Seit dem 25. Mai 2018 ist die EU-weite Datenschutz-Grundverordnung (DSGVO) in Kraft getreten. Viele Unternehmen sind von diesen neuen rechtlichen Regelungen betroffen. Noch immer gibt es an vielen Stellen offene Fragen. Zur besseren Übersicht zu den Änderungen, abseits von schwer verständlichen juristischen Erklärungen, haben wir deshalb mit Marco Tessendorf gesprochen, externer Datenschutzbeauftragter und Geschäftsführer der procado Consulting, IT- & Medienservice GmbH aus Berlin.

Die neue EU-Datenschutz-Grundverordnung (kurz DSGVO) sorgt aktuell für viel Aufruhr. Für alle Nicht-Juristen: Was passierte genau am 25. Mai 2018 und warum betrifft es uns alle?

Erstmal ändert sich für Firmen, die sich schon länger mit dem Thema Datenschutz beschäftigen, gar nicht so viel. Die meisten, der zu erfüllenden Anforderung sind schon seit vielen Jahren verpflichtend, wurden bisher nur nicht ernst genommen.

Die DSGVO ist quasi ein europäisches Gesetz, das, anders als die davor geltende EU-Richtlinie, zwingend in allen europäischen Ländern weitestgehend einheitlich Anwendung findet. Eigentlich ist diese Verordnung bereits seit Mai 2016 in Kraft, nur die Übergangsvorschriften zur Umsetzung der Anforderungen endeten am 25.5.2018. Für die Betroffenen ergibt sich dadurch eine Erweiterung ihrer unveräußerlichen Rechte (Auskunft, Löschung, Widerspruch, …) und eine bessere Durchsetzungsfähigkeit (u.a. ein Verbandsklagerecht). Für die Unternehmen bedeutet das umfangreichere Informationspflichten, höhere Dokumentationspflichten und eine Erweiterung der Bußgeldtatbestände. Die Unternehmen werden dabei potentiell auch von Mitbewerbern nach den Regeln des Wettbewerbsrechtes angreifbarer, auch wenn ich das, in größerem Umfang, für eher wenig wahrscheinlich halte.

Welche Auswirkungen hat die DSGVO für Unternehmen? Was sind die wichtigsten Veränderungen?

Die Unternehmen haben eine höhere Informations- und Dokumentationspflicht als vorher, in bestimmter Weise findet eine Beweislastumkehr zu Gunsten der Betroffenen statt.

Betroffene müssen vollumfänglich über verschiedene Punkte der Verarbeitung personenbezogener Daten informiert werden und das vor Beginn der Verarbeitung. Das bedeutet in der Regel, dass die Datenschutzerklärung der Webseite, Newsletter und die Informationen an Betroffene überarbeitet werden müssen. Betroffene haben, wie auch schon vorher, umfangreiche Rechte, die vertraglich nicht ausgeschlossen werden können, es sind nun aber mehr geworden. Es ist davon auszugehen, dass nun Betroffene diese Rechte häufiger wahrnehmen werden. Am bekanntesten sind dabei das Recht auf Auskunft, Löschung und Widerspruch. Hinzugekommen sind das Recht auf Vergessenwerden und das Recht auf Datenübertragbarkeit. Sorgen Sie dafür, dass in Ihrem Unternehmen alle Mitarbeiter entsprechend sensibel und reaktiv mit solchen Anfragen umgehen, es gibt verbindliche Fristen.

Was ist speziell für Cloud Software Lösungen zu beachten?

Eigentlich nicht mehr als vorher auch. Die Nutzung einer Cloud Lösung ist in der Regel mit einem Vertrag zu Auftragsverarbeitung datenschutzrechtlich zu legitimieren. Zuständig für den Inhalt und Abschluss dieses Vertrags ist derjenige, der personenbezogene Daten weitergibt oder den Zugriff darauf zulässt. Die professionellen Dienstleister bieten häufig einen entsprechenden Mustervertrag an. Informieren Sie Ihre Kunden oder Mitarbeiter, dass Daten in der Cloud liegen und wer der Dienstleister ist (Informationspflichten), z.B. in Ihrer Datenschutzerklärung.

Achten Sie bei der Auswahl Ihres Cloudanbieters darauf, dass die Daten in Deutschland oder zumindest in der EU gehostet werden. Alles andere verkompliziert die Dinge.

 

Vielen Dank für das Gespräch!

 

Was die DSGVO für uns und unsere Kunden bedeutet und wie Tandemploy das Thema in der Praxis umsetzt, hat Silja Nordmeyer-Andrez kurz für uns zusammengefasst. Silja ist Juristin und unterstützt das Customer Happiness-Team bei Tandemploy.

„Datenschutz und Datensicherheit sind Kernthemen für uns. Deshalb werden bei uns alle Mitarbeiter*innen regelmäßig zu diesen Themen geschult. Wir sensibilisieren sie dafür, welchen Beitrag sie zu unserer Datensicherheit leisten. Dazu gehört nicht nur die Verpflichtung, Daten im gesetzlichen Rahmen zu schützen (DSGVO, neues Bundesdatenschutzgesetz, Telemediengesetz etc.), sondern auch das Mindset, dass der verantwortungsvolle Umgang mit Daten Arbeitsgrundlage ist.

Das betrifft z.B. auch die Auswahl neuer Tools. Wir prüfen erst eingehend, ob und wie von einem Tool Daten verarbeitet werden, bevor wir uns dafür (oder dagegen) entscheiden. Auch Rechtsgrundlagen wie z.B. das Privacy Shield überprüfen wir regelmäßig auf ihre Wirksamkeit und sichern uns vielseitig ab.

Dank der tollen Unterstützung durch Procado haben wir schon vor Eintritt der DSGVO konforme Verträge zur Auftragsverarbeitung erarbeitet, die wir unseren Kunden anbieten. Dazu gehört eine eingehende Dokumentation unserer technisch-organisatorischen Maßnahmen.

Natürlich arbeiten wir auch gern eng mit unseren Kunden zusammen und stellen alle Informationen bereit, die sie brauchen. Sie können sich gewiss sein, dass wir Datenschutz und Datensicherheit nicht nur ernst nehmen, sondern dass sie fester Bestandteil unserer Arbeit sind!“