Die betriebliche Umsetzung der EU - Datenschutzgrundverordnung

21/06/2017

Wir haben weniger als ein Jahr Zeit, bis die Datenschutzgrundverordnung (DS-GVO) ab dem 25. Mai 2018 in Ihrem Unternehmen angewendet werden muss.

Die Aufsichtsbehörden haben dieses Datum im Blick! Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat bereits an 150 bayrische Unternehmen Prüffragebögen verschickt. Die Fragen zielen auf die konkrete Umsetzung von Maßnahmen, die aufgrund der gesetzlichen Änderungen nach der DS-GVO erfolgen müssen.

Alle Unternehmen sollten die knapp werdende Zeit aktiv nutzen. Doch gerade für kleinere Unternehmen stellen sich die Fragen: Was ist konkret zu ändern? Wie organisiere ich die Umsetzung im Unternehmen?

Besonders schwierig wird es für Betriebe, die keinen Datenschutzbeauftragten aufgrund ihrer Betriebsgröße bestellt haben. Kaum eine Geschäftsleitung hat die Zeit, sich in die komplexe Materie des neuen Datenschutzrechts einzuarbeiten. In der Regel haben Unternehmen dieser Größe auch keine juristische Abteilung die sich um die Datenschutz-Compliance kümmert. Anderseits erhöhen sich das Haftungsrisiko und die Gefahr von existenzbedrohenden Bußgeldern enorm.

Eine Geschäftsleitung, die das Thema Datenschutz ignoriert, handelt grob fahrlässig. Daher ist gerade für kleinere Unternehmen ggf. sinnvoll, freiwillig einen Datenschutzbeauftragten zu bestellen oder durch Unternehmensberatung die notwendige Fachkunde einzukaufen.

Was sollten die ersten Schritte sein?

1. Datenschutz ist Chefsache! Die Geschäftsleitung ist für alle im Datenschutzrecht geforderten Maßnahmen verantwortlich. Sie hat für die Schulung der Mitarbeiter zu sorgen, ein Bewusstsein für Datenschutzrisiken zu schaffen und ein funktionierendes Datenschutzkonzept zu implementieren.
    
2. Das bisherige Verfahrensverzeichnis muss entsprechend dem in Art 30 DS-GVO beschriebenen Verzeichnis der Verarbeitungstätigkeiten verändert werden.
   Es sind besonders die technischen und organisatorischen Maßnahmen anzupassen. In Art.32 Abs. 1 lit. a) und b) DS-GVO werden Pseudonymisierung und Verschlüsselung personenbezogener Daten, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme gefordert.
   Die technischen und organisatorischen Maßnahmen sollen auf der Grundlage einer Risikobewertung bestimmt und gestaltet werden.
   Für jede Verarbeitung müssen Angaben gemacht werden, mit der die Rechtmäßigkeit bezogen auf Zweck, Kategorien personenbezogener Daten, Empfänger und Löschfristen nachgewiesen werden.
    
3. Die Vorabkontrolle aus dem Bundesdatenschutzgesetz (BDSG) wird gemäß der DS-GVO durch eine Datenschutz-Folgenabschätzung ersetzt. Hier ist zu prüfen, für welche Verfahren im Unternehmen diese Verpflichtung besteht.
    
4. Die Verträge zur Auftragsdatenverarbeitung sind zu überprüfen, ob sie den Kriterien des Art. 28 DS-GVO entsprechen.
    
5. Es müssen die Formulare für datenschutzrechtliche Informationen und Einwilligungen der Betroffenen angepasst werden.
    
6. Es ist ein neues Verfahren einzurichten, mit der die Auskunftspflicht nach Art.15 und Art. 12 Abs.1 DS-GVO vollständig und zeitnah zu erfüllen ist.
    
7. Aufgrund der Bestimmungen in Art.24 Abs.1 und Art. 32 Abs. 1 lit. d) DS-GVO ist ein Datenschutz-Managementsystem einzuführen. Mit diesem System überprüfen sie regelmäßig die Rechtmäßigkeit und die Wirksamkeit der eingesetzten Schutzmaßnahmen. Aufgrund dieser Überprüfung erfolgt eine Anpassung und Verbesserung des Datenschutzes.

Diese Aufzählung enthält nur die dringendsten Aufgaben. Es werden in jedem Unternehmen noch weitere Umsetzungen erfolgen müssen. Bei der Fülle der Aufgaben sollte jede Geschäftsleitung die Umsetzung der Datenschutzgrundverordnung jetzt in Angriff nehmen, denn die Zeit bis zum 25.Mai 2018 ist knapp.

Für Unternehmen, die das Bundesdatenschutzgesetz noch nicht angewendet haben, ist es höchste Zeit, die innerbetrieblichen Prozesse zu analysieren und die Anforderungen des gesetzlichen Datenschutzes umzusetzen.

Für diese Herausforderungen stehe ich Ihnen als externer Datenschutzbeauftragter oder beratend zur Verfügung.

Alle Artikel anzeigen