Selbstverantwortung und Selbstregulierung nach der Datenschutz-Grundverordnung

Die Datenschutz-Grundverordnung enthält viele Datenschutzgrundsätze, Erlaubnistatbestände, Rechte der betroffenen Personen und Pflichten der Verantwortlichen und Auftragsverarbeiter auf einem sehr abstrakten Niveau. Aufgrund der geringen Bestimmtheit dieser Datenschutzvorgaben besteht eine hohe Rechtsunsicherheit und es kommt zu vielen Meinungsverschiedenheiten zwischen Verantwortlichen, betroffenen Personen und Aufsichtsbehörden. Insbesondere für die Verantwortlichen ist dies misslich, weil sie bei Verstößen gegen diese Vorgaben mit hohen Sanktionen rechnen müssen. Zugleich hat aber die Datenschutz-Grundverordnung Regelungen getroffen, die den Verantwortlichen ermöglichen, Selbstverantwortung zu übernehmen, indem sie die betreffenden abstrakten Datenvorgaben konkretisieren (Verhaltensregeln nach Art. 40 und 41 DSGVO), ihre Einhaltung von Dritten freiwillig überprüfen lassen und in Zertifikaten nachweisen können (Zertifizierung nach Art. 42 und 43 DSGVO) sowie die Erfüllung der Datenschutzvorgaben für riskante Verarbeitungsvorgänge selbst überprüfen und bewerten (Datenschutz- Folgenabschätzung nach Art. 35 und 36 DSG-VO) können. Diese innovativen Möglichkeiten der rechtlich angeleiteten Selbstregulierung und Selbstkontrolle könnten die Umsetzung der Datenschutz-Grundverordnung in der Praxis erleichtern und effektivieren, sie könnten aber auch zu einem Unterlaufen der Datenschutzanforderungen missbraucht werden. Daher drängt sich die Frage auf, wie leistungsfähig die Selbstregulierungs- und Selbstkontrollinstrumente der Datenschutz-Grundverordnung sind und wie sie in der Praxis die erhofften Ziele erreichen können.