Datenschutz-Compliance: Sind Sie bereit?

Am 25. Mai 2018 tritt die europäische Datenschutz-Grundverordnung (DSGVO) in Kraft. Eine der größten Herausforderungen, vor denen Unternehmen europaweit damit aktuell stehen, ist die Umsetzung der Datenschutz-Compliance. Bis Mai müssen sie ihre Organisation auf die neuen Datenschutzanforderungen umgestellt haben. Ansonsten drohen Strafen bis zu vier Prozent des Umsatzes, alternativ maximal 20 Millionen Euro.

Datenschutz-Compliance: Ein Konflikt?

Zur Herausforderung kann dabei schon der potenzielle Konflikt zwischen Datenschutz und Compliance an sich werden: Obwohl die Einhaltung des Datenschutzes wichtiger Bestandteil der Rechtskonformität ist, stellt sie zugleich ein Problem dar. Denn die Kontrollfunktion der Compliance kann selbst zum Verstoß gegen den Datenschutz werden. Die DSGVO setzt dort allerdings Prioritäten, indem sie Verstöße gegen den Datenschutz mit erheblichen Bußgeldern ahndet. Diese Diskrepanz zu beseitigen zählt im Rahmen der Compliance damit zu den wichtigen Aufgaben bei der Umsetzung der DSGVO.

Besonderer Schutz personenbezogener Daten

Laut DSGVO müssen im Rahmen der Datenschutz-Compliance personenbezogene Daten im Unternehmen besonders geschützt werden. Wer mit den Informationen über Geschäftspartner wie Lieferanten, Käufer oder Mitarbeiter umgeht, hat sich sowohl an die europäischen als auch an nationale Gesetze zu halten. So schreibt die DSGVO vor, dass Personen das Recht haben, ihre persönlichen Daten, die in einem Unternehmen erhoben werden, zu erfahren und diese gegebenenfalls korrigieren oder sogar löschen zu lassen. Dazu ist es zwingend erforderlich, dass Unternehmen die Daten so vorhalten, dass sie sie jederzeit und schnell zur Verfügung stellen können. Die Verwendung falscher Daten hat zugleich nicht nur Relevanz für den Datenschutz, sondern auch für die Compliance des Unternehmens insgesamt.

Die Geschäftsleitung muss deshalb mit technischen und organisatorischen Maßnahmen nachweisen, dass in ihrem Unternehmen eine DSVGO-konforme Datenverarbeitung gewährleistet ist. Vorgeschrieben ist überdies deren regelmäßige Überprüfung. Im Rahmen der Datenschutz-Compliance sollten Unternehmen ihre Mitarbeiter im Umgang mit persönlichen Daten auf jeden Fall umfassend schulen, um den Anforderungen zu genügen.

Weitere Anforderungen der DSGVO

Was sieht die Datenschutzgrundverordnung noch vor? Unter anderem dieses:

• Mit der DSGVO gibt es zum ersten Mal eine europaweit gültige Pflicht, unter bestimmten Voraussetzungen einen betrieblichen Datenschutzbeauftragten zu bestellen (Art. 37 DSGVO). Kommen Unternehmen dieser Pflicht nicht nach, begehen sie eine Ordnungswidrigkeit, die mit einem Bußgeld von bis zu 50.000 € belegt werden kann.
• Die DSGVO stellt neue Regeln für die Benachrichtigung von Behörden und Personen bei einer Datenschutzverletzung auf. (Art. 33 und 34 DSGVO)
• Personen müssen der Erhebung ihrer Daten für einen bestimmten Zweck ausdrücklich zugestimmt haben. Der Zweck (oder auch mehrere) der Datenverarbeitung muss konkret benannt werden.
• Prinzip der Datensparsamkeit: Es dürfen nur Daten für definierte, klare und gesetzlich zulässige Zwecke erhoben werden.
• Sensible Daten dürfen nur mit der ausdrücklichen Einwilligung der Person erhoben werden. Ansonsten ist „die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person untersagt.“ (Art. 9 DSGVO)
• „Die betroffene Person hat das Recht, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.“ (Art. 20 DSGVO)
• Neu ist auch das „Recht auf Vergessenwerden“ bzw. auf Löschung: Art. 17 DSGVO beschreibt das Recht auf Datenlöschung unter bestimmten Voraussetzungen, zum Beispiel wenn die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr nötig sind.

Da die Vorschriften der DSGVO bereits in zwei Monaten in Kraft treten, wird es höchste Zeit, sich mit der Datenschutz-Compliance auseinandersetzen. Benötigen Sie Unterstützung, stehen wir für die Beratung zur Verfügung.