von Bettina Röber und Karl Fröhlich

Die Rechtsunsicherheit wird als größte Herausforderung bei der Umsetzung der DSGVO gesehen (Grafik: Bitkom).Die deutsche Wirtschaft kämpft immer noch mit der Datenschutz-Grundverordnung (DSGVO). Laut einer Umfrage des Digitalverbands Bitkom haben fast eineinhalb Jahre nach Geltungsbeginn zwei Drittel der Unternehmen (67 Prozent) die neuen Datenschutzregeln zumindest zu großen Teilen umgesetzt. Dabei hat allerdings erst ein Viertel (25 Prozent) die Umsetzung der DSGVO vollständig abgeschlossen. Weitere 24 Prozent hätten die Verordnung teilweise umgesetzt, sechs Prozent der befragten Firmen stehen noch komplett am Anfang.

Susanne Dehmel, Bitkom»Die DSGVO trifft vor allem kleine und mittlere Unternehmen (KMUs) hart«, sagt Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung. »Nach wie vor bestehen große Unsicherheiten bei der Auslegung der neuen Regeln. Eine vollständige Umsetzung der DSGVO scheint vielen Unternehmen unmöglich.« Rechtsunsicherheit und ein schwer abzuschätzender Umsetzungsaufwand sind für jeweils zwei Drittel der Unternehmen (68 Prozent) die größten Herausforderungen. Mehr als die Hälfte (53 Prozent) beklagt fehlende Umsetzungshilfen, gut ein Drittel (37 Prozent) sieht fehlendes Fachpersonal als größte Herausforderung.

Dass der Digitalverband den KMUs zur Seite steht, ist klar. Ebenso, wie die deutlich optimistischere Sichtweise des Bundesdatenschutzbeauftragten Ulrich Kelber. Natürlich seien die Regeln abstrakt und er verstehe den Frust kleinerer Unternehmen und stellt hier auch weitere Erleichterungen in Aussicht. Der Bitkom-Forderung, unterschiedliche Rechtsgrundlagen für die unterschiedlichen Unternehmensgrößen zu schaffen, erteilt Kelber aber eine Absage. Es soll aber der Bereich der Beratung gestärkt werden, damit vor allem Start-ups in einem frühen Stadium die Verordnungen durchführen könnten.

Zudem äußert Kelber seine Unzufriedenheit darüber, dass nach 16 Monate bei Datenschutzverstößen internationaler Konzerne immer noch keine Entscheidungen herbeigeführt werden konnten. Dies hatte er so bereits im Mai auf dem Datenschutzkongress 2019 formuliert.

DSGVO kaum zu erfüllen

Am aufwendigsten ist es für Unternehmen, die mit der Umsetzung der DSGVO zumindest begonnen haben, die neuen Informations- und Dokumentationspflichten zu erfüllen. Fast alle Befragten (97 Prozent) bestätigen einen hohen Aufwand. Die Katalogisierung der Prozesse ist für 93 Prozent sehr aufwendig, 86 Prozent geben dies für ihr Vertragsmanagement an.

Einwilligung X (Twitter)

Mit dem Laden des Inhalts akzeptieren Sie die Datenschutzerklärung von X (Twitter).

Inhalt laden

Hier können personenbezogene Daten (IP-Adresse o.ä.) übertragen werden.

Die sogenannten Privacy-by-Design-Anforderungen zu erfüllen, bedeutet für 84 Prozent viel Arbeit. Ähnlich viele (82 Prozent) kämpfen wegen der DSGVO mit hohen Aufwänden für den Betrieb ihrer Webseiten. Nicht nur der Aufwand ist hoch. Für viele haben die Datenschutzregeln auch enge Grenzen für Innovationen gesetzt. Jedes siebte Unternehmen (14 Prozent) sagt: In unserem Unternehmen sind neue, innovative Projekte aufgrund der Datenschutz-Grundverordnung gescheitert.

»Wir müssen die Datenschutzregeln so weiterentwickeln, dass der Schutz der Privatsphäre und die Entwicklung innovativer datengetriebener Geschäftsmodelle in Einklang gebracht werden können«, fordert Bitkom-Geschäftsführerin Dehmel. »Datenschutz sollte kein lästiger Bremsklotz, sondern Leitplanke mit Orientierungsfunktion für datenbasierte Dienste sein.« Wobei für Datenschutzexperten die DSGVO dies bereits erfüllt. Sie sehen eher viele Geschäftsführer, aufgrund ihrer ablehnenden Haltung, als den bremsenden Faktor.

Nahezu alle vom Bitkom befragten Unternehmen (98 Prozent) fordern Nachbesserungen. Gleichzeitig sind fast ebenso viele (95 Prozent) der Meinung: Die DSGVO sei praktisch nicht komplett umsetzbar. Drei Viertel (74 Prozent) geben an, dass ihre Kunden genervt sind von zusätzlichen Infoblättern und Hinweisen. Drei von zehn Befragten (29 Prozent) finden, dass die DSGVO Innovationen innerhalb der EU verhindert. Und jedes sechste Unternehmen (16 Prozent) sagt sogar: Die DSGVO ist eine Gefahr für unser Geschäft.

Demgegenüber stehen aber auch positiv Gestimmte. So sind fast zwei Drittel (64 Prozent) überzeugt, dass die DSGVO weltweit Maßstäbe für den Umgang mit Personendaten setzen wird. Mehr als die Hälfte (57 Prozent) glaubt, die DSGVO wird zu einheitlicheren Wettbewerbsbedingungen in der EU führen. Und ein Viertel (25 Prozent) sieht in der Datenschutz-Grundverordnung Vorteile für das eigene Unternehmen. Von der EU-Kommission erhofft sich Dehmel vor allem für KMUs Erleichterungen: »Im Innovationsumfeld und insbesondere für Schlüsseltechnologien wie Künstliche Intelligenz müssen die Rahmenbedingungen mit der Entwicklung Schritt halten. Wir brauchen hier die nötige Dynamik, um Datenschutz und Datenverarbeitung, Risikoabschätzungen und wirtschaftliche sowie gesellschaftliche Potenziale in Einklang zu bringen.«

Mehr Erleichterungen für KMUs

Einen ersten Schritt in punkto Erleichterungen gab es bereits Ende Juli, die Grenze, ab wann Unternehmen einen Datenschutzbeauftragten benennen müssen, wurde von zehn auf 20 Mitarbeiter hochgesetzt. Für kleine Firmen ist dies allerdings durchaus trügerisch, weil hier oft genug die Denke vorherrscht, man müsse nun nichts tun. Das ist allerdings falsch, man spart sich zwar monatlich 150 bis 250 Euro bzw. die Ausbildungskosten für einen Mitarbeiter, gleichzeitig ist aber die Geschäftsleitung zu 100 Prozent verantwortlich.

Am 23. Oktober tagt die Ethikkommission und wie zu hören ist, werden neue Vorschläge für Erleichterungen vorgelegt. Gleichzeitig sind aber auch Verschärfungen der DSGVO zu erwarten, wie beispielsweise beim Profiling.

Brexit bringt Unsicherheit für Datentransfers

Darüber hinaus sehen sich Unternehmen mit Datenschutzherausforderungen durch den anstehenden Brexit konfrontiert. Mehr als die Hälfte (53 Prozent) lässt Personendaten von externen Dienstleistern im Ausland verarbeiten. Von diesen sind es wiederum elf Prozent, die dies in Großbritannien erledigen lassen. Die Konsequenz: Die überwiegende Mehrheit (84 Prozent) derer, die derzeit Personendaten in Großbritannien verarbeiten lassen, wollen dies nach dem Brexit nicht mehr tun. »Nach dem Brexit dürfen personenbezogene Daten nicht mehr ohne Weiteres nach Großbritannien übermittelt werden«, erklärt Dehmel. »Ohne Brexit-Deal müssen viele betroffene Unternehmen ihre Prozesse umgehend anpassen und neu aufsetzen. Das kann sich unmittelbar auf den Geschäftserfolg auswirken und die Wirtschaft in Deutschland insgesamt empfindlich treffen.« Um weiterhin einen freien Datenverkehr zu garantieren, müsste die EU aus Sicht des Bitkom einen sogenannten Angemessenheitsbeschluss fassen. Im Falle des No-Deal-Szenarios würde solch ein Beschluss aber nicht rechtzeitig vorliegen. Großbritannien erhält dann zunächst den Status eines unsicheren Drittlandes.

ePrivacy-Verordnung: aus der Einführung der DSGVO lernen

Neben der Datenschutz-Grundverordnung müssen sich Unternehmen demnächst auf ein weiteres Regelwerk für den Datenschutz einstellen, die sogenannte ePrivacy-Verordnung. Diese Verordnung soll die DSGVO im Bereich der elektronischen Kommunikation ergänzen und wird derzeit auf EU-Ebene verhandelt. Den meisten Unternehmen ist diese Verordnung ein Begriff und viele befürchten hier einen hohen Umsetzungsaufwand. Aktuell gibt es aber weder einen Beschluss noch eine Diskussionsgrundlage.

Trotzdem gehen bereits jetzt 21 Prozent davon aus, dass die ePrivacy-Verordnung Innovationen verhindern werde. Dehmel: »Die EU muss aus den Erfahrungen der DSGVO lernen. Eine unklare und zu weit gefasste Verordnung provoziert Rechtsunsicherheit und Probleme bei der Umsetzung.«