Datenschutz – ganz einfach aus einer Hand

Alle. Das Thema Datenschutz betrifft sämtliche Institutionen, die personenbezogene Daten (z.B. Name, Alter, E-Mail, Steuernummer, uvm.) im Anwendungsbereich des europäischen Rechts verarbeiten. Hierunter fallen z.B. auch ehrenamtliche Vereine, die eine Liste mit Kontaktdaten der Vereinsmitglieder speichern und an andere Mitglieder per E-Mail übermitteln.

Sie als Unternehmer. Wir als externe Datenschutzbeauftragte können Ihnen nur Maßnahmen empfehlen, die Verantwortung für die Umsetzung liegt bei Ihnen. Natürlich stehen wir Ihnen in der Umsetzungsphase mit Rat und Tat zur Seite!

Ja. Erlangt eine Aufsichtsbehörde durch eine Beschwerde oder durch eine öffentlich bekannt gewordenen Verletzung Kenntnis von einem Verstoß gegen das Datenschutzrecht, wird sie der Beschwerde durch eine Kontrolle nachgehen.

Kontrollen werden überdies stichprobenartig durchgeführt. Für gewöhnlich erfolgen Kontrollen mittels Fragebögen, in denen wahrheitsgemäß Auskunft erteilt werden muss. Aber auch Vor-Ort-Kontrollen sind möglich.

Mit unserer Expertise sind wir in der Lage, mögliche Sicherheitslücken beim Datenschutz aufzudecken. Natürlich zeigen wir Ihnen auch, wie Sie diese Lücken schnell und sicher schließen können.

Nein, und zwar aus vielerlei Hinsicht!

Das Datenschutzrecht erlegt dem für die Datenverarbeitung Verantwortlichen eine Vielzahl von Pflichten auf. Eine rechtmäßige Datenverarbeitung ist nur eine davon.

Eine rechtmäßige Datenverarbeitung kann zwar auf Grundlage einer rechtmäßigen Einwilligung erfolgen – die Voraussetzungen an eine rechtmäßige Einwilligung sind jedoch streng. Außerdem kann es Sinn machen, sich auf eine andere Rechtsgrundlage zu berufen, da eine Einwilligung jederzeit frei widerruflich ist.

Erlangt eine Aufsichtsbehörde durch eine Beschwerde oder Kontrolle Kenntnis von einem Verstoß gegen das Datenschutzrecht, kann sie den Verantwortlichen verwarnen oder Anweisungen, Anordnungen oder Verarbeitungsverbote aussprechen.

Zusätzlich kann sie Geldbußen von bis zu 20 Millionen € oder 4 Prozent des weltweiten Jahresumsatzes verhängen. Dem Gebot der Wirksamkeit, aber auch der Verhältnismäßigkeit, ist hierbei in jedem Einzelfall Rechnung zu tragen.

Neben einer Beschwerde bei der zuständigen Aufsichtsbehörde können betroffene Personen zudem Klagen vor den zuständigen Gerichten erheben, wenn sie der Ansicht sind, dass ihre Rechte durch die Verarbeitung ihrer personenbezogenen Daten verletzt wurden.

Entsteht einer Person wegen eines Verstoßes gegen die Datenschutz-Grundverordnung ein materieller oder immaterieller Schaden, hat sie zudem Anspruch auf Schadensersatz.

§ 42 BDSG sieht überdies Straftatbestände für das unbefugte Verarbeiten nicht allgemein zugänglicher Daten vor.

Es kommt drauf an!

Die DSGVO bemisst die Pflicht zur Benennung an Kriterien zur Art der personenbezogenen Daten und dem Umfang der Datenverarbeitung. Hier ist der jeweilige Einzelfall zu betrachten.

Wer mehr als zehn Mitarbeiter, die personenbezogene Daten verarbeiten, beschäftigt, braucht in der Regel einen Datenschutzbeauftragten. Achtung! Auch Teilzeitkräfte, Praktikanten, etc. sind regelmäßig zum Mitarbeiterstamm im Sinne des Datenschutzrechts zu zählen.

In der Regel alle, in denen personenbezogene Daten (hierzu können Kundendaten, Beschäftigtendaten, Vertragspartner, uvm. zählen) verarbeitet werden, z.B. Marketing & Vertrieb, Lohnbuchhaltung, usw.

Auch nachdem sämtliche Unternehmensbereiche datenschutzrechtlich organisiert sind, können bei der Neueinführung von Prozessen, einzelnen Projekten & Aktionen, etc. weitere datenschutzrechtliche Maßnahmen erforderlich sein!

Hierfür gibt es mindestens 3 gute Gründe:

1. Der gesetzliche Kündigungsschutz des internen betrieblichen Datenschutzbeauftragten – eine Kündigung ist für die gesamte Dauer der Bestellung und nach Abberufung ein Jahr lang nur aus wichtigem Grund möglich!
2. Die Freistellungs- u. Kostenübernahmepflicht des Unternehmens für Fortbildungsveranstaltungen des betrieblichen Datenschutzbeauftragten.
3. Die Schwierigkeit, im Unternehmen einen fachlich geeigneten Mitarbeiter mit der nötigen Beratungsqualität zu finden, dessen Interessen als Mitarbeiter nicht mit dem Datenschutz kollidieren (z.B. Leiter IT, Geschäftsführer, …).

Sehr. Alle Mitarbeiter, die an Verarbeitungen von personenbezogenen Daten beteiligt sind, sollten geschult werden!

Im Unternehmen sollte es ein Problembewusstsein der Mitarbeiter für datenschutzrelevante Fragestellungen geben. Sensibilisierung und Schulung von Mitarbeitern sollte als fester Bestandteil des Datenschutzmanagements im Unternehmen sein. Indem innerhalb des Unternehmens ein Bewusstsein für datenschutzrechtliche Probleme geschaffen und Mitarbeiter zu datenschutzkonformen Verhalten befähigt werden, können von Mitarbeitern ausgehende datenschutzrechtliche Risiken eingedämmt werden.

Es kommt drauf an!

Artikel 5 Abs. 1 lit. e DSGVO beinhaltet den Grundsatz der „Speicherbegrenzung“. Betroffenendaten sollen demnach nur so lange verarbeitet bzw. gespeichert werden, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist.

Danach sind personenbezogene Daten zu löschen.

Andererseits enthalten andere Gesetze spezielle Aufbewahrungsfristen (z.B. § 147 Abgabenordnung; § 257 Handelsgesetzbuch, …). Die Löschung von Daten „aus Datenschutzgründen“ sollte keine gesetzlichen Aufbewahrungsfristen verletzten!