DSGVO: Bilanz nach einem Jahr - Ein großer Schritt

Was dürfen andere über mich wissen, was mit den Informationen über meinen Lebenswandel, meine politische Einstellung oder auch nur mein Geburtsdatum anstellen? Kann ich mich wehren, wenn nicht nur Behörden, sondern auch Unternehmen besser über mich Bescheid wissen als meine engsten Freunde?

Ausgangspunkt eines hochkomplizierten Regelwerks mit dem sperrigen Titel Datenschutz-Grundverordnung (DSGVO) sind solche einfachen, aber hochbrisanten Fragen. Vor einem Jahr, am 25. Mai 2018, sind die neuen Spielregeln für den Umgang mit persönlichen Informationen in Kraft getreten. Was hat sich seither verändert?

Trotz allem ein Meilenstein

"Unsere damalige Einschätzung, dass es sich um einen Meilenstein handelt, hat sich bestätigt", sagt die Datenschutzexpertin und Leiterin der VKI Akademie, Petra Leupold. Dennoch sei die Aufregung vor einem Jahr überzogen gewesen: Die neue Regelung ziele besonders auf große Fische. Ängste vieler kleinerer und mittlerer Unternehmen vor einer Klagsflut hätten sich großteils als unbegründet erwiesen. Leupold: "Es gab in Österreich schon vorher ein strenges Datenschutzrecht."

Rechtsdurchsetzung gestärkt

Einen Unterschied gibt es allerdings: Früher blieben Verstöße gegen die Spielregeln oft ungeahndet. "Nun wurde die Rechtsdurchsetzung gestärkt und die Strafen wurden massiv erhöht." Prominentester Missetäter ist die Österreichische Post, die ihren Geschäftspartnern neben Zustelladressen auch höchst persönliche Details – wie die (mutmaßliche) politische Gesinnung – ohne Wissen der Betroffenen zum Verkauf anbot (siehe Post-Datenskandal: verlangen Sie Auskunft! - Mustertext für Datenauskunft). Ein glasklarer DSGVO-Verstoß, gegen den der VKI mit Musterprozessen vorgeht.

Was nicht erlaubt ist, bleibt untersagt

Denn die 99 Gesetze, aus denen sich die DSGVO zusammensetzt, lassen sich auf einen gemeinsamen Nenner bringen: Was nicht ausdrücklich erlaubt ist, bleibt untersagt. Kein Unternehmen hat das Recht, ohne Einwilligung der Betroffenen personenbezogene Daten zu speichern oder gar zu verkaufen.

Wer es dennoch tut, muss mit empfindlichen Strafen rechnen: Im Extremfall können diese bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes des Unternehmens betragen. Damit hat die EU auch eine Handhabe gegen internationale Player wie Facebook, Google & Co geschaffen. "Die DSVGO gilt auch für Unternehmen, die keinen Sitz in der EU haben", sagt Leupold.