Am 17.12.2015 hat der Deutsche Bundestag das „Gesetz zur Verbesserung der zivilrechtlichen Durchsetzung von verbraucherschützenden Vorschriften des Datenschutzrechts“ verabschiedet. Zentrale Regelung dieses Gesetzes ist die Einführung eines Verbandsklagerechtes bei Datenschutzverstößen. Damit steigt das tatsächliche Risiko von Sanktionen bei Datenschutzverstößen für Unternehmen erheblich.

Wie es bisher war

Die Vorschriften des Datenschutzrechtes gelten zwar. Ein Verstoß hatte meist jedoch keine wirklichen Konsequenzen:

• Datenschutzbehörden können eingreifen und Anordnungen erlassen sowie Bußgelder verhängen. Diese Behörden sind aufgrund unzureichender Personalausstattung jedoch hoffnungslos überlastet. Proaktives Handeln ist von den Behörden nicht zu erwarten. Nur wenn sich ein Betroffener beschwerte, bestand die Gefahr, dass die Datenschutzbehörde tätig wird. Doch das war so gut wie nie der Fall.
• Die vom Datenschutzverstoß betroffene Person konnte sich selbst beschweren und Unterlassungsansprüche geltend machen. Jedoch nur bezogen auf ihren konkreten Fall. Auch dies geschah eher selten, da es für den Betroffenen mit Aufwand verbunden war. Eine gerichtliche Auseinandersetzung wegen Schadensersatzansprüchen war eher die Ausnahme.
• Wirtschafts- und Verbraucherverbände durften bei Datenschutzverstößen nur tätig werden, indem sie betroffene Verbraucher in deren konkreten Fall vertraten.

Was ändert sich

Zukünftig sollen diese Verbände Datenschutzverstöße von Unternehmen im eigenen Namen verfolgen dürfen, wie dies bereits bei Wettbewerbsverstößen seit langem der Fall ist.

Auf folgenden Gebieten dürfen Verbände Verstöße zukünftig ahnden:

• Werbung;
• Markt- und Meinungsforschung;
• Betrieb von Auskunfteien;
• Erstellen von Persönlichkeits- und Nutzungsprofilen (z.B. beim Webtracking auf Internetseiten);
• Adresshandel sowie
• sonstiger Datenhandel zu kommerziellen Zwecken.

Ausgenommen sind vom Gesetz ausdrücklich Datenschutzverstöße, die bei Verwendung personenbezogener Daten zur Abwicklung eines Vertrages begangen werden. Hier muss weiterhin der Betroffene selbst seine Rechte verfolgen.

Die Wirtschafts- und Verbraucherverbände können nunmehr Unterlassungs- und Beseitigungsansprüche geltend machen. Im Falle einer berechtigten Abmahnung wäre eine strafbewehrte Unterlassungserklärung abzugeben. Dies kann dazu führen, dass die verwendeten Daten nicht mehr genutzt werden dürfen.

Folgen

Das tatsächliche Risiko von Sanktionen wegen Datenschutzverstößen (Abgabe einer strafbewehrten Unterlassungserklärung, Pflicht zur Kostenerstattung) steigt durch die Gesetzesänderung erheblich an. Durch den Anspruch auf Auslagenerstattung im Falle einer Abmahnung werden viele Wirtschafts- und Verbraucherverbände auch die Einhaltung der Datenschutzvorschriften prüfen, da dies eine weitere Einnahmequelle für sie darstellt.

Wann tritt die Änderung in Kraft?

Der Bundestag hat das Gesetz am 17.12.2015 beschlossen. Es muss nun noch den Bundesrat passieren, wovon ausgegangen werden kann. Das Gesetz enthält keine Übergangsfrist. Es tritt damit unmittelbar nach Verkündung im Bundesgesetzblatt in Kraft.

Dies wird voraussichtlich noch im ersten Quartal 2016, möglicherweise sogar vor Ende Februar 2016, der Fall sein.

Alle Unternehmen, die ihre Abläufe im Marketing oder bei der Erstellung von Nutzungsprofilen noch nicht datenschutzrechtlich überprüft und angepasst haben, sollten den Jahresanfang nutzen, dies nachzuholen.