Die Wirtschaft Köln - Ausgabe 02 / 2018

| DSGVO
Am 25. Mai tritt die neue, EU-weit geltende Datenschutz-Grundverordnung
in Kraft.
Wir haben wichtige Fakten zusammengetragen, sprechen mit Experten und haben
eine Checkliste erarbeitet, mit deren Hilfe man sein Unternehmen fit macht.
Wer sich als Unternehmer mit der neuen
EU-DSGVO bisher nur am Rande beschäftigt
hat, sollte jetzt die Beine in die Hand
nehmen. Denn wer die Anforderungen an
die Verordnungen, deren Vorläufer aus
dem Jahre 1995 datieren, nicht erfüllt,
kann mit Bußgeldern belegt werden. Und
das nicht zu knapp – bis zu 20 Millionen
Euro kann es kosten.
KEINE
ANGST
VOR DER
DSGVO
Zentrales Element der DSGVO ist die Speicherung
personenbezogener Daten. Nehmen
wir als Beispiel ein mittelständisches
Handelshaus. Alle Abteilungen sind mit
PC-Arbeitsplätzen ausgestattet. Der Vertrieb
hat in erster Linie die Kundendaten im
Blick. Firma, Name, Anschrift, Fon und Fax,
Webadresse und E-Mail-Account – und nicht
zuletzt die Daten der Bankverbindung.
Der Einkauf hat in gleicher Weise die Lieferantendaten
stets abrufbar. In der Buchhaltung
laufen beide Datensätze auf, ebenso
wie in Lager und Versand. Dann gibt es
noch die Personalabteilung, die E-Mails
von Bewerbern aus den letzten zwei Jahren
abgespeichert hat. Dazu kommen Daten
aus der Marketingabteilung und nicht zuletzt
solche, die aus den sozialen Netzwerken
generiert werden.
Jetzt auf
die neue
DSGVO
vorbereiten
Foto: Maksim Kabakou - Fotolia.com
Das heißt, personenbezogene Daten sind
in einem Unternehmen an mehreren Stellen
hinterlegt. Verlangt ein Kunde die vollständige
Löschung seiner Daten, was sein
Recht ist und zeitnah erfolgen muss, stellen
sich folgende Fragen: Wie ist sichergestellt,
dass wirklich alle seine Daten komplett
und unwiderruflich gelöscht werden?
Wo und wie könnten Kundendaten hinterlegt
sein? Wer hat Zugriff auf diese Daten?
Anhand einer Checkliste können sich Unternehmen,
die sich bisher noch nicht ausreichend
um die neuen, EU-weit gültigen
Richtlinien zum Datenschutz gekümmert
haben, auf die neuen Vorgaben einstellen.
Datenschutzbeauftragten
benennen
Dazu ist eigentlich jedes Unternehmen
verpflichtet, das automatisierte personenbezogene
Daten verarbeitet. Eine Ausnahme
existiert für Unternehmen mit neun
oder weniger Mitarbeitern. Hier entfällt
die Pflicht. Allerdings sind auch freie Mitarbeiter
und Teilzeitbeschäftigte zu berücksichtigen,
wenn sie auch nur teilweise
Zugang zu sensiblen Daten haben. Muss
allerdings kein Datenschutzbeauftragter
gestellt werden, kann zum Beispiel der Geschäftsführer
diese Rolle übernehmen. Ist
ein Datenschutzbeauftragter zu stellen,
kann dies ein externer Experte sein. Sollte
die Aufgabe allerdings von einer internen
Kraft übernommen werden, ist sicherzustellen,
dass diese ihre Fachkunde durch
regelmäßige Schulungen auf dem Stand
der Dinge hält.
Datenerfassung
In der Datenerfassungsphase müssen Unternehmen
ihren Kunden mitteilen, wozu
sie diese Daten verwenden. Viel wichtiger
noch: Sie benötigen eine klare Einwilligung,
dass sie Daten erfassen und verarbeiten.
Außerdem muss auf das Recht des jederzeitigen
Widerrufs hingewiesen werden.
Liste von Verarbeitungstätigkeiten
Das klingt nun viel spektakulärer, als es
sich in der Wirklichkeit darstellt. In einem
solchen Verzeichnis muss lediglich gelistet
werden, welche Daten wann wie und
warum im Unternehmen erhoben werden.
Michael Neuber, Justiziar beim Bundesverband
Digitale Wirtschaft (BVDW), meint:
„So eine Tabelle reicht den Datenschutzbehörden
meistens schon.“ Denn diese hätten
in der Anfangsphase auch gar nicht die
Kapazitäten, jeden Betrieb en Detail unter
die Lupe zu nehmen.
6 www.diewirtschaft-koeln.de