„Happy Data Protection Day!“ – vom Datenschutz zum Datenrecht

Seit nunmehr 15 Jahren wird Ende Januar der Datenschutztag gefeiert

So werden etwa in der Immobilienwirtschaft durch Smart Metering große Mengen an Daten erhoben, um Energiebedarfe zu optimieren und den Ausstoß von Treibhausgasen zu minimieren. Öffentliche Stellen analysieren Daten, um Budgets bzw. Fördergelder für den Umweltschutz an effiziente und wirksame Gesetzesmaßnahmen bzw. Förderprojekte zu verteilen. Die Aufbereitung von Daten, gerade auch unter transparentem Rückgriff auf künstliche Intelligenz und Algorithmen, ermöglicht es, diskriminierende Entscheidungs- und Verhaltensmuster aufzudecken und zu vermeiden. Mit dem Wert der Daten wird aber der Zugang künftig immer häufiger monopolisiert und es werden Datennutzungsverträge erforderlich. Umgekehrt muss auch der klimatologische Fußabdruck der Data Economy selbst reduziert werden, sei es durch die Ermöglichung dezentralen Arbeitens ohne die Notwendigkeit aufwendiger Arbeitswege oder durch die Reduktion des immensen Energiebedarfs moderner Data Centers, in denen energieintensive Datentechnologien wie Blockchain eingesetzt werden.

Neben der ESG-Komponente „Environmental“ wird auch „Social“ durch das klassische Datenschutzrecht relevant. Nach europäischem Verständnis sind personenbezogene Daten unmittelbarer Bestandteil des Persönlichkeitsrechts. Auch die UN begreift Datenschutz als fundamentales Menschenrecht, wie Art. 12 der UN-Menschenrechtserklärung belegt. Damit ist der Datenschutz unmittelbarer Gegenstand der sozialen Nachhaltigkeitsverpflichtung eines jeden Unternehmens.

DSGVO – der Vollzugsdruck steigt

Kurz vor dem fünften Jahrestag der DSGVO im Mai 2023 wurde die Durchsetzung datenschutzrechtlicher Verpflichtungen nunmehr in der gesamten EU verstärkt: Die Zahl der wegen Datenschutzverstößen verhängten Bußgelder ist kontinuierlich angestiegen und beläuft sich für 2022 auf fast 3 Mrd. Euro. Am 4. Januar 2023 verhängten die irischen Behörden mit 405 Mio. Euro die dritthöchste Geldbuße in der Geschichte der DSGVO. Insgesamt scheinen die Aufsichtsbehörden sich auf die Frage unzulässiger Werbung zu konzentrieren – ein seit Jahren immerwährender Dauerbrenner der Datenschutzberatungspraxis.

Erleichterungen in der Vermeidung dieser Bußgelder verspricht sich die Praxis von der seit Ende 2022 möglichen DSGVO-Zertifizierung von Verarbeitungen insbesondere digitaler Produkte und Dienstleistungen. Verantwortliche und Auftragsverarbeiter können diese Verarbeitungen nach dem ersten nach DSGVO anerkannten Zertifizierungsstandard Europrivacy zertifizieren lassen, einschließlich neuer Technologien wie künstlicher Intelligenz, IoT, Blockchain etc. Die Zertifizierung ermöglicht eine unkomplizierte, in allen Mitgliedstaaten der EU anerkannte Möglichkeit zur Dokumentation der Einhaltung datenschutzrechtlicher Pflichten.

Datenschutz und die USA

Eine weitere lang ersehnte Erleichterung darf man im Bereich der seit der EuGH-Entscheidung Schrems II ungelösten Frage der Datentransfers in die USA erhoffen. Mit der am 7. Oktober 2022 von US-Präsident Biden unterzeichneten Executive Order ist ein wesentlicher Schritt hin zum neuen EU-US Data Privacy Framework, dem Nachfolger des EU Privacy Shield, erfolgt. Am 13. Dezember 2022 leitete nun auch die EU-Kommission das Verfahren zur Annahme eines neuen Angemessenheitsbeschlusses nach Art. 45 DSGVO ein. Die Kommission ist zuversichtlich, aufgrund des mit den USA vereinbarten „auf ein notwendiges und verhältnismäßiges Maß“ reduzierten Zugangs der US-Nachrichtendienste auf europäische Daten und aufgrund des neuen unabhängigen und unparteiischen Rechtsbehelfsverfahrens nunmehr eine rechtssichere, den Anforderungen des EuGH genügende Rechtsgrundlage schaffen zu können. Dies wäre ein für weite Teile der Wirtschaft maßgeblicher Schritt, um in der täglichen Arbeit wieder rechtssichere Datenverarbeitungen mit gebräuchlichen Tools von US-amerikanischen Herstellern vornehmen zu können.

Die medienwirksame Auseinandersetzung mit der Europäischen Union dürfte dazu beigetragen haben, dass der Datenschutz auch in den USA zunehmend als relevantes Thema wahrgenommen wird. In mehr als der Hälfte der Bundesstaaten wurden in den vergangenen zwei Jahren datenschutzrechtliche Regelwerke in das Gesetzgebungsverfahren gebracht, in immerhin zwei Bundesstaaten wurden Gesetze auch tatsächlich erlassen. Die Entwicklung des amerikanischen Datenschutzrechts wird jedoch insbesondere von der Zukunft des Federal American Data Privacy and Protection Act (H.R. 8152) abhängen. Die Gesetzesinitiative auf Bundesebene wurde überparteilich von Repräsentantenhaus und Senat erarbeitet; ihr werden vergleichsweise gute Chancen auf Umsetzung eingeräumt.