Wer darf ihre Handynummer haben?

So gut wie jedes Unternehmen verarbeitet personenbezogene Daten. Nur wenige sind jedoch schon darauf vorbereitet, dass die neue EU-Datenschutz-Grundverordnung (DSGVO) bald höhere Anforderungen an sie stellt und das Haftungsrisiko vergrößert. Am 25. Mai 2018 endet eine Übergangsphase von zwei Jahren und die DSGVO wird überall in der Europäischen Union unmittelbar wirksam. Danach dürfen die meisten datenschutzrechtlichen Vorschriften in allen Mitgliedstaaten nicht mehr durch nationale Gesetze abweichen - sogenannte Öffnungsklauseln lassen lediglich hier und da einen gewissen Interpretationsspielraum. Wir beantworten die sieben wichtigsten Fragen zum neuen Datenschutzrecht. 1 Ist das Datenschutzrecht bald deutlich strenger? "Vieles, was heute schon bei uns Vorschrift ist, gilt auch weiterhin", sagt Frank Michael Höfinger. Er ist Rechtsanwalt für Datenschutzrecht aus München. In Deutschland wird die DSGVO ab dem Stichtag durch das neue Bundesdatenschutzgesetz (BDSG) ergänzt. Der Gesetzgeber hat versucht, möglichst große Teile des bisherigen deutschen Datenschutzes zu übernehmen und bereits bekannte Formulierungen beizubehalten. Prinzipien wie "Zweckbindung", "Datenminimierung" und "Transparenz" bleiben gleich. Fortgeführt wird auch der Grundsatz des bewährten Verbots mit Erlaubnisvorbehalt. 2 Wann darf man personenbezogene Daten künftig verarbeiten? Nach dem Grundsatz des Erlaubnisvorbehalts ist die Verarbeitung personenbezogener Daten generell verboten, es sei denn, es liegen ein gesetzlicher Erlaubnistatbestand - also ein festgeschriebener Rechtfertigungsgrund - oder eine Einwilligung der betroffenen Person vor. "Nicht jeder darf zum Beispiel die Handynummer oder Adresse von Mitarbeitern oder Kunden haben", sagt Höfinger. Die Verarbeitung personenbezogener Daten von Arbeitnehmern ist unter anderem zulässig, wenn sie für die Begründung, Durchführung und Beendigung des Beschäftigungsverhältnisses erforderlich ist. Oder zur Ausübung oder Erfüllung eines Gesetzes, eines Tarifvertrags oder einer Betriebsvereinbarung. Unternehmen müssen sicherstellen, dass personenbezogene Daten ausschließlich für den ursprünglichen Verwendungszweck genutzt und danach gemäß der Aufbewahrungsfristen gelöscht werden. Die Nutzung von zu einem bestimmten Zweck erhobenen Daten in einem anderen Zusammenhang ist nicht zulässig. Für eine solche Zweckänderung müssen die Daten auf rechtmäßigem Weg erneut erhoben werden. Dies gilt sowohl für das eigene Personal als auch für den Austausch mit Geschäftspartnern und Verbrauchern. Fazit: Informationen über Personen dürfen nicht einfach so weitergegeben und unzweckmäßig genutzt werden. 3 Welche Neuerungen erwarten Unternehmen? Um den neuen Anforderungen nachzukommen, müssen Unternehmen alle davon betroffenen Verträge sowie datenschutzrechtlichen Erklärungen, Einwilligungen und Informationstexte prüfen und auf den neuesten Stand bringen, falls dies notwendig ist. "Wichtig ist neben dem Update der Datenschutzerklärung auf eigenen Internetseiten vor allem, dass Genehmigungen von Mitarbeitern und Kunden in die Datenschutzverarbeitung den neuen rechtlichen Anforderungen entsprechen", betont Höfinger. Letztere müssen Informationen über die Art der Daten und den Zweck der Verarbeitung enthalten sowie den Hinweis, dass ein Widerruf jederzeit möglich ist. Erklärungen und Einwilligungen müssen laut dem Rechtsanwalt eindeutig formuliert und erkennbar sein, damit sie wirksam sind. "Möglich ist eine Hervorhebung im Arbeitsvertrag beziehungsweise im Transportauftrag mit einer zusätzlichen Unterschriftszeile." Unternehmen haben zudem die erforderlichen technischen und organisatorischen Maßnahmen zu treffen, um bei der Verarbeitung personenbezogener Daten ein angemessenes Schutzniveau zu gewährleisten. Sie sollten deshalb auf Basis einer umfassenden Risikoanalyse wie bisher wirksame Datenschutzrichtlinien einführen, die Verantwortlichkeiten und Prozesse festlegen, und ihre Mitarbeiter schulen. Neu ist nämlich, dass man die Einhaltung des Datenschutzrechts jederzeit und genau nachweisen können muss. Darüber hinaus gelten in Zukunft weitreichendere Informationspflichten. Sie greifen immer dann, wenn sich Unternehmen von betroffenen Personen eine neue Einwilligungserklärung einholen. Denn dann müssen sie diese schriftlich und ausführlich darüber informieren, was sie mit den erhobenen Daten vorhaben - und zwar zum Zeitpunkt der Datenerhebung. Das gilt für das eigene Personal, Mitarbeiter von Geschäftspartnern und Endkunden zum Beispiel von Möbelspeditionen oder Paketdiensten. Betroffene Personen bekommen überdies ein Auskunftsrecht: Auf Verlangen müssen Unternehmen dann Einsicht in die gespeicherten Daten gewähren oder diese löschen, wenn eine Speicherung nicht aus zwingenden vertraglichen oder rechtlichen Gründen erforderlich ist. 4 Wie kommen Unternehmen der Nachweispflicht richtig nach? Mit der Nachweispflicht geht die Dokumentationspflicht einher. Unternehmen müssen etwa ein Verzeichnis aller Verarbeitungstätigkeiten führen. Darin sind für jedes Verfahren der Datenverarbeitung Informationen beispielsweise darüber zu erfassen, welche Daten zu welchen Zwecken verarbeitet werden und auf welcher Rechtsgrundlage. Es muss auch hervorgehen, an wen die Daten übermittelt werden, welche technischen und organisatorischen Maßnahmen ergriffen wurden und welche Löschfristen jeweils bestehen. Jede Veränderung muss dabei protokolliert werden. Unklar ist bisher, wie detailliert die Angaben sein müssen - zum Beispiel, wie grob die Einteilung in Kategorien von Verarbeitungstätigkeiten ausfallen darf. "Muster für Verfahrensverzeichnisse gibt es dafür nicht", berichtet Höfinger. Diese wären auch unsinnig, weil die Prozesse von Unternehmen zu Unternehmen unterschiedlich seien. Für Unternehmen mit weniger als 250 Beschäftigten gibt es Ausnahmen. Experten rechnen aber damit, dass diese in der Praxis kaum greifen. Denn sie sind nur unter bestimmten Voraussetzungen von der Verzeichnispflicht befreit: wenn die vorgenommene Verarbeitung kein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, sie nur gelegentlich erfolgt oder sie keine besonders sensiblen Datenkategorien oder strafrechtlich relevanten Daten betrifft. Was als "Risiko" oder "gelegentlich" gilt, ist allerdings nicht definiert. Das Verzeichnis entspricht im Wesentlichen den bestehenden Anforderungen des geltenden BDSG an ein Verfahrensregister. Der Umfang der Dokumentationspflichten dürfte für Unternehmen, die sich bereits heute daran halten, nicht steigen. Davon geht zumindest der Deutsche Speditions- und Logistikverband aus. Vielmehr würden die Anforderungen an die Dokumentation der technischen und organisatorischen Maßnahmen angepasst. 5 Wann benötigt man einen Datenschutzbeauftragten? Ein Unternehmen muss einen internen oder externen Datenschutzbeauftragten benennen, wenn dort mindestens zehn Personen mit der automatisierten Verarbeitung von personenbezogenen Daten beschäftigt sind oder darauf zugreifen können. "Bei der Bestellpflicht kommt es vereinfacht gesagt auf jeden Mitarbeiter an, der am Computer arbeitet - es könnten auch Fahrer zählen, die personenbezogene Daten über das Telematik-System senden oder empfangen", sagt Höfinger. Der Gesetzgeber unterscheidet nicht zwischen Teil- und Vollzeitkräften, freien oder festen Beschäftigten sowie Auszubildenden und Praktikanten. Die Fachkunde des Datenschutzbeauftragten muss sichergestellt sein, zum Beispiel durch Fortbildungen bei der Industrieund Handelskammer. Selbst wenn ein interner oder externer Datenschutzbeauftragter das Unternehmen berät: Verantwortlich für die Einhaltung der gesetzlichen Vorschriften ist die Geschäftsführung des jeweiligen Unternehmens. 6 Was ist vorgeschrieben, wenn eine Datenpanne passiert? Im Fall einer Verletzung des Schutzes personenbezogener Daten muss ein Unternehmen den Zwischenfall unverzüglich und möglichst binnen 72 Stunden, nachdem er bekannt geworden ist, der zuständigen Aufsichtsbehörde ausführlich melden. "In der Regel sind das die Datenschutzbeauftragten der Länder", erläutert Höfinger. Erfolgt die Meldung nicht rechtzeitig, muss man dort eine besondere Begründung vorlegen. Von einer Meldung kann lediglich abgesehen werden, wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten von natürlichen Personen führt. Werden besonders umfangreich personenbezogene Daten verarbeitet oder werden hierfür besondere Techniken eingesetzt, die die Rechte der Betroffenen besonders gefährden und zu physischen, materiellen oder immateriellen Schäden (etwa Diskriminierung, Identitätsdiebstahl oder finanzieller Verlust) führen können, ist eine Risikobewertung im Rahmen einer Datenschutz-Folgenabschätzung notwendig. Das Unternehmen muss also prüfen, ob die geplanten Maßnahmen und Vorkehrungen (zum Beispiel Verschlüsselung) ausreichen, um den vorgeschriebenen Datenschutz zu gewährleisten. Genügen sie nicht, muss eine Meldung bei der zuständigen Aufsichtsbehörde erfolgen. 7 Welche Folgen haben Verstöße gegen das neue Datenschutzrecht? Ab dem 25. Mai 2018 drohen höhere Bußgelder und schneller als bisher Schadensersatzansprüche. Die maximale Geldbuße bei Verstößen beträgt künftig bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweit erzielten Umsatzes im vorangegangenen Geschäftsjahr. Für leichtere Verstöße gegen Pflichten aus der DSGVO ist ein Bußgeld von maximal zehn Millionen Euro oder von zwei Prozent des weltweiten letztjährigen Jahresumsatzes vorgesehen. Es gilt dabei der Jahresumsatz des gesamten Konzerns, nicht der einer einzelnen juristischen Person. Zusätzlich sieht Paragraf 42 des neuen BDSG für bestimmte Verstöße eine Freiheitsstrafe von bis zu drei Jahren vor. Derzeit sind im BDSG-alt nur Bußgelder von bis zu 300.000 Euro vorgesehen. Die Aufsichtsbehörden werden bei Unternehmen ab Mai stichprobenartig die allgemeine Datenschutz-Organisation überprüfen. "Es ist nicht vorgesehen, dass einem bestimmten Verstoß eine feste Sanktion zugeordnet ist", erklärt Höfinger. Die Kontrolleure handeln innerhalb eines Ermessensspielraums. Ab dem Stichtag können Betroffene auch den Ersatz immaterieller Schäden verlangen, also die Kompensation von Nichtvermögensschäden, wenn Arbeitgeber unrechtmäßig ihre Daten verarbeiten. Bisher haben deutsche Gerichte Unternehmen wegen Datenschutzverstößen beziehungsweise Verletzung von Persönlichkeitsrechten zu geringen Schmerzensgeldern verurteilt. Ein Fehler könne für sie bald erhebliche finanzielle Folgen haben. Bei Streitfällen gilt künftig die Beweislastumkehr: Das heißt, die Unternehmen müssen in Schadensersatzprozessen oder bei Untersuchungen der Aufsichtsbehörden selbst beweisen, dass datenschutzrechtliche Vorgaben eingehalten wurden. Hierfür muss das Unternehmen auch die umfassenden Dokumentationspflichten der DSGVO umsetzen. Kann es nicht beweisen, dass es die Vorgaben des neuen Datenschutzes eingehalten hat, muss es neben den bereits genannten Risiken künftig auch mit Beweisverwertungsverboten in eventuellen Kündigungsschutzprozessen rechnen. Mehr zum Thema im Dossier Unternehmensführung www.verkehrsrundschau.de/dossiers Vorschau Der Datenschutzbeauftragte In der kommenden Ausgabe (VR 7/2018), die am 16. Februar erscheint, erläutert die Rechtsanwältin Sue Ann Becker ausführlich:- welches Unternehmen nach der DSGVO zur Bestellung eines Datenschutzbeauftragten verpflichtet ist,- welche Qualifikation dieser haben muss und was seine Aufgaben und Pflichten sind und- worauf man bei der Auswahl sowohl intern als auch extern achten sollte. ag Verkehrsrundschau Plus: Videos: Rechtsanwalt erklärt, was Unternehmen tun müssen Auf dem Profiportal VerkehrsRundschau plus können sich VR-Abonnenten kostenlos noch intensiver mit der EU-Datenschutzgrundverordnung (DSGVO) auseinandersetzen. In mehreren Videos erklärt Datenschutz-Rechtsanwalt Michael Höfinger, welche rechtlichen Änderungen auf die Transport- und Logistikwirtschaft zukommen. In der Aufzeichnung eines Webinars, das am 30. Januar stattgefunden hat, beantwortet der Jurist viele Praxisfragen von Unternehmern zu neuen Pflichten. Ein Teilnehmer lobte das einstündige Online-Seminar als "verständlich und kompakt", ein anderer schrieb:"Sehr gute Ausarbeitung der wesentlichen Punkte der DSGVO. Auf Fragen aus dem Teilnehmerkreis wurde prompt eingegangen und diese ausführlich beantwortet." Das Webinar fand in Kooperation mit den Profis für Rechtssicherheit der Transportlogistik von FUMO statt. Die Videos zu den "neuen Herausforderungen des Datenschutzes" finden Sie auf VR-Plus: www.verkehrsrundschau-plus.de/datenschutzvideos stm/ag