Wer aktuell in der deutschen Digital-Business-Szene unterwegs ist, hat den Eindruck, dass es nur noch ein Thema gibt: die DSGVO, jene fünf Buchstaben, die gefühlt mehr Berater beschäftigen, als es Firmen gibt, die beraten werden wollen. Jetzt, wenige Wochen vor Inkrafttreten des Regelwerks gibt es noch einmal Veränderungen im Detail, die beispielsweise all jene betreffen, die Newsletter versenden oder Kundendaten für Mailings erheben.
Vor einigen Tagen hat der Europäische Rat ein Corrigendum veröffentlicht, eine 386 Seiten starke Ergänzung und Klarstellung zur Datenschutzgrundverordnung. Immerhin ist die Korrekturen in allen EU-Amtssprachen, sodass nur rund 17 Seiten (ab Seite 47) uns betreffen

Eigentlich dient ein solches ergänzendes Werk meist der Klarstellung – falsche Seitenverweise, Rechtschreibfehler, gegebenenfalls auch missverständliche Formulierungen. In diesem speziellen Fall ist aber auch eine Formulierung dabei, die durchaus viele Unternehmen nochmal zum Handeln zwingt.
Datenschutzexperte Carlo Piltz hat die Änderungen analysiert und herausgefunden, dass durchaus das eine oder andere über reine Vertipper und Verweisfehler hinausgeht. So heißt es beispielsweise ursprünglich in Art. 25 Abs. 2 S. 1: „Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden“. In der Berichtigung wird das Wort „grundsätzlich“ entfernt, was in der Juristerei durchaus weitreichende Auswirkungen haben kann. „Grundsätzlich“ heißt nämlich, dass es auch Ausnahmen gibt, die von dem Grundsatz abweichen können.

Für den Versand einer Kunden-E-Mail oder auch eines Newsletters ist in der Praxis eigentlich nur die E-Mail-Adresse selbst erforderlich, wenn man nicht die Rechtsauffassung vertritt, dass eine individuelle Anrede oder Ansprache des Kunden zu einem solchen Schreiben gehört. Doch selbst dann wäre das Speichern weiterer Daten wie Adresse oder Telefonnummer untersagt. Auch die Anpassung an Alter oder Geschlecht bei der Auswahl von Produkten wäre ein solcher Punkt, der dadurch nicht mehr so einfach möglich wird.

Damit darf also in Zukunft nur noch die E-Mail-Adresse selbst abgefragt werden – in der anderen Variante hätte man wenigstens noch weitere Daten auf freiwilliger Basis abfragen dürfen. „Bezogen auf das obige Beispiel des Newsletters könnte das bedeuten, dass die Behörden es in Zukunft als Verstoß gegen Art. 25 DSGVO ansehen, wenn bei der Anmeldung zum Newsletter neben der Mail-Adresse noch weitere Daten erhoben werden – auch wenn diese keine Pflichtfelder sind“, erklärt Wirtschaftsjurist und E-Commerce-Experte Martin Rätze. Mit etwas Galgenhumor könnte man sagen, dass bei vielen anderen Angaben ohnehin schon ein hoher Anteil an Fake-Daten verwendet wurde, aber das ist hier nicht der Punkt. Diese unumstößliche Beschränkung durch das entfallene „grundsätzlich“ wird viele Onlinehändler, aber auch andere Unternehmen, die Kunden ansprechen, vor neue Probleme stellen.

Und eine solche Maßnahme so spät zu kommunizieren und zu konkretisieren, trägt nicht dazu bei, dass die Unternehmen möglichst frühzeitig mit der Umsetzung beginnen, wie das ja eigentlich vorgesehen war. In den letzten Wochen häufen sich die mehr oder weniger fundierten Studien, die hervorheben, wie viele Unternehmen noch nicht oder nicht ausreichend auf das neue Gesetzeswerk vorbereitet sind.

Vorbereitet haben dürfte sich aber die Armada der Abmahnanwälte, der die DSGVO in den kommenden Monaten einträgliche Geschäfte garantieren wird. Quasi ein Geschäft mit der Angst: Entweder man zahlt vorher für eine entsprechende Beratung oder Versicherung oder man wird ab Ende Mai mit unliebsamer Post rechnen müssen. Auch wenn hier nicht alles so heiß gegessen wie es gekocht wird, und auch wenn nicht jedes kleine Startup befürchten muss, gleich in Grund und Boden geklagt zu werden, ist die DSGVO ein Thema, das jeden betrifft, der als Unternehmen mit der Verarbeitung und Nutzung von Daten zu tun hat.

Übrigens sind hier ausnahmsweise mal alle Unternehmen – vom millionenschweren Konzern bis zum kleinen Startup oder Freiberufler gleichermaßen betroffen. Nur mit dem Unterschied, dass größere Unternehmen für soetwas die Kanzlei ihres Vertrauens haben oder das Ganze gleich an die Rechtsabteilung weitergeben können.

Das könnte dich auch interessieren:

• DSGVO: Wie gut die großen Onlineshops wirklich gerüstet sind
• DSGVO: Diese Änderungen kommen auf dein Online-Business zu (Teil 1)