Die wichtigsten Fragen zur Datenschutzgrundverordnung DSGVO

Die EU-Datenschutzgrundverordnung (EU-DSGVO) betrifft so gut wie jedes Unternehmen in Europa. Sie regelt den Umgang mit personenbezogenen Daten, sowohl von Kunden als auch Beschäftigten und legt Arbeitgebern umfangreiche Nachweispflichten auf. Am 25. Mai 2018 tritt sie in Kraft.

Haye Hösel, Vorstandsmitglied des freien Instituts für IT-Sicherheit (IFIT e.V.) und zertifizierter Datenschutzbeauftragter, verrät, welche Schritte Unternehmen jetzt verfolgen können und sollten.

Herr Hösel, wen betrifft eigentlich die DSGVO?

Die EU-Verordnung betrifft jedes Unternehmen, jeden Verein und jede Behörde, welche personenbezogene Daten verarbeiten.

Was heißt in diesem Fall „personenbezogene Daten“?

Darunter fallen alle Informationen, die Rückschlüsse auf Personen ziehen lassen. Ein einfaches Beispiel wäre eine gespeicherte Email-Adresse wie haye.hoesel@beispiel.de. Es gibt jedoch auch weniger offensichtlich Beispiele wie etwa KFZ-Kennzeichen, die über die Zulassungsstelle einen Rückschluss auf den Halter ermöglichen. Gerade im Einzelhandel und eCommerce werden sehr viele Daten erfasst, aber auch bei anderen kleinen und mittelständischen Unternehmen ist das fast immer der Fall. Das gilt im Übrigen auch für Mitarbeiterdaten, ob in CRM-Systemen, in Datev, in Excel-Tabellen ist dabei egal. Besonders geschützt sind Sozial- und Gesundheitsdaten, etwa in Arztpraxen oder auch bei Selbsthilfegruppen oder -vereinen.

Datenschutz ist nicht neu – warum ist die neue EU-Richtlinie jetzt so präsent?

Natürlich weil sie in Kürze in Kraft tritt und bei vielen Unternehmen jetzt quasi „die Lunte brennt“. Nicht alles ist neu, viele Anforderungen gab es schon im bisher geltenden Bundesdatenschutzgesetz. Die EU-Regelung gestaltet aber einige Details neu, stellt andere Anforderungen und wurde in vielen Teilen moderner gestaltet.

Was gehört zu den wichtigsten Neuerungen?

Umfangreiche Dokumentationspflichten seitens der Unternehmen. Es gilt die Beweislastumkehr: Unternehmen müssen auf Nachfrage nachweisen können, dass sie alles unternommen haben, was nötig ist, um personenbezogene Daten zu schützen.

Wie Sie gerade sagten, es ist fünf vor zwölf – was sollten Unternehmen jetzt tun?

Es gibt zwei Dinge, die Unternehmen sofort tun sollten:

1.) Ein Verzeichnis von Verarbeitungstätigkeiten aufstellen. Darin wird festgehalten, wie im Unternehmen oder der Institution Daten verarbeitet, geschützt, prozessiert und weitergegeben werden. Ein ausführliches Verzeichnis ist schon eine sehr gute Grundlage für das weitere Vorgehen. Darin werden auch Verantwortlichkeiten geklärt: Wer darf wie, wann und über welche Prozesse auf Daten zugreifen? Wie geschieht die Datenübertragung im Homeoffice? Wer hat Zugriff auf Festplatten, Server, USB-Sticks? Das alles muss in Zukunft dokumentiert werden.

2.) Verträge zur Auftragsdatenverarbeitung abschließen. Sie regeln, wie personenbezogene Daten mit Dienstleistern verarbeitet werden. Dienstleister können zum Beispiel Druckereien sein, die Einladungskarten drucken und dafür eine Liste von Adressaten erhalten. Oder Softwareanbieter, die CRM-Systeme oder Cloudspeicher betreiben, aber auch das IT-Systemhaus, das Wartungsarbeiten an den Servern und Rechnern durchführt.

Das ganze Thema ist unwahrscheinlich komplex – können Unternehmen das selbst schaffen oder empfehlen sie externe Hilfe?

Es ist möglich, in Eigenregie datenschutzkonform zu werden. Hierzu bieten die Internetseiten der Landesdatenschutzbeauftragten (siehe Infokasten) etwa eine gute Anlaufstelle mit vielen Formularen und Vorlagen. Auch wir im IFIT haben verschiedene Vorlagen für unsere Mitglieder ausgearbeitet. Sich in das Thema einzuarbeiten ist jedoch aufwendig und nicht jedes Unternehmen kann diese Zeit erübrigen. Außerdem recht komplex, denn es gibt natürlich ein Fehlerpotenzial. In diesem Fall wäre eine externe Hilfe durch Datenschutzbüros oder spezialisierte Rechtsanwaltskanzleien ratenswert.

Was passiert, wenn ich nicht bis Ende Mai gesetzeskonform bin?

Unternehmen drohen hohe Bußgelder bis 20 Millionen Euro. Es ist davon auszugehen, dass künftig verstärkte Kontrollen seitens der Behörden durchgeführt werden, die bereits Personal aufgestockt haben. Auch Abmahnwellen, z.B. durch nicht korrekte Datenschutzerklärungen auf den eigenen Internetseiten, könnten zu hohen Kosten führen.

Herr Hösel, vielen Dank für das Gespräch!

Welche Services Bremen bei der Digitalisierung Ihres Unternehmens bietet, finden Sie auf der Übersichtsseite Digitalisierung.

In Bremen in die Digitalisierung starten? Dafür ist das Mittelstand-Digital Zentrum Bremen-Oldenburg da.