+49 (0) 421 9600-10
24.4.2018 - Jann Raveling

Die wichtigsten Fragen zur Datenschutzgrundverordnung DSGVO

Digitalisierung / Industrie 4.0

Sicher und gesetzeskonform mit Daten umgehen

Die Datenschutzgrundverordnung soll den Umgang mit personenbezogenen Daten europaweit einheitlich gestalten.
Die Datenschutzgrundverordnung soll den Umgang mit personenbezogenen Daten europaweit einheitlich gestalten.

Die EU-Datenschutzgrundverordnung (EU-DSGVO) betrifft so gut wie jedes Unternehmen in Europa. Sie regelt den Umgang mit personenbezogenen Daten, sowohl von Kunden als auch Beschäftigten und legt Arbeitgebern umfangreiche Nachweispflichten auf. Am 25. Mai 2018 tritt sie in Kraft.

Haye Hösel, Vorstandsmitglied des freien Instituts für IT-Sicherheit (IFIT e.V.) und zertifizierter Datenschutzbeauftragter, verrät, welche Schritte Unternehmen jetzt verfolgen können und sollten.

Herr Hösel, wen betrifft eigentlich die DSGVO?

Die EU-Verordnung betrifft jedes Unternehmen, jeden Verein und jede Behörde, welche personenbezogene Daten verarbeiten.

Was heißt in diesem Fall „personenbezogene Daten“?

Darunter fallen alle Informationen, die Rückschlüsse auf Personen ziehen lassen. Ein einfaches Beispiel wäre eine gespeicherte Email-Adresse wie haye.hoesel@beispiel.de. Es gibt jedoch auch weniger offensichtlich Beispiele wie etwa KFZ-Kennzeichen, die über die Zulassungsstelle einen Rückschluss auf den Halter ermöglichen. Gerade im Einzelhandel und eCommerce werden sehr viele Daten erfasst, aber auch bei anderen kleinen und mittelständischen Unternehmen ist das fast immer der Fall. Das gilt im Übrigen auch für Mitarbeiterdaten, ob in CRM-Systemen, in Datev, in Excel-Tabellen ist dabei egal. Besonders geschützt sind Sozial- und Gesundheitsdaten, etwa in Arztpraxen oder auch bei Selbsthilfegruppen oder -vereinen.

Datenschutz ist nicht neu – warum ist die neue EU-Richtlinie jetzt so präsent?

Natürlich weil sie in Kürze in Kraft tritt und bei vielen Unternehmen jetzt quasi „die Lunte brennt“. Nicht alles ist neu, viele Anforderungen gab es schon im bisher geltenden Bundesdatenschutzgesetz. Die EU-Regelung gestaltet aber einige Details neu, stellt andere Anforderungen und wurde in vielen Teilen moderner gestaltet.

Was gehört zu den wichtigsten Neuerungen?

Umfangreiche Dokumentationspflichten seitens der Unternehmen. Es gilt die Beweislastumkehr: Unternehmen müssen auf Nachfrage nachweisen können, dass sie alles unternommen haben, was nötig ist, um personenbezogene Daten zu schützen.

Wie Sie gerade sagten, es ist fünf vor zwölf – was sollten Unternehmen jetzt tun?

Es gibt zwei Dinge, die Unternehmen sofort tun sollten:

1.) Ein Verzeichnis von Verarbeitungstätigkeiten aufstellen. Darin wird festgehalten, wie im Unternehmen oder der Institution Daten verarbeitet, geschützt, prozessiert und weitergegeben werden. Ein ausführliches Verzeichnis ist schon eine sehr gute Grundlage für das weitere Vorgehen. Darin werden auch Verantwortlichkeiten geklärt: Wer darf wie, wann und über welche Prozesse auf Daten zugreifen? Wie geschieht die Datenübertragung im Homeoffice? Wer hat Zugriff auf Festplatten, Server, USB-Sticks? Das alles muss in Zukunft dokumentiert werden.

2.) Verträge zur Auftragsdatenverarbeitung abschließen. Sie regeln, wie personenbezogene Daten mit Dienstleistern verarbeitet werden. Dienstleister können zum Beispiel Druckereien sein, die Einladungskarten drucken und dafür eine Liste von Adressaten erhalten. Oder Softwareanbieter, die CRM-Systeme oder Cloudspeicher betreiben, aber auch das IT-Systemhaus, das Wartungsarbeiten an den Servern und Rechnern durchführt.

Das ganze Thema ist unwahrscheinlich komplex – können Unternehmen das selbst schaffen oder empfehlen sie externe Hilfe?

Es ist möglich, in Eigenregie datenschutzkonform zu werden. Hierzu bieten die Internetseiten der Landesdatenschutzbeauftragten (siehe Infokasten) etwa eine gute Anlaufstelle mit vielen Formularen und Vorlagen. Auch wir im IFIT haben verschiedene Vorlagen für unsere Mitglieder ausgearbeitet. Sich in das Thema einzuarbeiten ist jedoch aufwendig und nicht jedes Unternehmen kann diese Zeit erübrigen. Außerdem recht komplex, denn es gibt natürlich ein Fehlerpotenzial. In diesem Fall wäre eine externe Hilfe durch Datenschutzbüros oder spezialisierte Rechtsanwaltskanzleien ratenswert.

Was passiert, wenn ich nicht bis Ende Mai gesetzeskonform bin?

Unternehmen drohen hohe Bußgelder bis 20 Millionen Euro. Es ist davon auszugehen, dass künftig verstärkte Kontrollen seitens der Behörden durchgeführt werden, die bereits Personal aufgestockt haben. Auch Abmahnwellen, z.B. durch nicht korrekte Datenschutzerklärungen auf den eigenen Internetseiten, könnten zu hohen Kosten führen.

Herr Hösel, vielen Dank für das Gespräch!

Welche Services Bremen bei der Digitalisierung Ihres Unternehmens bietet, finden Sie auf der Übersichtsseite Digitalisierung.

In Bremen in die Digitalisierung starten? Dafür ist das Mittelstand-Digital Zentrum Bremen-Oldenburg da.

Erfolgsgeschichten


Digitalisierung / Industrie 4.0
06.12.2024
KI in der praktischen Anwendung – ein Blick in die Bremer Branchen

Künstliche Intelligenz (KI) dringt ein in unsere Autos, Zahnbürsten, Produktionsanlagen und Büros. Wo ist sie schon Unternehmensalltag? Beispiele für KI in der Anwendung.

Mehr erfahren
Digitalisierung / Industrie 4.0
29.11.2024
Schlaues Tool hilft Rathäusern und Ratsuchenden - Bremerhavener Start-up treibt Digitalisierung in Behörden mit KI voran

Die Arbeit von Behörden wird immer komplexer; parallel wächst der Informationsbedarf in der Bevölkerung. Zwei Studierende der Hochschule Bremerhaven treten diesem Dilemma mithilfe von KI entgegen.

zur BiS Bremerhaven
Digitalisierung / Industrie 4.0
20.11.2024
„Wir müssen uns die Frage stellen: Wie kann unser Gesundheitssystem bezahlbar bleiben?“

Die Kosten im Gesundheitssystem explodieren. Kann der Bremer Schwerpunkt auf Künstliche Intelligenz im Gesundheitswesen einen Ausweg weisen? Das thematisiert der Bremer Institutsleiter Prof. Dr. Horst K. Hahn am 2. und 3. Dezember 2024 auf dem Symposium „AI in Health“.

Mehr erfahren