DSGVO – was fehlt noch?

Dr. Philipp Kramer
Chefredakteur
Datenschutz-Berater

In vielen Unternehmen und Behörden ist man bei der Umsetzung der Regelungen zur DSGVO schon weit gekommen. Doch gleichzeitig sind manche Verantwortliche erst dabei, sich angesichts der Vielzahl der Pressemeldungen zu fragen, ob sie einen Datenschutzbeauftragten brauchen und was denn nun tatsächlich nach der DSGVO in ihrem Unternehmen/in ihrer Behörde in Sachen Datenschutzakte zu erledigen ist. Darauf kommt es in der Tat vor allem an, wie es Härting (www.siehe.eu/fv157) formuliert: „Wer in Aktenordnern und Datenverzeichnissen fein säuberlich Buch über Datenverarbeitungsvorgänge führt, wird auch in Zukunft wenig zu befürchten haben.“ Es ist zu hoffen, dass sich Unternehmen und Behörden nicht über die gesetzlichen Pflichten hinaus in einer akribischen Dokumentationsarbeit verfangen. Die DSGVO ist auszulegen, auch im Hinblick auf Dokumentationspflichten. Rechenschaftspflicht heißt nicht, jeden einzelnen Datenverarbeitungsvorgang und jede Pflichtenbefolgung zu protokollieren. Hier wird die Auslegung noch zeigen müssen, was über die gesetzlichen bekannten Instrumente, wie die Datenschutzleitlinie, das Verarbeitungsverzeichnis, die vereinzelte Dokumentation der Datenschutz-Folgenabschätzung, Datenschutzanweisungen, Informationspflichten, Datensicherheitsbeschreibungen und den Plan für den Umgang mit Datenschutzvorfällen noch zu dokumentieren ist. Der Datenschutzbeauftragte wird sich zunächst auf diese Standardmaßnahmen konzentrieren müssen. Und die großen Fragen des Internetdatenschutzrechts sind nicht gelöst. Mit dem 25.05.2018 darf sich jeder Datenschutzbeauftragte überlegen, wie sich die DSGVO zum Telemediengesetz verhält. Denn erst in vielen Monaten ist die neue ePrivacy-Verordnung zu erwarten. Sie sollte klären, was dann an Tracking und Tracing im Internet mit oder ohne Einwilligung zulässig ist (siehe DSB 04/2018, Seite 80). Ich hoffe, dass sich schnell – die deutschen Aufsichtsbehörden haben es mit Kurzpapieren vorgemacht (www.siehe.eu/da853) – Entscheidungen über konkrete Fragen zum Datenschutzrecht und -unrecht ergeben. Ihr Datenschutz-Berater wirkt weiterhin daran mit.

Ihr

Dr. Philipp Kramer