In Deutschland kämpfen die meisten Unternehmen mit der Umsetzung der europäischen Datenschutz-Grundverordnung (DSGVO). Nur jede fünfte Firma hat die seit 25.05.2018 gültige EU-DSGVO vollständig umgesetzt und auch Prüfprozesse für ein risikobasiertes, angemessenes Datenschutz- und Datensicherheitsmanagement, wie es die DSGVO vorschreibt, eingerichtet.
37 Prozent haben die Verordnung laut einer Umfrage des Digitalbranchenverbandes Bitkom aber immerhin „größtenteils umgesetzt“, die bitkom am 29.09.2020 veröffentlicht hat.
Das ist bei den sehr unterschiedlichen Signalen, die die zuständigen Aufsichtsbehörden einerseits und der deutsche Gesetzgeber mit nationalen Gesetzes Änderungen, die gerade für KMU die Pflichten und Sanktionen stark absenken sollen, und den großen Herausforderungen, die sich in der Praxis für die Unternehmen im Bereich Kundendaten, Mitarbeiterdaten, Bewerberdaten stellen, kein Wunder. Einerseits gibt es je nach Art und Schwere sowie weltweiter Umsatz des betroffenen Unternehmens bzw. Unternehmensgruppe drakonische Bußgelder wegen Verstößen gegen die DSGVO. So hat zuletzt der Hamburger Datenschutzbeauftragte ein Bußgeld von 35.258.708 Euro gegenüber einer Verarbeitung von intimen privaten Mitarbeiterdaten ohne Rechtsgrundlage gegenüber H&M Hennes & Mauritz Online Shop A.B. & Co.KG mit Sitz in Hamburg verhängt. Dies war ein relativ schwerer Verstoß gegen die Grundsätze, Daten für festgelegte Zwecke nur mit einer legitimen Rechtsgrundlage zu verarbeiten (Art. 5 und Art. 6 DSGVO). Dazu und eine Übersicht über die offiziell bestätigten Bußgelder findet sich auf https://www.enforcementtracker.com/
Das Risiko für Bußgelder, Schadenersatzklagen und nicht zuletzt erhebliche Rufschäden betroffener Unternehmen steigt aus mehreren Gründen. Einer davon ist, dass die EU mit der Whistleblower Richtlinie vom 23.10.2019 – EU 2019/1937 den Staaten auferlegt hat, den Unternehmen ab 50 Mitarbeitern oder Unternehmen aus den Bereichen kritischer Infrastrukturen auch unabhängig von der Mitarbeiterzahl die gesetzliche Pflicht aufzuerlegen, ein System zur anonymen Meldung von Verstößen des Unternehmens gegen EU-Recht einzurichten. Denn dadurch steigt zusätzlich das Risiko, dass Datenschutzverstöße von Mitarbeitern gemeldet werden, wenn sie Nachteile bei der internen Meldung an ihren Arbeitgeber fürchten müssen.
Zwar gilt die Whistleblower-Richtlinie noch nicht unmittelbar, sondern verpflichtet derzeit noch den nationalen Gesetzgeber, diese in nationales Recht umzusetzen, aber sollte der deutsche Gesetzgeber dies nicht oder nicht EU-rechtskonform in der Umsetzungsfrist bis 17. Dezember 2021 (vgl. Artikel Abs. 1 der Richtlinie) zustande bringen, wird die Richtlinie in 2021 bereits unmittelbar geltendes Recht. Es gibt inzwischen auch Anbieter wie z.B. die iwhistle GmbH aus Friedrichsdorf am Taunus, die den Unternehmen die Einrichtung einer solchen anonymen Hinweisgeber-Systems zur Umsetzung der Richtlinie anbieten. Nach den Erfahrungen mit der Umsetzung der DSGVO sollten die Unternehmen hier nicht zu spät beginnen, die entsprechenden Prozesse anzupassen und sich auf die fristgerechte Einrichtung eines solchen Hinweisgebersystems – je früher desto besser – vorbereiten, um die Compliance-Risiken zu begrenzen. Repressalien und sonstige Nachteile gegen die Hinweisgeber sind dann verboten. Spätestens sobald ein Hinweisgeber anonym gemeldet hat, wird die Geschäftsleitung nachweislich über bestehende Verstöße in Kenntnis gesetzt und steigen damit die Risken, dass im Falle eines Untätigbleibens des Unternehmens der Vorstand persönlich für die Schäden haftet. Bei Vorsatz tritt auch die Directors & Officers Haftpflichtversicherung in der Regel nicht ein.