Blog
Datenschutz - Die 9 wichtigsten Punkte für Geschäftsführer | Teil 2
Im zweiten Teil unseres Beitrags zu den wichtigsten Themen im Datenschutz für Unternehmen sehen wir uns die Bereiche Datenschutzerklärungen, Einwilligungen, Auftragsverarbeitung, Datenschutzfolgenabschätzung und das Verzeichnis von Verarbeitungstätigkeiten genauer an.
Zu jedem dieser hochkomplexen Themengebiete geben wir eine kurze, übersichtliche und verständliche Einführung!
5. Datenschutzerklärungen
Jedes Unternehmen, das personenbezogene Daten verarbeitet, muss verschiedene Datenschutzerklärungen vorhalten und an die von der Datenverarbeitung betroffenen Personen aushändigen bzw. ihnen zugänglich machen.
Wer also einen Mitarbeiter oder einen Privatkunden oder eine Website hat, muss entsprechende Datenschutzerklärungen vorhalten.
In der Datenschutzerklärung wird erläutert, welche Daten wie und zu welchem Zweck verarbeitet werden. Außerdem wird dargelegt, welche Schutzmaßnahmen das Unternehmen trifft, um die Rechte der betroffenen Person nach der DSGVO zu wahren.
Wichtig zu wissen ist, dass die Datenschutzerklärung lediglich der Information dient und keine rechtliche Grundlage oder Erlaubnis bildet, Daten überhaupt verarbeiten zu dürfen. Insoweit ist die Datenschutzerklärung von der „datenschutzrechtlichen Einwilligung“ zu unterscheiden (sieht Punkt 6)!
Vorsicht ist bei Vorlagen aus dem Internet und generierten Datenschutzerklärungen geboten. Diese sind oft sehr allgemein, unvollständig oder fehlerhaft. Insbesondere auf der Hompage ist auf Vollständigkeit und Korrektheit der Datenschutzerklärung (und des Cookiebanners) zu achten, da diese sowohl von der Aufsichtsbehörde als auch von Konkurrenzunternehmen eingesehen und entsprechend abgemahnt werden kann.
6. Einwilligung- Welche personenbezogenen Daten darf ich überhaupt verarbeiten?
Als Geschäftsführer sollten Sie sich immer fragen, welche personenbezogenen Daten auf welcher Grundlage im Unternehmen verarbeitet werden. Die DSGVO sieht insoweit ein „Verbot mit Erlaubnisvorbehalt“ vor, d.h. die Datenverarbeitung ist nur unter den in Art. 6 I DSGVO festgelegten Bedingungen erlaubt.
Schließen Sie z.B. mit einem Kunden einen Vertrag über die Lieferung einer Ware, brauchen Sie naturgemäß dessen Adresse, um den Vertrag erfüllen zu können. Die Verarbeitung des Namens und der Adresse des Kunden ist also nach Absatz 1 b DSGVO erlaubt!
Nicht erlaubt ist jedoch das Zuschicken von Werbung, es sei denn, der Kunde hat zuvor diesbezüglich eingewilligt. Gleiches gilt für Mitarbeiter. Sie benötigen dessen Kontonummer, um das Gehalt zu überweisen und den Arbeitsvertrag erfüllen zu können. Wollen Sie jedoch ein Bild des Mitarbeiters auf der Unternehmenshomepage veröffentlichen, brauchen Sie die Einwilligung des Mitarbeiters.
Dabei sind die Vorgaben der DSGVO an eine wirksame Einwilligung zu beachten. So muss über die Freiwilligkeit, Zweckgebundenheit und Widerrufbarkeit der Einwilligung aufgeklärt werden. Pauschale Einwilligungen sind nicht zulässig.
7. Auftragsverarbeitung
Durch die gewissenhafte Auswahl des Auftragsverarbeiters und den Auftragsverarbeitungsvertrag stellen Sie sicher, dass weder Ihr Unternehmen noch Sie persönlich Haftungsrisiken ausgesetzt sind, falls der Auftragsverarbeiter gegen die DSGVO verstößt. Es empfiehlt sich, eigene Vertragsentwürfe zu verwenden, da Verträge von Auftragsverarbeitern oftmals nachteilige Haftungsregelungen beinhalten. Zumindest sollten Verträge von Auftragsverarbeitern vor Vertragsschluss diesbezüglich aufmerksam geprüft werden!
8. Datenschutzfolgenabschätzung- was ist das und wann brauche ich sie?
Inhalt der DSFA ist eine strukturierte Risikoanalyse zur Identifizierung und Bewertung von Risiken für die betroffene Person, die Prüfung der Zulässigkeit der Datenverarbeitung sowie die Festlegung von Schutzmaßnahmen mit dem Ziel, das Eintrittsrisiko und die Folgen möglichst gering zu halten. Mit Methoden aus dem Bereich Risikomanagement (PHA, FMEA und FTA) kommt man hier schon ziemlich weit.
Eine ordentliche DSFA zu erstellen ist allerdings sehr aufwendig, daher gehen wir hier nicht weiter auf sie ein.
9. Verzeichnis von Verarbeitungstätigkeiten
Das Verzeichnis von Verarbeitungstätigkeiten ist von zentraler Bedeutung für den Datenschutz im Unternehmen! Es gibt Auskunft über die Rechtmäßigkeit der Datenverarbeitung und kann bei behördlichen Kontrollen von der Aufsichtsbehörde eingesehen werden.
In dem Verzeichnis werden die einzelnen Unternehmensprozesse in sogenannte „Verfahren“ aufgegliedert und beschrieben. Auch welche personenbezogenen Daten auf welche Art und Weise, auf welcher Rechtsgrundlage und zu welchem Zweck verarbeitet werden, wird dort dokumentiert.
In dem Zusammenhang werden in einem erweiterten Verzeichnis von Verarbeitungstätigkeiten die getroffenen Datenschutz- und IT-Sicherheitsmaßnahmen nach Maßgabe der DSGVO und des BDSG dargelegt. Darüber werden insbesondere die Datenübermittlung an externe Dienstleister, die Durchführung der gesetzlich vorgeschriebenen Datenschutz-Revisionen, die Löschung personenbezogener Daten sowie die Betroffenenrechte (z.B. Auskunftsansprüche von Mitarbeitern und Kunden gegenüber dem Unternehmen) erläutert.
Insoweit ist das Verzeichnis von Verarbeitungstätigkeiten eine umfassende Dokumentation, die vor allem den Vorgaben der DSGVO Rechnung trägt, aber auch hilfreich ist, betriebliche Prozesse detailliert zu analysieren und effizient zu gestalten.
Aus dem Verzeichnis leiten die meisten größeren Unternehmen ein verkürztes Datenschutzkonzept ab, welches sie für vertriebliche Maßnahmen nach außen hin bereitstellen können.
(Artikel von A. Bilzhause)
Dieses Werk von DSS IT Security GmbH ist lizenziert unter einer Creative Commons Namensnennung – Weitergabe unter gleichen Bedingungen 4.0 International Lizenz (externer Link). Beruht auf dem Werk unter https://it-security.gmbh/2021/05/16/datenschutz-die-9-wichtigsten-punkte-fuer-geschaeftsfuehrer-teil-2.