Datenschutzgesetz ab dem 25.05.18: Das Grundwissen für KMU

Wollen kleine und mittlere Unternehmen (KMU) ab dem 25. Mai hohe Bussgelder aus Kontrollen oder Abmahnungen vermeiden müssen Sie diese Regelungen der DS-GVO beachten.

Datenschutz Grundwissen für jedes Unternehmen

Immer wieder melden sich bei mir Unternehmen, die sich bisher noch kaum oder gar nicht mit dem Thema Datenschutz auseinandergesetzt haben, obwohl das Bundesdatenschutzgesetz aktuell und die Datenschutz-Grundverordnung ab dem 25.05.18 nicht weniger Gültigkeit haben, als zum Beispiel die Straßenverkehrsordnung. Sie fahren ja auch nicht mit dem Auto ohne sich jemals mit den Verkehrsregeln befasst zu haben. Darum hier für alle, für die Datenschutz bisher ein rotes Tuch war, eine schnelle Übersicht der wichtigsten Grundlagen. Übrigens, ab Mai sind die Bußgelder im Datenschutz signifikant höher, als z.B. bei einem Verkehrsvergehen.

Der Datenschutzbeauftragte – intern oder extern?!

Um den Umgang mit personenbezogenen Daten zu dokumentieren und zu kontrollieren, schreibt das BDSG und die DS-GVO vor, dass in jedem Unternehmen, in dem mehr als neun Beschäftigte personenbezogene Daten automatisiert erheben, verarbeiten oder nutzen, ein Datenschutzbeauftragter (DSB) bestellt werden muss.

Das ist im Grunde genommen schon der Fall, wenn Outlook im Unternehmen eingesetzt wird, denn E-Mail Adressen sind auch schon personenbezogene Daten. Der bestellte DSB muss aktuell eine Ausbildung nach § 4 BDSG durchlaufen haben, er benötigt sehr gute IT- und Rechtskenntnisse, muss didaktische Fähigkeiten nachweisen können und sich jährlich fortbilden.

Er darf weder Mitglied der Geschäftsleitung oder ein Familienmitglied, weder der Leiter der IT- oder Personalabteilung und auch kein Lehrling oder Praktikant sein. Der interne DSB muss gegenüber der Geschäftsleitung weisungsfrei sein, 20% seiner Arbeitszeit für Datenschutzzwecke freigestellt werden und auf mindestens 3 Jahre bestellt sein. Zur Krönung genießt er noch Kündigungsschutz wie ein Betriebsrat. Daher entscheiden sich viele Unternehmen für einen externen Datenschutzbeauftragten.

Hier sind die Kosten klar und transparent, er bildet sich selbstständig und auf eigene Kosten fort und ist bereits zu Beginn der Tätigkeit voll in die Materie eingearbeitet. Ein interner DSB haftet nur in Extremfällen und dann nur bis zu einem halben Monatsgehalt, ein externer DSB haftet hingegen voll.

Pflichten für Unternehmen

Das BDSG (bzw. ab Mai die DS-GVO) verpflichtet Unternehmen zu vielerlei Dingen. Oft fallen Unternehmer aus allen Wolken, wenn Sie erfahren, was Sie alles im Unternehmen nicht beachten. Und dass dieses Nichtbeachten noch dazu mit hohen Bußgeldern belegt werden kann – und oft auch wird.

Zum Beispiel das allseits „beliebte“ Thema Auftragsdatenverarbeitung: Wenn Ihr Unternehmen bestimmte Bereiche auf andere Unternehmen auslagert, ist zu prüfen, ob dieser Dienstleister mit personenbezogenen Daten in Berührung kommt. Ist dies der Fall, so müssen die beiden Firmen miteinander einen Auftragsdatenverarbeitungsvertrag (ADV-Vertrag) nach § 11 BDSG abschließen. Selbst im Falle von Softwarewartung ist dies regelmäßig notwendig. Darüber hinaus müssen die personenbezogenen Daten auch im Unternehmen selber durch technische und organisatorische Maßnahmen (TOM) geschützt werden. Das heißt, das Unternehmen gewisse Schutzmaßnahmen zu implementieren haben. Dazu zählen die Zutritts-, Zugangs-, Zugriffs-, Weitergabe-, Eingabe-, Auftrags- und Verfügbarkeitskontrolle.

Außerdem müssen personenbezogene Daten für unterschiedliche Zwecke immer getrennt voneinander verarbeitet werden und das Datengeheimnis ist stets zu wahren. Aber auch bei der Vernichtung von personenbezogenen Daten auf sämtlichen Medien ist der Datenschutz zu beachten. Auch müssen Sie die Verfahren, die Sie in Ihrem Unternehmen einsetzen und bei denen personenbezogene Daten betroffen sind, in einem Verfahrensverzeichnis führen und dokumentieren.

Datenschutzverstöße – na und?

Schon ein einfacher Verstoß gegen das Bundesdatenschutzgesetz kann mit Bußgeldern bis 25.000 Euro belegt werden. Für fahrlässige unbefugte Erhebung von personenbezogenen Daten sieht der § 45 BDSG sogar bis zu 250.000 Euro Bußgeld vor. Mit der DS-GVO wird ab dem 25.05 die Situation noch verschärft: Dann heißt es je nach Verstoß 2 bzw. 4 % des weltweiten Jahresumsatzes im Vorjahr oder alternativ 10 bzw. 20 Millionen Euro Bußgelder, je nachdem was höher ausfällt. Vom Imageschaden, der sehr viel schwerer zu bemessen ist, mal ganz zu schweigen. Bei kleinen Unternehmen wird ein Verstoß, z.B. ein fehlender Datenschutzbeauftragter sicher auch ein vierstelliges Bußgeld nach sich ziehen, wenn die Behörde einmal prüft oder ein Verstoß gemeldet wird.

Zeit zu Handeln

Die Anzahl der Kontrollen wird steigen. Die Behörden stocken aktuell auch personell auf. Darüber hinaus muss lt. DS-GVO der Datenschutzbeauftragte nun auch den Behörden benannt werden. Auch die Medien berichten verstärkt über Datenschutzverstöße.

Arbeitnehmerdatenschutz wird verstärkt von Arbeitsrechtlern verfolgt, daraus folgen oft massive Probleme mit ausscheidenden Arbeitnehmern (z.B. bei Kündigung). Auch regelmäßig unter die Lupe genommen werden geschäftliche Internetseiten: Es wird geprüft, ob Google Analytics datenschutzkonform eingesetzt wird, ob das Impressum vollständig ist, ob Kontaktformulare verschlüsselt werden und ob eine Datenschutzerklärung über die Erhebung, Verarbeitung und Weitergabe der Daten Auskunft gibt.

Ein Datenschutz-Audit verhindert unbemerkten Wissensabfluss und ist schon heute fester Bestandteil bei fast allen Compliance- und Rating-Systemen (Banken!). Was viele nicht wissen: Der Geschäftsführer einer GmbH haftet für einen Verstoß gegen das Datenschutzgesetz unbegrenzt mit seinem Privatvermögen.

Es ist nicht alles schlecht!

Datenschutz muss nicht nur extra Arbeit und eine Last bedeuten. Ganz im Gegenteil: Datenschutz bedeutet mehr Sicherheit für Ihr Unternehmen und weckt Vertrauen bei Ihren Kunden und Partnern. Das ist gut für’s Image. Gelebter Datenschutz hilft die Arbeitsabläufe zu optimieren, spart Kosten und führt zumeist zu einem sinnvollen Datenmanagement im Unternehmen. Datenschutz kann sogar ein echter Wettbewerbsvorteil sein.

Interesse Ihr Wissen aufzufrischen? Wir bieten Seminare rund um das Thema Datenschutz.

Mit sportlichen Grüßen
Achim Barth