Der Kursinhalt ist komprimiert, komplex und dazu geeignet, Menschen zum Weglaufen zu bewegen. Gleich werden schwere Wortwolken abregnen: Verzeichnis von Verarbeitungstätigkeiten, dynamische IP-Adresse, Auftragsdatenverarbeitungsvertrag... Trotzdem ist der Raum der Industrie- und Handelskammer (IHK) in Rosenheim komplett besetzt, von draußen müssen sogar Stühle dazugeholt werden. Denn wer die Wortwolken ignoriert, für den könnte es sehr bald sehr teuer werden. Am 25. Mai tritt die Datenschutz-Grundverordnung (DSGVO) in Kraft. Und damit die Aussicht auf Strafen von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes. Je nachdem, was höher ist.
Kein Thema beschäftigt bayerische Betriebe derzeit mehr als die DSGVO. Viele haben die zweijährige Übergangszeit verschlafen und versuchten in den vergangenen Wochen, sich rechtssicher aufzustellen. Verbände berichten, von Anfragen ihrer Mitglieder überrannt zu werden. Seminare sind ausgebucht, Berater ebenso. Einige Anwaltskanzleien sollen sich schon die Hände reiben; eine Abmahn-Welle droht.
Was die Betriebe genau umtreibt, lässt sich in Rosenheim beobachten. Etwa 80 Unternehmer sind gekommen, 300 weitere haben sie hier allein in den vergangenen Wochen bei ähnlichen Veranstaltungen betreut. Julia Franz ist Referentin für Datenschutzrecht bei der IHK München und Oberbayern, eine gefragte Gesprächspartnerin dieser Tage. Sie hat eine Präsentation mit vielen Folien und Tipps vorbereitet. Eine verbindliche Rechtsberatung, das wird Franz häufig betonen, könne sie nicht geben. Die Vorschriften der DSGVO sind allgemein, die Geschäftsmodelle der Betriebe speziell. Was die einen beachten müssen, ist für andere unwichtig.
Die DSGVO ist eine EU-Verordnung, sie regelt den Umgang mit personenbezogenen Daten. Dazu zählen Name und Adresse von Kunden und Mitarbeitern, aber auch Einträge über ihren Gesundheitszustand oder die Religionszugehörigkeit. Neu an der DSGVO ist vor allem, dass sie Vergehen gegen den Datenschutz konsequenter bestraft - und dass Verbraucher mehr Rechte gegenüber Firmen bekommen. Sie können nachfragen, welche Daten von ihnen gespeichert werden, oder verlangen, diese zu löschen. Für Unternehmer bedeutet das unter anderem: Adressbücher müssen regelmäßig überprüft, Karteileichen aussortiert werden. Chefs müssen sicherstellen, dass Personalakten vor fremden Augen geschützt sind, damit nicht die ganze Firma von den Gesundheitsproblemen eines Mitarbeiters erfährt. Und Websites müssen in verständlichen Worten erklären, wann welche User-Daten aufbewahrt werden. Damit steigen auch die Dokumentationspflichten für Unternehmer. Sie müssen Verzeichnisse anlegen und mit Dienstleistern Verträge über die Datenverarbeitung schließen. Manche benötigen gar eine Art Notfallprotokoll für den Umgang mit schweren Datenlecks.
Im Raum ist es während des Vortrags fast totenstill; einigen scheint erst jetzt klar zu werden, wie viel Arbeit in den nächsten Tagen auf sie zukommt. Zeit für Fragen. Von denen gibt es genug. "Wir sind ein Personalbüro mit weniger als zehn Mitarbeitern, brauchen wir einen Datenschutzbeauftragten?" - "Nein", sagt Franz, erst von zehn an. "Wir richten Seminare aus und lassen Teilnehmerlisten zum Ausfüllen rumgehen. Die Adressen benutzen wir auch für Werbung." - "Nein", sagt Franz, um diese Daten für Werbung nutzen zu können, brauche es eine Einverständniserklärung des Teilnehmers. "Ich bin im Einzelhandel tätig, ich bearbeite doch keine personenbezogenen Daten?" - "Meinem Gefühl nach schon", sagt Franz: Dazu könne schon zählen, wenn man die Telefonnummer eines Kunden notiere.
Die Umsetzung der DSGVO hat ihre Tücken, unter anderem, weil manche Details noch nicht klar geregelt sind. Das verschärft die Unsicherheit. Trotzdem halten sich öffentlich fast alle Unternehmen bedeckt: Schließlich hatten sie zwei Jahre Zeit für die Umsetzung. Wer sich da aufregt, kommt nicht umhin, sein Versäumen zu offenbaren. Eine Einladung an Aufsichtsbehörden und Abmahn-Büros, sich die Firma genauer anzusehen. Zudem sind viele Betroffene Kleinunternehmer. Für sie spielte Datenschutz bisher kaum eine Rolle. Damit befasste man sich vielleicht nach Feierabend oder am Wochenende.
Nach dem Kurs wird Franz von Teilnehmern mit weiteren Fragen in Beschlag genommen. Draußen diskutieren derweil zwei Unternehmer, was sie in ihrem Betrieb umstellen müssen: "Ja, dann schauen wir halt mal." Ein anderer konstatiert: "Bislang dachte niemand, dass jemand etwas Böses tut."