Seit einigen Wochen mehren sich die Vorkehrungen, die ab dem 25. Mai 2018 zwingend geltende EU-Datenschutzgrundverordnung auch in landwirtschaftlichen Betrieben umzusetzen. Obwohl viele Fragen noch ungeklärt sind, müssen sich Bauern, die Daten ihrer Kunden nutzen, mit der Umsetzung der Verordnung beschäftigen, mahnt der Bauern- und Winzerverband Rheinland-Nassau.

Mit der EU-Datenschutzgrundverordnung werden Regeln für die Verarbeitung von personenbezogenen Daten durch private Unternehmen und öffentliche Stellen EU-weit vereinheitlicht. Zu den personenbezogenen Daten zählen beispielsweise Name, Adresse, Einkommen oder auch E-Mail-Adressen sowie Geburtstage. Im Umgang mit diesen und weiteren Daten folgt die Datenschutzgrundverordnung u.a. den Prinzipien der Datensparsamkeit, der Transparenz und der Vertraulichkeit.

Hieraus ergibt sich, dass die Betroffenen – also die Kunden von Bauern und Winzern – umfangreiche Rechte haben, aus denen sich wiederum Pflichten für die verantwortlichen Winzer und Bauern ergeben. Aus den Auskunfts- und Informationsrechten der Betroffenen ergibt sich so beispielsweise die Informationspflicht der Betriebsleiter gegenüber denjenigen Personen, deren Daten verarbeitet werden, erklärt der Bauernverband.

Die Informationsrechte beinhalten vor allem den Zweck und die Form der Datenverarbeitung. Daraus folgt die Verpflichtung der Betriebsleiter, ein Verzeichnis der verarbeiteten Daten zu erstellen und darin beispielsweise den Zweck der Datenerhebung und die dabei erfassten Personen sowie technischen Abläufe zu dokumentieren. Für dieses zwingend anzulegende Verzeichnis wird es sicherlich entsprechende Muster geben, die derzeit jedoch noch auf ihre Richtigkeit und Vollständigkeit hin überprüft werden müssen.

Des Weiteren gibt die neue Datenschutzgrundverordnung den Betroffenen ein „Recht auf Vergessenwerden“, woraus sich für die Betriebsleiter eine Löschungspflicht der gesammelten Daten ergibt. Diese Löschungspflicht besteht nicht nur, wenn der Betroffene es ausdrücklich verlangt, sondern beispielsweise wohl schon dann, wenn die Daten für die beabsichtigten Zwecke nicht mehr benötigt werden oder ein Betroffener seine erteilte Einwilligung widerrufen hat. Auch zur Umsetzung dieser Vorgaben gilt für die Betriebe eine Dokumentationspflicht, also die Pflicht, sämtliche Datenerhebungen, Löschungen und die damit zusammenhängenden Verarbeitungsprozesse in einem Verzeichnis zu dokumentieren.

Da der Schutz personenbezogener Daten in der Europäischen Union ein Grundrecht ist, hat der Gesetzgeber zur Umsetzung und Einhaltung des Datenschutzes nun die möglichen finanziellen Sanktionen drastisch erhöht. Um diesen Sanktionen zu entgehen muss einiger bürokratischer Aufwand betrieben werden, der von den Betriebsleitern zunächst eine sorgfältige Analyse der betrieblichen Abläufe erfordert.

In wenigen Fällen wird es sogar notwendig sein, einen eigenen Datenschutzbeauftragten zu bestellen. Dies ist jedoch lediglich für jene Betriebe von Relevanz, in denen 10 oder mehr Personen mit der Verarbeitung von Daten befasst sind.

Eine wichtige neue Forderung der Datenschutzgrundverordnung betrifft die Einwilligung der Betroffenen zur Verarbeitung ihrer Daten. In Zukunft sollen die Daten nur noch verarbeitet werden können, wenn die Betroffenen eindeutig zustimmen, dass diese auch genutzt werden dürfen.

Bauern und Winzer stellen sich und ihre Produkte immer häufiger auch im Internet vor. Für Betreiber von Homepages wird es wichtig sein, die technischen Abläufe umzustellen und neue Einverständniserklärungen einzufordern sowie diese zu dokumentieren. Beispielsweise können dies die aus anderen Bereichen bekannten Banner sein, mit denen Besucher von Webseiten auf Verwendung von Cookies etc. hingewiesen werden.

Die Datenschutzgrundverordnung betrifft in Zukunft auch die Auftragsdatenverarbeitung. Diese liegt vor, wenn ein Betrieb zwar personenbezogene Daten für seine Zwecke nutzt, die tatsächliche Verarbeitung und Aufbereitung dieser Daten aber nicht selbst durchführt, sondern dies von einem Dienstleister vornehmen lässt. Das gilt z.B. im Bezug zu Steuerberatern, die für den Betrieb Steuererklärungen erstellen oder für Druckereien, die Kundeninformationen verschicken und dabei z.B. Adressdaten von Kunden verarbeiten. Hierbei bleibt der „sammelnde“ Betrieb trotz Einschaltung eines Dienstleisters auch weiterhin für die Rechtmäßigkeit der Datenverarbeitung verantwortlich. Bei Datenschutzverstößen könnten sowohl der Betrieb, als auch der Dienstleister gemeinsam haften.

Schließlich sind sogenannte technisch-organisatorische Vorgaben zu beachten, womit mögliche Verletzungen des Schutzes personenbezogener Daten weitestgehend vermieden werden sollen. Hierzu zählen unter Berücksichtigung des Stands der Technik insbesondere Maßnahmen aus dem Bereich der Datensicherheit, also etwa die Verschlüsselung von Daten mit Hilfe aktueller Technik.

Wenn zu den oben skizzierten Ausführungen bis zum 25. Mai 2018 keine Vorkehrungen getroffen werden, kann dies zu empfindlichen Abmahnungen führen. Es lässt sich bereits absehen, dass auf Abmahnungen spezialisierte Kanzleien gezielt auf der Suche nach Verstößen gegen Datenschutz sein werden. Das bevorzugte Medium dafür dürfte das Internet sein, so dass vor allem die leicht ermittelbaren Versäumnisse (z.B. notwendige Einwilligungserklärungen) in Absprache mit dem Webdesigner abgestellt werden sollten. Daher sollte jeder betroffene Betriebsleiter motiviert sein, aus eigenem Interesse die Datenschutzbestimmungen auch tatsächlich umzusetzen.