Datenschutzgrundverordnung (DSGVO)

Die EU Datenschutzgrundverordnung (DSGVO) ist in aller Munde. Zu Recht sorgt sie für Handlungsdruck bei den Unternehmen. Sie tritt zum 25. Mai 2018 in allen EU-Mitgliedstaaten in Kraft und betrifft alle Unternehmen, die innerhalb der EU personenbezogene Daten verarbeiten. Wer denkt, das alles würde schon nicht so kommen, wie alle sagen, liegt falsch.

Die EU DSGVO betrifft alle Unternehmen. Es gibt keine Schwellenwerte für Umsatz oder Mitarbeiterzahl, die die Gültigkeit einschränken. Das heißt: Die DSGVO gilt grundsätzlich für Amazon genauso wie für den Einzelhändler, für den DAX-Konzern genauso wie für den Handwerker mit drei Angestellten.

DSGVO: Ab sofort drohen Bußgelder von bis zu 20 Millionen Euro

Eine der augenfälligsten Änderungen des neuen Rechts gegenüber der geltenden Rechtslage in Deutschland sind die potenziell horrenden Bußgelder. Während bisher für schwerwiegende Datenschutzverstöße ein Bußgeld von maximal 300.000 Euro verhängt werden konnte, drohen nun 20 Millionen Euro. Bei Großunternehmern kann das Bußgeld sogar bis zu 4 % vom weltweiten Jahresumsatz (!) betragen.

Wenn auch die Wahrscheinlichkeit, von Bußgeldern betroffen zu sein, für kleinere Unternehmen mit Wirksamwerden der EU Datenschutzgrundverordnung nicht unbedingt steigt, das Risikopotenzial ist insgesamt ungleich höher. Die Behörden haben bereits angekündigt, den Bußgeldrahmen ausschöpfen zu wollen. Es ist daher essentiell, dass sich auch kleine und mittlere Unternehmen mit den Auswirkungen des neuen Datenschutzrechts befassen.

Personenbezogene Daten und Verbotsprinzip

Datenschutzrecht gilt heute wie morgen ausschließlich für personenbezogene Daten. Geschützt wird die Privatsphäre des Einzelnen. Dies setzt voraus, dass es einen Bezug zu einer natürlichen Person gibt. Unternehmensdaten sind nicht geschützt. Daraus darf aber nicht der falsche Schluss gezogen werden, dass B2B-Unternehmen nicht betroffen sind. Auch im rein geschäftlichen Bereich werden Daten von Ansprechpartnern gespeichert und verarbeitet. Selbst wenn der Kundenverkehr vollständig anonym ablaufen würde, bleibt die Speicherung von Mitarbeiter- und Lieferantendaten. Es gibt kein Unternehmen, das die DSGVO nichts angeht.

Oberster Grundsatz des alten wie neuen Datenschutzrechts ist das Verbotsprinzip: Jede Verarbeitung personenbezogener Daten ist verboten. Es sei denn, es findet sich eine Rechtfertigung.

Diese kann sich aus einem Vertrag mit der betroffenen Person ergeben. Der Betreiber eines Online-Shops darf zum Beispiel die Adressdaten des Kunden an einen Logistikdienstleister weitergeben, damit die Ware ausgeliefert werden kann. Diese Rechtfertigung reicht aber stets nur soweit, wie dies zur Vertragserfüllung erforderlich ist. Eine Bonitätsprüfung ist zum Beispiel schon nicht mehr inbegriffen.

Datenverarbeitung auf Basis berechtigter Interessen des Unternehmens

Eine Datenverarbeitung kann nach der DSGVO auch auf berechtigte Interessen des verantwortlichen Unternehmens gestützt werden. In dem Fall muss die Verarbeitung zur Wahrung der berechtigten Interessen erforderlich sein. Dabei dürfen die Interessen oder Rechte der betroffenen Person nicht überwiegen. Berechtigt ist zunächst einmal jedes legale Interesse.

Die Datenverarbeitung muss für diesen Zweck notwendig sein, was sich in der Regel ausgestalten lässt. Ob die Verarbeitung dann zulässig ist, ist Ergebnis einer Interessenabwägung. Damit lässt das Gesetz die Unternehmen weitgehend allein. Maßgeblich sollen die vernünftigen Erwartungen des Betroffenen sein.

Letztlich muss im Einzelfall entschieden werden, ob die Person, deren Daten verarbeitet werden sollen, damit rechnen und im Wesentlichen einverstanden sein wird, dass die Daten zu dem jeweiligen Zweck verarbeitet werden. Unsicheres Terrain.

Höhere Anforderungen an die freiwillige Einwilligung

Findet sich im Gesetz keine Rechtfertigung, kann die Einwilligung des Betroffenen helfen. Auf eine freiwillig erteilte Einwilligung lässt sich nahezu jeder Datenverarbeitungsvorgang stützen. Voraussetzung ist aber, dass die Einwilligung wirksam erteilt wurde. Die DSGVO legt im Vergleich zum geltenden Recht höhere Anforderungen an die Erteilung der Einwilligung.

Oberste Regel ist, dass Einwilligungen freiwillig abgegeben werden. Dies wirft insbesondere Fragen auf, wenn die Einwilligung mit dem Vertragsschluss verbunden wird. Das neue Recht verbietet für bestimmte Umstände eine Kopplung von Einwilligung mit Vertragsschluss. Außerdem sollen für verschiedene Verarbeitungsvorgänge auch gesonderte Einwilligungen eingeholt werden. Die Einzelheiten sind unklar, was erhebliche Unsicherheiten mit sich bringt.

Alte Einwilligungen gelten nur (aber immerhin) dann weiterhin, wenn sie im Wesentlichen den Anforderungen der DSGVO entsprechen. Zweifelhaft ist das insbesondere, wenn die Einwilligung – was bisher zulässig war – an den Abschluss des Vertrages geknüpft war.

Diese Pflichten müssen Sie erfüllen

Wesentliche Neuerung der DSGVO ist die Umkehrung der Darlegungslast. Während es bisher für mittelständische Unternehmen vertretbar war, in Sachen Datenschutz einfach nichts falsch zu machen, legt die Datenschutzgrundverordnung den Unternehmen umfangreiche Pflichten auf, die aktiv erfüllt werden müssen, um Bußgelder zu vermieden. Die wichtigsten Punkte einer ganzen Reihe von Compliance-Vorgaben werden im Folgenden dargestellt.

Compliance-Vorgaben nach der Datenschutzgrundverordnung (DSGVO)

Verfahrensverzeichnis

Jedes Unternehmen muss ein Verzeichnis aller Verarbeitungstätigkeiten führen. Zwar sieht die DSGVO eine Ausnahme von dieser Pflicht für kleinere Unternehmen vor. Die Rückausnahmen, die die gleiche Vorschrift enthält, sind jedoch so weitreichend, dass selbst Kleinstunternehmen von der Ausnahme nicht profitieren können. In dem Verzeichnis müssen alle Datenverarbeitungsvorgänge aufgelistet und insbesondere der Zweck der Verarbeitung und die Löschfristen genannt werden. Das Verzeichnis kann auch elektronisch, etwa in einer Excel-Tabelle geführt werden, und muss auf Anfrage der Behörde jederzeit vorgelegt werden können.

Betroffenenrechte

Ein wichtiger Teil der DSGVO sind die Rechte der Betroffenen. Dabei ist vieles nicht wirklich neu, der Teufel liegt hier im Detail. Der Kunde kann wie bisher jederzeit Auskunft über die Speicherung seiner Daten verlangen. Diese Auskunft muss unverzüglich erteilt werden. Dies bedeutet, dass in jedem Unternehmen ein Prozess geschaffen werden muss, der den Umgang mit Auskunftsansprüchen betrifft. Niemand sollte sich erstmals mit den Ansprüchen beschäftigen, wenn ein solcher Anspruch geltend gemacht wird. Neu ist ein generelles Widerspruchsrecht gegen die Datenverarbeitung. Natürlich kann dem Unternehmen nicht verwehrt werden, Daten zu speichern, die für die Vertragserfüllung oder Verfolgung von Ansprüchen benötigt werden. Daten, die ausschließlich zu Marketingzwecken verarbeitet werden, müssen dagegen auf Verlangen gelöscht werden.

Datenschutzinformation

Jedes Unternehmen mit einer Website kennt das schon jetzt: Eine Datenschutzerklärung muss über die Verarbeitung personenbezogener Daten informieren. Das neue Recht geht in doppelter Hinsicht darüber hinaus. Zum einen gilt die Informationspflicht für alle Datenverarbeitungsvorgänge. Auch wer offline Daten erhebt, etwa in einem Kundengespräch, muss über die Verarbeitung der Daten informieren. Außerdem ist der Umfang der Pflichtinformationen noch einmal erweitert worden.

Meldepflichten bei Datenpannen

Deutlich ausgeweitet werden die Pflichten zur Meldung von Datenpannen. Während eine Meldung bisher nur im Ausnahmefall erforderlich ist, muss nach neuem Recht grundsätzlich jede Datenschutzverletzung binnen 72 Stunden der Behörde – unter Umständen auch den Betroffenen – gemeldet werden. Aus dieser Pflicht folgt letztlich die Notwendigkeit, einen unternehmensinternen Prozess zu schaffen, der im Falle von Datenlecks greift.

Benennung eines Datenschutzbeauftragten

Auch das neue Datenschutzrecht sieht eine Pflicht zur Bestellung eines Datenschutzbeauftragten vor, wenn sich mehr als 10 Mitarbeiter im Unternehmen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Weil das auf fast alle Unternehmen mit mehr als 10 Mitarbeitern zutrifft, werden also auch nach Mai 2018 viele deutsche Unternehmen einen Datenschutzbeauftragten bestellen müssen.

    • Qulaität von HANNES

    • Wir beraten Sie gerne

  • Wir beraten Sie gerne

  • Wir beraten Sie gerne

Besucher gesamt: 379.455
gerade online: 3