Happy DSGVO-Day, everybody!

Am 25. Mai 2018 ist D-Day – im wahrsten Sinne des Wortes: Die Datenschutz-Grundverordnung kommt.

Die DSGVO ist »eine Verordnung der Europäischen Union, mit der die Regeln zur Verarbeitung personenbezogener Daten durch private Unternehmen und öffentliche Stellen EU-weit vereinheitlicht werden« (Wikipedia). So weit, so gut. Wird der Ruf nach mehr Datenschutz – zumindest gefühlt – in Deutschland und Europa stets spätestens dann laut, wenn Großkonzerne aus Übersee irgendwelchen Schabernack zu treiben scheinen. Aber darum soll es hier gar nicht gehen, fehlt doch die finale Expertise, um sich qualifiziert mit dem Gebaren von Facebook und Co. über die gängigen Presseartikel hinaus zu beschäftigen. Das sollen die Profis machen.

Also nochmal: Europaweit die gleichen Regeln für alle – super Sache! Wikipedia weiter: »Dadurch soll einerseits der Schutz personenbezogener Daten innerhalb der Europäischen Union sichergestellt, andererseits der freie Datenverkehr innerhalb des Europäischen Binnenmarktes gewährleistet werden.« Alles klar? Nein, schon hier stößt der Laie an Grenzen der Interpretationsfähigkeit.

Und da liegt der Hund begraben: Wenn die vermeintlichen Profis ans Werk schreiten. Hektisch engagierte und engagiert hektische Kanzleien versuchen nach bestem Wissen und Gewissen, die DSGVO zu interpretieren und ihre Mandanten zur korrekten Umsetzung zu beraten. Zumindest möchten wir unterstellen, dass dies nach bestem Wissen und Gewissen erfolgt. Meist bleibt es beim Versuch. Und das ist nun Erfahrung aus erster Hand, denn wer wie wir SaaS bietet, hatte in den vergangenen Wochen richtig viel zu tun.

Fernseh- und Radiobeiträge allüberall, kompakte Checklisten für den Alltagsgebrauch, »alles, was Sie zur DSGVO wissen müssen« – so viel Aufmerksamkeit hätte der Datenschutz, dieses abstrakte und zerbrechliche Gebilde im digitalen Zeitalter, sich längst mal gewünscht. Ja, auch verdient. Wohl dem, der sich einen Kanzlei-Service überhaupt leisten kann, möchte man noch hinzufügen. Die oft zitierten »kleinen« Blogger und Co. gucken beim Versuch des Durchblicks in die DSGVO-Röhre.

So liest man nun sogar, dass Websites von verängstigten Betreibern seitenweise lieber gelöscht wurden und noch werden. Das kann es nun aber auch nicht sein. Auch wir hatten vorab ein gewisses Echo in Sachen Anforderungen und Aufwänden einkalkuliert, wurden im täglichen Betrieb von dem schieren Volumen der DSGVO-bezogenen Entwicklungen, Änderungen und Schleifen dennoch ein Stück weit überrascht. Aber verdächtige Inhalte/Formulare/Seiten gleich löschen?

Die vorsichtige Handhabe der Materie ist sicherlich korrekt, juristische Sorgen um personenbezogene Daten sind nachvollziehbar und die tatsächlichen Auswirkungen sind allen Anwendern letztlich noch unbekannt. Prinzipiell – und das muss in der Informationsflut wohl öfter mal gesagt werden – lässt sich jedoch feststellen, dass rein technisch wenige neue Anforderungen im Vergleich zum bis zum 24. Mai 2018 gültigen BDSG gestellt werden.

Hier ein paar technische Hilfestellungen:

• Kenne deine Daten: Google-Analytics selbst sammelt, mit aktivierter IP-Anonymisierung, keine persönlichen Daten. Diese können derart technisch nicht auf eine Person bezogen sein. Juristische Interpretationen der Positionspapiere in Form aktiver Einwilligungserklärungen zum Tracking entwickeln sich teilweise gar zur Farce.
• eCommerce-Tracking ist ebenfalls nicht personenbezogen – die fortlaufenden Transaktionsnummern werden nicht mit Kundendaten gespeichert.
• Einfachste Formulare: Eine Checkbox zur Einwilligung in die Datenschutzerklärung ist eine sinnvolle Ergänzung; ein Double-Opt-In scheint jedoch doch der Umsetzung zu viel.
• Den Umgang mit Daten definieren: Die Bedeutung von Datenschutzerklärungen für digitale Dienste ist in den meisten Fällen marginal. Dem Handling personenbezogener Daten im Backoffice/Alltag wäre diesbezüglich eine höhere Aufmerksamkeit zu widmen.

Jetzt haben wir ein wenig Dampf abgelassen und vielleicht konnten wir mit unseren Einschätzungen auf dem Weg dem einen oder anderen etwas Orientierung geben. Wir möchten an Kunden, Kanzleien und Datenschutzbeauftragte appellieren, einen vernünftigen, reflektierten und vor allem informierten Umgang mit der Materie an den Tag zu legen. Damit der D-Day nicht zum jüngsten Tag wird.

lv/toujou