Die Unternehmen sind nur unzureichend auf das Inkrafttreten der DSGVO vorbereitet. Wie bewerten Sie das?
In Kraft ist die Datenschutzgrundverordnung bereits seit dem 24. Mai 2016 und kommt nun seit dem 25. Mai dieses Jahres zur Anwendung. Gerade mit Blick auf diese zweijährige Umsetzungsfrist finde ich es unverständlich, wenn Unternehmen nur unzureichend vorbereitet sind.

Natürlich ist die DSGVO bisweilen eine Herausforderung – auch für die Wirtschaft, die einige neue Regeln kennenlernen, verstehen und umsetzen muss. Deshalb haben wir bereits frühzeitig begonnen, zu informieren, zu sensibilisieren und zu beraten. Unsere Angebote und Appelle sind aber offenbar zum Teil ungehört verhallt.

Die aktuelle Situation betrachte ich als einen Fall verspäteter Öffentlichkeit – viel zu spät wurde wahrgenommen, dass die DSGVO tatsächlich alle betrifft, und viel zu spät wurde vielfach mit den erforderlichen Umsetzungsmaßnahmen begonnen.

Das Ausmaß der Aufregung in den vergangenen Wochen ist für mich nur schwer nachvollziehbar. Zum einen hatte ich den Eindruck, dass Datenschutz in Deutschland aufgrund seiner jahrzehntelangen Tradition nicht mehr erklärt werden muss. Zum anderen setzt die DSGVO in großen Teilen bewährte Standards fort; sie ist eine Evolution deutschen Datenschutzrechts, keine Revolution. Wer bisher das Thema Datenschutz ernst genommen hat, für den hält sich der Aufwand in Grenzen.

Vor allem kleine und mittelständische Unternehmer beklagen sich über hohe Kosten und Unklarheiten – so bewerten nach Medienberichten die Behörden in den Ländern manche Details verschieden. Was sollte die Politik aus Ihrer Sicht tun, um Rechtssicherheit herzustellen?
Hier ist aus meiner Sicht im Moment nicht primär die Politik am Zug. Vielmehr müssen die Aufsichtsbehörden und – in letzter Konsequenz – die Gerichte dafür sorgen, dass die neuen Regeln einheitlich und transparent angewendet werden.

Was speziell die kleinen und mittelständischen Unternehmen betrifft, hatte meine Behörde im November vergangenen Jahres gerade für diese Zielgruppe eine Hilfestellung zur Umsetzung des neuen Datenschutzrechts in Form einer Checkliste herausgegeben. Damit konnten die Unternehmen die Bereiche identifizieren, in denen sie schon gut vorbereitet sind und diejenigen, in denen es noch Handlungsbedarf gab.

Zudem wird die Europäische Kommission im Mai 2020 einen ersten öffentlichen Bericht zur Überprüfung und Bewertung der Verordnung vorlegen, aus dem sich gegebenenfalls Änderungsvorschläge ergeben können.

Viele kleine und mittelständische Unternehmer befürchten eine Welle von Abmahnungen – eine berechtigte Sorge?
Leider wird die Einführung der DSGVO neben dem stetigen Hinweis auf die drohenden, sehr hohen Bußgelder zunehmend durch den Verweis auf die Abmahnrisiken begleitet. Die Abmahnung ist kein Instrument zur Rechtsdurchsetzung des Datenschutzrechts und insbesondere auch kein Vollzugsmittel der Aufsichtsbehörden. Die Abmahnung ist ein Instrument des Wettbewerbsrechts. Sie verschafft Verbänden, Kammern und Mitbewerbern die Möglichkeit, Unterlassungs- und Beseitigungsansprüche geltend zu machen.

Voraussetzung ist ein Verstoß gegen sogenannte Marktverhaltensregeln. Ob und in welchem Umfang Datenschutzvorschriften dazu zu zählen sind, war bislang in Deutschland umstritten und wurde allenfalls für einzelne Datenschutzvorschriften, wie zum Beispiel die Informationspflichten bejaht. Hinsichtlich der Vorschriften der DSGVO wird diese Diskussion neu zu führen sein. Darüber hinaus hat die DSGVO weder das Risiko von Abmahnungen erhöht noch die Rechtslage verändert.

Ganz abgesehen davon gibt es derzeit auch eine Initiative im parlamentarischen Raum, die Abmahnungen wegen angeblicher Verstöße gegen die DSGVO unterbinden will.

Viele Netz-Nutzer indes legen großen Wert auf Datenschutz. Inwieweit kann die DSGVO für die Unternehmen auch eine Chance darstellen?
Künftig werden die unterschiedlichen Datenschutzstandards der 28 EU-Mitgliedsstaaten zu einem einzigen Standard vereinheitlicht. Für die Wirtschaft im europäischen Binnenmarkt bedeutet dies eine europaweit einheitliche Gesetzeslage und damit sogar einen Abbau unnötiger Bürokratie.

Mit dem neuen Marktortprinzip gelten die europäischen Datenschutzregeln künftig für alle Unternehmen, die ihre Waren oder Dienstleistungen in der EU anbieten. Auch die großen US-Unternehmen müssen sich also an unsere Regeln halten, wenn sie an unserem Markt teilhaben möchten. Dies schafft fairere Wettbewerbsbedingungen.

Die früheren „Ausweichmanöver“ amerikanischer Unternehmen mit dem Ziel, sich als Sitz den Mitgliedstaat mit den niedrigsten Datenschutz-Standards auszusuchen, finden damit ihr Ende.

Gerade auch in der aktuellen Diskussion um den Wert unserer persönlichen Daten setzt sich zum Glück die aus meiner Sicht ganz wesentliche Erkenntnis durch, dass hinreichender Datenschutz ein vertrauensbildender Faktor sein kann. Viele technische Anwendungen sind vom Vertrauen der Kunden abhängig, und ohne ein hohes Maß an Sicherheit wird es dieses Vertrauen in die neuen technologischen Möglichkeiten nicht geben. Vertrauen ist sozusagen die neue Währung im Internet. Ein hohes Datenschutzniveau muss daher kein Nachteil, sondern kann im Gegenteil ein deutlicher Wettbewerbsvorteil sein.