Datenschutz kompakt: Baustellen für Energieversorgungsunternehmen

​Seit 5 Monaten ist die neue Datenschutzgrundverordnung (DSGVO) schon in Kraft. Dennoch bieten die Regelungen der DSGVO immer noch ausreichend Diskussionsstoff für Versorger. Im Wesentlichen lassen sich drei „Baustellen” identifizieren.

1. Die Erhebung von Daten:
   Die Artikel 13, 14 DSGVO regeln eine Informationspflicht des Verantwortlichen bei der Erhebung von personenbezogenen Daten von der betroffenen Person selbst oder von dritten. Das Augenmerk der Versorger liegt dabei besonders auf den Fragen nach dem Inhalt der Information, dem Zeitpunkt sowie ggf. bestehenden Ausnahmeregelungen. 
   
   Für Versorger gilt: Wer seine betriebsinternen Vorgänge nach datenschutzrechtlichen Bestimmungen optimieren will, sollte auf eine saubere Information nach den Artikeln 13, 14 DSGVO achten, sobald personenbezogene Daten in die Sphäre des Betriebs gelangen. Regelmäßig wiederkehrende betriebliche Vorgänge (wie z.B. ein Vertragsschluss mit einem Kunden) sollten daher ein datenschutzrechtliches Ablaufschema aufweisen. Aus diesem sollte sich ergeben, bei welchem Vorgang der Betroffene wann und wie informiert wird bzw. wurde, sodass z.B. bei jedem Erstkontakt eine „Datenschutzerklärung” mit den maßgeblichen Informationen übermittelt wird.
   
2. Die Verarbeitung von Daten:
   Der Begriff der Verarbeitung von Daten ist zwar in Artikel 4 Nr. 2 DSGVO definiert, er lässt jedoch leider scharfe Konturen vermissen. Da die Verordnung das Erheben, Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung, die Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen sowie die Vernichtung als Verarbeitung beschreibt, muss man letztlich zu dem Schluss kommen, dass faktisch jeder Vorgang, bei dem man Daten auch nur „anfasst”, als Verarbeitung im Sinne der DSGVO zu sehen ist.
   
   Für Versorger gilt: Um Verstöße bei der Verarbeitung von personenbezogenen Daten zu vermeiden, ist es letztlich unumgänglich, sich datenschutzrechtliches Know-how zu verschaffen. Um auch in der aktuell noch bestehenden „Entwicklungsphase” der DSGVO auf der möglichst sicheren Seite zu sein, sollten die Mitarbeiter regelmäßig im Bereich Datenschutz geschult und im Zweifel qualifizierte Expertise eingeholt werden.
   
3. Die Weitergabe an Dritte
   Bei der Weitergabe der Daten an Dritte beschäftigt vor allem der Bereich der Auftragsdatenverarbeitung die Versorgungsunternehmen. Gemäß Art. 28 DSGVO ist hiermit der Fall gemeint, dass ein Beauftragter Daten im Auftrag des Verantwortlichen verarbeitet. Auch wenn der notwendige Inhalt eines Vertrages für die Auftragsdatenverarbeitung in der DSGVO relativ ausführlich geregelt ist, bestehen nach wie vor Unsicherheiten im Hinblick auf die Vertragsgestaltung. Bei Verstößen gegen die Mindestinhalte von solchen Verträgen ist die Folge die Unwirksamkeit der  Auftragsdatenverarbeitung.
   
   Für Versorger gilt: Verträge über die Auftragsdatenverarbeitung von Dienstleistern sollten nicht ohne sorgfältige Prüfung abgeschlossen werden. Denn auch im Falle einer Auftragsübernahme bleibt der Auftraggeber Verantwortlicher hinsichtlich der Daten. Auch für den Fall, dass Sie selbst, z.B. im Rahmen von Betriebsführungen Auftragsdatenverarbeitungsleistungen erbringen, sollten Sie bei den vertraglichen Regelungen darauf achten, dass die Vorgaben eingehalten werden.