DSGVO_SFH_2018

Juni 2018 DSGVO | DOSSIER | 5
ist nahezu in jedem Unternehmen der Fall. Denn
mit den Datenschutzgesetzen wird nicht nur die
Verarbeitung von Kundendaten, etwa im Online-
Vertrieb und für Marketing-Zwecke, erfasst.
Vielmehr fallen hierunter zum Beispiel auch die
Verarbeitung derjenigen Daten natürlicher
Personen, die im Rahmen der Zusammenarbeit
zwischen Unternehmen, etwa innerhalb eines
Vertriebssystems, für das jeweilige Unternehmen
tätig werden, sowie die Verarbeitung der Daten der
eigenen Beschäftigten.
Eine Umsetzung der geltenden datenschutzrechtlichen
Vorgaben ist daher zwingend, um den
scharfen Sanktionsmöglichkeiten der Aufsichtsbehörden
aus dem Weg zu gehen. Nachfolgend
werden ausgewählte Änderungen und Problemfelder
des neuen Datenschutzrechts in einem
kurzen Überblick vorgestellt.
Wie teuer wird es? Haftung und
Sanktionen nach der DSGVO.
Das Wichtigste vorab: Die möglichen Sanktionen
werden deutlich verschärft. Die DSGVO wird den
Datenschutz-Aufsichtsbehörden in Zukunft die
Möglichkeit geben, Bußgelder in empfindlichen
Höhen zu verhängen. Das bislang geltende BDSG
ließ Bußgelder bis zu einer Höhe von 300.000 Euro
zu. Die DSGVO hingegen gibt den Datenschutz-
Aufsichtsbehörden das nötige Werkzeug an die
Hand, um bei Verstößen Strafzahlungen in einer
Höhe von bis zu 20 Millionen Euro zu verhängen.
Alternativ zu diesem Betrag kann die Behörde
auch ein Bußgeld in Höhe von bis zu 4 Prozent des
gesamten weltweit erzielten Jahresumsatzes des
Unternehmens, gemessen an dem vorherigen
Geschäftsjahr, verhängen. Je nachdem, welcher
Betrag höher ist. Aus dieser Änderung lässt sich
der Stellenwert der Daten und des Datenschutzes
im 21. Jahrhundert sowie die Ernsthaftigkeit der
Umsetzung der DSGVO ablesen.
Wer ist betroffen?
Die DSGVO verfolgt das Ziel, die Daten von natürlichen
Personen zu schützen und vor ungewollter
oder unrechtmäßiger Verarbeitung zu bewahren.
Das Begriffspaar „personenbezogene Daten“
bleibt auch unter der DSGVO so weitreichend, wie
bereits aus dem deutschen BDSG bekannt. Kurz
gesagt, unterfallen alle Informationen dem Schutz
der DSGVO, die sich auf eine identifizierte oder
identifizierbare natürliche Person beziehen. Daten
über juristische Personen fallen demnach weiterhin
nicht in diesen Schutzbereich.
Neue und verschärfte Pflichten für
das Unternehmen: Rechenschaft,
Dokumentation und Folgenabschätzung
Die Regelungen der DSGVO hat jedes Unternehmen
(auch: „Verantwortlicher“) zu beachten, das Daten
in einer Niederlassung innerhalb der EU verarbeitet
sowie jedes Unternehmen, das zwar über keine
Niederlassung in der Union verfügt, jedoch Waren
und Dienstleistungen in der EU anbietet oder
personenbezogene Daten von natürlichen Personen,
die sich im Gebiet der EU befinden, verarbeitet.
Das bereits bekannte Sitzland-Prinzip wird durch
die DSGVO also auch um das sog. Marktortprinzip
erweitert, sodass die Regelungen der DSGVO
ebenfalls bei der Datenverarbeitung durch außereuropäische
Anbieter greifen.
Unternehmen sind dazu verpflichtet, die Grundsätze
der Datenverarbeitung nach der DSGVO
einzuhalten. Dazu zählen insbesondere die bereits
nach dem BDSG bekannten Grundsätze der Rechtmäßigkeit,
Transparenz und Zweckbindung der
Datenverarbeitung. Neu ist hingegen, dass den
Verantwortlichen hinsichtlich der Einhaltung
dieser Grundsätze eine Rechenschaftspflicht
(„Accountability“, Art. 5 Abs. 2 DSGVO) trifft, er also
die Einhaltung der Grundsätze der DSGVO nachweisen
können muss.Kann er dies nicht, drohen
Sanktionen nach dem oben dargelegten Maßstab.
Zudem ist der Verantwortliche dazu verpflichtet,
geeignete technische und organisatorische Maßnahmen
zu ergreifen, um sicherzustellen und den
Nachweis dafür erbringen zu können, dass die
Datenverarbeitung in seinem Unternehmen nach
Maßgabe der DSGVO erfolgt. Der Nachweis einer
ordnungsgemäßen Datenverarbeitung kann dem
Unternehmen im Falle einer vermeintlichen
Datenverletzung auch zur Exkulpation (d.h. Schuldbefreiung
einer Person) dienen, wenn dadurch
nachgewiesen werden kann, dass die Datenverarbeitung
im Einklang mit der DSGVO erfolgte.
Jedes datenverarbeitende Unternehmen wird durch
die DSGVO dazu verpflichtet, ein Verzeichnis über
die Verarbeitung personenbezogener Daten („Verarbeitungsverzeichnis“,
Art. 30 DSGVO) zu führen.
Mit einem ordentlich geführten und umfassenden
Verarbeitungsverzeichnis kann zudem bereits ein
Großteil der oben benannten Rechenschaftspflichten
erfüllt werden. Zwar suggeriert die DSGVO,
dass die Pflicht zur Führung eines Verarbeitungsverzeichnisses
nur für Unternehmen mit mehr
als 250 Mitarbeitern gelte. Allerdings wird diese
Ausnahme zugunsten kleinerer Unternehmen nur
in den wenigsten Fällen tatsächlich greifen, >>>