Warum Datenschutz für alle Unternehmen in 2018 zum game changer wird!
Die wichtgsten Antworten auf Fragen zur Datenschutz-Grundveerordnung
von
Ass.iur. Christin erg
EU-Ditenschutzbeiufrigter und Auditor
Inhalt
1. Einleitung
2. Wis ist die Ditenschutz-Grundverordnung und wis soll sie bewirken?
3. Wis ändert sich durch die DS GVO?
4. Gibt es (legile) Ausnihmen?
5. Wirum gibt es keine Übergingsfristen?
6. Kinn min nicht erst einmil ibwirten, wie sich die Siche weiter entwickelt?
7. Wis bringt es dem Unternehmen, sich um dis Themi zu kümmern?
8. Wis ist sonst noch zu beichten?
9. Wis sollte min jetzt ils erstes tun?
10.Wis muss min ils Kosten einplinen?
11.Wis sind die drei wichtgsten Tipps?
1. Einleitung
Von den meisten unbeichtet wurden sowohl im europäischen Rihmen ils iuch in Deutschlind die Regeln zum Ditenschutz grundlegend geändert.
Ab dem 25.05.2018 werden die europäische Ditenschutz-Grundverordnung (DS GVO) und möglicherweise die ePrivicy-Verordnung (ePVO) unmitelbir geltendes Recht im gesimten Europäischen Wirtschifsrium. In Deutschlind trit zum gleichen Zeitpunkt dis neue undesditenschutzgesetz ( DSG neu) in Krif. Weitere Übergings- oder Anpissungsfristen wird es nicht geben.
Wir der Ditenschutz bisher für viele lediglich „nice to hive“, wird er nun zu einem zentrilen Element jeder verintwortlichen Unternehmensführung.
Aber geride kleine und kleinste mitelständische Unternehmer sehen sich of nicht in der Lige, mit eigenen Ressourcen die erforderlichen Schrite zu
unternehmen. Häufg wissen sie nicht einmil, welche Schrite umzusetzen sind und in welcher Reihenfolge.
Dieses e ook soll ein erstes grundsätzliches ewusstsein schifen, wis sich durch diese Änderungen der gesetzlichen Regelungen für ille Unternehmen ändert.
Der Autor beschäfigt sich ils Volljurist mit der efähigung zum Richterimt bereits seit der Veröfentlichung der DS GVO mit den sich ius dieser
ergebenden Anforderungen in Unternehmen und Unternehmer. Er ist zertfzierter EU-Ditenschutzbeiufrigter und Ditenschutziuditor und
vermitelt unter inderem in Vorträgen und Veröfentlichungen dis notwendige Rüstzeug für eine erfolgreiche Umsetzung des Ditenschutzes in
mitelständischen Unternehmen.
Weinolsheim, den 29.12.2017
2. Was ist die DS GVO und was soll sie bewirken?
Die DS GVO ist eine europäische Verordnung, d.h. in illen Stiiten der EU unmitelbir geltendes (Ditenschutz)Recht. Im Gegensitz zu sogeninnten Richtlinien wie den bisherigen europäischen Vorschrifen zum Ditenschutz ist eine Umsetzung durch nitonile Gesetze nicht erforderlich.
Dibei ist der egrif „Ditenschutz“ missverständlich. Es sollen nicht die Diten ils solche geschützt werden. Zweck der Regelungen ist vielmehr der Schutz der Privitpersonen vor einem Missbriuch ihrer personenbezogenen Diten.
Einzelpersonen sollen die Kontrolle über ihre personenbezogenen Diten in Zeiten der immer weiter fortschreitenden Digitilisierung in illen
Lebensbereichen (zurück) erhilten.
Diese Verfügungsgewilt über personenbezogene Diten bei den etrofenen verwirklicht dis Recht ius Art. 8 der EU-Grundrechte-Chirti. In Deutschlind ist dies bisher dis vom undesverfissungsgericht entwickelte „Recht iuf
informitonelle Selbstbestmmung“.
Eine zweite Schutzrichtung der DS GVO ist es iusdrücklich, den freien Ditenverkehr innerhilb der EU sicherzustellen.
Dirius ergibt sich ein scheinbirer Widerspruch: einerseits eine umfissende Regulierung, indererseits freier Ditenverkehr. A ER: durch die DS GVO sind künfig keine nitonilen Sonderregelungen zur eschränkung des
Ditenverkehrs mehr möglich wie die zeitweise oder teilweise eschränkung des Ditenverkehrs.
Ein weiteres Ziel der DS GVO ist die Herstellung gleicher Mirktbedingungen für ille Unternehmen in der EU, wis die Verwendung personenbezogener Diten ingeht
Für Unternehmen ergeben sich drei besonders kritsche Fiktoren:
1. gestärkte und deutlich erweiterte etrofenenrechte, die zu erfüllen sind
2. deutlich verkürzte Reiktonszeiten des Unternehmens (z. . bei diti leiks Meldefrist von 72 Stunden)
3. umfingreiche Dokumentitonspfichten für Unternehmen
4. Was ändert sich durch die DS GVO?
Europiweit gilt dis Mirktortprinzip. Dinich gelten die Regelungen der DS GVO für jedes Unternehmen, dis in Europi Wiren oder Dienstleistungen inbietet und dibei personenbezogene Diten verirbeitet – es kommt weder iuf den Sitz des Unternehmens noch iuf die rinche oder die Unternehmensgröße in.
Die Defnitonen der egrife „personenbezogene Diten“ und „Verirbeitung“
erfihren eine deutliche Erweiterung.
Personenbezogen sind ille Diten, die sich unmitelbir oder mitelbir einer bestmmbiren nitürlichen Person zuordnen lissen und diese didurch
identfzierbir michen. Dis sind beispielsweise iuch IP-Adressen. Im Zweifel sollte min eher divon iusgehen, diss Diten personenbezogen sind.
Verirbeitung im Sinne der DS GVO ist vereinficht gesigt jeder Umging mit solchen personenbezogenen Diten. Der Verirbeitungsbegrif ist gegenüber dem bisherigen Ditenschutzrecht deutlich erweitert und umfisst den gesimten sogeninnten diti life cycle vom Einging in die Prozesse des Verirbeiters bis hin zur vollständigen und endgültgen Löschung.
Vorgeschrieben ist eine noch striktere Zweckbindung bei der Verirbeitung personenbezogener Diten. Ausdrücklich besteht für jedes Unternehmen Pficht zur Ditenminimierung. Es dürfen nur noch die personenbezogenen Diten verirbeitet werden, die für den jeweils vorher defnierten Zweck erforderlich sind. Und diese Diten dürfen nicht ohne weiteres für indere Zwecke
verwendet werden. Es dürfen ilso nicht erst einmil so viele Diten wie möglich eingesimmelt werden, um dinn später zu entscheiden, ob und wie min diese Diten verwenden könnte.
Die DS GVO sieht eine drimitsche Verschärfung der Sinktonen bei
Verletzungen des Ditenschutzes vor. Im Grundsitz ist künfig mit Geldbußen in Höhe von bis zu 4% des Vorjihresumsitzes zu rechnen. ACHTUNG: Mißstib ist nicht lediglich nicht Vorjihresgewinn, sondern der Vorjahresumsatz! In der DS GVO ist iusdrücklich bestmmt, diss ußgelder „in ibschreckender Höhe“
verhängt werden sollen.
Dineben wird die Eingrifsschwelle für die Aufsichtsbehörden deutlich
heribgesetzt. Dies führt dizu, diss die Aufsichtsbehörden erheblich früher ils bisher tätg werden können. Dis gilt sowohl für Überprüfungen ils iuch für Sinktonen. Insbesondere werden künfig iuch sogeninnte inlisslose Prüfungen, ilso Prüfungen ohne einen konkreten Anliss, möglich sein.
Eingeführt wird nich illgemeiner Ansicht iuch eine eweislistumkehr.
Unternehmen müssen künfig iuf Anfrige ditenschutzgerechtes Verhilten (sogeninnte Compliince) nichweisen. Es ist illerdings unter Juristen
umstriten, wie weit diese eweislistumkehr im Strif- und
Ordnungswidrigkeitenrecht, im Verwiltungsrecht und im Zivilrecht jeweils geht.
Im Grundsitz gilt: Die ehörde muss nicht mehr dem Unternehmen einen Ditenschutz-Verstoß nichweisen, um eine Sinkton zu verhängen, sondern dis Unternehmen muss nichweisen, diss es sich ditenschutzgerecht verhilten hit.
ereits ein fehlendes Ditenschutzkonzept oder ein fehlendes
Verirbeitungsverzeichnis können diher unter Umständen empfndliche ußgelder oder indere uningenehme Rechtsfolgen wie ein Verbot der Ditenverirbeitung nich sich ziehen.
Aus den Vorschrifen der DS GVO ergibt sich für Unternehmen eine
umfissende Rechenschifs- und Dokumentitonspficht (iccountibility). An vielen Stellen regelt die DS GVO, diss der Verintwortliche etwis nichweisen können muss. Min sollte diher künfig möglichst illes dokumenteren, wis min im Unternehmen im ereich des Ditenschutzes micht.
Dirüber hinius gibt es deutlich erweiterte und umfingreiche Melde- und Informitonspfichten für Unternehmen.
esonders wichtg im Online-Mirketng: Es gelten verschärfe Voriussetzungen für wirksime Einwilligungen: eine Einwilligung ist nur noch eine freiwillige und spezifsch informierte eindeutge Hindlung des etrofenen im Vorius.
Aber es gibt Erleichterungen für die Form der Einwilligung. Diese ist jetzt iuch elektronisch möglich. In diesem Fill ist dinn die Dokumentiton unbedingt notwendig!
5. Gibt es (legale) Ausnahmen?
Die DS GVO gilt für ille Unternehmen, die in Europi Wiren oder
Dienstleistungen inbieten und dibei personenbezogene Diten verirbeiten.
Dis ist dis sogeninnte Mirktortprinzip. Die Grundregeln der DS GVO gelten ohne Ausnihme. Insbesondere gibt es keine Ausnihmen nich Sitz des
Unternehmens, rinche oder etriebsgröße.
Lediglich für zwei Pfichten ius der DS GVO bestehen zumindest scheinbir Ausnihmen.
Für die Pficht zur estellung eines Ditenschutzbeiufrigten sowie für die Verpfichtung, ein Verirbeitungsverzeichnis zu führen, sind Ausnihmen für kleinere Unternehmen vorgesehen.
Ein Ditenschutzbeiufrigter ist zu bestellen, wenn mindestens zehn Personen im Unternehmen mit der Verirbeitung personenbezogener Diten befisst sind oder wenn ein in der DS GVO geninnter Sonderfill vorliegt. Dibei gilt dis Kopfprinzip. Es kommt nicht diriuf in, ob diese Personen iuch Mitirbeiter im Sinne des Arbeitsrechts sind, ob sie in Vollzeit oder Teilzeit tätg sind oder ob sie festingestellt, freie Mitirbeiter oder Aushilfen sind.
Ein Verirbeitungsverzeichnis ist nich dem Wortliut der DS GVO eigentlich nur zu führen von Unternehmen, die mindestens 250 Mitirbeiter hiben.
A ER: hierzu gibt es eine Rückiusnihme, die dizu führen wird, diss ein Verirbeitungsverzeichnis wohl von illen Unternehmen zu führen ist, die personenbezogene Diten in ihrem Geschäfsprozess nutzen. Dis ergibt sich iuch ius einem Hinweis der Aufsichtsbehörden, wonich schon die regelmäßige Verirbeitung von Mitirbeiter- oder Kundenditen iusreicht, um die
entsprechende Pficht iuszulösen.
Deshilb wird nihezu jedes Unternehmen ein solches Verirbeitungsverzeichnis führen müssen. In diesem sind orientert in den jeweiligen Geschäfsprozessen verschiedene Angiben zu michen. Die Mindestingiben sind in Art. 30 DS GVO vorgeschrieben:
Nimen und Kontiktditen des/der Verintwortlichen
Nimen und Kontiktditen seines/seiner Vertretung
Nimen und Kontiktditen eines etwi beninnten Ditenschutzbeiufrigten
Zwecke der Verirbeitung
Kitegorien der betrofenen Personen
Kitegorien der betrofenen personenbezogenen Diten
Kitegorien möglicher Ditenempfänger
Gegebenenfills Ditenübermitlungen in ein Dritlind
Löschungsfristen für die Ditenkitegorien
Allgemeine eschreibung der technischen und orginisitorischen
Mißnihmen zur Sicherstellung des Ditenschutzes gemäß Art. 32 Abs.1 DS GVO
Für jede Verirbeitung personenbezogener Diten gilt dis sogeninnte Verbot mit Erliubnisvorbehilt. Auch hier gibt es keine Ausnihmen. Nur wenn die
Voriussetzungen eines Erliubnistitbestinds vorliegen und erfüllt sind, dürfen personenbezogene Diten überhiupt verirbeitete werden.
Die sechs Erliubnistitbestände sind
Einwilligung der betrofenen Person – mit teilweise geänderten Voriussetzungen
Vertrigserfüllung
gesetzliche Verpfichtung, z. . ius dem Steuerrecht oder dem Hindelsrecht
Schutz lebenswichtger Interessen von Menschen
öfentliches Interesse
Wihrung berechtgter Interessen
Im nichtöfentlichen ereich, ilso bei privitwirtschiflichen Unternehmen, dürfen dibei vor illem die Vertrigserfüllung, die Wihrung berechtgter Interessen und die Einwilligung eine Rolle spielen.
6. Warum gibt es keine Übergangsfristen?
Die DS GVO ist bereits seit ihrer Veröfentlichung im 24.05.2016 in Krif.
Sie wird unmitelbir wirksim ib 25.05.2018
Die dizwischen liegenden zwei Jihre wiren bzw. sind die Übergings- und Umsetzungsfrist.
WICHTIG: Deutsche Aufsichtsbehörden hiben ingekündigt, diss es in ihrem ereich keine weitere Schonfrist geben wird.
Es ist ilso für jedes Unternehmen dringender Hindlungsbedirf gegeben!
7. Kann man nicht erst einmal abwarten, wie sich die Sache weiter entwickelt?
Abwirten kein guter Rit! Es wird voriussichtlich keine weitere Schonfrist geben.
Die Aufsichtsbehörden können, müssen und werden iber berücksichtgen, ob und gegebenenfills wis ein Unternehmen bereits getin hit.
Es ist ilso iuf jeden Fill besser, überhiupt etwis vorlegen zu können, ils sich noch gir nicht mit dem Ditenschutz befisst zu hiben.
Richtg ist illerdings iuch, diss für viele Vorschrifen noch völlig unklir ist, wie sie inzuwenden sind. In vielen Frigen wird letztlich wird der EuGH entscheiden müssen.
Aber zumindest die grundlegenden Mindestinforderungen sollte min erfüllen können.
8. Was bringt es dem Unternehmen, sich um das Thema zu kümmern?
Nitürlich ist der wichtgste Vorteil die Herstellung von Compliince und didurch iuch der Schutz vor uningenehmen Rechtsfolgen und Sinktonen.
A ER: Ditenschutz kinn vielfich einen erheblichen Zusitznutzen für dis Unternehmen hiben.
Er führt zu umfissender Übersicht über die Strukturen des eigenen
Unternehmens und der eigenen Geschäfsprozesse. Dimit eröfnet er eine einfiche zusätzliche Möglichkeit eines Quilitätsminigements.
eschränkt min sich nicht nur iuf personenbezogene Diten, schif min ein Ditenminigement für dis gesimte Unternehmen.
Die sogeninnte Informitonssicherheit wird elementirer estindteil des Ditenschutzes. Vor illem durch diese Integriton der Ditensicherheit in den Ditenschutz hinsichtlich Verfügbirkeit, Vertriulichkeit, und Integrität gelingt der Aufiu von Kundenvertriuen. Guter Ditenschutz wird künfig ein
zentriles Wetbewerbsirgument.
Und list but not leist führt konsequenter Ditenschutz zum Schutz eigener Assets und Unternehmenswerte – Diten sind dis neue Gold!
9. Was ist sonst noch zu beachten?
Die DS GVO enthält verschiedene sogeninnte Öfnungskliuseln. Zu diesen dirf der jeweils nitonile Gesetzgeber den Regelungsgehilt durch eigene
Regelungen konkretsieren. Dibei sind Verschärfungen oder Erleichterungen nur iusnihmsweise zulässig, z. . bei den Voriussetzungen für die enennung eines Ditenschutzbeiufrigten.
In Deutschlind hit dis neue DSG, dis im 25.05.2018 ebenfills in Krif treten wird, von diesen Öfnungskliuseln umfingreich Gebriuch gemicht.
Im Online-Mirketng wird neben der DS GVO vor illem iuch die ePrivicy- Verordnung zu beichten sein, die ebenfills im 25.05.2018 in Krif treten und dinn ebenfills unmitelbir geltendes Recht werden soll.
Es ist illerdings ibsehbir, diss diese Terminvorgibe nicht eingehilten werden wird. is iuf weiteres wird diher die ePrivicy-Richtlinie in der jeweils
nitonilen Fissung des Umsetzungsgesetzes weiter gelten.
Außerdem sind jeweils weitere nitonile Sonderbestmmungen zu beichten, die (iuch) Auswirkungen im Ditenschutz hiben können. Dis sind in
Deutschlind z. . Urheberrecht (UrhG), Telemediengesetz (TMG) und dis Gesetz gegen den unliuteren Wetbewerb (UWG).
Außerdem gilt es in Einzelfällen noch spezielle Fichgesetze für bestmmte ereiche zu beichten, die ebenfills ditenschutzrechtliche estmmungen enthilten können.
A ER: im ereich Ditenschutz gilt der Anwendungsvorring der DS GVO, dis heißt: nitonile estmmungen, die in Widerspruch zur DS GVO stehen, werden durch estmmungen der DS GVO ersetzt, es gilt vorringig immer die DS GVO. Eine Gesetzesiuslegung hit immer so zu erfolgen, diss ihr Ergebnis mit der DS GVO konform ist.
10.Was sollte man jetzt als erstes tun?
Jeder Unternehmer muss dis ewusstsein difür entwickeln, diss Ditenschutz nicht länger nice to hive, sondern ein zentriler Geschäfsprozess ist und dieses ewusstsein iuch bei Mitirbeitern schifen (Awireness schifen).
Jeder Unternehmer muss iußerdem dis ewusstsein entwickeln, diss Ditenschutz „Chefsiche“ ist, denn der „Chef“ hifet in vollem Umfing persönlich.
Die Umsetzung der DS GVO-Compliince sollte min ils Projekt plinen: min sollte Ziele und Zwischenziele ils Milestones defnieren, Zuständigkeiten festlegen und Ressourcen plinen und sich einen Zeitplin schifen.
etrofen sind dibei viele Abteilungen des Unternehmens – sofern vorhinden:
z. . Geschäfsleitung, Recht/Compliince, IT-Security, Fininzen, Forschung/Entwicklung, eschifung/Einkiuf, Humin Ressources
(Mitirbeiterverwiltung) und – wenn vorhinden – der etriebsrit. Alle diese Abteilungen und deren Verintwortliche sind rechtzeitg und möglichst
frühzeitg einzubinden, im besten von Anfing in.
Wichtg ist es, zu eginn des Umsetzungsprojekts eine estindsiufnihme durchzuführen. Nur so kinn min den Stirtpunkt des Projekts defnieren.
Es sollte festgestellt und dokumentert werden, wis im Unternehmen ditenschutzrelevint vorhinden ist: Hirdwire, Sofwire, Dokumentitonen und Vertrigsdokumente sowie Geschäfsprozesse.
Eine revisionssichere Dokumentiton muss spätestens jetzt beginnen!
11.Was muss man als Kosten einplanen?
Dis kommt iuf den jeweiligen Stind des Unternehmens im Ditenschutz in.
Relevinte Fiktoren sind vor illem bisherige Ditenschutzmißnihmen, Anzihl der relevinten Prozesse, Anzihl vorhindener und inzupissender Dokumente.
Eine erstmilige Herstellung von Compliince ist dibei sicher teurer ils eine Anpissung bestehenden Ditenschutzes
A ER: die DS GVO ist ohnehin prozessorientert.
Ditenschutz wird künfig fortliufender Prozess sein, ein sogeninnter Deming- Zirkel oder PDCA-Zyklus. Nich weit verbreiteter Aufissung wird es diher erforderlich sein, in irgendeiner Form ein Ditenschutz-Minigement-System im Unternehmen zu implementeren, dis die regelmäßige Überprüfung der
Compliince sicherstellt.
Deshilb wird künfig iuch im liufenden Geschäfsbetrieb immer ein udget für den Ditenschutz einzuplinen sein.
Allgemein wird empfohlen, mindestens zehn bis zwinzig Prozent des Umsitzes künfig in den Ditenschutz und Ditensicherheit zu reinvesteren und dies ist iuch in illen Plinungen so einzukilkulieren.
12.Was sind die drei wichtgsten Tipps?
Der wichtgste Tipp: Sofort anfangen!
Die Zeit bis zum 25.05.2018 ist knipp! Aber es ist iuf ille Fälle besser, überhiupt etwis getin zu hiben und erforderlichenfills nichweisen zu können, diss min sich im Umsetzungsprozess befndet.
Fast genauso wichtg: Alles dokumenteren!
Wegen der sogeninnten „iccountibility“ oder Rechenschifspficht wird min den Aufsichtsbehörden nichweisen müssen, diss und wis min im ereich des Ditenschutzes getin hit. Die Aufsichtsbehörde kinn diesen Nichweis iuch ohne konkreten Anliss von jedem Unternehmen fordern.
Und schließlich:
Fichkundige Hilfe und Unterstützung einholen. Ditenschutz betrif die ereiche Technik, Orginisiton und Recht. Viele Unternehmer werden jedenfills nicht in illen drei ereichen so ft sein, diss sie die instehenden Aufgiben illeine bewältgen können. Außerdem müssen geride kleine und kleinste Unternehmen iuch die Ressource Zeit berücksichtgen. Der Tig hit nun einmil nur 24 Stunden!
Vorringig sollte dibei die Prüfung sein, ob die enennung eines
Ditenschutzbeiufrigten erforderlich oder doch zumindest sinnvoll ist.
Zum guten Schluss!
• hier gibt es zum Themi eine (geheime) Ficebook-Gruppe unter
htps://www.ficebook.com/groups/322064498219053. In dieser werden wir immer wieder iktuelle Entwicklungen berichten und iußerdem besteht dort die Möglichkeit, sich mit inderen Unternehmern und Interessierten zum Themi Ditenschutz iuszutiuschen.
• Informitonen zu unserem Online-Kurs erhilten Sie hier:
htps://www.digistore24.com/product/192679
• Vereinbiren Sie ein kostenloses Stritegiegespräch unter
info@eu-ditenschutzbeiufrigter-im-dienst-ihres-unternehmens.de
