Datenschutz-Tipps für den Mittelstand Wie KMU den Aufwand für die DSGVO senken können

Anbieter zum Thema

FTAPI Software GmbH

Insider Research

valvisio international AG

Die Umsetzung der DSGVO bereitet weiterhin Probleme. Insbesondere kleinen und mittelständischen Unternehmen fehle es zudem an praxistauglichen Hilfestellungen, um in der Datenökonomie innovative Geschäftsideen umsetzen und wachsen zu können, so Bitkom. Wie kann der Mittelstand der DSGVO mit geringerem Aufwand gerecht werden? Wir geben einen Überblick, was helfen kann.

„Die vorhandenen Spielräume der DSGVO werden in Deutschland kaum genutzt“, sagte Bitkom-Präsident Berg anlässlich des fünften Jahrestages der Anwendbarkeit der Datenschutz-Grundverordnung (DSGVO). „Wir müssen Datenverarbeitungen als Chance verstehen, nicht immer nur als Risiko. Wenn wir fünf Jahre so weitermachen wie zuletzt, schwächen wir unsere Innovations- und Wettbewerbsfähigkeit.“

Gerade im Mittelstand bereitet die Umsetzung des Datenschutzes offensichtlich noch Probleme, denn der Aufwand erscheint sehr groß. Deshalb sollte man nicht nur die genannten Spielräume zur Datennutzung ausloten, sondern auch die Erleichterungen im Datenschutz nutzen, die es gerade für KMU gibt. Davon wird noch nicht genug Gebrauch gemacht.

DSGVO: Gelten die Vorschriften auch für KMU?

Zuerst einmal sollte klar sein, dass kein Unternehmen vom Datenschutz ausgenommen ist, ja ausgenommen sein kann. Bildlich gesprochen wären Unternehmen, die den Datenschutz nicht beachten müssen, wie „Schwachstellen“ für den Datenschutz innerhalb des Datenstroms. Keine Frage: Der Datenschutz muss durchgängig gelten, damit er gelingen kann. Das ist auch der wesentliche Grund, warum Datenübermittlungen hin zu Drittstaaten so ein Problem darstellen können.

Trotzdem wurde in der Vergangenheit die Frage gestellt, ob denn die DSGVO auch für KMU gilt. Die EU-Kommission antwortete darauf: „Ja, die Anwendung der Datenschutz-Grundverordnung ist nicht von der Größe Ihres Unternehmens/Ihrer Organisation, sondern von der Art Ihrer Tätigkeiten abhängig.“

Es gibt jedoch Besonderheiten, die für KMU Erleichterungen bringen sollen und können.

DSB ja oder nein: Es kommt (nicht nur) auf die Datenrisiken an

Nur wenn die Verarbeitung von Daten ihre Haupttätigkeit ist und besondere Gefahren für die Rechte und Freiheiten von Personen (wie die Verarbeitung sensibler Daten) darstellt, müssen kleine und mittlere Unternehmen nach DSGVO einen Datenschutzbeauftragten oder eine Datenschutzbeauftragte benennen.

Aber: Zum einen konkretisiert das deutsche BDSG (Bundesdatenschutzgesetz) die Pflicht zur Bestellung von Datenschutzbeauftragten bei „nichtöffentlicher Stellen“, wie Unternehmen. Zum anderen ist die Benennung eines oder einer DSB zwar zuerst ein formaler Aufwand, dann aber eine große Hilfe, denn wenn im Unternehmen eine Person die Fachkunde für den Datenschutz aufbaut, ist dies ein Vorteil und keine Erschwernis. Deshalb empfehlen Aufsichtsbehörden für den Datenschutz aus gutem Grund, auch freiwillig eine oder einen DSB zu benennen.

Die Aufsichtsbehörden haben hierzu früher bereits Stellung bezogen: „Die Datenschutzbeauftragten sorgen für eine kompetente datenschutzrechtliche Beratung, um Datenschutzverstöße schon im Vorfeld zu vermeiden und das Sanktionsrisiko gering zu halten. Dies hat sich ganz besonders bei der Umstellung auf die Datenschutz-Grundverordnung bewährt“. Ohne eigenen DSB würden Verantwortliche interne Beraterinnen und Berater zu Fragen des Datenschutzes verlieren. Die Datenschutzkonferenz (DSK) machte deutlich: „Der Wegfall mag kurzfristig als Entlastung empfunden werden. Mittelfristig geht interne Kompetenz verloren“. Insbesondere für kleinere Unternehmen würde es diese daher nicht entlasten, sondern ihnen mittelfristig schaden, wenn es keinen eigenen DSB gäbe, so die Datenschützer.

Doch es gibt weitere Ausnahmen für kleine und mittlere Unternehmen, wenn die Datenrisiken nicht hoch sind. Wie sind diese zu bewerten?

Verfahrensverzeichnis ja oder nein: Erneut sind die Risiken entscheidend

Unternehmen mit weniger als 250 Mitarbeitern müssen nach DSGVO kein Verzeichnis ihrer Verarbeitungstätigkeiten führen, sofern die Verarbeitung personenbezogener Daten keine regelmäßige Tätigkeit ist, eine Gefahr für die Rechte und Freiheiten von Personen darstellt oder sensible Daten betrifft.

Dies ist als Erleichterung für KMU gedacht, ob dies aber wirklich bei der Umsetzung der DSGVO hilft, sollte man sich genau fragen. Immerhin dient das Verfahrensverzeichnis als Grundlage vieler Datenschutzmaßnahmen und ist keine reine Dokumentation, um dem Gesetz genüge zu tun.

Gibt es also in Wirklichkeit keine Erleichterung, die dem Mittelstand bei der DSGVO helfen kann? Doch, denn die größte Herausforderung ist und bleibt die notwendige Expertise im Datenschutz, die gerade bei KMU nicht so leicht aufzubauen ist, und hier bieten die Aufsichtsbehörden einiges an Unterstützung.

Tipp: Datenschutzwissen aufbereitet für KMU

Der Digitalverband Bitkom hat bereits mehrfach kritisiert, die Aufsichtsbehörden würden zu wenig Hilfestellungen anbieten. Ohne Zweifel können die Aufsichtsbehörden nicht jedes kleine und mittlere Unternehmen selbst beraten, dafür gibt es auch Dienstleister, die sich zu vertretbaren Preisen als externe DSB anbieten.

Was die Aufsichtsbehörden aber anbieten, sind Leitfäden speziell für KMU, zum Beispiel eine hilfreiche Übersicht des BayLDA (Bayerisches Landesamt für Datenschutzaufsicht), die auch in anderen Bundesländern nützlich ist. Ein weiteres Beispiel ist eine Checkliste der Datenschutzaufsicht von Niedersachsen, die sich an KMU richtet.

Solche Übersichten sind mehr als hilfreich, damit man sich als KMU nicht in den Vorgaben der DSGVO verirrt, die im Gesetzestext nicht immer so einfach zu verstehen sind. Aber es gibt noch mehr.

Tipp: Code of Conducts

Gerade im Mittelstand ist man auf Leitlinien für ein datenschutzgerechtes Verhalten und auf Nachweise zum Datenschutz Dritter angewiesen, denn man kann nicht alles selbst entwickeln und kontrollieren. Für KMU gibt es wichtige Instrumente, die helfen können.

So besagt die DSGVO: „Die Mitgliedstaaten, die Aufsichtsbehörden, der Ausschuss und die Kommission fördern die Ausarbeitung von Verhaltensregeln, die nach Maßgabe der Besonderheiten der einzelnen Verarbeitungsbereiche und der besonderen Bedürfnisse von Kleinstunternehmen sowie kleinen und mittleren Unternehmen zur ordnungsgemäßen Anwendung dieser Verordnung beitragen sollen.“

Die Idee dahinter ist, dass Verhaltensregeln (Code of Conducts) entstehen, die branchenspezifische Regeln enthalten und gerade KMU Leitlinien sein können und sollen. Gefordert sind hier aber nicht nur die Aufsichtsbehörden, sondern die Branchenverbände, die für ihre Mitgliedsunternehmen solche Code of Conducts entwickeln sollen und von den Aufsichtsbehörden genehmigen lassen können. Erste Beispiele für solche Verhaltensregeln gibt es in Deutschland bereits, weitaus mehr sollten kommen, gerade auch von den Verbänden für ihre Mitglieder aus dem Mittelstand.

Dies erklärt auch die Datenschutzaufsicht von NRW: „Die DSGVO sieht vor, dass sich Wirtschaftsbranchen selbst Verhaltensregeln zum Umgang mit personenbezogenen Daten auferlegen können, um die DSGVO zu konkretisieren“. Es gibt also noch etwas zu tun, um den KMU bei der Umsetzung der DSGVO zu helfen, aber auch bei den Verbänden selbst.

(ID:49537516)