Source: https://www.lionbst.de/datenschutz-und-dsgvo/praxis-umsetzung-der-dsgvo-im-unternehmen-grundlagen-und-ein-ueberblick-ueber-die-verordnung/
Timestamp: 2020-04-10 11:23:33
Document Index: 191810679

Matched Legal Cases: ['Art. 4', 'Art. 4', 'Art. 5', 'Art. 6', 'Art. 6', 'Art. 13', 'Art. 13', 'Art. 13']

Umsetzung der DSGVO im Unternehmen - Grundlagen der Verordnung
DSGVO – Wie fange ich an? – Grundlagen und ein Überblick über die Verordnung
Da die Frage immer wieder aufkommt, gebe ich in diesem Artikel allen „Einsteigern“ einen Überblick worum es geht, was im Groben zu beachten ist und welche Schritte unternommen werde müssen, um sein Unternehmen „Fit für die DSGVO“ zu machen.
Aktuell führe ich täglich mindestens 5 bis 10 Gespräche mit Unternehmern über die DSGVO. Immer wieder beobachte ich dabei, dass die Unternehmer verärgert und auch zum Teil verängstigt sind. Ich möchte Ihnen jedoch die Angst nehmen. Die DSGVO ist kein „Hexenwerk“ und wird uns alle auch nicht in die Pleite führen. Sie erfordert nur einen verantwortungsbewussten Umgang mit personenbezogenen Daten von uns. Dabei ist zu sagen, dass es Zeit wurde, dass endlich in Sachen Datenschutz etwas passiert. Man kann es sehen wie man will, aber die Erkenntnis bleibt: Wir haben weltweit ein enormes Datenschutzproblem.
Die DSGVO mag an vielen Stellen über das Ziel hinausschießen und Dinge komplizierter machen, sie wird aber in meinem Augen dafür sorgen, dass der Datenschutz endlich voran getrieben wird.
Sie selbst erwarten doch im privaten auch, dass verantwortungsvoll mit Ihren Daten umgegangen wird. Ich möchte Ihnen hierzu mal ein kleines Beispiel geben:
Stellen Sie sich vor, Sie mieten privat eine Ferienwohnung und fahren mit Ihrer Familie in den Urlaub. Nach ein paar richtig erholsamen und schönen Tagen kommen sie nach Hause und stellen fest, dass bei Ihnen eingebrochen wurde und alles was Ihnen lieb und teuer war entwendet wurde.
Was würden Sie sagen, wenn Sie jetzt wüssten, das ist passiert, weil die Person, die Ihnen die Wohnung vermietet hat es für unpraktikabel hielt seinen Laptop zu verschlüsseln. Stellen Sie sich vor, der Laptop sei gestohlen worden und die Information über Ihren Ferienaufenthalt so an die falsche Person gekommen, die dann bei Ihnen eingebrochen ist. Gar nicht so weit hergeholt, oder?
Unter anderem solche Szenarien will die DSGVO verhindern. Deshalb sollten wir in meinen Augen aufhören uns über die unsinnigen Stellen des Gesetzes aufzuregen, sondern alle versuchen den Datenschutz ernst zu nehmen und umzusetzen.
Natürlich ist die Umsetzung der Verordnung ein großes Stück Arbeit, wenn ich in meinem Unternehmen noch nie Datenschutz betrieben habe.
Ich möchte Sie hier aufklären, für das Thema Datenschutz gewinnen aber Ihnen auch die Angst vor dem Monster – das sich DSGVO nennt – nehmen.
Dieser Artikel geht ganz bewusst nicht auf jede einzelne Bestimmung ein, damit Sie sich erst einmal einen Überblick über verschaffen können.
Die DSGVO in einem Satz
Man kann die EU-DSGVO in einem Satz grob zusammen fassen:
Jeder Betroffene (Inhaber der Daten) soll immer wissen und entscheiden können was mit seinen Daten passiert und wer sie bekommt und dabei sicher sein können, dass die von ihm überlassenen Daten geschützt werden.
Dabei geht die DSGVO sehr nachvollziehbar vor, in dem sie erst einmal jede Verarbeitung von personenbezogenen Daten verbietet und dann im weiteren Regelwerk nach und nach bestimmte Dinge wieder erlaubt. Es handelt sich also hier um ein sog. „Whitelisting“. (Erst einmal ist alles verboten und nur bestimmte Dinge werden zugelassen). Damit ist das Gesetz in sich geschlossen und auch sehr klar. Problematisch wird es, da die Gesetzgeber einige technische und auch praktische Dinge vergessen haben, wodurch die Umsetzung an einigen Stellen schwierig wird.
Um die weitere Erklärung verstehen zu können, ist es an dieser Stelle wichtig erst einmal ein paar wenige Begrifflichkeiten zu definieren, da auch hier immer wieder Gerüchte kursieren, die nicht ganz richtig sind.
Personenbezogene Daten (Art. 4 Abs. 1)
Der Gesetzgeber definiert diesen Begriff wie folgt: „… alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen“. Die Person um die es geht, nennen wir Betroffener.
Ein Name für sich allein (z.B. Michael Müller) ist kein personenbezogener Datensatz, da ich mit diesem Merkmal allein keine Person identifizieren kann. Handelt es sich jedoch um einen Namen, der selten ist, oder nehme ich ein weiteres Merkmal, wie das Geburtsdatum hinzu, kann ich damit Personen eindeutig identifizieren und es handelt sich um personenbezogene Daten.
Verarbeitung (Art. 4 Abs. 2)
Der Gesetzgeber nennt zig verschiedene Beispiele dafür, was alles eine Verarbeitung von Daten ist: „Erheben, Erfassen, Organisieren, Speichern, Sortieren, Abfragen…“ usw. Deshalb merken Sie sich einfach:
Wann immer Sie in einer nicht ausschließlichen persönlichen oder familiären Tätigkeit irgendetwas mit personenbezogenen Daten machen, sprechen wir von einer Verarbeitung im Sinne der DSGVO.
Die Säulen der DSGVO einfach erklärt
Einfach gesagt basiert die Einhaltung der DSGVO bei jedem Verarbeitungsprozess auf drei Säulen:
Natürlich spielen im ganzen Gesetz noch andere Dinge eine Rolle. Jedoch möchte ich versuchen Ihnen hier erst einmal die Grundzüge der DSGVO zu erklären.
Säule 1 der DSGVO: Die Grundsätze
Die EU-DSGVO legt verschiedene Grundsätze fest, die Sie bei der Verarbeitung von personenbezogenen Daten einhalten müssen. Beispielsweise gibt es die Pflicht zur Datenminimierung. Das bedeutet, dass Sie nur die Daten erheben dürfen, die Sie zum Zweck der geplanten Verarbeitung auch benötigen. Ein Beispiel:
Sie haben ein Rückruf-Bitte-Formular auf Ihrer Internetseite. Fragen Sie hier auch die Adresse des Anfragenden ab? Warum? Wofür benötigen Sie diese? DSGVO-Konform wäre es nur den Namen, die Telefonnummer und eventuell noch eine Nachricht abzufragen. Sie benötigen die Adresse nicht, um den Zweck „Rückruf“ durchzuführen. Dadurch, dass Sie diese Daten dann gar nicht erst abfragen und speichern sinkt natürlich auch das Risiko, dass diese Daten an Dritte gelangen können. Sie sind ja gar nicht erst vorhanden.
Daneben gibt es bei den Grundsätzen noch viele Anweisungen, wie Sie die Daten abzusichern haben usw. Ich möchte jetzt jedoch nicht jeden Grundsatz in diesem Artikel erklären, da Sie einen Überblick bekommen sollen.
Wichtig ist, dass Sie nach Art. 5 Abs. 2 DSGVO eine Rechenschaftsplficht haben. D.h. Sie müssen jederzeit nachweisen können, dass Sie die Verordnung einhalten. Daraus folgt also die Verpflichtung einige Dinge zu dokumentieren.
Säule 2 der DSGVO: Rechtsgrundlagen für eine Verarbeitung
Die DSGVO fordert, dass ich eine Rechtsgrundlage habe, auf der ich die entsprechende Verarbeitung durchführe. Dabei nennt die Verordnung 6 Rechtsgrundlagen, auf die Sie sich beziehen können. (Bei besonderen Datenkategorien sind noch einmal weitere Rechtsgrundlagen genannt, die ich jetzt hier nicht erwähne)
An dieser Stelle gibt es aktuell immer wieder Verwirrung. Die Meisten sprechen davon, dass ich mir eine Einwilligung holen muss. Dass ich mir beispielsweise vom Kunden unterschreiben lassen sollte, dass ich seine Daten verarbeite. Das ist aber nur bedingt richtig. Denn die Einwilligung ist nur eine Rechtsgrundlage. Z.B. kann ich mich bei einer Kundenanfrage auf Artikel. 6 Abs. 1 Buchtabe b beziehen. Da diese Rechtsgrundlage besagt, dass ich die Daten für eine vorvertragliche Maßnahme, die vom Betroffenen angefragt wurde, verarbeiten darf. Ebenso bildet dieser Buchstabe auch die Rechtsgrundlage für Verarbeitungen zur Durchführung eines Vertrags. Wenn ich mir jetzt also immer die Einwilligung hole, lege ich für diese Verarbeitungen auch immer die Rechtsgrundlage Art. 6 Abs. 1 Buchstabe a fest. Das muss ich aber in diesem Beispiel nicht tun. Im Gegenteil, die Einwilligung kann auch Risiken mit sich bringen.
Stellen Sie sich immer die Frage: Was der Zweck der Verarbeitung, die Sie durchführen wollen. Danach können Sie entscheiden, ob Sie tatsächlich eine Einwilligung (Art. 6 Abs.1 Buchstabe a) benötigen oder die Verarbeitung auf einer anderen Grundlage stützen können.
Säule 3 der DSGVO: Die Hinweispflicht
Diese Säule wird aktuell am meisten vernachlässigt. Der Gesetzgeber fordert, dass ich einem Betroffenen zum Zeitpunkt der Erhebung seiner Daten bestimmte Dinge mitteile. Die Inhalte dieser Information finden Sie hier: Hinweise nach Art. 13 DSGVO
Diese Hinweise muss ich dem Betroffenen mitteilen, sofern er nicht schon über sie verfügt. Dass ich ich die Mitteilung vorgenommen habe, muss ich natürlich auch beweisen können.
Sie sind nun mit den absoluten Basics der DSGVO vertraut und fragen sich sicherlich: „Was muss ich denn jetzt tun, um die DSGVO umzusetzen?“ Ich liste Ihnen hier einige erste Schritte auf, mit denen Sie beginnen können:
Listen Sie auf, an welchen Stellen Sie personenbezogene Daten verarbeiten
Prüfen Sie diese Verarbeitungen im Sinne der Säule 1. Halten Sie alle Grundsätze der Verarbeitung ein?
Überlegen Sie sich für jede dieser Verarbeitungen eine Rechtsgrundlage nach Artikel 6.
Fassen Sie diese Dinge in Ihrem Verarbeitungsverzeichnis zusammen. (Hier müssen noch weitere Angaben, wie die Dauer der Speicherung etc. erfolgen. Ein Artikel hierzu wird folgen)
Erstellen Sie sich die entsprechenden Hinweise nach Art. 13 DSGVO für jede Verarbeitung in Ihrem Hause
Sorgen Sie dafür, dass Betroffene bei der Erhebung die jeweiligen Hinweise bekommen
Sorgen Sie auch für entsprechende Richtlinien innerhalb Ihres Betriebes. Wie die Mitarbeiter mit den Daten umzugehen haben
Denken Sie daran, dass die Vorschriften aus der DSGVO nicht nur Ihren Kunden gegenüber gelten, sondern auch Ihren Mitarbeitern, Kooperationspartnern, Lieferanten etc.
Erstellen Sie einen sog. Auftragsverarbeitungsvertrag (AVV), wenn Sie Daten von Anderen bekommen und diese in deren Auftrag verarbeiten
Fordern Sie von denen, die Daten von Ihnen bekommen, jeweils einen AVV an
Überprüfen Sie Ihre Internetseite auf Verstöße und Hinweise nach Art. 13
Überlegen Sie sich technische und organisatorische Maßnahmen, die Sie in Ihrem Unternehmen umsetzen, um den Datenschutz zu gewährleisten. Schreiben Sie diese auf. Dies sind die sog. TOMs
Sensibilisieren und schulen Sie Ihre Mitarbeiter im Bezug auf die Maßnahmen und die internen Datenschutzrichtlinien
Überlegen Sie sich Vorgänge, wie Betroffene ihre Rechte umsetzen können. Z.B. wenn jemand will, dass seine Daten gelöscht werden
Überprüfen Sie regelmäßig, ob diese Dinge eingehalten werden
IT-Sicherheitskonzept (gehört im weitesten Sinne zu den TOMs)
Konzept / Plan zur Reaktion auf unvorhergesehene Ereignisse (IT-Desaster-Recovery-Plan)
Diese Liste ist noch nicht vollständig. Sie gibt Ihnen jedoch eine erste To-Do für Ihr Unternehmen, womit Sie schon viele Dinge erledigen können, die Sie zur Umsetzung der DSGVO in Ihrem Unternehmen umsetzen müssen.
Ich hoffe, dass Ihnen dieser Artikel den Einstieg in die Umsetzung der DSGVO erleichtert und freue mich auf Ihr Feedback!