EU will Strafen für Datenschutzssünder drastisch erhöhen

Unternehmen, die sich nicht an die Datenschutzregeln der EU halten, könnten künftig mit Strafen in Höhe von bis zu fünf Prozent ihres weltweiten Umsatzes belangt werden. Das geht aus einem Vorschlag für eine Neufassung der EU-Datenschutzrichtlinie hervor, die der Financial Times (FT) vorliegt. Kommenden Monat sollen die Regeln verabschiedet werden.

Noch sei die neue Richtlinie nicht finalisiert, sagte Matthew Newman, Sprecher von EU-Vizepräsidentin Viviane Reding, gegenüber ZDNet. Die EU-Kommission nehme jedoch den großen Anstieg an Strafen aufgrund von Datenschutzvergehen zur Kenntnis. Es gebe eine Reihe von Entwürfen. „Es wird mehr Konsequenz bei Strafen geben“, erklärte Newman. „In den Vorschlägen steckt einiges, was interessant ist.“

Laut FT wird es aber noch mindestens zwei Jahre dauern, bis auch die EU-Mitgliedsstaaten die neuen Datenschutzregeln absegnen. Dann braucht es weitere zwei Jahre, bis sie greifen.

Die Vorschriften würden die Möglichkeiten der EU stärken, gegen Datenschutzdelikte vorzugehen – etwa wenn Unternehmen ohne deren Einwilligung Kundendaten an Dritte verkaufen oder Informationen in sozialen Netzen und Clouds zu wenig schützen. Firmen hätten beispielsweise 24 Stunden Zeit, Datenschutzbehörden und Betroffene zu benachrichtigen, wenn private Daten beeinträchtigt wurden.

EU-Kommissarin Viviane Reding hatte vergangene Woche erklärt, ihr sei daran gelegen, die Bestimmungen für rechtlich bindende Selbstverpflichtungen – sogenannte „Binding Corporate Rules“ – in Europa harmonisieren. Sie will das System vereinfachen und stärken.

Verbindliche Selbstverpflichtungen oder „Binding Corporate Rules“ (BCR) werden nicht von Unternehmen selbst entwickelt, sondern vom Beratungsgremium der EU in Datenschutzfragen, der Datenschutzgruppe Artikel 29. Sind sie einmal verabschiedet, müssen teilnehmende Firmen sich daran halten. Sie wurden als Alternative zu den Safe-Harbor-Bestimmungen für US-Unternehmen entworfen und sollen Reding zufolge sowohl innerhalb der EU als auch für Datentransfers außerhalb der Gemeinschaft gelten.