Artikel 40 Verhaltensregeln

Art. 40 sieht ausführlichere Regeln als § 38a BDSG 2003 vor. Die Auswirkung auf die Praxis wird sich in Grenzen halten, da es bei einer Kann-Vorschrift bleibt und keine Pflicht begründet wird, Verhaltensregeln aufzustellen. Auch sind die in Art. 40 Abs. 5 ff. aufgestellten Verfahrensregeln und die in Abs. 4 i. V. m. Art. 41 vorgesehene Überwachungspflicht durch eine akkreditierte Stelle nicht dazu angetan, von der Aufstellung von Verhaltensregeln flächendeckend Gebrauch zu machen. Im nicht-öffentlichen Bereich werden sie wie in der Vergangenheit zu § 38a BDSG 2003 die Ausnahme bleiben (soweit ersichtlich, haben nur der Gesamtverband der deutschen Versicherungswirtschaft (GdV) und der GeoBusiness Code of Conduct (CoC) Verhaltensregeln aufgestellt). Die Verhaltensregeln werden weitgehend theoretischer Natur bleiben. Fraglich bleibt, ob sie für den Datentransfer in ein Drittland eher relevant werden (hierzu unten zu Abs. 3).