Die wichtigsten Fragen zur Datenschutzgrundverordnung DSGVO
Digitalisierung / Industrie 4.0Sicher und gesetzeskonform mit Daten umgehen

Die EU-Datenschutzgrundverordnung (EU-DSGVO) betrifft so gut wie jedes Unternehmen in Europa. Sie regelt den Umgang mit personenbezogenen Daten, sowohl von Kunden als auch Beschäftigten und legt Arbeitgebern umfangreiche Nachweispflichten auf. Am 25. Mai 2018 tritt sie in Kraft.
Haye Hösel, Vorstandsmitglied des freien Instituts für IT-Sicherheit (IFIT e.V.) und zertifizierter Datenschutzbeauftragter, verrät, welche Schritte Unternehmen jetzt verfolgen können und sollten.
Herr Hösel, wen betrifft eigentlich die DSGVO?
Die EU-Verordnung betrifft jedes Unternehmen, jeden Verein und jede Behörde, welche personenbezogene Daten verarbeiten.
Was heißt in diesem Fall „personenbezogene Daten“?
Darunter fallen alle Informationen, die Rückschlüsse auf Personen ziehen lassen. Ein einfaches Beispiel wäre eine gespeicherte Email-Adresse wie haye.hoesel@beispiel.de. Es gibt jedoch auch weniger offensichtlich Beispiele wie etwa KFZ-Kennzeichen, die über die Zulassungsstelle einen Rückschluss auf den Halter ermöglichen. Gerade im Einzelhandel und eCommerce werden sehr viele Daten erfasst, aber auch bei anderen kleinen und mittelständischen Unternehmen ist das fast immer der Fall. Das gilt im Übrigen auch für Mitarbeiterdaten, ob in CRM-Systemen, in Datev, in Excel-Tabellen ist dabei egal. Besonders geschützt sind Sozial- und Gesundheitsdaten, etwa in Arztpraxen oder auch bei Selbsthilfegruppen oder -vereinen.
Datenschutz ist nicht neu – warum ist die neue EU-Richtlinie jetzt so präsent?
Natürlich weil sie in Kürze in Kraft tritt und bei vielen Unternehmen jetzt quasi „die Lunte brennt“. Nicht alles ist neu, viele Anforderungen gab es schon im bisher geltenden Bundesdatenschutzgesetz. Die EU-Regelung gestaltet aber einige Details neu, stellt andere Anforderungen und wurde in vielen Teilen moderner gestaltet.
Was gehört zu den wichtigsten Neuerungen?
Umfangreiche Dokumentationspflichten seitens der Unternehmen. Es gilt die Beweislastumkehr: Unternehmen müssen auf Nachfrage nachweisen können, dass sie alles unternommen haben, was nötig ist, um personenbezogene Daten zu schützen.
Wie Sie gerade sagten, es ist fünf vor zwölf – was sollten Unternehmen jetzt tun?
Es gibt zwei Dinge, die Unternehmen sofort tun sollten:
1.) Ein Verzeichnis von Verarbeitungstätigkeiten aufstellen. Darin wird festgehalten, wie im Unternehmen oder der Institution Daten verarbeitet, geschützt, prozessiert und weitergegeben werden. Ein ausführliches Verzeichnis ist schon eine sehr gute Grundlage für das weitere Vorgehen. Darin werden auch Verantwortlichkeiten geklärt: Wer darf wie, wann und über welche Prozesse auf Daten zugreifen? Wie geschieht die Datenübertragung im Homeoffice? Wer hat Zugriff auf Festplatten, Server, USB-Sticks? Das alles muss in Zukunft dokumentiert werden.
2.) Verträge zur Auftragsdatenverarbeitung abschließen. Sie regeln, wie personenbezogene Daten mit Dienstleistern verarbeitet werden. Dienstleister können zum Beispiel Druckereien sein, die Einladungskarten drucken und dafür eine Liste von Adressaten erhalten. Oder Softwareanbieter, die CRM-Systeme oder Cloudspeicher betreiben, aber auch das IT-Systemhaus, das Wartungsarbeiten an den Servern und Rechnern durchführt.
Das ganze Thema ist unwahrscheinlich komplex – können Unternehmen das selbst schaffen oder empfehlen sie externe Hilfe?
Es ist möglich, in Eigenregie datenschutzkonform zu werden. Hierzu bieten die Internetseiten der Landesdatenschutzbeauftragten (siehe Infokasten) etwa eine gute Anlaufstelle mit vielen Formularen und Vorlagen. Auch wir im IFIT haben verschiedene Vorlagen für unsere Mitglieder ausgearbeitet. Sich in das Thema einzuarbeiten ist jedoch aufwendig und nicht jedes Unternehmen kann diese Zeit erübrigen. Außerdem recht komplex, denn es gibt natürlich ein Fehlerpotenzial. In diesem Fall wäre eine externe Hilfe durch Datenschutzbüros oder spezialisierte Rechtsanwaltskanzleien ratenswert.
Was passiert, wenn ich nicht bis Ende Mai gesetzeskonform bin?
Unternehmen drohen hohe Bußgelder bis 20 Millionen Euro. Es ist davon auszugehen, dass künftig verstärkte Kontrollen seitens der Behörden durchgeführt werden, die bereits Personal aufgestockt haben. Auch Abmahnwellen, z.B. durch nicht korrekte Datenschutzerklärungen auf den eigenen Internetseiten, könnten zu hohen Kosten führen.
Herr Hösel, vielen Dank für das Gespräch!
In Bremen in die Digitalisierung starten? Dafür ist das Mittelstand-Digital Zentrum Bremen-Oldenburg da.
Erfolgsgeschichten
Vier Nationen, vier Religionen und Kulturen – bei einem Team von nur 10 Beschäftigten kann man beim Ecommerce-Dienstleister Wamoco von einer „bunten Vielfalt“ sprechen. Die Agentur sichert sich so Fachkräfte - wie sie dabei alle Interessen berücksichtigt.
zu Bremen-InnovativWie können Unternehmen das Potenzial von Corporate Influencer:innen nutzen? Wie werden Mitarbeitende zu Markenbotschafter:innen und welche Rolle spielen sie bei der Mitarbeitendenfindung und -bindung? Im Interview mit Tabea Herrera, LinkedIn-Expertin und Beraterin für Corporate-Influencer:innen-Programme.
Mehr erfahrenMenschliche Fehler im Straßenverkehr durch den Einsatz von KI zu verringern - eines der Aufgabengebiete der Bremer Informatik-Professorin Kerstin Schill. Sie arbeitet an fortschrittlichen Fahrassistenzsystemen – und hat dabei einen wichtigen Schritt nach vorn gemacht
Mehr erfahren