Datenschutz - Wahrheit oder Pflicht?
Die DSGVO hat alle in Angst uns Schrecken versetzt. Wir haben wochenlang fast nichts anderes getan als zu informieren, Halbwahrheiten zu relativieren und selbst ein Datenschutz Management System einzuführen. Nun ist die Übergangsfrist zuende, die ersten Abmahnungen sind unterwegs und dennoch dreht sich die Welt weiter.
In den vergangenen drei Monaten haben wir 2000 E-Mails zum Stichwort Datenschutz verarbeitet. Das Hauptproblem sind die unklaren und darum weitreichenden Pflichten die sich aus der DSGVO für Unternehmen ergeben und keiner so recht weiß was nun konkret zu tun ist. Daraus resultieren alle möglichen Theorien und Halbweißheiten. Selbst die Branchenverbände und Kammern wissen dazu nur wage Vermutungen anzustellen. Unterstrichen wird das alles von der Tatsache, dass etliche Entscheidungen erst noch ausstehen, welche dann richtungsweisend für den Datenschutz und die Prozesse der Unternehmen sein werden.
Die Plage mit den Abmahnungen
Leider erlaubt das deutsche Recht unter bestimmten Voraussetzungen Unternehmen anwaltlich abzumahnen, wenn diese nicht alle erforderlichen Informationspflichten erfüllt haben. Man muss dazu erkennen, dass es an dieser Stelle nicht um die Betroffenen (als die Kunden) selbst geht, die in irgendeiner Form geschädigt worden wären. Es handelt sich bei den Abmahnungen um eine lästige Begleiterscheinung, bei der auch noch nicht zu 100% sichergerstellt ist, ob diese überhaupt vor Gericht stand halten. Darum bitte keine unbedachten Reaktionen auf etwaige Anschreiben. Besprechen Sie Anfragen von Anwälten, Behörden und Betroffenen immer zuerst mit dem Datenschutzbeauftragten oder Datenschutzverantwortlichen, ggf. auch mit einem Anwalt für IT-Recht oder Wettbewerbsrecht.
Die ersten Meldungen zu Abmahnungen sind bei Heise zusammengetragen: https://www.heise.de/amp/meldung/DSGVO-Die-Abmahn-Maschinerie-ist-angelaufen-4061044.html?xing_share=news
Nun zu den eigenen Pflichten
Natürlich handelt es sich bei der DSGVO nicht um einen zahnlosen Tiger, wie das vom deutschen Bundesdatenschutzgesetz oft behauptet wird. Es sei aber an der Zeit, die Panik abzubauen, sagte der hessische Datenschutzbeauftragte Michael Ronellenfitsch. "Wir haben Zähne bekommen, sind aber nicht bissig geworden."
Darum möchte ich die wichtigsten Punkte zum Datenschutz nun kurz zusammenfassen:
- Weiterhin gilt es die Webseite im Auge zu behalten, wie sich die Gesetzgebung zum Umgang mit Google, facebook und Co. verändern wird - und sie wird sich verändern.
- Im Unternehmen muss eine Bestandsaufnahme zu den Prozessen und Verarbeitungen durchgeführt werden, an welchen Stellen mit welcher Software oder welchen Lieferanten, personenbezogene Daten verarbeitet werden.
- Dabei müssen zuerst die öffentlich sichtbaren und kritischen Verarbeitungen beleuchtet und sichergestellt werden. Möglicherweise müssen Betroffene informiert oder sogar der Prozess angepasst werden. Ich denke dabei vor allem an die Verarbeitungen die Betroffenen offensichtlich sind (Videoüberwachung, Bestellformulare, sensible Mitarbeiterdaten usw.)
- Dann ist zu prüfen, für welche Verarbeitungstätigkeiten ein besonderer Schutzbedarf erforderlich ist. Dazu wurde erst vor wenigen Tagen ein Papier veröffentlicht, dass solche Verarbeitungen für Baden-Württemberg beschreibt: https://www.baden-wuerttemberg.datenschutz.de/wp-content/uploads/2018/05/Liste-von-Verarbeitungsvorg%C3%A4ngen-nach-Art.-35-Abs.-4-DS-GVO-LfDI-BW.pdf
- Nach der Bestandsaufnahme müssen die erforderlichen Maßnahmen definiert und die Aufgaben verteilt und kontrolliert werden.
-
Beim Datenschutz handelt es sich nicht um ein Produkt das gekauft werden kann - es ist ein Prozess und ein Umdenken bei allen Beschäftigten erforderlich.
Vorlagen und bestehendes Wissen nutzen!
Grundsätzlich geht es vor allem um personenbezogene Daten (pbD) die elektronisch verarbeitet, übertragen und gespeichert werden (in sogenannten Verfahren). Da wir in der Vergangenheit einen Großteil der dazu benötigten Systeme geliefert und betreut haben, können wir viele Fragen zum Datenschutz schon heute positiv beantworten.
Aus diesem Grund haben wir in den letzten Wochen Mitarbeiter ausgebildet und ein Datenschutz-Konzept ausgearbeitet, mit dem wir unsere Kunden ideal auf die DSGVO vorbereiten können. Dieses ergänzt die bisherige IT-Dokumentation um ein Datenschutz-Portal. Es beinhaltet Vorlagen zu Standardverfahren und Mustertexten und liefert Erkenntnisse darüber, an welchen Stellen nachgebessert werden muss. Mithilfe dieser Werkzeuge bekommt der interne Verantwortliche für Datenschutz oder ein externer Datenschutzbeauftragter einen schnellen Überblick - und das Leben kann weitergehen.
Unser Datenschutz-Konzept begleitet damit folgende Schritte:
- Grundkonfiguration des Datenschutz-Portals im Web
- Prüfung der Internetseiten auf Einhaltung der Richtlinien
- Bestandsaufnahme zu Verfahren, Maßnahmen und IT-Systemen
- Zuordnung an Verantwortliche und ggf. den Datenschutzbeauftragten
- und letztlich die Überwachung und regelmäßige Kontrolle der Maßnahmen
Online Vertrag zur Auftragsverarbeitung
Da wir in vielen Fällen beim IT-Support und während der Umsetzung von IT-Projekten mit personenbezogenen Daten vom Auftraggeber in Berührung kommen, sind wir nach DSGVO so genannter „Auftragsverarbeiter“. Unsere Auftraggeber müssen nun sicherstellen, dass die Daten bei uns in sicheren Händen sind und einen Vertrag abschließen der den Rahmen dazu festlegt. Wir haben darum eine Möglichkeit eingerichtet, schnell und unkompliziert einen entsprechenden Vertrag mit uns abzuschließen. Auf Anfrage senden wir Ihnen den Link zum Vertrag gerne zu.
Sicherheit by Design
Wir leben die Datensicherheit natürlich schon lange, da dies unsere Existenzgrundlage als IT-Dienstleister darstellt. Wir stehen für Datenschutz und Transparenz und tun alles dafür, dass Daten bei uns in sicheren Händen sind. Um hautnah zu erleben was das bedeutet planen wir Informationsveranstaltung, bei der wir das Thema Datenschutz beleuchten, das eSZet Datenschutz-Konzept im Detail vorstellen und unsere Maßnahmen zum Schutz der Daten erläutern. Wir haben hier drei kurze Fragen zusammengestellt, die uns erleichtern den passenden Rahmen zu planen: