Die europäische Datenschutz-Grundverordnung (DS-GVO) schreibt vor, dass ihre Regelungen zwei Jahre nach Inkrafttreten evaluiert werden müssen. Mit etwas Verspätung hat die Europäische Kommission Ende Juni 2020 einen Bewertungsbericht veröffentlicht. Zur Vorbereitung der Evaluation hatte der bvdm eine Stellungnahme eingereicht.
In seiner Stellungnahme an die zuständigen Bundesministerien hat der bvdm auf zahlreiche Unsicherheiten in der Praxis aufmerksam gemacht und Anpassungen der DS-GVO gefordert, die den Gegebenheiten in der Praxis besser gerecht werden.
Die EU-Kommission kommt in ihrem Bericht zu dem Schluss, dass die DS-GVO die meisten ihrer Ziele erreicht hat. Obwohl noch Fragmentierungen bestünden, nehme die Harmonisierung in den Mitgliedstaaten zu. Zudem stärke die DS-GVO die Verfahrensrechte der Bürgerinnen und Bürger, darunter das Recht, eine Beschwerde bei einer Datenschutzbehörde einzureichen. Der Einzelne sei sich auch zunehmend seiner Rechte bewusst. Des Weiteren wird festgestellt, dass Unternehmen einen starken Datenschutz immer häufiger als Wettbewerbsvorteil nutzen.
Daneben wurden auch Bereiche für künftige Verbesserungen ermittelt. Nach Auffassung der Kommission sei es jedoch verfrüht, endgültige Schlussfolgerungen hinsichtlich der Anwendung der DS-GVO zu ziehen. Infolgedessen werde die Kommission vor dem Hintergrund der Rechtsprechung und weiterer Erfahrungen prüfen, ob gezielte Änderungen bestimmter Regelungen der DS-GVO angebracht seien. Das betreffe u.a. insbesondere Verarbeitungsverzeichnisse von kleinen und mittelständischen Unternehmen, bei denen die Verarbeitung personenbezogener Daten nicht zum Kernbereich ihres Geschäfts gehöre.
Bewertung des bvdm
Die Umsetzung der DS-GVO stellt Unternehmen noch immer vor Herausforderungen. In vielen Bereichen sind praxisgerechtere Regelungen und Erleichterungen geboten.
Der bvdm hatte in seiner Stellungnahme beispielsweise deutlich gemacht, dass dringend angemessene Ausnahmen von den Informationspflichten notwendig sind, die das Risiko der Datenverarbeitung im Blick haben sollten.
Er hat ferner darauf hingewiesen, dass die Regelungen zur Auftragsverarbeitung den Gegebenheiten in der Praxis nicht gerecht werden. So stellen die zusätzlichen bürokratischen Pflichten bei risikoarmen Datenverarbeitungen insoweit allein eine zusätzliche Belastung der betroffenen Unternehmen ohne erkennbaren Mehrwert dar.
Die DS-GVO sieht für Unternehmen mit weniger als 250 Mitarbeitern des Weiteren unter bestimmten Voraussetzungen eine Ausnahme von der Pflicht, ein Verarbeitungsverzeichnis zu führen, vor. Die Voraussetzungen sind jedoch so eng gefasst, dass kaum ein Unternehmen sie erfüllt. Der bvdm hatte daher eine entsprechende Anpassung der Ausnahmeregelung gefordert. In all diesen Bereichen wären bereits jetzt Nachbesserungen notwendig und möglich gewesen.