Datenschutz für Unternehmen

Unter Datenschutz wird primär der Schutz personenbezogener Daten vor missbräuchlicher Verwendung und Datenverarbeitung verstanden. Dazu zählen auch der Schutz des Persönlichkeitsrechts und der Privatsphäre sowie das Recht auf informationelle Selbstbestimmung.

Der Datenschutz in Deutschland wird hauptsächlich durch die zwei Gesetze Datenschutz-Grundverordnung (DSGVO) und Bundesdatenschutzgesetz (BDSG-neu) geprägt.

Als personenbezogene Daten gelten in Deutschland all jene, die einer identifizierten oder identifizierbaren natürlichen Person zugeordnet werden können. In anderen europäischen Ländern sind auch juristische Personen eingeschlossen (etwa in der Schweiz oder in Österreich).

Jeder Mensch ist als Träger bestimmter Rechte und Pflichten natürliche Person. Personenbezogene Daten, die der Datenschutz vor Missbrauch schützen soll, sind zum Beispiel:

• Personalien wie Name, Geburtsort, Geburtsdatum, Nationalität, Familienstand
• Kontaktdaten wie Anschrift, E-Mail-Adresse, Telefonnummer, IP-Adresse
• Angaben über Vermögen, Eigentum sowie Schulden und Kredite
• physische Merkmale wie Haarfarbe, Augenfarbe, Tätowierungen
• Kaufverhalten
• u. v. m.

Art. 39 DSGVO
Aufgaben des Datenschutzbeauftragten (DSB)
1. Dem Datenschutzbeauftragten obliegen zumindest folgende Aufgaben:
1. Unterrichtung und Beratung des Verantwortlichen oder des Auftragsverarbeiters und der Beschäftigten, die Verarbeitungen durchführen, hinsichtlich ihrer Pflichten nach dieser Verordnung sowie nach sonstigen Datenschutzvorschriften der Union bzw. der Mitgliedstaaten;
2. Überwachung der Einhaltung dieser Verordnung, anderer Datenschutzvorschriften der Union bzw. der Mitgliedstaaten sowie der Strategien des Verantwortlichen oder des Auftragsverarbeiters für den Schutz personenbezogener Daten einschließlich der Zuweisung von Zuständigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter und der diesbezüglichen Überprüfungen;
3. Beratung – auf Anfrage – im Zusammenhang mit der Datenschutz-Folgenabschätzung und Überwachung ihrer Durchführung gemäß Artikel 35;
4. Zusammenarbeit mit der Aufsichtsbehörde;
5. Tätigkeit als Anlaufstelle für die Aufsichtsbehörde in mit der Verarbeitung zusammenhängenden Fragen, einschließlich der vorherigen Konsultation gemäß Artikel 36, und gegebenenfalls Beratung zu allen sonstigen Fragen.
2. Der Datenschutzbeauftragte trägt bei der Erfüllung seiner Aufgaben dem mit den Verarbeitungsvorgängen verbundenen Risiko gebührend Rechnung, wobei er die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung berücksichtigt.

Die Europäische Datenschutzgrundverordnung (EU-DSGVO oder einfach nur DSGVO; umgangssprachlich auch europäische Datenschutzverordnung genannt) ist eine Verordnung der Europäischen Union. Sie zielt darauf ab, den Datenschutz in Europa zu vereinheitlichen und somit gleiche Datenschutzstandards für alle Mitgliedsstaaten zu schaffen. Die Datenschutzgrundverordnung gilt seit dem 25. Mai 2018.

6 Punkte, auf die Unternehmen besonders achten müssen

1. Verbraucherfreundliche Voreinstellungen: Die Daten von Verbrauchern sollen ohne besondere Anpassungen möglichst umfassend geschützt sein (vgl. Art. 25 DSGVO). Das bedeutet für Unternehmen: Bereits bei der Entwicklung digitaler Vorgänge sollte darauf geachtet werden, dass das Datenschutzniveau hoch ist (Privacy by Design). Außerdem sind Unternehmen zu verbraucherfreundlichen Voreinstellungen verpflichtet (Privacy by Default).

2. Verzeichnis über Verarbeitungstätigkeiten: Gemäß Art. 30 DSGVO hat der Unternehmer ein (schriftliches oder elektronisches) Verzeichnis über seine Verarbeitungstätigkeiten zu führen. Darin muss unter anderem Folgendes enthalten sein: 

Firmenname und – adresse
Kategorien betroffener Personen
Zwecke der Datenverarbeitung
Kategorien personenbezogener Daten
Kategorien der Datenempfänger
ggf. Übermittlungen personenbezogener Daten in einen Nicht-EU-Staat
Löschfristen der verschiedenen Datenkategorien

Dieses Verzeichnis ist laut EU-DSGVO für den unternehmensinternen Gebrauch gedacht. Auf Verlangen muss es aber der Datenschutzbehörde vorgelegt werden.

3. Datenschutz-Folgeabschätzung: Firmen sind bei neuen Formen der Datenverarbeitung zu einer Folgenabschätzung verpflichtet, sofern ein hohes Risiko der Verletzung des Datenschutzes besteht (Art. 35 DSGVO). Das bedeutet: Unternehmen müssen proaktiv die Aufsichtsbehörde kontaktieren und die möglichen datenschutzrechtlichen Auswirkungen einer vorgesehenen Maßnahme darlegen. Die Voraussetzungen für die Folgenabschätzung sind allerdings rechtlich umstritten. Eine individuelle juristische Beratung ist daher dringend zu empfehlen. 

4. Ernennung eines Datenschutzbeauftragen: Nach Art. 35 ff. DSGVO müssen Unternehmen einen Datenschutzbeauftragten (DSB) bestellen, wenn mindestens eine der folgenden Bedingungen erfüllt ist: Das Unternehmen verarbeitet besondere Kategorien von Daten (gem. Art. 9 DSGVO). Eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen zählt zur Kerntätigkeit des Unternehmens. Mehr als 20 Personen im Unternehmen befassen sich mit der Verarbeitung personenbezogener Daten.

5. Rechenschaftspflicht: Die Datenverantwortlichen müssen nach Art. 5 DSGVO auf Aufforderung nachweisen können, dass alle Datenschutzprinzipien im Unternehmen eingehalten werden.

6. Meldepflicht: Kommt es beispielsweise durch eine Datenpanne zu einer Verletzung der Datenschutzvorgaben, muss das jeweilige Unternehmen laut Datenschutzgrundverordnung dies innerhalb von 72 Stunden bei der zuständigen Aufsichtsbehörde melden und den oder die Betroffenen informieren.

Ausnahme: Wenn die Verletzung „voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt“, muss der Vorfall nicht gemeldet werden (Art. 33 DSGVO). Um abschätzen zu können, wann diese Ausnahmeregelung greift, sollten Sie sich datenschutzrechtlich beraten lassen.

Das Bundesdatenschutzgesetz (BDSG) ist das zentrale Gesetz im deutschen Datenschutzrecht. Es enthält Anweisungen, wie personenbezogene Daten durch öffentliche Stellen des Bundes oder der Länder verarbeitet werden dürfen.

Am 25.05.2018 wurde das alte BDSG von dem neuen Bundesdatenschutzgesetz (BDSG-neu) abgelöst.

Das Bundesdatenschutzgesetz-neu betrifft öffentliche Stellen wie Behörden und regelt den Umgang mit personenbezogenen Daten.