Nach Anpassung der DSGVO – Gibt es inhaltliche Änderungen?
Die neue DSGVO, die am 25. Mai 2018 ihre Wirkung entfaltet, hat in der Vergangenheit bereits für einige Unsicherheiten in der praktischen Umsetzung gesorgt. Nun hat der Europäische Rat ein Corrigendum, also ein Änderungsdokument, veröffentlicht, welches den Zweck verfolgt, Rechtschreib- und Verweisfehler auszumerzen – durchaus zu später Stunde. Bei der Berichtigung bloß formaler Fehler der deutschen Sprachfassung ist es jedoch nicht geblieben, so scheint es zumindest.
Berichtigung lediglich formaler oder doch sogar inhaltlicher Natur?
Beispielsweise wurde der Erwägungsgrund 145 zur DSGVO – welcher die Klagemöglichkeiten einer betroffenen Person zum Gegenstand hat – dahingehend geändert, dass nunmehr das Gericht des Mitgliedstaats zuständig ist, in dem der Betroffene wohnt. Vor Änderung der DSGVO war lediglich der Aufenthaltsort maßgeblich. Diese Änderung erscheint mit Blick auf die leichtere Feststellbarkeit des Wohnorts durchaus begrüßenswert und dürfte in der zukünftigen Praxis keine negativen Folgen nach sich ziehen.
Eine Änderung scheint jedoch bei einigen Personen und Unternehmen Fragezeichen hervorzurufen:
Konkret geht es um den Art. 25 Abs. 2 S. 1 DSGVO, der Verantwortliche verpflichtet, geeignete technische und organisatorische Maßnahmen (TOMs) zu treffen, die sicherstellen, dass durch Voreinstellung nur personenbezogene Daten verarbeitet werden, die für den jeweiligen Verarbeitungszweck erforderlich sind.
Vor Änderung der DSGVO war die Rede von „[…] zu treffen, die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten verarbeitet werden, die für den jeweiligen Verarbeitungszweck erforderlich sind.“. Es bestand also ein Regel-Ausnahme-Verhältnis, was bedeutet, dass unter gewissen Umständen auch nicht unbedingt erforderliche Daten verarbeitet werden durften.
Üblich ist beim Newsletter-Versand das Erfragen von Vor- oder sogar Nachnahme, um eine automatisierte, persönliche Ansprache zu ermöglichen. Diese Angaben sind zwar nicht notwendig, um einen Newsletter-Versand durchführen zu können, jedoch ist eine Verarbeitung zulässig, sofern es sich nicht um Pflichtangaben handelt. Als Pflichtangabe voreingestellt darf also nur die Mail-Adresse sein.
Sonstige zusätzliche Angaben sind also weiterhin möglich, wenn der Interessent unproblematisch einsehen kann, dass es sich um freiwillige Angaben handelt und die Anmeldung auch möglich ist, wenn nur die Mail-Adresse angegeben wird. Felder für freiwillige Angaben und Pflichtangaben unterscheiden sich ohnehin seit jeher dadurch, dass bei Letzteren ein Sternchen zu finden ist.
Beachtenswert ist auch, dass die englische Sprachfassung das Wort „grundsätzlich“ ohnehin nicht beinhaltet, was darauf schließen lässt, dass es sich tatsächlich nicht um eine inhaltliche Änderung, sondern um eine schlichte Berichtigung der deutschen Fassung handelt – wenn auch mit möglichen Folgen für die Praxis nicht nur im Rahmen von Mailinglisten oder dem Versand von Newslettern, sondern generell bei Online-Produkten, die auf eine personalisierte und automatisierte Kommunikation mit dem Kunden zugeschnitten sind.
Eine weitere erwähnenswerte Änderung ist die des Erwägungsgrundes 71. Vor Änderung lautete dieser:
„[…] und personenbezogene Daten in einer Weise sichern, dass den potenziellen Bedrohungen für die Interessen und Rechte der betroffenen Person Rechnung getragen wird und unter anderem verhindern, dass es gegenüber natürlichen Personen aufgrund von Rasse, ethnischer Herkunft, politischer Meinung, Religion oder Weltanschauung, Gewerkschaftszugehörigkeit, genetischer Anlagen oder Gesundheitszustand sowie sexueller Orientierung zu diskriminierenden Wirkungen oder zu Maßnahmen kommt, die eine solche Wirkung hat.“
Der Begriff „Maßnahme“ wurde nunmehr ersetzt durch „Verarbeitung“, was dem zentralen Begriff der deutschen Fassung der DSGVO entspricht. Die englische Fassung spricht von „measures“ – direkt ins Deutsche übersetzt also „Maßnahmen“. Somit erklärt sich auch der vorherige „Übersetzungsfehler“. Auswirkungen auf die Praxis dürfte diese Änderung jedoch nicht haben, auch wenn bereits die Semantik dieser beiden Begriffe diskutiert wird.[1]
Fazit
Bei näherer Betrachtung sind die Änderungen der DSGVO also gar nicht so fatal, wie auf dem ersten Blick. Dass ausgerechnet jetzt – kurz vor dem Stichtag – eine solche Änderung vorgenommen wird, bleibt aber weiterhin fragwürdig.