aus höherer Instanz, das Schadensersatzansprüche in Bezug auf die Nutzung von Google Fonts einschränkt und neue Felder gesucht werden müssen. 

Auch das Hinweisgeberschutzgesetz beschäftigt weiterhin die Datenschutzwelt. Am 27. Juli beschloss das Bundeskabinett den Entwurf des Bundesministeriums für Justiz zu einem Gesetz für einen besseren Schutz hinweisgebender Personen und der Umsetzung der Richtlinie zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden. Zentraler Bestandteil des nun beschlossenen Entwurfs ist das sogenannte Hinweisgeberschutzgesetz. Oberstes Ziel ist der Schutz hinweisgebender Personen – auch Whistleblower genannt – vor Repressalien wie Kündigung, Mobbing oder ausbleibender Beförderung.

Eine der wichtigsten Regelungen betrifft Meldestellen. Neben extern angesetzten Stellen müssen Organisationen aus der Privatwirtschaft und dem öffentlichen Sektor eigene interne Meldestellen einrichten, wenn sie mindestens 50 Beschäftigte haben.

Gerade bei dieser Einrichtung und der Ausgestaltung der internen Prozesse sollten Datenschutzbeauftragte einbezogen werden, da zum Teil sehr sensible Daten verarbeitet werden und der Schutz aller betroffenen Personen an oberster Stelle steht. Organisationen müssen nun Regelungen zu Dokumentationspflichten, Maßnahmen zur Fristwahrung und Folgemaßnahmen erlassen, umsetzen und stets auf Compliance prüfen.

Das Hinweisgeberschutzgesetz ist noch nicht final verabschiedet. Allerdings tritt es bereits drei Monate nach Verkündung in Kraft. Daher sind Organisationen gut daran beraten, schon jetzt aktiv zu werden und die nötigen Prozesse einzuleiten.

Alle wichtigen Informationen zum Hinweisgeberschutzgesetz erhalten Sie hier: Hinweisgeberschutzgesetz im Kabinett beschlossen: Das sollten Sie wissen.