Datenschutz hat es zu keiner Zeit leicht gehabt. Den Befürwortern ging es nie weit genug, die Gegner fühlten sich in ihrer Arbeit stets eingeschränkt. Statt für Akzeptanz zu werben, wurde mit Strafen gedroht. Ein wahrhaft schlechter Start. Wir von ds² werden weiter daran arbeiten, das Positive und die Vorteile des Datenschutzes aufzuzeigen.

Das ist es nur auf den ersten Blick. Die Vorschriften des Datenschutzrechts greifen in vielfacher Hinsicht verzahnt ineinander. So kann die Rechtmäßigkeit von Verarbeitungen immer nur ganzheitlich betrachtet erreicht werden. Wie bei vielen anderen Rechtsgebieten auch ist aber noch nicht jede strittige Frage durch die Rechtsprechung beantwortet, geschweige denn durch Kommentare ausdiskutiert. Zudem wurden die Regelungen aller EU-Mitgliedsstaaten zusammengefasst, da ist es zu erwarten, dass sich dies in der Praxis erst etablieren muss.

Dafür gibt es viele Gründe. Oft mangelt es an Priorität bei der Geschäftsleitung, nicht selten fehlt Know-how, um die hohe Komplexität der Einführung eines Managementsystems zu Ende zu begleiten. In vielen Fällen treffen die Projektverantwortlichen auch auf große Widerstände. Wir gehen aktuell davon aus, dass rund die Hälfte aller Unternehmen die Einführungsphase – die normalerweise rund sechs Monate dauert – auch nach Jahren noch nicht abgeschlossen haben.

Zum einen, dass es alle relevanten Fälle und geforderten Prozesse klar definiert; zum anderen, dass es für die, die damit arbeiten sollen, verständlich formuliert ist und nachvollziehbar macht, welche Verbesserung die Nutzung mit sich bringt. Dass es rechtskonform ist, ist eine Selbstverständlichkeit.

Nach unserer Erfahrung ist zuerst mangelnde Akzeptanz bei der Unternehmensführung zu nennen. Platz zwei belegt mangelndes Wissen bei den intern Verantwortlichen und oft auch das fehlende Verständnis für die Unternehmensprozesse bei den Beratern. Platz drei der Negativ-Hitliste teilen sich das Fehlen eines verbindlichen Zeitplans und heftige Gegenwehr diverser Beteiligter im Unternehmen – aufgrund eines fehlenden Commitments der Geschäftsführung.

Das größte Risiko sind nicht die teils empfindlich hohen Geldstrafen. Das größte Risiko besteht darin von kritischen Kunden und Geschäftspartnern in der Öffentlichkeit vorgeführt zu werden. Medien mögen Stories über Firmen, die es mit den Gesetzen nicht so genau nehmen. Der Schaden, der durch diesen Imageverlust entsteht, dürfte größer sein und länger nachwirken als jede Geldstrafe.

Die kann man am besten unter dem Begriff Unterlassungen bündeln. Das Weglassen wichtiger aber unbequemer Aufgaben oder Pflichten, das Nichtreagieren auf Beschwerden oder Ansprüchen von Kunden und Betroffenen oder auch das fehlende Kontrollieren, ob die getroffenen Maßnahmen tatsächlich funktionieren. Man kann pauschal festhalten, dass ein Stückwerk von Regelungen und Formularen hier nicht funktioniert und ein Managementsystem die bewährte Lösung darstellt, wenn es wie beispielsweise im Qualitätsbereich sorgfältig betrieben wird.

Gar nichts. Das wirkt auf uns wie ein moderner Ablasshandel. Da wird zwischen den Zeilen versprochen, dass man mit einer Verpflichtung zu einem bestimmten Paket die Haftung delegieren kann. Aber genau das geht nicht. Das Management beziehungsweise die Leitung bleiben haftbar. In der täglichen Praxis erleben wir, dass vor allem jene Unternehmenslenker zu den Billiganbietern tendieren, die das Thema Datenschutz ohnehin nicht ernst nehmen und denen die Konsequenzen nicht klar sind. Allerdings zeigt die Erfahrung auch hier: wer billig kauft, zahlt mindestens zweimal. Bei uns melden sich inzwischen viele Unternehmen, die beim ersten Mal gespart, aber bis heute nichts vernünftig geregelt haben. Viele von denen haben ihren Billig-Datenschutzbeauftragten nie gesehen.

Am Anfang gab es die Idee, dass qualifizierte Datenschutzbeauftragte gleichzeitig fit im Datenschutzrecht, in IT und in Unternehmensprozessen sein müssen. In der Praxis zeigte sich, dass das neue Wissen erst in Kombination mit jahrelanger Erfahrung seine Wirkung entfaltet. Schwierige Aufgaben landen immer öfter bei den Pionieren des Marktes. Sicher auch, weil viele Neueinsteiger lediglich eine gute Teilqualifikation haben und deshalb schnell an ihre Grenzen kommen. Und Einzelkämpfer werden es künftig immer schwerer haben, zunehmend komplexere Aufgaben zu bewältigen. Der Trend geht also mehr in Richtung leistungsfähige Unternehmensberatungen, bei denen Datenschutz nicht ein Teil- oder Nebenaspekt, sondern der Kern des Geschäfts ist.

Die Verarbeitung von Gesundheitsdaten dient nicht ausschließlich der gesundheitlichen Versorgung, sondern oftmals stehen zudem Fragestellungen einer Nutzung zu Qualitätssicherung oder Forschung im Raum. Was zulässig ist, wird von Gesetzgeber und Rechtsprechung geregelt. Große Herausforderungen stellen sich daher oftmals an den Schnittstellen von Medizin, Forschung und Industrie. So ist beispielsweise die Nutzung von KI und entscheidungsunterstützender Systeme in der Medizin ohne die Verarbeitung personenbezogener Daten kaum vorstellbar und damit eine der größten Herausforderungen für den Gesundheitsdatenschutz. Eine weitere Herausforderung dürfte heute und auch in Zukunft darin bestehen, Forschungsinteressen und Datenschutz in den Vorhaben gleichermaßen zu berücksichtigen. Nicht zu vernachlässigen ist, dass auch für die Akteure im Gesundheitswesen durch die DSGVO der Aufwand für die Erfüllung von Transparenz- und Informationspflichten deutlich gestiegen ist.