Änderung der Datenschutz Grundverordnung (DSGVO) 2018

/Änderung der Datenschutz Grundverordnung (DSGVO) 2018

Änderung der Datenschutz Grundverordnung (DSGVO) 2018!

Ab 25. Mai wird es ernst. Die Datenschutz Grundverordnung (DSGVO) wird extrem verschärft und sehr hohe Strafen zwingen alle Unternehmer von klein bis groß zum Handeln. Es warten umfangreichen Dokumentationspflichten auf Sie. Wir erklären Ihnen worauf Sie achten sollten und welche Schritte nötig sind und helfen unseren Kunden bei der Umsetzung.

Bisher wurde das Thema Datenschutz in vielen Unternehmen vernachlässigt. Dies wird jedoch ab dem 25. Mai sehr risikoreich und teuer.
Da für uns eine gute Betreuung auch bedeutet auf Neuerungen im Business hinzuweisen und zu sensibilisieren haben wir die nötigen Schritte für alle Nichtjuristen verständlich aufbereitet. Durch Vorfälle wie aktuell bei Facebook werden auch in Zukunft die Datenschutzbestimmungen immer weiter verschärft und es wird immer härter durchgegriffen. Also bitte nehmen Sie diesen Beitrag sehr ernst!

Häufige Fragen zu der Änderung der Datenschutz Grundverordnung (DSGVO) 2018

Um welche Personenbezogenen Daten geht es bei der DSGVO?

Die Datenschutzgrundverordnung ist zuständig für personenbezogenen Daten.

Bei Ihnen als Unternehmer sind das z.B.:

  • eigene Kundendaten
  • eigene Mitarbeiterdaten
  • eigene Daten die von Dritten weiterverarbeitet werden  (z.B.  Wenn Sie Ihre Buchhaltung machen lassen oder auch ein cloudbasiertes Kundenmanagementsystem nutzen.)

In so einem Fall muss ein Vertrag zwischen den Parteien geschlossen werden. In diesem muss explizit aufgeführt werden auf welche Daten und zu welchem Zweck die Daten verarbeitet werden. Ebenfalls wie die Daten geschützt werden und wann sie gelöscht werden.
Diese Verträge werden bei einer Überprüfung genau kontrolliert.

Im Einzelnen sind das: 

  • Name
  • Adresse
  • E-Mail-Adresse
  • Telefonnummer
  • Geburtstag
  • Kontodaten
  • Kfz-Kennzeichen
  • Standortdaten
  • IP-Adressen
  • Cookies

 

Welche Kosten kommen auf die Unternehmen zu ?

  • Personalkosten: Je nachdem auf welchem Gebiett, welche Strukturen und wie intensiv mit den personenbezogenen Daten gearbeitet wird. Diese Person muß regelmäßig geschult und weitergebildet werden.

  • Unterstützung durch andere Bereiche: Ein Datenschutzbeauftragter kann nicht alles selbst umsetzen. Lösungswege können nur mit anderen Bereichen umgesetzt werden. z.B. IT, Personalabteilung, Steuer etc… Um dieses zu ermöglichen muss Budget frei gegeben werden.

  • Fachliteratur: Leider sind Fachbücher und Gesetzeskommentare sind nicht für wenig Geld zu haben und haben immer Ihren Preis.

  • Weiterbildung des Datenschutzbeauftragten: Der Datenschutzbeauftragte muss immer auf dem neusten Stand sein. Das beinhaltet Fort- und Weiterbildungen

  • Anpassung Unterlagen und Verträge etc. Sämtliche Verträge und Dokumente müssen an die neue Gesetzgebung angepasst werden. Das regelt sich meist nicht von selbst und erst recht nicht von jetzt auf gleich.

  • Schulung aller Mitarbeiter: Das gelernte Wissen des Datenschutzbeauftragten muss unter die Leute gebracht werden. Am besten in Form von Schulungen. Auch diese Maßnahme verursacht zusätzliche Kosten.

  • Reisekosten: Durch die Weiterbildungen und Schulungen können Reisekosten entstehen. Wichtig auch Unternehmen die außerhalb der EU sind müssen in Zukunft auf die DS-GVO achten.

  • Externe Beratung durch Anwälte: Unter Umständen braucht auch Ihr Datenschutzbeauftragter bei der Umsetzung und Formulierung in Verträgen einen anwaltlichen Rat. Dies erfolgt leider nicht selten für viel Geld.

  • Technische & IT Umsetzung: Alle Systeme, Webseiten und Datenverarbeitungsverfahren müssen umgestellt und angepasst werden. Wenn Sie sich nicht gerade in einem Fullservice Paket wie bei den Erfolgsbringern befinden, hat diese Umstellung Ihren Preis und muss gut durchdacht sein.

Wie Wahrscheinlich ist eine Abmahnung ?

Die Datenschutzbehörden haben weiterhin eine Beratungsfunktion deren Ziel es nicht ist jedes Unternehmen willkürlich abzumahnen.
Jedoch ist die Wahrscheinlichkeit von einem Verband abgemahnt zu werden sehr hoch.  Gerade Verbände bekommen durch die Abmahnungswellen regelmäßig neue Mitglieder, indem sie aufzuzeigen,  das Unternehmer in einem Verband besser beraten sind.
Durch diese erfolgreiche Methode ist die Motivation Abmahnungen zu verschicken leider sehr hoch und es wird häufig zu dieser Methode gegriffen.
Damit Sie nicht auch ein “Opfer” der Abmahnungswellen werden muss bei Ihnen als Unternehmer der Fokus in Punkte Datenschutz darauf liegen, alle Regeln die von außen einsehbar sind, einwandfrei einzuhalten.

Beispiele hierfür sind:

  • Double-Opt-in bei Newsletter-Anmeldungen (Bestätigung per E-Mail sich angemeldet zu haben)
  • die richtige Datenschutzerklärung auf der Webseite inklusive Datenschutzbeauftragte.
  • Widerrufsmanagement für Datenprozesse (das heißt: eine Aufklärung darüber, wie zum Beispiel Kunden die Erlaubnis, ihre Daten zu verarbeiten, widerrufen können)

Sobald eine Abmahnung über einen Verband erfolgt, muss auch die Datenschutzbehörde ermitteln. Wenn dann Verstöße festgestellt werden, kommt es auch von deren Seite zu einer weiteren Abmahnung und empfindlich hohe Strafen. Sie werden also doppelt zur Kasse gebeten.

Welche Strafen erwarten die Unternehmer bei Missachtung?

Sollten Sie sich an die Datenschutz-Grundverordnung nicht halten, drohen erhebliche Strafen.
Diese belaufen sich auf 2 bis 4 Prozent des Unternehmensumsatzes oder 10 bis 20 Millionen Euro. Je nachdem welcher Betrag höher ausfällt.
So hohe Strafen gab es noch nie. Diese sollen jetzt als Abschreckung gelten und die Unternehmer zum Handeln zwingen.

Warum gab es überhaupt eine Änderung?

Der bisherige europäische Rechtsrahmen für den Datenschutz, die EUDatenschutzrichtlinie (Richtlinie 95/46/EG), stammt aus dem Jahr 1995 als das Internet noch am Anfang stand. Probleme mit Social Media, Clouds und anderen Datenverarbeitungsdiensten gab es zu dieser Zeit noch nicht.
Ebenfalls wurde bisher der Rechtsrahmen in Form einer Richtlinie gesetzt. Das bedeutet, es wurde nur der Mindeststandard festgelegt an den es sich zu halten galt. Die EU-Mitgliedstaaten mussten die Vorgaben für sich erst einmal in ein nationales Recht umsetzen. Das führte jedoch zu letztendlich 28 sich teils erheblich unterscheidenden Datenschutzgesetzen innerhalb der EU.
Daher gab es jetzt den Schritt zu einer EU-Verordnung.

Der Vorteil: Die enthaltenen Festlegungen gelten unmittelbar in jedem EU Mitgliedstaat und es gibt keine nationalen  Datenschutzrechte mehr.

Wann brauche ich einen Datenschutzbeauftragten?

Das bedeutet: Einen Datenschutzbeauftragten brauchen laut Artikel 37 der DSGVO alle Unternehmen, in denen personenbezogene Daten (automatisiert) verarbeitet werden. Darunter fallen beispielsweise Namen, E-Mail-Adressen, Kontonummern oder Adressdaten von Kunden.
Einen Datenschutzbeauftragten bestellen brauche ich als Unternehmen entweder, wenn:

  • sich mindestens zehn Mitarbeiter regelmäßig mit diesen Daten beschäftigen. Allerdings zählt hierbei jeder Mitarbeiter mit.
    Auch wenn es sich nur um Teilzeitkräfte handelt die sich einmal in der Woche damit beschäftigen.
  • Daten verarbeitet werden, für die eine Datenschutz-Folgenabschätzung nötig sind. Das gilt für besonders sensible Daten oder wenn ein hohes Risiko für Betroffene besteht, falls die Angaben missbraucht werden. Daten zur ethnischen Herkunft, sexuellen Orientierung, religiösen Überzeugung oder Gesundheit. Auch eine ganz kleine Arztpraxis mit Patientendaten braucht also einen Datenschutzbeauftragten. Auch wenn ein Unternehmen eine Videokamera auf seinem Werksgelände aufstellt, gelten diese Bilder als besonders sensibel.
  • Das Unternehmen personenbezogene Daten an Dritte übermittelt (klassischer Adresshandel oder Meinungsforschung)

Welche Schritte muss ich jetzt in meinem Unternehmen umsetzen ?

Datenschutzbeauftragten benennen

Die Kontaktdaten des Datenschutzbeauftragten (Telefonnummer oder E-Mail-Adresse) müssen sowohl im Intranet (wenn vorhanden) als auch auf der Webseite veröffentlicht werden Darüber hinaus muss das Unternehmen laut Artikel 37, Absatz 7 DSGVO die Kontaktdaten des Datenschutzbeauftragten der Landesdatenschutzbehörde mitteilen. Diese Behörde schaltet sich dann bei Datenschutzverstößen ein. Ein Auflistung finden Sie hier.

Bei kleineren Unternehmen kann auch der Geschäftsführer als Datenschutzbeauftragter fungieren!

Die Aufgaben des Datenschutzbeauftragten stehen in Artikel 39 der DSGVO. Zusammengefasst soll er andere Mitarbeiter beraten und schulen.
Der Datenschutzbeauftragte ist verpflichtet sein Können durch Weiterbildungen aufzufrischen!
In einem anderen News Beitrag sind wir noch einmal intensiv auf dieses Thema eingegangen.

Verzeichnis der Verarbeitungstätigkeiten anlegen

Verzeichnis der Verarbeitungstätigkeiten anlegen bedeutet eine Tabelle anzulegen welche Daten wann, wie und warum in Ihrem Unternehmen erhoben werden. Etwa die Daten der Kunden wie: Name, Adresse, Telefonnummer. Auch die internen Daten müssen genannt werden wie  Personaldaten, Daten aus der Lohnbuchhaltung. So eine Tabelle ist bei der Datenschutzbehörde meist schon ausreichend.

Abgefragt werden sollte:

  • Welche Informationen erhalten Ihre Kunden über die Erhebung und Speicherung personenbezogener Daten?
  • Wie werden diese Informationen erteilt: Stehen Sie zum Beispiel in den AGB, in einem Text neben einer Checkbox auf der Website oder teil man sie mündlich mit?
  • Welche Daten werden erhoben, welchem Zweck dient die Datenerhebung, wie werden diese Daten weiterverarbeitet? Daraus leitet sich ab, ob es eine gesetzliche Erlaubnis gibt, die Daten zu verarbeiten – etwa bei einer Vertragsbeziehung – oder ob der Betroffene der Datenverarbeitung erst zustimmen muss.
  • Werden Daten anonymisiert oder pseudoanonymisiert?
  • Wie lange werden die Daten gespeichert?
  • Werden die Daten weitergegeben? Wenn ja, an wen? Ist dieser ebenfalls für den Datenschutz verantwortlich?
  • Wo werden die Daten gespeichert? Werden sie außerhalb der EU gespeichert? Falls ja: Sind die Voraussetzungen zur Übermittlung in Drittstaaten erfüllt?
  • Werden die Daten ausreichend durch technische und organisatorische Maßnahmen geschützt?

Hieraus erstellt man dann ein Verarbeitungsverzeichnis. Sie als Unternehmen müssen darüber hinaus den Weg der Daten nachzeichnen, von der Erhebung (etwa bei einer Online-Terminvergabe oder Reservierung) über die Speicherung (etwa bei einem externen Anbieter für Terminmanagement) bis hin zur Nutzung (zum Beispiel durch die Mitarbeiter).

Beispiel anhand eines Beauty Salons XY – Externe Daten

Verantwortlich Salonleiterin Bettina Mustermann, Adresse, Telefonnummer
Zweck Terminabsprache, Erbringung der Dienstleistung – Kosmetik
Betroffene Kunden des Beauty Salons XY
Wer kann auf die Daten zugreifen? Alle Mitarbeiter des Frisörsalons Haarscharf
Datenkategorie Kosmetik (Behandlungsmethode, Produkte, Bonuskarte)
Übermittlung an Drittstaaten Nein
Löschfrist Bei Widerruf des Betroffenen
Rechtsgrundlage DSGVO Art. 6, Abs. 1b
Einwilligung des Betroffenen Jeder Kunde wird auf die Erfassung der Daten durch die Mitarbeiter mündlich hingewiesen und darauf aufmerksam gemacht, dass er diese Daten jederzeit einsehen und löschen lassen kann.

Beispiel anhand eines Beauty Salons XY – Interne Daten

Verantwortlich Salonleiterin Bettina Mustermann, Adresse, Telefonnummer
Zweck Bewerbermanagement
Betroffene Bewerber
Wer kann auf die Daten zugreifen? Salonleiterin Bettina Mustermann, Adresse, Telefonnummer
Datenkategorie Bewerbungsmappen, Lebensläufe, Adressdaten (Name, Adresse, Telefonnummer, E-Mail-Adresse)
Übermittlung an Drittstaaten Nein
Löschfrist Sechs Monate nach Beendigung des Bewerbungsverfahrens
Rechtsgrundlage DSGVO Art. 6, Abs. 1b
Einwilligung des Betroffenen Bewerber werden mit einer automatischen E-Mail über den Zweck der Datenerhebung und die Dauer der Datenaufbewahrung informiert.

Prozesse festlegen und Prozesshandbuch schreiben

Unternehmer sollten jetzt alle mit Datenverarbeitung verbundenen Prozesse dokumentieren und – wenn nötig – optimieren.

Einige Beispiele sind:

  • Wie werden Kunden über die Verarbeitung ihrer Daten informiert?
  • Wie reagieren Mitarbeiter, wenn Kunden fragen, welche Daten von ihnen gespeichert wurden?
  • Was ist der Prozess, wenn ein Kunde darauf besteht, dass seine Daten gelöscht werden? Wer ist dafür verantwortlich?
  • Was ist der Prozess, falls es zu einem Datenleck kommt und personenbezogene Daten in falsche Hände geraten? Denn Achtung: Kommen die Daten abhanden, zum Beispiel durch einen Hackerangriff, müssen Unternehmen binnen 72 Stunden die zuständige Landesdatenschutzbehörde informieren.
  • Ist das Ziel, warum Daten gespeichert wurden, erreicht, müssen die Daten gelöscht werden (Bei einem Gewinnspiel etwa nach der Ermittlung der Gewinner). Wie ist der Löschprozess organisiert?
  • Wie werden Mitarbeiter geschult, damit sie diese Prozesse kennen und ausführen können?

Datenschutz-Folgeabschätzung durchführen

Ziel der Datenschutz-Folgeabschätzung ist, die Risiken für die Persönlichkeitsrechte der betroffenen Personen zu kennen, um so geeignete Schutzmaßnahmen treffen zu können.

  • Beschreibung der Datenverarbeitungsvorgänge.
  • Beschreibung des Zwecks der Datenverarbeitung und Begründung, warum das Unternehmen ein berechtigtes Interesse daran hat. Die Datenverarbeitung muss im Hinblick auf den Zweck verhältnismäßig sein.
  • Beschreibung der Risiken, die für betroffene Personen bestehen.
  • Dokumentation: Was wird technisch und organisatorisch getan, um diese Daten gegen unberechtigten Zugriff oder Weitergabe zu sichern?
  • Dokumentation: Wie wird im Falle eines Leaks verfahren?
  • Dokumentation: Welche Kontrollmechanismen greifen, damit die Daten geschützt bleiben?

Alle Anstrengungen dokumentieren

Unternehmer sollten alle ihre Anstrengungen dokumentieren: Zu welchem Seminar ist der Datenschutzbeauftragte gegangen? Welche Firewall wurde wann installiert? Welche Verträge wurden mit Dienstleistern geschlossen?

Wenn alle Punkte eingehalten werden, können teuer Abmahnungen verhindert werden. Sollte es aber dennoch passieren, Sie aber die oben genannten Punkte direkt nach Anfrage nachweisen können, stehen die Chancen gut auch ohne hohes Bußgeld davon zu kommen.  

2018-04-18T12:14:24+00:00 April 16th, 2018|Allgemein, Trends, Urteile|0 Comments

Leave A Comment