Datenschutz im Unternehmen - Ein Leitfaden

Einwilligung

Für die Erfassung, Verarbeitung und Speicherung personenbezogener Daten sind Unternehmen verpflichtet, das Einverständnis der betroffenen Person bzw. des Kunden einzuholen. Einzige Ausnahme: Eine gesetzliche Grundlage wie z.B. ein Vertragsverhältnis gestattet die Verarbeitung der Daten. In diesen Fällen kann ein Hinweis auf die Datenverarbeitung mit der jeweiligen rechtlichen Grundlage ausreichend sein. Um auf der sicheren Seite zu sein, empfiehlt sich trotzdem eine rechtliche Beratung z.B. für Kaufverträge mit Kunden oder Arbeitsverträge.  Betroffen von der Einwilligungspflicht sind sogar personenbezogene Daten, die anonymisiert, verschlüsselt oder pseudonymisiert wurden, jedoch zur erneuten Identifizierung einer Person genutzt werden können. Erst bei einer unumkehrbaren Anonymisierung der Daten, z.B. durch technische Hilfsmittel, entfällt diese Pflicht. Am häufigsten begegnet uns die Aufforderung zur Einwilligung wohl in Form von Cookie-Bannern beim Surfen im Internet.

Wie die Einwilligung eingeholt werden darf, ist genau geregelt und bestimmt u.a., dass die Einwilligung freiwillig durch aktives Verhalten wie beispielsweise Anklicken einer Checkbox erfolgen muss. Vorausgewählte Felder oder ähnliche Maßnahmen, die das Nutzerverhalten beeinflussen, sind nicht zulässig! Für einen ordnungsgemäßen Datenschutz sind Unternehmen außerdem verpflichtet, in verständlicher Art und Weise über den Zweck der Datenverarbeitung zu informieren und Betroffene auf die Widerrufsmöglichkeiten hinzuweisen. Detaillierte Informationen zur Einwilligung finden Sie hier: https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_20.pdf

https://ec.europa.eu/info/law/law-topic/data-protection/reform/rules-business-and-organisations/legal-grounds-processing-data/grounds-processing/when-consent-valid_de

Meldepflicht

Jegliche Verletzung des Datenschutzes im Unternehmen muss unverzüglich der zuständigen Aufsichtsbehörde gemeldet werden. Als Verletzung gelten lt. DSGVO Verlust, Vernichtung, Veränderung oder die unbefugte Veröffentlichung personenbezogener Daten. Ein Datenschutzvorfall, auch als Datenpanne bekannt, kann beispielsweise der Verlust eines Laptops mit Kundendaten sein oder ein Hackerangriff auf eine Datenbank, bei dem personenbezogene Daten gestohlen werden. Ob und inwieweit eine Meldung an die Aufsichtsbehörde und ggf. die Betroffenen erfolgen muss, hängt von den konkreten Umständen, getroffenen Vorkehrungen und Sicherheitsmaßnahmen ab. Für eine vorschriftsgemäße Einhaltung des Datenschutzes sind Unternehmen und der:die DSB verpflichtet, jeden Vorfall zu dokumentieren und in einem nachgelagerten Prüfprozess zu bewerten, ob eine Meldung erfolgen muss.

Liegt ein meldepflichtiger Datenschutzvorfall vor, ist zu beachten, dass der:die DSB den Vorfall möglichst binnen 72 Stunden, nachdem ihm:ihr die Verletzung benannt wurde, an die zuständige Aufsichtsbehörde meldet (Art. 33 DSGVO).

Rechenschaftspflicht

Die Rechenschaftspflicht zählt zu den neuen Grundsätzen der DSGVO. Vereinfacht gesagt verpflichtet sie Unternehmen bzw. Auftragsverarbeiter dazu, die Datenschutzgrundsätze nicht nur einzuhalten, sondern deren Einhaltung auch nachzuweisen. Der Datenschutz im Unternehmen muss also belegbar sein. In der Praxis bedeutet das, dass die komplette interne Struktur mitsamt allen technisch-organisatorischen Maßnahmen, Prozessen und Richtlinien nachweisbar dokumentiert werden muss. Das klingt nicht nur nach viel bürokratischem Aufwand, sondern ist es zumeist auch.

Welche Grundsätze jedoch für Ihr Unternehmen gelten, hängt von Ihrem Tätigkeitsbereich und dem damit einhergehenden Risiko für einen Datenschutzvorfall ab. Produziert ein Unternehmen beispielsweise Luftfilter, ist das Risiko eines Datenschutzvorfalls wesentlich geringer als bei einer Lebensversicherung, die hauptsächlich mit sensiblen Personendaten arbeitet. Eine Risikoanalyse steht daher an erster Stelle und legt den Grundstein für nachfolgende Maßnahmen und deren Dokumentation. Für die Erfüllung der Rechenschaftspflicht ist beispielsweise eine interne Datenschutzrichtlinie, der Aufbau einer datenschutzfreundlichen technischen Infrastruktur oder die Dokumentation von Datenschutzverletzungen notwendig. Für detaillierte Informationen zur Rechenschaftspflicht empfehlen wir Ihnen diesen Beitrag: https://www.activemind.de/magazin/rechenschaftspflicht-dsgvo/

Sicherstellung der Datensicherheit

Zur Gewährleistung der Datensicherheit verlangt die DSGVO technische und organisatorische Sicherheitsmaßnahmen, die dem Schutzniveau angemessen sind. Das Schutzniveau wird im Rahmen der Risikoanalyse (siehe Rechenschaftspflicht) in drei Klassen als normal, hoch und sehr hoch eingestuft. Umso höher das Schutzniveau ausfällt, umso umfangreicher sollten die Maßnahmen zum Datenschutz im Unternehmen ausfallen. An dieser Stelle ist zu beachten, dass der Stand der Technik stets zu berücksichtigen, d.h. eine stetige Anpassung an neue Technologien erforderlich ist.

Tipp: Datenschutz im Unternehmen lässt sich leichter umsetzen, wenn Sie bei der Einführung neuer Anwendungen auf datenschutzfreundliche Voreinstellungen (privacy by default) und technische Aspekte achten, die den Datenschutz unterstützen (privacy by design).

Umsetzung von Betroffenenrechten

Die Nichteinhaltung der Betroffenenrechte zählt zu den häufigsten Gründen für die Verhängung von Bußgeldern. Grund genug einen genaueren Blick auf die einzelnen Rechte der Betroffenen, z.B. Kunden oder Mitarbeiter:innen, zu werfen. Die DSGVO setzt eine informationelle Selbstbestimmung und Transparenz für Betroffene zum Ziel. Auf dieser Basis müssen Unternehmen sämtliche Rechte und Pflichten gegenüber Betroffenen möglichst einfach, verständlich und barrierefrei kommunizieren und Betroffene sollen über Art und Umfang der Datenerhebung selbst bestimmen können. Wer einmal die Gesetztestexte der Verordnung gelesen hat, weiß jedoch, dass eine einfache und verständliche Sprache in diesem Zusammenhang schwer umzusetzen ist.

Der Umgang mit Betroffenen ist durch folgende Pflichten & Rechte geregelt:

• Informationspflicht: Unternehmen sind verpflichtet, u.a. darüber zu informieren, wer Daten verarbeitet, welche Daten verarbeitet werden, zu welchem Zweck und mit welcher Dauer die Datenverarbeitung erfolgt. Ebenso muss der:die Betroffene über alle Rechte informiert werden.
• Recht auf Auskunft: Zunächst einmal hat jede:r Betroffene ein Recht darauf zu erfahren, ob personenbezogene Daten erhoben werden und wenn ja, welche. Unternehmen sind angewiesen diesem Auskunftsrecht Folge zu leisten – egal, ob gegenüber Kund:innen oder Mitarbeiter:innen.
• Recht auf Berichtigung oder Löschung: Betroffene haben das Recht auf die Berichtigung der erhobenen Daten, falls diese fehlerhaft oder veraltet sind. Gleichwohl müssen Unternehmen dem Recht auf Löschung Folge leisten, sofern ein:e Betroffene:r die Löschung personenbezogener Daten wünscht. Eine Ausnahme bildet hier nur die Einhaltung von Aufbewahrungsfristen. Das Recht auf Löschung kommt vor allem in der Personalabteilung zum Einsatz, z.B. durch die Vernichtung von Bewerberdaten.
• Recht auf Einschränkung der Verarbeitung: Können personenbezogene Daten aufgrund von Aufbewahrungsfristen nicht unmittelbar gelöscht werden, kann der:die Betroffene eine Einschränkung der Verarbeitung z.B. durch Archivierung fordern. Das kann z.B. die Überführung von Kundendaten aus einem ERP-System in ein digitales Archiv sein, das nur noch einem kleinen Personenkreis zugänglich ist.
• Recht auf Datenübertragung: Diese neue geschaffene Regelung legt fest, dass Betroffenen die erhobenen Daten in einem allgemeingültigen, portablen Format zur Verfügung gestellt werden müssen. Dieses Recht findet v.a. im Zusammenhang mit sozialen Netzwerken Anwendung.

Die Umsetzung der Betroffenenrechte zählt zu den wichtigsten Aspekten der DSGVO. Etwaige Anfragen von Kund:innen oder Mitarbeiter:innen sollten von Unternehmen priorisiert behandelt werden, um sich nicht nur vor Bußgeldern zu schützen, sondern auch, um eine gute Reputation zu bewahren.

Kontrolle des Datenschutzes im Unternehmen

Die Einhaltung des Datenschutzes im Unternehmen obliegt durch eine Art Selbstkontrolle dem zuständigen Datenschutzbeauftragten (siehe Pflichten im Unternehmen). Zudem gibt es in jedem Bundesland eine Datenschutzbehörde, die für die Prüfung der dort ansässigen Unternehmen zuständig ist. Diese Behörden sind befugt anlassbezogene (z.B. nach Beschwerden) und anlasslose Prüfungen des Datenschutzes in Unternehmen durchzuführen. Auf der Internetseite der bayerischen Landesamts für Datenschutzaufsicht findet sich beispielsweise eine ausstehende Kontrolle, bei der die korrekte und fristgerechte Löschung von personenbezogenen Daten in ERP-Systemen geprüft wird.

Die Aufsichtsbehörden sind zudem befugt, für bestimmte Datenschutzvergehen Bußgelder und Strafen zu verhängen. Bußgelder können in einer Höhe von bis zu 4% des weltweiten Jahresumsatzes oder bis zu 20 Millionen Euro Geldstrafe, je nachdem welcher Wert höher ausfällt, verhängt werden. Die DSGVO gibt vor, dass in jedem Einzelfall die Bußgelder „wirksam, verhältnismäßig und abschreckend“ sein müssen. Vor diesem Hintergrund lohnt es sich also, den Datenschutz personenbezogener Daten im Unternehmen ernst zu nehmen und den korrekten Umgang mit Kunden- und Mitarbeiterdaten langfristig zu sichern.

Datenschutz im Umgang mit Kundendaten

Kundendaten dürfen nur dann verarbeitet, gespeichert oder weitergeben werden, wenn entweder eine gesetzliche Grundlage vorliegt oder der:die Betroffene seine:ihre Einwilligung erteilt hat. Eine gesetzliche Grundlage kann beispielweise eine Vertragsanbahnung oder -abwicklung sein, die eine zweckgebundene Datenverarbeitung erlaubt. Zweckgebundene Daten sind beispielsweise Adress- und Zahlungsinformationen, die für die Vertragserfüllung notwendig sind und im ERP-System gespeichert werden. Auch wenn keine explizite Einwilligung erforderlich ist, sollten Sie der Informationspflicht nachkommen und auf Ihre Datenschutzrichtlinien hinweisen. Notwendig ist ebenfalls ein Prozess, der die Speicherung und Löschung der Daten nach Zweckerfüllung regelt, um bei den eingangs erwähnten Datenschutzprüfungen von ERP-Systeme kein Bußgeld zu riskieren. Die Löschung von Kundendaten sollten sich nach den gesetzlichen Aufbewahrungsfristen richten oder dann erfolgen, wenn der Zweck erfüllt ist.

Sobald Sie die Daten über den eigentlichen Zweck hinaus speichern, z.B. für Marketingzwecke, muss die Einwilligung des Betroffenen eingeholt werden. Abseits eines Vertragsverhältnisses stellt die Datenverarbeitung auf Grundlage des berechtigen Interesses eine weitere rechtliche Basis dar. Diese kann beispielsweise gegeben sein, wenn Sie einem Interessenten Informationsmaterial zu Ihren Produkten senden.

Auf der sicheren Seite sind Sie, wenn Sie jeder Verarbeitung den Hinweis auf das Widerspruchsrecht hinzufügen (z.B. Abmeldelink in Newslettern).

Gibt Ihr Unternehmen personenbezogene Kundendaten an Dritte (z.B. Hersteller oder Dienstleister) weiter, ist zusätzlich ein Auftragsverarbeitungs-Vertrag (AVV) zwischen Ihrem Unternehmen und dem jeweiligen Kunden nötig. Dieser Vertrag regelt u.a., welche Daten für welche Dauer zu welchem Zweck erhoben und inwieweit mit Dritten geteilt werden. TOMs sind ebenfalls Bestandteil des Vertrags.

Datenschutz für Mitarbeiter:innen & Bewerber:innen

Beim Datenschutz für Mitarbeiter:innen im Unternehmen ist besondere Vorsicht geboten. Personal- und Gehaltsdaten zählen zu den sensibelsten Informationen im Unternehmen und unterliegen damit einem besonderen Schutz. Zu den oben genannten personenbezogenen Daten zählen hier z.B. auch Bankverbindungen, Religion oder Krankenkassenzugehörigkeit. Ähnlich wie im Umgang mit Kundendaten darf der Arbeitgeber nur diejenigen Daten speichern und verarbeiten, die für die Durchführung des Beschäftigungsverhältnisses notwendig sind. Es gilt hier ebenfalls die Informationspflicht und Mitarbeiter:innen können zu jedem Zeitpunkt ihre Betroffenenrechte geltend machen. Der Arbeitgeber ist verpflichtet, die Mitarbeiterdaten, die i.d.R. in einer Personalakte gespeichert sind, vor Zugriff von außen zu schützen. Bei der klassischen Papierakten kann das ein abschließbarer Bereich sein, auf den nur Personalverantwortliche zugreifen können. Die moderne, papierlose Variante ist die digitale Personalakte, die durch Backups, Firewall, Virenschutz und ggf. Zwei-Faktor-Authentifizierung vor Missbrauch geschützt wird. Nach dem Austritt eines Mitarbeiters gelten die gesetzlichen Aufbewahrungsfristen, nach deren Ablauf die Daten unwiderruflich gelöscht werden müssen.

Gängige HR-Softwarelösungen wie die Sage HR Suite unterstützten durch digitale Personalakte und angeschlossener Archivierung die Einhaltung der geltenden Regeln. Mit einer ergänzenden Zwei-Faktor-Authentifizierung für sichere Anmeldeprozesse sind die Daten optimal geschützt.

Die Datenschutzrichtlinien betreffen ebenfalls Bewerberdaten. Aufsichtbehörden kontrollieren die Umsetzung durchaus, das BayLad prüft derzeit beispielsweise die Einhaltung der Informationspflicht im Bewerbungsverfahren bei zufällig ausgewählten Verantwortlichen. Für die Verarbeitung und Speicherung von personenbezogenen Bewerberdaten gelten die gleichen Richtlinien wie für Beschäftigte mit dem Unterschied, dass die Daten spätestens sechs Monate nach Versenden der Absage gelöscht werden müssen. Eine längere Aufbewahrung bedarf der Einwilligung des Betroffenen.

Gemeinsam gelingt Datenschutz im Unternehmen

Es steht außer Frage, dass die Einhaltung des Bundesdatenschutzgesetztes und der Datenschutz-Grundverordnung für Unternehmen eine Herausforderung sind und angesichts der komplexen Thematik das ein oder andere Kopfzerbrechen mit sich bringen. Insbesondere für kleine und mittlere Unternehmen ist der Zeit- und Kostenaufwand, der durch technisch-organisatorische Maßnahmen, DSB-Ausbildung und Prozessaufbau entsteht, erheblich. Nichtsdestotrotz dienen die DSGVO und das BSGD in erster Linie einem Zweck: Unsere Daten zu schützen. In einer digitalisierten Welt, in der Datendiebstahl und -missbrauch an der Tagesordnung sind, ist das auch unbedingt notwendig.

Für den Datenschutz im Unternehmen gilt dasselbe wie für die IT-Sicherheit: Ihre Angestellten spielen eine entscheidende Rolle. Im täglichen Umgang mit Kundendaten sind Sie als Unternehmen von der Sensibilität Ihrer Mitarbeiter:innen für den Datenschutz abhängig. Daher lohnt es sich, Mitarbeiter:innen in regelmäßigen Abständen zum Thema zu informieren und zur Einhaltung motivieren. Wenn Sie zudem alle Maßnahmen nachweisbar eingerichtet und dokumentiert, Ihre Prozesse und Teilprozesse geprüft haben sowie Betroffenenrechte berücksichtigen, können Sie einer potentiellen Datenschutzprüfung gelassen entgehen sehen.

Sie sind nicht sicher, ob Sie alle geltenden Richtlinien korrekt umgesetzt haben? Das Bundeministerium für Wirtschaft und Energie stellt eine Checkliste bereit, anhand derer Sie die wichtigsten Punkte für Datenschutz im Unternehmen überprüfen können. Auch wenn die DSGVO schon vor knapp vier Jahren in Kraft getreten ist, lohnt es sich für Unternehmen, den Datenschutz regelmäßig auf den Prüfstand zu stellen. Das gilt auch für die DSGVO selbst – diese wird alle vier Jahre von der EU-Kommission evaluiert und ggf. an veränderte Umstände durch die fortschreitende Digitalisierung angepasst.

So unterstützten wir Sie

Wenn Sie es bis hierhin geschafft haben, bleibt uns nur noch ein Blick auf unsere eigenen Erfahrungen: Unser Tätigkeitsbereich beinhaltet den Zugriff auf die Datenbanken unserer Kunden. Das erfordert die Zusammenarbeit mit internen und externen Datenschutzspezialisten, die fortlaufend die Prozesse prüfen, Maßnahmen aktualisieren und unser Team sensibilisieren. Bewährt hat sich das enge Zusammenspiel mit unserer IT-Abteilung, die sowohl für die DPS BS als auch für unsere Kunden datenschutzfreundliche Anwendungen bereitstellen. Gemeinsam mit höchstmöglichen Sicherheitsmaßnahmen, die uns vor Cyberangriffen schützen, führt dies zu einer maximalen Sicherheit unserer und der uns anvertrauten Daten. Unser Know-how und die gesammelten Erfahrungswerte teilen wir gerne mit unseren Kunden und beraten Sie umfassend, wie Sie den Datenschutz im Unternehmen ganzheitlich umsetzen.

Haftungsausschluss: Für die vorliegenden Informationen übernehmen wir keine Haftung und erheben keinen Anspruch auf Vollständigkeit. Die Inhalte wurden nach bestem Wissen und Gewissen erstellt und ersetzen keine Rechtsberatung.