Fit für die DSGVO in fünf Schritten

Mit der neuen Datenschutzgrundverordnung (DSGVO) müssen Unternehmen künftig einen genauen Überblick über ihre Datenverarbeitungen haben und strengere Regeln beachten. Diese Änderungen sollten Unternehmer vornehmen:1 Datenverarbeitung dokumentierenHat ein Unternehmen schon nach dem bisherigen Bundesdatenschutzgesetz ein Verfahrensverzeichnis geführt, dürfte ihm die Umstellung auf das ab 25. Mai erforderliche Verzeichnis von Verarbeitungstätigkeiten (VVT) nicht schwerfallen. Auch die DSGVO schreibt eine Übersicht über die Verarbeitung von personenbezogenen Daten in Unternehmen vor.Egal, ob ein Unternehmen bereits ein Verfahrensverzeichnis geführt hat oder nicht, bietet sich für die Verantwortlichen zunächst die Auflistung sämtlicher Tools an, mit denen sie personenbezogene Daten verarbeiten. Darunter fallen beispielsweise Bewerbertools, CRM- oder Zeiterfassungssysteme. Für jedes dieser Programme oder Systeme sollte der entsprechende Auftragsverarbeiter die Datenverarbeitung dokumentieren. So bleibt das VTT übersichtlich. Im Verzeichnis müssen wesentliche Angaben der Datenverarbeitung wie die Datenkategorie, der Kreis der betroffenen Personen, der Zweck der Verarbeitung oder auch der Datenempfänger festgehalten werden.Eine Neuerung ist, dass das VTT nur für interne Zwecke bestimmt ist. Dennoch empfiehlt sich Genauigkeit, denn die Aufsichtsbehörde darf es jederzeit einsehen. Liegt es nicht oder nur unvollständig vor, drohen hohe Bußgelder. Die Pflege des bisher "öffentlichen Verfahrensverzeichnisses" können Unternehmen ab dem 25. Mai einstellen.2 Informationspflicht nachkommenDie neue Informationspflicht gegenüber betroffenen Personen ist eine der bisher größten unbestimmbaren Variablen der DSGVO. Die schwammig formulierten Vorschriften werfen die Frage auf, wie das Unternehmen sie umsetzen soll.Zunächst die Aspekte, die eindeutig definiert sind: Die Informationspflicht findet sich in Artikel 13 und 14 der DSGVO. In Ersterem geht es um die sogenannte Direkterhebung personenbezogener Daten, also die Daten, die das Unternehmen vom Betroffenen (Kunde, Mitarbeiter ...) direkt erhält. Artikel 14 spricht die Dritterhebung an, also personenbezogene Daten, die das Unternehmen über Dritte erhält. Beispiel hierfür: Ein Spediteur erhält einen Auftrag und damit Daten eines Ansprechpartners beim Kunden.Erhält das Unternehmen die personenbezogenen Daten direkt, muss es dem Betroffenen folgende Informationen sofort, transparent und übersichtlich mitteilen (zum Beispiel im Geschäftsvertrag oder online bei der Geschäftsabwicklung):- Name/Kontakt des Verantwortlichen- Kontakt des Datenschutzbeauftragten- Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, und zusätzlich die Rechtsgrundlage (das jeweilige Gesetz, auf dem Ihre Datenerhebung fußt, zum Beispiel eine Einwilligungserklärung)- Das berechtigte Interesse, insofern die Datenerhebung auf einem berechtigten Interesse des Verantwortlichen oder eines Dritten beruht- Empfänger oder Kategorien von Empfängern der personenbezogenen Daten- Werden die personenbezogenen Daten an ein Drittland oder eine internationale Organisation übermittelt, muss das Unternehmen den Betroffenen darüber informieren. Handelt es sich um EU-Ausland, ist zudem anzugeben, ob ein Angemessenheitsbeschluss der Kommission vorhanden ist. Fehlt ein solcher Beschluss - wenn zum Beispiel Daten in die USA geschickt werden - muss das Unternehmen auf geeignete oder angemessene Garantien verweisen)Darüber hinaus erhält der Betroffene das Recht, folgende Informationen beim Unternehmen anzufragen:- Die geplante Speicherdauer. Falls dies nicht möglich ist, die Kriterien für die Festlegung der Speicherdauer- Die Betroffenenrechte (Auskunfts-, Löschungs-, Einschränkungs- und Widerspruchsrechte sowie das Recht auf Datenübertragbarkeit)- Recht zum jederzeitigen Widerruf einer Einwilligung- Beschwerderecht bei einer Aufsichtsbehörde- Gegebenenfalls die gesetzliche oder vertragliche Verpflichtung des Verantwortlichen, personenbezogene Daten Dritten bereitzustellen und die möglichen Folgen der Nichtbereitstellung der personenbezogenen Daten- Im Falle einer automatisierten Entscheidungsfindung (oder auch Profiling) aussagekräftige Informationen über die verwendete Logik, die Tragweite und angestrebten Auswirkungen einer derartigen Verarbeitung Bei der Dritterhebung muss das Unternehmen ebenfalls die oben stehenden Informationen mitteilen. Genau das ist der Knackpunkt. Ein KEP-Fahrer erhält zum Beispiel von Auftraggebern am Tag Hunderte Adressen von Endkunden und verarbeitet diese. Wenn man das neue Datenschutzrecht genau nimmt, müsste das KEP-Unternehmen jedem Endkunden mitteilen, wie er dessen personenbezogene Daten verarbeitet hat. Ein uferloses Unterfangen. "In dem Fall könnte eine Ausnahmeregelung greifen", sagt der Kölner Rechtsanwalt Frank Michael Höfinger. Im Gesetz stehe, dass eine Informationspflicht entfällt, wenn sie einen unverhältnismäßigen Aufwand bedeutet.Ab wann ein Aufwand unverhältnismäßig ist, weiß noch niemand. Auch die Form der Informationspflicht ist nicht geklärt. "Reicht ein Link auf einem Bestellformular oder muss ich wirklich alles auf ein Papier drucken? Das ist alles unklar. Es gilt abzuwarten, wie die Behörden entscheiden", so der Rechtsanwalt.3 Datenschutzerklärung aktualisierenDeutlich klarer ist die Gesetzeslage bei der Datenschutzerklärung, die künftig folgende Pflichtangaben beinhalten sollte:- Name/Kontakt des Verantwortlichen und des Datenschutzbeauftragten- Beabsichtigte Rechtsgrundlage- Berechtigtes Interesse des Verantwortlichen- Datenempfänger oder Kategorien von Datenempfängern- Falls Daten an Dritte übermittelt werden: Angaben zum Empfänger/ Kategorien von Empfängern- Löschfristen oder die Kriterien für deren Festlegung- Information über die Rechte auf Auskunft, Berichtigung, Sperrung, Löschung, Widerspruch und Datenübertragbarkeit- Beschwerderecht bei Aufsichtsbehörden- Hinweis auf das jederzeitige Widerrufsrecht bei erteilten Einwilligungen- das Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde- Bei automatisierten Entscheidungsfindungen einschließlich Profiling die involvierte Logik sowie die Tragweite und die angestrebten Auswirkungen der Verarbeitung- Wenn Daten nicht beim Betroffenen erhoben werden (zum Beispiel aus einer öffentlichen Quelle), die Datenquelle, woher sie stammenIhre Datenschutzerklärung sollten Unternehmen schnellstmöglich ersetzen, sonst drohen wahrscheinlich bald Abmahnungen von Wettbewerbsanwälten.4 Auf Einwilligungserklärungen achtenSchickt ein Unternehmer einem Kunden einen werblichen Newsletter zu oder lädt ein Bild seines Mitarbeiters auf der Homepage hoch, braucht er eine Einwilligungserklärung des Betroffenen. Daran ändert sich durch die Einführung der DSGVO nichts. Einwilligungserklärungen rechtfertigen weiterhin Datenverarbeitungen, die allein auf Gesetzesgrundlage ausgeschlossen wären.Weiterhin gilt: Die betroffene Person muss in der Lage sein, ihre Einwilligung zu verweigern. Dabei darf sie weder Druck noch Zwang ausgesetzt werden. So sollte ein Unternehmer beispielsweise Einwilligungserklärungen eines neuen Mitarbeiters nie gleichzeitig mit dem Arbeitsvertrag vorlegen.Gleiches gilt, wenn auf Homepages beim Kontaktformular die Newsletter-Bestelloption bereits ausgewählt ist. Nur ein Opt-in-Verfahren, also ein Kästchen, dass der Nutzer anklicken muss, damit er der Zusendung eines Newsletters zustimmt, gilt als freiwillig.In einer Einwilligungserklärung muss explizit vermerkt sein, wofür weitere personenbezogene Daten nötig sind. Neu ist, dass ein sogenanntes Kopplungsverbot sowie die jederzeitige Widerrufbarkeit bestehen. "Bei dem Kopplungsverbot geht es darum, dass man keine Einwilligung als Voraussetzung für eine Dienstleistung oder Ware machen darf, bis auf die Einwilligung der Datenverarbeitung, die der Dienstleister für die Vertragsabwicklung zwingend braucht", sagt Rechtanwalt Höfinger. Ein klassisches Beispiel für eine Kopplung sind Gewinnspiele, deren Teilnahme oft mit der Übermittlung von persönlichen Daten verknüpft ist. Wie das in Zukunft gehandhabt wird, ist offen. Eine Einwilligung ist nach dem neuen Datenschutzrecht grundsätzlich formfrei möglich - sie kann also sowohl elektronisch, mündlich als auch schriftlich vorliegen. Die einzige Voraussetzung ist, dass der Verantwortliche sie nachweisen kann.5 Einen Datenschutzbeauftragten benennenGrundsätzlich muss jedes Unternehmen, bei dem mindestens zehn Personen regelmäßig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, einen Datenschutzbeauftragten (DSB) bestellen. "Bei der Bestellpflicht kommt es auf jeden Mitarbeiter an, der am Computer arbeitet - es könnten auch Fahrer zählen, die personenbezogene Daten über das Telematik-System senden oder empfangen", sagt Rechtsanwalt Höfinger. Das Unternehmen muss nach neuem Recht seinen DSB an die Aufsichtsbehörde melden und Namen und Kontakt auf seiner Website veröffentlichen."Derzeit versuchen viele Unternehmen einen DSB zu benennen, weil sie durch eine erhöhte Sanktionsandrohung durch die DSGVO aufgeschreckt werden. Dies führt derzeit bei vielen externen DSB zu Engpässen hinsichtlich neuer Aufträge", sagt Claudia Seilert vom Berufsverband der Datenschutzbeauftragten Deutschlands (BvD). Der Verband erhält derzeit mehrmals wöchentlich Nachfragen nach Empfehlungen für externe DSB.Die Unternehmen stehen vor der Wahl, einen internen oder externen DSB zu berufen. In den meisten Fällen ist dies eine Frage personeller Kapazität im Betrieb. Ein DSB sollte vertiefte Kenntnisse in rechtlichen und technischen Fragen und Lösungen vorweisen und bei Formulierungen und IT-Themen fachlich fundiert beraten können.Gleichzeitig muss ein DSB auch spartenspezifisch beraten können. Im Transportwesen sollte er zum Beispiel beantworten können, wann ein Arbeitgeber seine Fahrzeuge orten darf. Um diesen Ansprüchen gerecht zu werden, muss ein interner Datenschutzbeauftragter Weiterbildungen durch Fachbücher und den Besuch von Seminaren und Kongressen sicherstellen können. Die Industrie-und Handelskammern (IHK) machen hier Angebote.Beachten müssen Unternehmen auch, dass bei einem internen DSB kein Interessenkonflikt vorliegen darf. Wie es bei IT- oder Personalleitern der Fall ist, die ständig personenbezogene Daten verarbeiten. Zudem sollten Unternehmer abwägen, wie sensibel die Daten sind, die sie verarbeiten. Je sensibler die Daten, desto mehr Knowhow müsse ein DSB haben, meint Seiler. Unternehmer, die noch kurzfristig auf der Suche nach einem externen Fachmann sind, können bei ihrer zuständigen IHK oder bei Berufsverbänden wie dem BvD Listen von externen Datenschutzdienstleistern anfordern.Mehr zum Thema unter Unternehmensführung www.verkehrsrundschau.de/dossiersInfos im ProfiportalMuster-Beispiele und weiterführende LinksWie sieht eine Einwilligungsoder eine Datenschutzerklärung in der Praxis aus? Auf dem Profiportal VerkehrsRundschau Plus finden Abonnenten der VR kostenlos eine Sammlung der wichtigsten Dokumente zur neuen Datenschutzgrundverordnung (DSGVO). Hinzu kommen weiterführende Links, Muster-Beispiele und die Video-Reihe "Datenschutz - Die neuen Herausforderungen", in der die wichtigsten Änderungen fundiert und ausführlich erklärt werden. stmwww.verkehrsrundschau-plus.de/datenschutzvideos