Für wen gilt die DSGVO?
Die Datenschutz-Grundverordnung gilt seit dem 25. Mai 2018. Sie betrifft nicht nur große Konzerne, sondern beispielsweise auch kleine Unternehmen, Selbstständige, Freiberufler, Vereine und Behörden, wenn sie personenbezogene Daten verarbeiten.
Im Unternehmensalltag passiert das schnell. KundInnen geben Dir Namen, Adressen oder Kontaktdaten. Mitarbeitende übermitteln persönliche Informationen für Arbeitsvertrag und Lohnabrechnung. InteressentInnen tragen ihre E-Mail-Adresse in ein Kontaktformular ein.
Damit ist Datenschutz für nahezu jedes Unternehmen ein Thema. Entscheidend ist, dass Du personenbezogene Daten geschützt und entsprechend den gesetzlichen Vorgaben verarbeitest.
Welche Regeln gelten für personenbezogene Daten?
Die DSGVO gibt grundlegende Prinzipien für den Umgang mit personenbezogenen Daten vor. Du solltest unter anderem:
- Daten für festgelegte Zwecke verarbeiten
- nur notwendige Daten erheben
- transparent über die Verarbeitung informieren
- Daten sachlich richtig und aktuell halten
- Daten nicht länger als erforderlich speichern
- geeignete technische und organisatorische Schutzmaßnahmen treffen
Diese Grundsätze begleiten den gesamten Umgang mit Daten – von der Erhebung bis zur Löschung. Ein einfaches Beispiel: Benötigst Du für eine Bestellung Name und Lieferadresse, darfst Du diese Informationen zur Abwicklung nutzen. Das bedeutet aber nicht automatisch, dass Du dieselben Daten auch für jeden anderen Zweck verwenden darfst.
Du solltest deshalb immer wissen, warum Du Daten verarbeitest.
Welche Rechte haben Betroffene?
Die DSGVO gibt Personen verschiedene Rechte gegenüber Unternehmen und Organisationen, die ihre Daten verarbeiten. Dazu gehören unter anderem Rechte auf:
- Auskunft
- Berichtigung
- Löschung
- Einschränkung der Verarbeitung
- Datenübertragbarkeit
- Widerspruch
Erhältst Du eine entsprechende Anfrage, solltest Du wissen, wo die betroffenen Informationen gespeichert sind und wie Du darauf zugreifen kannst. Gerade bei Daten, die über verschiedene Programme, E-Mail-Postfächer und lokale Dateien verteilt sind, kann das schwierig werden.
Klare Ablagen und Verantwortlichkeiten helfen Dir deshalb, Anfragen strukturiert zu bearbeiten. So weißt Du, welche Rechte Betroffene haben und wie Du damit in Deinem Unternehmen umgehst.
Wie setzt Du Datenschutz im Unternehmen um?
Datenschutz funktioniert im Alltag vor allem mit klaren Regeln. Du solltest wissen, welche personenbezogenen Informationen Dein Unternehmen verarbeitet, wo diese gespeichert werden und wer darauf zugreifen darf. Ein sinnvoller Ausgangspunkt ist deshalb eine Bestandsaufnahme Deiner Datenverarbeitung.
Prüfe beispielsweise: Welche Daten erhebst Du?
Für welchen Zweck brauchst Du sie?
Wo werden sie gespeichert?
Wer hat Zugriff darauf?
Wie lange werden sie benötigt?
Wann werden sie gelöscht? Auch ein Verzeichnis von Verarbeitungstätigkeiten, geregelte Zugriffsrechte, Schulungen und festgelegte Löschprozesse gehören zu den praktischen Maßnahmen. So kannst Du Datenschutz im Unternehmen umsetzt, ohne jeden Vorgang einzeln neu beurteilen zu müssen.
Wann brauchst Du eine Einwilligung?
Nicht jede Verarbeitung personenbezogener Daten benötigt automatisch eine Einwilligung. Die DSGVO kennt unterschiedliche Rechtsgrundlagen für die Verarbeitung. Eine Einwilligung kann beispielsweise bei bestimmten Werbemaßnahmen eine Rolle spielen. Die bestehende orgaMAX-Seite nennt hier Newsletter als typischen Anwendungsfall.
Wichtig ist, dass Du vor der Verarbeitung klärst, auf welcher Rechtsgrundlage sie erfolgt. Wenn eine Einwilligung erforderlich ist, muss sie die gesetzlichen Voraussetzungen erfüllen. Außerdem solltest Du nachvollziehbar dokumentieren können, dass sie erteilt wurde.
Datenschutz bedeutet deshalb nicht einfach, für alles eine Zustimmung einzuholen. Entscheidend ist die passende rechtliche Grundlage für den jeweiligen Zweck.
Was gilt bei externen Dienstleistern?
Viele Unternehmensdaten werden nicht ausschließlich auf eigenen Geräten verarbeitet. Vielleicht nutzt Du Cloud-Dienste, Newsletter-Tools oder andere externe Software. Verarbeitet ein Dienstleister personenbezogene Daten in Deinem Auftrag, können besondere Anforderungen an die Auftragsverarbeitung gelten. Dazu gehört insbesondere eine entsprechende vertragliche Vereinbarung.
Prüfe deshalb, welche externen Anbieter Zugriff auf personenbezogene Informationen erhalten und welche Rolle sie bei der Verarbeitung übernehmen. Gerade beim Einsatz von Cloud-Lösungen solltest Du Datenschutz nicht erst nach der Einführung betrachten. Ein Anbieter kann Dich bei der DSGVO-konformen Verarbeitung unterstützen. Die Verantwortung für den korrekten Einsatz im Unternehmen bleibt dadurch jedoch nicht automatisch beim Anbieter.
Welche Fehler solltest Du vermeiden?
Datenschutzprobleme entstehen häufig nicht durch komplizierte Sonderfälle, sondern durch fehlende oder unklare Prozesse. Die bestehende orgaMAX-Seite nennt beispielsweise:
- fehlende oder unklare Datenschutzerklärungen
- fehlende Einwilligungen bei bestimmten Werbemaßnahmen
- zu weit gefasste Zugriffsrechte
- veraltete oder fehlerhafte Daten
- fehlende Vereinbarungen zur Auftragsverarbeitung
Auch unkontrollierte Ablagen können zum Problem werden. Wenn sensible Informationen in unterschiedlichen Ordnern, Postfächern und Anwendungen liegen, wird die Verwaltung unnötig schwierig. Klare Zuständigkeiten und geregelte Datenprozesse helfen Dir, solche Fehler zu reduzieren.
Wie unterstützt Dich Software?
Geeignete Software kann Dir die Umsetzung verschiedener Datenschutzmaßnahmen erleichtern. Dazu gehören beispielsweise geregelte Zugriffsrechte und geschützte Dokumentenablagen. Auch orgaMAX Dokumente unterstützt Dich bei der digitalen Verwaltung Deiner Geschäftsunterlagen. Die bestehende Lexikonseite nennt unter anderem verschlüsselte Dokumentenspeicherung und revisionssichere Archivierung.
Software allein sorgt allerdings nicht dafür, dass Dein Unternehmen automatisch DSGVO-konform arbeitet. Du musst weiterhin festlegen, welche Informationen gespeichert werden, wer darauf zugreifen darf und wann Daten gelöscht werden müssen. Damit kann Software Dir Arbeit abnehmen. Datenschutz bleibt aber ein Prozess, den Du im Unternehmen organisieren musst.
Fazit: Datenschutz mit klaren Prozessen beherrschbar machen
Die DSGVO gibt Regeln für den Umgang mit personenbezogenen Daten vor. Für Dich bedeutet das vor allem, Datenverarbeitung bewusst zu organisieren und Verantwortlichkeiten festzulegen. Wenn Du weißt, welche Daten Dein Unternehmen verarbeitet, warum Du sie benötigst und wer darauf zugreifen darf, wird die Umsetzung übersichtlicher.
So kannst Du gesetzliche Anforderungen besser berücksichtigen und gleichzeitig einen verantwortungsvollen Umgang mit den Informationen Deiner KundInnen, Mitarbeitenden und Geschäftspartner schaffen.
