Datenschutz in Ihrem Unternehmen – Ein wichtiges Thema für Selbstständige, KMU’s und Konzerne

Die Datenschutz-Grundverordnung – Was bedeutet das eigentlich für mein Unternehmen?

Am 25. Mai 2018 ist, die seit dem 24. Mai 2016 geltende Übergangsfrist, abgelaufen. Die im Jahr 2016 bereits in Kraft getretene Datenschutz-Grundverordnung gilt nun verbindlich für alle Unternehmen, die innerhalb des europäischen Binnenmarkts tätig sind. Die neuen Regeln sind nicht nur für die gesamte Europäischen Union vereinheitlich worden, sondern sind auch deutlich strenger als vorherige Datenschutzrichtlinien wie die EU-Datenschutzrichtlinie (95/46/EG) aus dem Jahr 1995. Mit der Datenschutz-Grundverordnung (DSGVO) wird die Erhebung, Bearbeitung und Speicherung personenbezogener Daten innerhalb des europäischen Binnenmarktes eindeutigen Regeln unterworfen.

Solo-Selbständige, Kleinst- und Kleinunternehmen, mittelständische Betriebe und Konzerne, die die Vorgaben der DSVGO missachten, müssen mit empfindlichen Geldstrafen rechnen. Wer die gesetzlichen Vorgaben ignoriert, nicht einhält oder grob fahrlässig bei der Be- und Verarbeitung personenbezogenen Daten handelt, kann kräftig zur Kasse gebeten werden: Die Datenschutz-Grundverordnung sieht in solchen und anderen Fällen Bußgelder bis zu 20 Millionen Euro vor. Bei besonders schweren Vergehen werden sogar bis zu 4 % des gesamten weltweiten Umsatzes im letzten Geschäftsjahr fällig. Datenschutzkonformes Arbeiten, das Implementieren eines funktionierenden Datenschutzmanagementsystems und stetige Auseinandersetzung mit Fragen des innerbetrieblichen und außerbetrieblichen Datenschutzes ist mit Inkrafttreten der Regeln, schon seit Mai 2018, endgültig ein essenzieller Bestandteil der betrieblichen Organisation.

Beispielhaft beinhaltet Art. 5 der DSGVO die Grundsätze, die bei einer Verarbeitung personenbezogener Daten zu beachten sind:

1. Personenbezogene Daten müssen
   1. auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden („Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“);
   2. für festgelegte, eindeutige und legitime Zwecke erhoben werden und dürfen nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden; eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gemäß Artikel 89 Absatz 1 nicht als unvereinbar mit den ursprünglichen Zwecken („Zweckbindung“);
   3. dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“);
   4. sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein; es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden („Richtigkeit“);
   5. in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist; personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gemäß Artikel 89 Absatz 1 verarbeitet werden („Speicherbegrenzung“);
   6. in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“);
2. Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Rechtmäßigkeit der Verarbeitung – Was heißt das für uns als Unternehmen?

Die Datenschutz-Grundverordnung setzt feste Rahmenbedingungen und Pflichten für die Verarbeitung personenbezogener Daten. Diese werden in Art. 5 DSGVO als Grundsätze verankert. Der erste Absatz dieser Grundsätze besagt, dass personenbezogene Daten nur „auf rechtmäßige Weise“ verarbeitet werden dürfen. Doch welche Konsequenzen hat das für die praktische Umsetzung im Unternehmen?

Der Grundsatz der Rechtmäßigkeit besagt, dass personenbezogene Daten grundsätzlich nicht verarbeitet werden dürfen, es sei denn, es liegt eine Rechtsgrundlage vor, welche die Verarbeitung ausnahmsweise erlaubt. Diese Prämisse wird als Verbot mit Erlaubnisvorbehalt bezeichnet. Ausnahmen zur Verarbeitung personenbezogener Daten werden in Art. 6 der DSGVO geregelt; für personenbezogene Daten besonderer Kategorien in Art. 9 DSGVO.

Absatz 1: Die Verarbeitung ist nur rechtmäßig, wenn mindestens eine der nachstehenden Bedingungen erfüllt ist:

1. Die betroffene Person hat ihre Einwilligung zu der Verarbeitung der sie betreffenden personenbezogenen Daten für einen oder mehrere bestimmte Zwecke gegeben;
2. die Verarbeitung ist für die Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, die auf Anfrage der betroffenen Person erfolgen;
3. die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der der Verantwortliche unterliegt;
4. die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen;
5. die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde;
6. die Verarbeitung ist zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen, insbesondere dann, wenn es sich bei der betroffenen Person um ein Kind handelt.

Unterabsatz 1: Buchstabe f gilt nicht für die von Behörden in Erfüllung ihrer Aufgaben vorgenommene Verarbeitung.

Technisch-Organisatorische Maßnahmen – das Fundament der Datensicherheit

Gemäß Art. 24 Abs. 1 der DSGVO setzt der Verantwortliche unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt.

Weiterhin soll, gem. Art. 32 DSGVO, mit der Durchführung geeigneter technisch-organisatorischer Maßnahmen die Sicherheit der Verarbeitung gewährleistet werden. Art. 32 DSGVO gibt dabei erste Hinweise darauf, was für Maßnahmen man sich darunter vorstellen kann. So werden grob, und nicht abschließend, acht Teilbereiche festgehalten, welche dem Verantwortlichen einen gewissen Spielraum zuschreiben.

1. Zutrittskontrolle
2. Zugangskontrolle
3. Zugriffskontrolle
4. Weitergabekontrolle
5. Eingabekontrolle
6. Auftragskontrolle
7. Verfügbarkeitskontrolle
8. Datentrennung

Auf Basis der Art der personenbezogenen Daten und Ihrer jeweiligen Verarbeitung muss jedoch kritisch abgewogen werden welche Maßnahmen zu welchem Zweck eingesetzt werden sollen. Dahingehend wird empfohlen, dass Unternehmen ihre technischen und organisatorischen Maßnahmen durch datenschutzrechtliches Audit aufnehmen und das Sicherheitsniveau bewerten lassen.

Um die Datenschutz-Grundverordnung umzusetzen, führt zudem kein Weg daran vorbei, diverse Sicherheitsrichtlinien zu erarbeiten und umzusetzen. Denn nur verbindliche, dokumentierte, und an die jeweiligen Mitarbeiter und Mitarbeiterinnen kommunizierte, Vorgaben gewährleisten eine sichere Verarbeitung, und weisen diese, im Sinne einer Dokumentationspflicht, auch nach. Beispielhaft kann das sein:

1. Leitlinie Informationssicherheit & Datenschutz
2. IT-Richtlinie für Nutzer
3. Richtlinie Regelungen für Lieferanten und sonstige Auftragnehmer
4. Richtlinien Mobile IT-Systeme
5. Richtlinien Mobile IT-Datenträger
6. Richtlinien Speicherorte
7. Richtlinien Störungen und Ausfälle
8. Richtlinien Sicherheitsausfälle
9. Risiko- und Schwachstellenanalyse
10. Notfallplan