DSGVO-Umstellungen gut gemeistert: Neuauflage des DDV - Best Practice Guide

Die Europäische Datenschutz-Grundverordnung (DS-GVO) ist seit dem 25. Mai 2018 wirksam. Die Umstellung auf die neuen Anforderungen war eine große Herausforderung für die Praxis. Auch eineinhalb Jahre nach dem Start wirft die Verordnung noch eine ganze Reihe offener Fragen auf. Das gilt insbesondere für den Bereich des Dialogmarketings. Immerhin lässt sich dreierlei feststellen:

1. Die DS-GVO hat nicht zuletzt aufgrund ihres hohen Sanktionsrahmens das Thema Datenschutz-Compliance zur Chefsache gemacht. Bußgelder werden bislang in Deutschland mit Augenmaß verhängt - vielfach genannte Prognosen, dass Datenschutzaufsichtsbehörden den Sanktionsrahmen von bis zu 20 Millionen Euro oder 4% des globalen Umsatzes sehr bald relativ weit austesten werden, sind in dieser Schärfe nicht eingetreten.


2. Auch die befürchtete Abmahnwelle bei Datenschutzverstößen ist ausgeblieben, da eine Reihe von wehrhaften Gerichten den Weg, Datenschutzverstöße auch wettbewerbsrechtlich per Abmahnung angreifen zu können, ganz klar nicht mitgeht und das Risiko für Abmahnanwälte somit zu hoch ist.


3. Mit Unterstützung durch den DDV haben die Mitgliedsunternehmen den hohen bürokratischen Aufwand seit Mai 2018 durchweg gut gemeistert. Der DDV hatte sich sehr frühzeitig positioniert und seine Vorreiterrolle in puncto praxisgerechter Auslegung innerhalb des Dialogmarketing-Umfeldes unter Beweis gestellt.

Die täglichen Herausforderungen der DS-GVO liegen in den Details. Was ist noch rechtens? Wie muss ich informieren? Wie reagiere ich auf Verbraucheranfragen? Viele Änderungen gab es dabei im Vergleich zum alten Recht im Grunde nicht, aber die DS-GVO ist nicht immer klar und praktikabel. Die komplizierte Materie bringt es mit sich, dass verschiedene Detailfragen zur DS-GVO auch heute noch offen sind, dazu drei Beispiele:

1. Rechtmässigkeit der Verarbeitung

Bei der Frage der Rechtmäßigkeit der Verarbeitung von Daten für Zwecke des Dialogmarketings bedarf es entweder einer Einwilligung oder man beruft sich auf die sogenannte Interessenabwägungsklausel. Die Anforderungen an Einwilligungen sind hoch, sie sind nur schwer wirksam zu erfüllen. Trotzdem werden Einwilligungen von Unternehmen in vielen Situationen gefordert. Hier sollten Unternehmen sich genau überlegen und im Zweifel beraten lassen, wann das wirklich notwendig ist.

2. Transparenz

Bei der Frage der Transparenz ist immer sicherzustellen, dass die wichtigsten Grundinformationen gegeben werden. Für zusätzliche Informationen kann mit Verweisen auf ausführlichere Datenschutzinformationen gearbeitet werden. So findet sich auf vielen Werbeschreiben auf der ersten Seite ein Verweis auf die ausführliche Datenschutzinformation, die weiter hinten in der Werbung abgedruckt ist oder im Internet abgerufen werden kann.

3. Betroffenenanfragen

Bei der Frage von Betroffenenanfragen auf Auskunft, Widerspruch oder Löschung sollte im ersten Schritt möglichst standardisiert geantwortet werden. Wer konkreteren Informationsbedarf hat, wird sich melden, wenn ihm oder ihr die Antwort nicht ausgereicht hat. Ein Löschungswunsch ist erst einmal als Werbewiderspruch zu verstehen, also mit Sperrvermerk zu kennzeichnen.

Im aktuellen Tagesgeschäft der Unternehmen im Dialogmarketing geht es um einen effizienten Umgang mit der Verordnung - d.h. eine rechtlich belastbare wie zugleich auch praxistaugliche Anwendung der neuen Pflichten. Der Schlüssel für mehr Effizienz liegt nicht darin, bestimmte gesetzliche Pflichten zu ignorieren, sondern sie praxisgerecht anzuwenden. Um praktische Hilfestellung zu leisten hatte der DDV 2016 - kurz nachdem der Text der DS-GVO feststand - einen Best Practice Guide zur Datenschutz-Grundverordnung herausgegeben. Nach einer zweiten Auflage im September 2017 hat der DDV Anfang Juli 2019 die nunmehr 3. Auflage vorgelegt. Er bietet damit den Praktikern der gesamten Branche für den effizienten und rechtssicheren Umgang mit dem komplexen Themenfeld der DS-GVO ein Nachschlagewerk auf aktuellstem Stand. Die Neuauflage berücksichtigt neben der aktuellen Auffassung der Datenschutzaufsichtsbehörden auch die Leitlinien des Europäischen Datenschutzausschusses. Weiter sind seit Mai 2018 im Rahmen der Umsetzung der Verordnung in der Tagespraxis bei Anwendern und Dienstleistern eine Reihe konkreter Fragestellungen aufgetreten, die im Guide behandelt werden.

Zu einigen Punkten haben die Datenschutzaufsichtsbehörden im November 2018 mit der Orientierungshilfe zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung, einem Pendant zum Guide des DDV, Klarheit geschaffen - aber in anderen Punkten auch für Verwirrung gesorgt. Das hat sich auch in einigen Tätigkeitsberichten fortgesetzt. Rechtssicherheit werden hier letztlich nur die Gerichte herstellen können, die als objektiver Schiedsrichter zwischen Wirtschaft und Datenschutzaufsicht das letzte Wort haben werden. Von der einen oder anderen kritischen Stimme sollte man sich bis dahin nicht beirren lassen.
Der DDV widmet sich der Thematik DS-GVO mit einer Vielzahl von Informationsveranstaltungen und Praxismaterialien. Zur tiefergehenden Information bietet er u.a. Basisschulungen und Webcasts an. Die enge Begleitung seiner Mitglieder und interessierter Dritter im schwierigen Terrain des Datenschutzes sieht der Verband als eine seiner Kernaufgaben an. Im Jahr eins
der DS-GVO ist dies gut gelungen. Doch die Herausforderung bleibt weiter bestehen, gilt doch neben noch offenen DS-GVOKonkretisierungen der Blick der ePrivacy-Verordnung, die als Spezialregelung im Bereich der elektronischen Kommunikation die DS-GVO ergänzen soll. Mit dem Abschluss des europäischen Gesetzgebungsverfahrens ist 2020 zu rechnen. Wirksam wird die Verordnung vermutlich nicht vor dem Jahr 2022.