Sachlicher Anwendungsbereich in der EU-DSGVO

Kompliziert ist nicht gleich teuer.
Transparente Preismodell bei externen Datenschutzbeauftragten für Ihr Unternehmen.

Fragen Sie noch heute ein Beratungsgespräch an

Die EU-Datenschutzgrundverordnung (EU-DSGVO) ist seit dem 25. Mai 2018 anzuwenden. Seitdem sollte jedes Unternehmen für die Umsetzung des neuen Rechts gerüstet sein und wissen, welche Veränderungen sich für die eigenen Mitarbeiter und Kunden ergeben, um Arbeitsabläufe und interne Datenschutzrichtlinien anzupassen. Dafür muss ein Unternehmen zunächst einmal wissen, wie der sachliche Anwendungsbereich der EU-DSGVO interpretiert wird.

Wann wird die Richtlinie angewandt?

Die neue Richtlinie ersetzt die Datenschutzrichtlinie 95/46/EG, die zum 25.05.2018 aufgehoben wurde. Sachlicher Anwendungsbereich dieser neuen Richtlinie ist gemäß Art. 2 (1) DSGVO die ganze oder teilweise automatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
Die Norm ist weit gefasst und erlaubt daher nur wenige Ausnahmen.

Welche Unternehmen, Daten und Tätigkeiten fallen unter die neue Richtlinie?

Personenbezogene Daten sind alle Daten, die die Herstellung einer Verbindung zu einer natürlichen Person erlauben. Das sind zum Beispiel Name, Adresse, Telefonnummer, aber auch die private IP-Adresse einer Person. Wenn Sie also den Namen, die Adresse und das Geburtsdatum Ihrer Kunden erheben, so haben Sie bereits mehrere personenbezogene Daten erhoben, die unter die Richtlinie fallen.
Automatisiert bedeutet, dass die Daten per Internet, E-Mail oder Computer erfasst werden. Nicht-automatisiert bedeutet eine handschriftliche Notiz. Wenn Sie also Daten per Stift und Zettel erheben, fallen diese Daten noch nicht unter die Richtlinie. Sobald sie jedoch in einen Computer oder andere elektronische Geräte eingegeben werden, ist ein sachlicher Anwendungsbereich gegeben.

Verarbeitung bedeutet, dass Sie die Daten erheben, verarbeiten, erfassen, ordnen, speichern, auslesen etc.Unter einem Dateisystem versteht die Richtlinie eine strukturierte Sammlung von Daten, die nach bestimmten Kriterien zugänglich sind.
Da heutzutage nahezu jedes Unternehmen mit Computern und Dateien arbeitet, wird es fast keine Firma in der EU geben, die die neue Richtlinie nicht anwenden muss. Ausgenommen sind Maßnahmen von Behörden, die der Strafverfolgung oder der Gefahrenabwehr dienen. Hier steht das öffentliche Wohl über dem Datenschutz. Für diese Fälle wird die Richtlinie 2016/680/EU angewandt.

Sachlicher Anwendungsbereich nicht ausreichend?

Datenschützer kritisieren, dass die Regelung nur Unternehmen innerhalb der EU betrifft und ein sachlicher Anwendungsbereich, wie er in der neuen Verordnung gefasst wird, nicht ausreicht; betreffend eines weltweit vernetzten Datenaustausches kommt deshalb zurecht die Frage auf, wie mit den Daten umgegangen werden soll, die europäische Unternehmen mit Firmen außerhalb der EU austauschen müssen. Die vielen gerichtlichen Auseinandersetzungen mit Facebook, Google und anderen amerikanischen Unternehmen innerhalb der letzten Jahre zeigen deutlich, dass hier noch viel Handlungsbedarf besteht.
Viele Rechtswissenschaftler sehen in der neuen Verordnung „das schlechteste Gesetz des 21. Jahrhunderts“ – und das ausgerechnet in einem Bereich, der nahezu jedes Unternehmen und jeden EU-Bürger betrifft. Eine deutsche rechtswissenschaftliche Studie zum Thema sachlicher Anwendungsbereich in der EU-DSGVO fordert den deutschen Gesetzgeber auf, die Richtlinie mit deutschen Gesetzen zu erweitern, um Rechtssicherheit im weltweiten Datenaustausch zu erreichen.