Ein Viertel der Firmen hat DSGVO umgesetzt Das müssen Unternehmen bei der DSGVO-Umsetzung beachten

Anbieter zum Thema

FTAPI Software GmbH

Insider Research

valvisio international AG

Die seit 28. Mai 2018 geltende Datenschutz-Grundverordnung (DSGVO) gilt europaweit für alle Unternehmen gleichermaßen. Dennoch haben erst 25 Prozent der deutschen Firmen die neuen Vorgaben vollständig umgesetzt. 67 Prozent erfüllen die Anforderungen zu großen Teilen. Das ergab eine Befragung von rund 500 Unternehmen durch den Bitkom.

Zwei Drittel der vom Bitkom Ende 2019 befragten Firmen gaben noch Unsicherheiten in Bezug auf die konkrete Umsetzung der DSGVO sowie den damit verbundenen Aufwand an. Weitere Hürden sind demnach fehlende Hilfe bei der Anwendung der neuen Regeln und mangelndes Fachpersonal. Doch so kompliziert, wie die Umsetzung der DSGVO auf den ersten Blick erscheint, muss sie gar nicht sein. Im Folgenden finden Sie die für Unternehmen wichtigsten Artikel der Datenschutz-Grundverordnung.

Security-Insider Podcast – Folge 15

Es waren einmal zwei Jahre DSGVO...

Unternehmen müssen Nutzern nach Art. 15 jederzeit Auskunft über ihre Daten geben können

Die Nutzerrechte wurden mit der DSGVO stark ausgebaut. Das führt zwangsläufig dazu, dass Firmen entsprechende Infrastrukturen schaffen müssen – soweit diese nicht schon vorhanden sind –, um eine schnelle und unkomplizierte Auskunft zu ermöglichen. Verarbeitet ein Unternehmen personenbezogene Daten, haben die Betroffenen nach Art. 15 DSGVO jederzeit das Recht zu erfahren:

• welche Informationen der Betrieb speichert

• wofür die Nutzer-Daten gebraucht werden

• wer die Daten eingesehen hat oder sie noch einzusehen pflegt

• wie lange das Unternehmen die Informationen speichern will

• woher die Daten stammen, wenn nicht vom Betroffenen selbst

Das bedingt, dass Firmen dazu angehalten sind, persönliche Informationen so zu verwahren, dass Nutzer zu jeder Zeit von ihrem Recht Gebrauch machen können. Nach Art. 17 dürfen sie zudem das Löschen ihrer Daten verlangen. Artikel 21 räumt Betroffenen außerdem das Recht ein, gegen die weitere Datenverarbeitung zu widersprechen.

Nutzer- und datenschutzfreundliche Voreinstellungen sind nach Art. 25 Pflicht

Die Rechte der Betroffenen müssen von vornherein geschützt sein. Das bedeutet: Bereits vor der Erhebung personenbezogener Daten, also während der Einrichtung entsprechender zur Verarbeitung gedachter Systeme und Technologien, müssen Unternehmen einen hohen Datenschutz gewährleisten. Dies kann u. a. dadurch erfolgen, dass die Systeme bspw. nur die nötigsten Daten erheben, verarbeiten und speichern (Privacy by Design).

Betriebe müssen ihre Webseiten außerdem so gestalten, dass nicht automatisch unzählige Nutzer-Informationen erhoben und gespeichert werden und der User dem nicht erst wiedersprechen muss (Opt-out). Vielmehr ist hier das Opt-in-Verfahren das Mittel der Wahl. Entscheidet sich ein Nutzer dafür, dass seine Daten etwa zu Werbezwecken erhoben werden dürfen, kann er dem aktiv zustimmen (Privacy by Default).

Art. 30 schreibt ein Verzeichnis über die Verarbeitungstätigkeiten vor

Unternehmen sind durch die DSGVO in der Regel dazu verpflichtet, ein schriftliches Verzeichnis (auch in digitaler Form zulässig) darüber zu führen:

• wer die Verantwortung für die „Zwecke und Mittel der Verarbeitung von personenbezogenen Daten“ (Art. 4 Abs. 7 DSGVO) im jeweiligen Unternehmen innehat (i. d. R. die Geschäftsführung) und wer – wenn vorhanden – der Datenschutzbeauftragte ist (jeweils Namen und Kontaktdaten)

• zu welchem Zweck personenbezogene Daten verarbeitet werden

• welchen Kategorien die Nutzer, die Empfänger und die gespeicherten Informationen angehören

• ob – und wenn ja – in welches Drittland persönliche Daten übermittelt wurden

• wann die Informationen gelöscht werden

Verlangt die zuständige Aufsichtsbehörde Einsicht in dieses Verzeichnis, ist der Verantwortliche verpflichtet, dies zu gewähren.

Jedes Unternehmen muss nach Art. 32 geeignete TOMs einrichten

Für grundsätzlich jede Firma legt die DSGVO in Art. 32 geeignete technische und organisatorische Maßnahmen (TOMs) fest, um persönliche Daten etwa vor unbefugtem Zugriff zu schützen. Je sensibler die Informationen sind, die im Unternehmen gespeichert und verarbeitet werden, desto mehr TOMs sind in der Regel einzurichten. Das kann von der Verwendung sicherer Passwörter und Firewalls bis hin zur Einrichtung eines Chipkartensystems für den physischen Zugang zu einer Firma reichen.

Daneben schreibt Art. 32 immer auch eine Risikoanalyse für einen etwaigen Schadensfall vor. Die Beurteilung soll etwa die Eintrittswahrscheinlichkeit eines solchen Falles sowie die möglichen Folgen festhalten.

Datenschutzverstöße und Datenpannen sind nach Art. 33 meldepflichtig

Innerhalb von 72 Stunden hat der Verantwortliche eine Datenpanne an die zuständige Aufsichtsbehörde zu melden und mitzuteilen, wie viele Personen und Datensätze betroffen sind und in welche Kategorien diese eingeordnet werden. Weiterhin hat der Verantwortliche die Kontaktdaten des Datenschutzbeauftragten oder einer anderen zuständigen Person an die Behörde zu übermitteln. Eine Folgenabschätzung sowie einzuleitende Maßnahmen muss der Verantwortliche ebenfalls mitteilen. Die weiteren Verpflichtungen nach der Meldung an die Aufsichtsbehörde können schrittweise erfolgen. Die betroffenen Personen müssen nach Art. 34 DSGVO unverzüglich über das Datenleck informiert werden.

Der DSB und die DSGVO

Was sind die Aufgaben eines Datenschutzbeauftragten?

Für viele Unternehmen besteht die Pflicht, einen Datenschutzbeauftragten nach Art. 37 zu benennen

Öffentliche Stellen sowie Behörden müssen in jedem Fall einen Datenschutzbeauftragten benennen. Für Unternehmen gilt die Benennungspflicht laut DSGVO, wenn diese

• in einer ihrer Kerntätigkeiten regelmäßig und umfangreich Personen überwachen oder

• besonders empfindliche, personenbezogene Daten nach Art. 9 bzw. 10 verarbeiten.

Das jeweilige Unternehmen kann selbst bestimmen, ob der Datenschutzbeauftragte ein bereits Beschäftigter oder ein externer Dienstleister sein soll. Es teilt der Aufsichtsbehörde die Kontaktdaten des Beauftragten mit. Ergänzend zur DSGVO regelt in Deutschland das Bundesdatenschutzgesetz (BDSG), wann genau ein Datenschutzbeauftragter benannt werden muss. Das ist beispielsweise dann der Fall, wenn mindestens 20 Beschäftigte fortlaufend personenbezogene Informationen automatisiert verarbeiten (§ 38 BDSG).

Keine Pflicht, einen Datenschutzbeauftragten zu stellen? Beratung ist dennoch sinnvoll

Auch wenn für einige Unternehmen nicht die Pflicht besteht, einen Datenschutzbeauftragten zu benennen, so müssen die neuen Regelungen und Vorgaben der DSGVO dennoch umgesetzt werden. Dazu kann es sinnvoll sein, sich etwa von einem externen Datenschutzbeauftragten beraten zu lassen.

Datenschutz-Instrumente nach DSGVO

Das beste Tool ist der Datenschutzbeauftragte

Das bedeutet nicht, dass dieser sofort ein Vertragsverhältnis mit der jeweiligen Firma eingehen muss. In einem ersten Gespräch mit einem Datenschützer kristallisiert sich jedoch schnell heraus, an welchen Stellen ein Unternehmen seinen Datenschutz erhöhen und wo entsprechende Maßnahmen eingeleitet werden sollten. Nicht zuletzt die stark erhöhten Bußgelder, die die DSGVO möglich gemacht hat, können dafür sprechen, sich fachkundigen Rat in puncto Datenschutz und Datensicherheit einzuholen.

Über die Autorin: Julia Heine hat Journalismus an der DEKRA Hochschule für Medien studiert und absolviert ihr Volontariat in der Online-Redaktion von Datenschutz.org. Ihre Schwerpunkte liegen in den Bereichen Verkehrs- und Insolvenzrecht sowie Datenschutz.

(ID:46665313)