Datenschutzexperten kritisieren Ansichten der Datenschutz-Aufsicht zur "Einwilligung"
Eigentlich wollten die Datenschützer im Düsseldorfer Kreis Unternehmen eine Orientierung verschaffen, wie sie nach der Datenschutz-Grundverordnung verfahren müssen. Experten sehen aber keine Klärung.
Viele Unternehmen, die personenbeziehbare Daten verarbeiten, überprüfen derzeit, was sie nach der europäischen Datenschutz-Grundverordnung ändern müssen. Ihnen soll ein Beschluss deutschen Datenschutz-Aufsichtsbehörden beistehen. Datenschutzexperten sehen in dem Beschluss jedoch keine Klärung, sondern eher das Gegenteil.
Strengere Anforderungen
Personenbeziehbare Daten könnten anonymisiert werden, das geschieht aber meist nicht, stattdessen holen Unternehmen eine Einwilligung ein. Die Datenschutz-Grundverordnung, die ab dem 25. Mai 2018 angewandt werden muss, knüpft an diese Einwilligung strengere Anforderungen. Laut dem Beschluss, der vor einer Woche vom "Düsseldorfer Kreis" gefasst wurde, sollen bisher erteilte Einwilligungen "grundsätzlich" weiter gelten, wenn sie den Bedingungen der Grundverordnung entsprechen. Sie müssen "freiwillig" erteilt sein und es gelte für sie eine Altersgrenze von 16 Jahren.
Der Jurist und Datenschutzberater Stephan Hansen-Oest vermisst den Hinweis darauf, dass Unternehmen in der Einwilligungserklärung auf die Möglichkeit des Widerrufs nach Artikel 7 hinweisen müssen. "Das außer Acht zu lassen, ist sehr mutig vom Düsseldorfer Kreis. Ich als Anwalt würde mich zu so einer Empfehlung schon aus Haftungsgründen nicht hinreißen lassen." In der Praxis gebe es nämlich zahlreiche Einwilligungserklärungen ohne den Hinweis zum Widerrufsrecht, was für die Betroffenen angesichts hoher Bußgelder ein Haftungsrisiko darstelle.
Privacy by Design
Thilo Weichert vom Netzwerk Datenschutzexpertise verweist auf den anhaltenden Streit zwischen den Unternehmen und Verbraucherzentralen darüber, wann eine Einwilligung rechtswirksam ist. "Die alten rechtswirksamen Einwilligungen werden nicht unzulässig. Aber sämtliche neuen Datenerhebungen werden sich an den neuen Regeln orientieren müssen."
In dem Beschluss fehle außerdem der Bezug zu "Privacy by Design" in Artikel 25 der Grundverordnung, kritisiert Weichert. Demnach muss eine Datenverarbeitung bestimmte Datenschutzgrundsätze wie etwa die Datenminimierung mit technischen Mitteln umsetzen, bevor der Nutzer um Einwilligung gebeten wird. Die Einwilligung sei also das letzte Mittel, nicht wie in dem Beschluss suggeriert das erste Mittel der Wahl, um eine Datenverarbeitung rechtskonform zu gestalten. Eine Voraussetzung für eine Einwilligung nach dem 25. Mai 2018 sei deshalb, dass ein System datenschutzfreundlich gestaltet sein muss, betont Weichert. "sonst wäre die Einwilligung nicht rechtswirksam." Mit dem Beschluss des Düsseldorfer Kreises sei aber wohl die Abwehrreaktion der Unternehmen bei den Aufsichtsbehörden angekommen. Der Beschluss suggeriere, dass die Unternehmen nichts machen müssten. Das aber sei "keineswegs so". (anw)
