Datenschutzgrundverordnung (DSGVO) umsetzen – nur keine Panik!

Ab dem 25.05.2018 gilt die europäische Datenschutzgrundverordnung (DSGVO). Viele kleine und mittelständische Unternehmen versuchen daher, die Vorgaben der DSGVO umzusetzen. Was dabei zu beachten ist und welche Gefahren insbesondere drohen, soll in einer kleinen Übersicht dargestellt werden. Hierbei soll nicht unterschlagen werden, dass viele Rechtsfragen bezüglich der DSGVO noch ungeklärt sind – dies werden die Gerichte in Zukunft erledigen müssen.

1. Für wen gilt die DSGVO?

Die DSGVO gilt (neben öffentlichen Stellen) für alle Unternehmen, aber auch für Vereine, die personenbezogene Daten verarbeiten.

2. Was sind personenbezogene Daten?

Personenbezogene Daten sind alle Informationen, die sich auf eine (jedenfalls) identifizierbare Person beziehen. Die bloßen Daten eines Unternehmens sind also keine personenbezogenen Daten.

Beispiele für personenbezogene Daten sind: Name, Adresse, Telefonnummer, E-Mail-Adresse, IP-Adresse.

3. Was ist zu tun?

Die DSGVO verlangt von dem Unternehmen, dass die notwendigen Maßnahmen für den Schutz der personenbezogenen Daten ergriffen werden. Diese Maßnahmen sind zu dokumentieren und bei Bedarf der Aufsichtsbehörde (dazu unter 4.) vorzulegen.

• Erstellung eines Verarbeitungsverzeichnisses (Auflistung aller Tätigkeiten, bei denen personenbezogene Daten verarbeitet werden)
• Prüfen der Rechtsgrundlage für die Verarbeitung einzelner, personenbezogener Daten
  • Gibt es eine gesetzliche Grundlage für die Verarbeitung?
  • Muss die Einwilligung des Betroffenen eingeholt werden? Liegt diese vor?
• Zusammenarbeit mit externen Dienstleistern
  • Abschluss von Verträgen zur Auftragsverarbeitung
• Prüfung der Webseite
  • Werden Tools (Google Analytics, Facebook Pixel etc.) eingesetzt? Erfolgt der Einsatz DSGVO-konform?
  • ggf. Anpassung der Datenschutzerklärung
• Ist das Unternehmen zur Benennung eines Datenschutzbeauftragten verpflichtet?
  • Liegt bei mindestens 10 Personen im Unternehmen die Kerntätigkeit im Bereich der Verarbeitung von personenbezogenen Daten?

Darüber hinaus ist auch sicherzustellen und zu dokumentieren, dass sowohl der Datenschutzbeauftragte als auch die Mitarbeiter hinsichtlich des Datenschutzes ausreichend und regelmäßig geschult werden. Auch sind technische Maßnahmen zur Sicherung der IT-Infrastruktur sowohl gegen Angriffe von außen als auch gegen solche von innen zu treffen.

4. Welche Gefahren drohen?

Die Datenschutzbeauftragten der Bundesländer kontrollieren die Einhaltung der DSGVO in den Unternehmen. Es darf davon ausgegangen werden, dass diese keine flächendeckenden Kontrollen durchführen werden, sondern solche vielmehr nur dann vornehmen, wenn Beschwerden an den Datenschutzbeauftragten herangetragen werden.

Wird bei einer Kontrolle ein erheblicher Verstoß festgestellt, so kann die Behörde dies mit Bußgeldern bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes sanktionieren. 

Darüber hinaus drohen – insbesondere in Bezug auf die Webseitengestaltung – Abmahnungen von den entsprechend spezialisierten Unternehmen und Kanzleien. Deshalb sollte gerade im öffentlichen Bereich des Unternehmens auf die rechtzeitige Umsetzung der DSGVO geachtet werden.