Gefährliche Grauzone: Nach der Arbeit bleibt die Ungewissheit

Am 25. Mai tritt die neue Datenschutz-Grundverordnung in Kraft. Sie betrifft jeden, der eine Internetseite betreibt. Die Umsetzung ist mit viel Aufwand verbunden. Kleinere Vereine und Handwerker fühlen sich überfordert. Gefürchtet wird, dass Abmahnfirmen die Rechtsunsicherheit ausnutzen

Je näher der 25. Mai rückt, umso nervöser werden viele Betreiber von Internetseiten, denn dann gilt die neue Datenschutz-Grundverordnung (DS-GVO) der EU und das neue Bundesdatenschutzgesetz (BDSG). Beide sollen sicher stellen, dass Unternehmen künftig die Daten ihrer Kunden sicher verwalten. Die neue Richtlinie trifft aber nicht nur Firmen wie Internet-Shops, Handwerker oder zum Beispiel die Erdinger Stadthalle, sondern auch Vereine abhängig von ihrer Größe, wenn sie eine Internetseite haben. Sie sind zum Beispiel ab 25. Mai verpflichtet, Übersichten anzufertigen, in denen detailliert die Verwendung der Mitglieder- oder Kundendaten ersichtlich ist. Wie sie erhoben werden, wiesie verarbeitet und genutzt werden, zum Beispiel für Newsletter, Homepage oder wenn sie an Externe weiter gegeben werden. Wenn mehr als neun Personen auf die Mitgliederdaten zugreifen können, muss neuerdings ein Datenschutzbeauftragter ernannt werden.

Alle Betroffenen, sogar Personen, die sich mit Datenschutz eigentlich auskennen, einigt wohl eines: weil sowohl das Thema als auch die Verordnung so komplex ist, sind viele verunsichert, ob sie alles richtig gemacht haben, damit es nicht wie vor Jahren bei der Einführung der Impressumspflicht für Internetseiten dazu kommt, dass Abmahnvereine mit Lücken und Fehlern Geld machen. Und: es ist jede Menge Arbeit aufzuwenden, wozu man aber auch IT-Kenntnisse benötigt.

Die Stadthalle Erding hat nach Geschäftsführerin Jutta Kistner auch vorher schon viel Wert auf Datenschutz gelegt und eine Datenschutzbeauftragte gehabt - in Teilzeit, aber durch die neue Verordnung falle so viel Arbeit an, dass dies in Teilzeit nicht mehr zu schaffen war. "Intensiver haben wir uns seit Februar mit dem Thema beschäftigt und schnell gesehen, dass wir vom Hölzchen aufs Stöckchen kommen." Alleine die Dokumentationspflicht, was mit dem Daten passiere, sei enorm und koste viel Zeit. Deshalb habe man sich einen externen Dienstleister als Datenschutzbeauftragten engagiert, der aber nicht nur die IT-Seite abdecke, sondern auch die juristische, da es in der Verordnung ein paar Grauzonen gebe. Zum Beispiel werde die Weiterverarbeitung personenbezogener Daten, die "zur Wahrung des berechtigten Interesse des Verantwortlichen oder eines Dritten erforderlich ist" erlaubt. Was ist aber ein "berechtigtes Interesse", fragt Kister. Sie vermutet, dass die Gerichte bald mit dem Thema beschäftigt sein werden - und die Internetseitenbetreiber mit den Klagen von Abmahnvereinen, wenn jemand die neue DS-GVO nicht erfülle.

Recht offen gibt Rudolf Müller, Vorsitzender des Vereins Aquaterra Erding, zu, dass die Homepage noch nicht der neuen Datenschutzverordnung entspricht. "Wir haben uns schon mal im Verein darüber unterhalten, aber keiner wusste etwas genaueres. Deshalb haben wird uns darauf verlassen, dass vom Verband was kommt, was wir auf der Seite ändern müssen. Aber bis heute kam nichts", sagt Müller. Allerdings werde man sich jetzt wohl doch selber damit befassen müssen, da die Bußgelder bei einer Missachtung der Verordnung doch ganz schön üppig sein sollen.

Und das sind sie wirklich. Im Extremfall können bis zu 20 Millionen Euro an Strafe anfallen, bei Vereinen dürften Bußgelder im vier- bis fünfstelligen Bereich anfallen, vermuten Experten. Dazu haben Personen, die wegen eines Verstoßes einen Schaden erhalten, zum Beispiel bei Rufschädigung, Schadensanspruch.

Auf einem guten Weg ist man beim TSV Erding mit seinen zwanzig Abteilungen und rund 3000 Mitgliedern. Auch, weil sie mit Thomas Zahn den Datenschutzbeauftragten der Stadt Erding zum Präsidenten haben. "Zu Gute kommt uns, das wir dem Datenschutz schon vorher große Aufmerksamkeit schenkten", sagt Zahn. So habe man auch schon früher bei Veröffentlichung von Fotos zum Beispiel die Erlaubnis der Fotografierten eingeholt. Viel Arbeit sei beim Verzeichnis angefallen, wo welche personenbezogenen Daten angefallen. "Wer denkt schon daran, dass die weitergeleiteten Ergebnisse eines Sportlers, der an einen Meisterschaft teilnimmt, auch unter personenbezogen fallen?" In einigen Punkte habe man versucht, der Verordnung nachzukommen, müsse aber die Rechtssprechung abwarten, da nicht alles eindeutig sei. Dass es diese bald geben wird, ist sich Zahn sicher. "Die Abmahnvereine warten schon darauf, wie damals als das Impressum auf die Seiten musste."

Indirekt arbeitet Zahn zudem für die Freiwillige Feuerwehr Erding. "Organisatorisch sind wir ja so was wie eine Abteilung der Stadt", sagt Manfred Kordick, der Kommandant der Feuerwehr. Dank des Programms NT-Feuerwehr sei man immer auf aktuellem Stand, über die Stadt auch datenschutzmäßig. Dass die neuen Verordnung Arbeit mache, sehe man am Umgang mit Fotos. "Jeder Kollege wurde schriftlich gefragt, ob er auf Einsatzfotos zu sehen sein darf. Und wenn wir zum Beispiel Besuch von Kindergartenkindern bekommen, fotografieren wir die Kinder wenn möglich nur von hinten oder das Gesicht wird später unkenntlich gemacht am PC."

Vom Leid der kleineren Handwerksbetriebe kann Bäckermeister Max Neumaier ein Lied singen: "Für kleinere Betriebe wird der Bürokratismus immer größer. Für Betriebe bis zu hundert Mitarbeiter wird das noch einmal der Tod sein, das können wir nicht auch noch leisten. Ich bin ein kleiner Bäcker mit Realschulabschluss und arbeite jetzt schon bis zu 16 Stunden am Tag. Zudem bin ich kein IT-Experte und Jurist, wie soll ich mich damit auskennen, wenn, wie in den Medien berichtet wird, schon große Firmen nicht wissen, was genau von ihnen verlangt wird." Er habe zwar einen Elf-Punkte-Plan von der Innung, den werde er abarbeiten, aber ob das reiche, wisse er nicht. Einer, der es sich nicht leisten kann, den Datenschutz sehr penibel einzuhalten ist Winfried Gehensel, Leiter des soziotherapeutischen Heims Haus Wartenberg. In ihm werden chronisch mehrfach beeinträchtigte alkoholabhängige und medikamentenabhängige Menschen betreut. "Seit einem halben Jahr schauen wird derzeit, wo wir überall personenbezogene Daten haben, die nach der neuen Verordnung verarbeitet werden dürfen. Das betrifft sowohl die internen Patientenunterlagen wie auch die Kommunikation nach außen." Ohne Experten für die IT-Seite sei die Arbeit kaum zu leisten.