DATENSCHUTZ 2018: NACH DEM STICHTAG ALLES IM GRIFF?

Damit zu Beginn erst gar keine falsche Hoffnung aufkommt, machen wir es kurz und schmerzlos: Ja, auch Sie brauchen mit der neuen Gesetzgebung höchstwahrscheinlich einen Datenschutzbeauftragten. Denn in jedem Unternehmen, in dem personenbezogene Daten verarbeitet werden und mindestens zehn Mitarbeiter mit Datenverarbeitung in Kontakt kommen, muss jetzt ein interner Datenschutzbeauftragter oder externer Datenschutzbeauftragter gestellt werden. Und das trifft auf die meisten Firmen zu – schließlich sind schon bei einfacher E-Mail-Kommunikation personenbezogene Daten im Umlauf.

Bei der Benennung kann nicht einfach dem Mitarbeiter der Hut aufgesetzt werden, der sich zu spät duckt. Es gibt mit dem neuen Datenschutzgesetz bestimmte Voraussetzungen, die ein geeigneter Datenschutzbeauftragter mitbringen muss. Dazu gehören Kompetenzen bei den Themen Datenschutzrecht, Informations- und Kommunikationstechnologie und Betriebswirtschaft sowie persönliche Merkmale wie Integrität, besondere Beratungsfähigkeiten und Durchsetzungsvermögen. Findet sich im Unternehmen kein passender Mitarbeiter, darf auch ein externer Datenschutzbeauftragter den Job übernehmen. Wir stellen kompetente Kollegen, die alle Pflichten und Verantwortung übernehmen.

Die neue Gesetzgebung befördert den Datenschutzbeauftragten vom stillen Gast zum Datenschutz-Manager. Er muss alle Mitarbeiter über die Vorschriften der aktuellen EU-Datenschutz-Grundverordnung (DS-GVO) informieren und sie für das Thema Datenschutz sensibilisieren. Der Aufgaben-Schwerpunkt wird jedoch auf der Kontrolle liegen. Ein Datenschutzbeauftragter ist dafür verantwortlich, dass alle Vorschriften nach dem Datenschutzgesetz eingehalten werden. Dafür prüft er Geschäftsprozesse, Systeme und Organisationsstrukturen auf die Einhaltung der Vorgaben und kontrolliert die Wirksamkeit der eingesetzten Strategien. Er muss in der Lage sein, auf Anfrage Bewertungen abzugeben – etwa im Rahmen einer Datenschutz-Folgenabschätzung, wenn die Annahme besteht, dass personenbezogene Daten zweifelhaft verarbeitet werden und das voraussichtliche Risiko für den Datenschutz im Unternehmen bewertet werden muss. Kurzum: Ein Datenschutzbeauftragter ist nach dem neuen Datenschutzgesetz Mentor, Berater und Kontrolleur in einer Person.

Wer als Geschäftsführer jetzt denkt „Spitze, dann muss ich mich um das Datenschutz-Thema nicht weiter kümmern“, den müssen wir leider enttäuschen.

Denn auch wenn schon seit Langem ein Datenschutzbeauftragter in Ihrem Haus im Einsatz ist, sollte trotzdem noch einmal überprüft werden, ob er die Voraussetzungen laut der neuen EU-Datenschutz-Grundverordnung (DS-GVO) erfüllt. Aber auch darüber hinaus: Betrieblicher Datenschutz ist keine One-Man-Show. Wo laut Datenschutzgesetz die Pflichten des Datenschutzbeauftragten enden, beginnt Ihr Zuständigkeitsbereich. Geschäftsführer müssen sich um die Implementierung neuer technischer und organisatorischer Maßnahmen für Datensicherheit kümmern. Ein Datenschutzbeauftragter behält sie lediglich im Auge, überprüft den Erfolg und weist auf Defizite hin. Die Geschäftsführung muss sich also genauso sicher auf dem Terrain Datenschutz bewegen.

Die neue EU-Datenschutz-Grundverordnung (DS-GVO) verändert nicht nur das Handeln als Datenschutzbeauftragter. So gibt es z.B. im Bereich E-Mail-Marketing deutlich mehr zu beachten. Personenbezogene Daten dürfen, z.B. bei einem Newsletter, laut neuer Gesetzgebung nur noch eingeschränkt abgefragt werden. Und auch die Geltungsdauer von Einwilligungserklärungen und Widerrufsmöglichkeiten wurde neuinterpretiert . Außerdem: Wussten Sie, dass die DS-GVO Vorgaben für eine zulässige Schriftform neu regelt? Personenbezogene Daten, die mit einem Signpad erfasst werden – etwa bei Unterschriften – unterliegen nicht mehr der zulässigen Schriftform. Und auch „kleinere“ Veränderungen können mit der neuen Datenschutz-Grundverordnung am Ende des Tages großen Schaden zur Folge haben. Sogar die Kopie des Personalausweises eines Mitarbeiters wird schnell zur Datenschutz-Falle, wenn nicht alle Angaben, die für die Verwendung irrelevant sind, geschwärzt sind.

Die Auflagen sind strenger – und die Sanktionen härter. Verstöße gegen die neue Gesetzgebung sind keine Kavaliersdelikte. Unternehmen müssen mit teils sehr hohen Strafen rechnen, wenn bei den Kontrollen eine Lücke im Datenschutz entdeckt wird. Und auch wenn Maßnahmen erst nach dem 25.05.2018 eingeleitet werden, winkt ein sattes Bußgeld. Das kann sogar insgesamt bis zu 4 % des weltweiten Jahresumsatzes eines Unternehmens betragen. Solche Strafen sind keine kleinen Aufreger – sie sind existenzgefährdend. Denn neben dem Konto leidet auch das Image. Und wenn das angekratzt ist, ergeben sich schnell Wettbewerbsnachteile.
Also: Umfassende Datenschutz-Maßnahmen sind kein „nice to have“ – sie sind die Erfolgsfaktoren für Unternehmen.

Was Sie im Detail beachten müssen, um die Arbeitsprozesse in Ihrem Unternehmen datenschutzkonform zu gestalten, erfahren Sie von uns. Ihren Experten für Datensicherheit.