Datenschutzgesetz: Die “Basics” für KMU
KMU-Berater Richard Söldner beschreibt in seinem Beitrag die wesentlichen Aspekte:
Datenschutz – Basics für jedes Unternehmen
Immer wieder treffen wir in der Beratung auf Unternehmen, die sich bisher noch kaum oder gar nicht mit dem Thema Datenschutz auseinandergesetzt haben, obwohl das Bundesdatenschutzgesetz nicht weniger Gültigkeit hat, als zum Beispiel die Straßenverkehrsordnung. Sie fahren ja auch nicht mit dem Auto ohne sich jemals mit den Verkehrsregeln befasst zu haben. Darum hier für alle, für die Datenschutz bisher ein rotes Tuch war, eine schnelle Übersicht der wichtigsten Grundlagen.
Der Datenschutzbeauftragte – intern oder extern?!
Um den Umgang mit personenbezogenen Daten zu dokumentieren und zu kontrollieren, schreibt das BDSG vor, dass in jedem Unternehmen, in dem mehr als neun Mitarbeitern/innen (!) personenbezogene Daten automatisiert erheben, verarbeiten oder nutzen, ein Datenschutzbeauftragter (DSB) bestellt werden muss.
Das ist im Grunde genommen schon der Fall, wenn Outlook im Unternehmen eingesetzt wird, denn E-Mail Adressen sind auch schon personenbezogene Daten.
Anforderungen an den Datenschutzbeauftragten
Der bestellte DSB muss
- eine Ausbildung nach § 4 BDSG durchlaufen haben,
- er benötigt sehr gute IT- und Rechtskenntnisse,
- muss didaktische Fähigkeiten nachweisen können und
- sich jährlich fortbilden.
Er darf weder Mitglied der Geschäftsleitung oder ein Familienmitglied, weder der Leiter der IT- oder Personalabteilung und auch kein Lehrling oder Praktikant sein.
Der interne DSB muss gegenüber der Geschäftsleitung weisungsfrei sein, 20% seiner Arbeitszeit für Datenschutzzwecke freigestellt werden und auf mindestens 3 Jahre bestellt sein. Zur Krönung genießt er noch Kündigungsschutz wie ein Betriebsrat. Daher entscheiden sich viele Unternehmen für einen externen Datenschutzbeauftragten.
Vorteile eines externen Datenschutzbeauftragten
Hier sind die Kosten klar und transparent, er bildet sich selbstständig und auf eigene Kosten fort und ist bereits zu Beginn der Tätigkeit voll in die Materie eingearbeitet.
Ein interner DSB haftet nur in Extremfällen und dann nur bis zu einem halben Monatsgehalt, ein externer DSB haftet hingegen voll.
Pflichten für Unternehmen
Das BDSG verpflichtet Unternehmen zu vielerlei Dingen. Oft fallen Unternehmer aus allen Wolken, wenn Sie erfahren, was Sie alles im Unternehmen nicht beachten. Und dass dieses Nichtbeachten noch dazu mit hohen Bußgeldern belegt werden kann – und oft auch wird.
Der Auftragsdatenverarbeitungsvertrag AVV
Zum Beispiel das allseits „beliebte“ Thema Auftragsdatenverarbeitung: Wenn Ihr Unternehmen bestimmte Bereiche auf andere Unternehmen auslagert, ist zu prüfen, ob dieser Dienstleister mit personenbezogenen Daten in Berührung kommt. Ist dies der Fall, so müssen die beiden Firmen miteinander einen Auftragsdatenverarbeitungsvertrag (AVV-Vertrag) nach § 11 BDSG abschließen. Selbst im Falle von Softwarewartung ist dies regelmäßig notwendig.
Technische und organisatorische Maßnahmen
Darüber hinaus müssen die personenbezogenen Daten auch im Unternehmen selber durch technische und organisatorische Maßnahmen (TOM) geschützt werden. Das heißt, das Unternehmen gewisse Schutzmaßnahmen zu implementieren haben. Dazu zählen:
- die Zutrittskontrolle
- die Zugangskontrolle
- die Zugriffskontrolle
- die Weitergabekontrolle
- die Eingabekontrolle
- die Auftragskontrolle
- die Verfügbarkeitskontrolle
Worauf es beim Datenschutz sonst noch ankommt
Außerdem müssen personenbezogene Daten für unterschiedliche Zwecke immer getrennt voneinander verarbeitet werden und das Datengeheimnis ist stets zu wahren.
Aber auch bei der Vernichtung von personenbezogenen Daten auf sämtlichen Medien ist der Datenschutz zu beachten.
Auch müssen Sie die Verfahren, die Sie in Ihrem Unternehmen einsetzen und bei denen personenbezogene Daten betroffen sind, in einem Verfahrensverzeichnis führen und dokumentieren.
Datenschutzverstöße – na und?
Schon ein einfacher Verstoß gegen das Bundesdatenschutzgesetz kann mit Bußgeldern bis 25.000 Euro belegt werden. Für fahrlässige unbefugte Erhebung von personenbezogenen Daten sieht der § 45 BDSG sogar bis zu 250.000 Euro Bußgeld vor.
Mit der EU-Datenschutzgrundverordnung wird ab 2018 die Situation noch verschärft: Dann heißt es je nach Verstoß 2 bzw. 4 % des weltweiten Jahresumsatzes im Vorjahr oder alternativ 10 bzw. 20 Millionen Euro Bußgelder, je nachdem was höher ausfällt. Vom Imageschaden, der sehr viel schwerer zu bemessen ist, mal ganz zu schweigen.
Zeit zu Handeln
Auch wenn zu Beginn nicht stark geprüft wurde, ist die Anzahl der Kontrollen allein 2007 um 80% gestiegen und die Medien berichten ständig über Datenschutzverstöße.
Arbeitnehmerdatenschutz wird verstärkt von Arbeitsrechtlern verfolgt, daraus folgen oft massive Probleme mit ausscheidenden Arbeitnehmern (z.B. bei Kündigung).
Auch regelmäßig unter die Lupe genommen werden geschäftliche Internetseiten: Es wird geprüft, ob Google Analytics datenschutzkonform eingesetzt wird, ob das Impressum vollständig ist, ob Kontaktformulare verschlüsselt werden und ob eine Datenschutzerklärung über die Erhebung, Verarbeitung und Weitergabe der Daten Auskunft gibt.
Ein Datenschutz-Audit verhindert unbemerkten Wissensabfluss und ist schon heute fester Bestandteil bei fast allen Compliance- und Rating-Systemen (Banken!).
Was viele nicht wissen: Der Geschäftsführer einer GmbH haftet für einen Verstoß gegen das BDSG unbegrenzt mit seinem Privatvermögen.
Es ist nicht alles schlecht!
Datenschutz muss nicht nur extra Arbeit und eine Last bedeuten. Ganz im Gegenteil: Datenschutz bedeutet mehr Sicherheit für Ihr Unternehmen und weckt Vertrauen bei Ihren Kunden und Partnern. Das ist gut für’s Image.
Gelebter Datenschutz hilft die Arbeitsabläufe zu optimieren, spart Kosten und führt zumeist zu einem sinnvollen Datenmanagement im Unternehmen. Datenschutz kann sogar ein echter Wettbewerbsvorteil sein.
