3 DSGVO

Nachdem in den Abschnitten 2.5 ff. über das Spannungsverhältnis zwischen dem geltenden Datenschutzrecht und den technischen Möglichkeiten im Rahmen der Datenerhebung gesprochen wurde, wird sich der dritte Teil der Arbeit mit dem neuen, ab 2018 gültigen, Datenschutzrecht auseinandersetzen. Dabei sollen die relevanten Änderungen hinsichtlich der Auswirkungen auf die Social Media Marketing Strategie deutscher Unternehmen herausgearbeitet werden.

Auf diesem Abschnitt aufbauend sollen den Unternehmen im letzten Teil der Arbeit konkrete Handlungsvorschläge gegeben werden, mit deren Hilfe sie die eigene Social Media Marketing Strategie bis zum Umsetzungsdatum kritisch hinterfragen und den Anforderungen entsprechend anpassen können.

3.1 Die neue Datenschutzgrundverordnung

Gemäß dem Art. 99 II DSGVO gilt die neue Datenschutzgrundverordnung ab dem 25. Mai 2018. Als Folge wird die zurzeit geltende RL 95/ 46/ EG am selbigen Tag entsprechend dem Art. 94 I DSGVO aufgehoben.

Für Unternehmen, die personenbezogene Daten erheben und verarbeiten, heißt das, dass sie noch knapp zwei Jahre Zeit haben, um sich mit den neuen Regelungen auseinanderzusetzen und die eigenen Prozesse der Verordnung (VO) entsprechend anzupassen. Auch in Anbetracht der horrenden Bußgelder ist ein proaktiver Umgang mit den neuen gesetzlichen Anforderungen empfehlenswert.[235] Dies gilt nicht nur für die Unternehmen in Deutschland, sondern aufgrund der ganzheitlichen Durchschlagskraft gem. Art 288 II AEUV gleichermaßen für alle anderen Länder innerhalb der EU. Und selbst Unternehmen außerhalb der EU[236] sind in bestimmten Konstellationen von den gesetzlichen Veränderungen betroffen.[237]

3.1.1 Aufbau

Die DSGVO hat ggü. den geltenden Datenschutzgesetzen einen deutlich größeren Umfang. Die Verordnung selbst hat 99 Artikel, welche wiederum auf 11 Kapitel verteilt sind. Des Weiteren ist neu, dass der Verordnung 173 Erwägungsgründe beigefügt sind.[238] Mit eben diesen erläutert der europäische Gesetzgeber zum einen die einzelnen Artikel bzw. seine Gedankengänge. Zum anderen sollen die Erwägungsgründe bei der zukünftigen Auslegung der jeweiligen Artikel behilflich sein.

3.1.2 Öffnungsklauseln

Trotz der Tatsache, dass die DSGVO eine unmittelbare Wirkung auf dem Gebiet der EU hat, werden den Mitgliedsstaaten über sog. Öffnungsklauseln punktuelle Ausgestaltungsspielräume innerhalb der Vorschriften eingeräumt.[239] Obgleich die Harmonisierung des Rechts ein ausdrückliches Ziel des europäischen Gesetzgebers ist[240], wird die Ausgestaltung über Öffnungsklauseln zwangsläufig zu Unterschieden hinsichtlich der tatsächlichen Umsetzung der Vorschriften in den entsprechenden Ländern führen.

Aufgrund des Umstandes, dass hinsichtlich der endgültigen Ausgestaltung der einzelnen Länder, Stand 2016, nur spekuliert werden kann, wird sich diese Arbeit im weiteren Verlauf nicht weiter mit den Öffnungsklauseln bzw. deren potentiellen Auswirkungen auf die o. g. Punkte auseinandersetzen. Es bleibt mit Spannung abzuwarten, welche Entwicklungen die Zukunft dahingehend bringen wird.[241] Trotz etwaiger Unterschiede durch die Öffnungsklauseln kann man sicherlich jetzt schon festhalten, dass die ab 2018 geltende DSGVO bzw. der Datenschutz innerhalb der EU als ganzheitlicher Prozess betrachtet werden kann.[242] Allein aufgrund der Mittelwahl ist davon auszugehen, dass der europäische Gesetzgeber seinem selbst ausgegebenem Ziel des einheitlichen Datenschutzniveaus auf europäischer Ebene weitaus näher kommen wird als mit der RL 95/ 46/ EG.

3.2 Kernziele der DSGVO

Mit der DSGVO versucht der Gesetzgeber, auf die technischen Entwicklungen und Neuerungen des Web 2.0[243] zu reagieren. Man erhofft sich durch die Verordnung ein effektives Werkzeug geschaffen zu haben, mit dem man gegen die in Abschnitt 2.5 ff. geschilderten Spannungsverhältnisse bzw. Datenschutzverletzungen vorgehen kann.

Handlungsbedarf entsteht dabei nicht durch den Umstand, dass die zurzeit noch geltende RL 95/ 46/ EG im Kern nicht die gleichen Ziele wie die neue Datenschutzverordnung hätte. In Erwägungsgrund (EG) sieben macht der Gesetzgeber nämlich deutlich, dass die Ziele und Grundsätze der RL 95/ 46/ EG nach wie vor Gültigkeit besitzen. Moderne Datenverarbeitung und die damit zusammenhängende Komplexität war für den deutschen Gesetzgeber bereits im Jahr 1984 ein wichtiges Thema.[244]

Vielmehr ist der akute Handlungsbedarf der rasanten technischen Entwicklung und der in den letzten Jahren immer extremeren Zunahme des internationalen Datenflusses[245] geschuldet. Eine Entwicklung, die 1995 in diesem Ausmaß so noch nicht absehbar war.

Im nächsten Abschnitt sollen die drei Kernziele der DSGVO näher beleuchtet werden. Ausgehend von den Kernzielen werden alsdann die im Zusammenhang mit dieser Arbeit als relevant erachteten Neuregelungen analysiert. Da die Regelungen als Ausdruck der Ziele zu verstehen sind, haben die Unternehmen die eigene Social Media Marketing Strategie den Regelungen entsprechend anzupassen, um die Ziele des europäischen Gesetzgebers nicht zu gefährden.

3.2.1 Ziel 1: Datenschutzrecht natürlicher Personen stärken

Die allgegenwärtige Datenerhebung und die zunehmende Komplexität der Datenverarbeitungsvorgänge ist einer der Auslöser der umfangreichen Regelungsinitiative des europäischen Gesetzgebers. Die Stärkung der Betroffenenrechte steht im besonderen Fokus des europäischen Gesetzgebers und ist damit ein Kernanliegen der DSGVO.[246] Für natürliche Personen wird es immer schwieriger nachzuvollziehen, „wer was wann und bei welcher Gelegenheit über sie weiß.“[247] Die Praxis zeigt außerdem: Selbst wenn Datenschutzerklärungen vorhanden sind, sind diese in den meisten Fällen schlichtweg zu lang und komplex, als dass der durchschnittliche Nutzer sich diese durchlesen und sich den etwaigen Risiken der Datenerhebung bewusst werden würde.[248] Als Folge werden diese vom Nutzer in den allermeisten Fällen schlichtweg akzeptiert, ohne diese bzw. deren Ausmaße wirklich zu verstehen.

Aus Sicht der Unternehmen, für die das Erheben personenbezogener Daten einen kommerziellen Hintergrund[249] hat, ist diese Fährlässigkeit seitens der Verbraucher von großem Vorteil, da es ihnen die Möglichkeit gibt, die für sie so kostbaren personenbezogenen Daten ohne große Gegenwehr seitens der Nutzer zu erheben. Nicht selten stehen die betreffenden Unternehmen wegen ihrer undurchsichtigen Datenpraktiken in der öffentlichen Kritik. Der Datenschutzbeauftragte von Schleswig-Holstein Weichert beschreibt Facebook gar als einen „notorischen Rechtsverletzer“ und sieht im Datenschutzverstoß selbst den Grundpfeiler des Geschäftsmodells von Facebook.[250]

Obgleich diese Aussagen sicherlich zumindest in Teilen in Frage gestellt werden können, ist es trotzdem unbestritten, dass Facebooks Datenpraktiken gekoppelt mit der NSA-Affäre[251] zu einem massiven Vertrauensverlust[252] auf Seiten der Bevölkerung gegenüber der weltgrößten Social Media Plattform und der Online-Welt als Ganzes geführt hat.

Überraschenderweise ändern diese Bedenken nichts an der Nutzungsintensität bzw. der Beliebtheit der Plattformen. Aufgrund der Monopolstellung[253] und des Netzwerkeffekts von Facebook scheint es tatsächlich so zu sein, dass die Nutzer – trotz Sorgen hinsichtlich des Datenmissbrauchs – bereit sind, ihre Daten, sobald der Nutzen für sie groß genug erscheint, ohne weiteres preis zu geben.[254]

Dieser Entwicklung möchte der europäische Gesetzgeber mit erhöhten Transparenz-, Informations- bzw. Auskunftspflichten auf Seiten der Anbieter begegnen.[255] Dabei steht nicht der Gedanke im Vordergrund, die Nutzung etwaiger Plattformen einzudämmen oder gar zu verbieten. Vielmehr soll die erhöhte Transparenzpflicht der Unternehmen dazu führen, dass die Verbraucher für die Risiken der Datenverarbeitung sensibilisiert werden und bewusster Entscheidungen hinsichtlich der Preisgabe ihrer personenbezogenen Daten treffen.

3.2.2 Ziel 2: Freien Verkehr personenbezogener Daten im Binnenmarkt erleichtern

Das Internet bietet einem heutzutage die Möglichkeit, Waren aus der ganzen Welt problemlos einzukaufen. Täglich besuchen wir eine Vielzahl von Webseiten, welche wiederum personenbezogene Daten erheben und diese u. U. über einen Auftragsverarbeiter[256] bzw. dessen Server verarbeiten[257] lassen. Diese allgegenwärtige Datenverarbeitung wirft in der Praxis – vor allem im internationalen Kontext – viele datenschutzrechtliche Fragen auf.

Erschwerend hinzu kommt der Umstand, dass die...