Die Uhr tickt uner­bitt­lich wei­ter: Bis zum 25.05.2018 muss die Daten­schutz­grund­ver­ord­nung umge­setzt wer­den – und der Maß­nah­men­ka­ta­log ist gelin­de gesagt umfang­reich. Einen Über­blick fin­den Sie in die­sem Bei­trag.

1. Bestands­auf­nah­me

Eine gründ­li­che Bestands­auf­nah­me beinhal­tet vor allem die Daten­ver­ar­bei­tungs- und Erhe­bungs­pro­zes­se. Wel­che Daten wer­den abge­fragt? Wie wer­den sie erho­ben? Von wem wer­den sie abge­fragt? Wer hat Zugriff auf die­se Daten? Wie wer­den sie ver­ar­bei­tet? Wich­tig: Auf wel­cher recht­li­chen Grund­la­ge fin­det die der­zei­ti­ge Daten­er­he­bung statt?

Was bis­lang legal war, ist es nach DSGVO nicht mehr zwangs­läu­fig. Hier­bei spielt vor allem der Grund­satz der Daten­spar­sam­keit eine Rol­le – Sie dür­fen nur so vie­le Daten erhe­ben wie unbe­dingt not­wen­dig.

Daten­schutz­do­ku­men­ta­tio­nen ermit­teln – gibt es ein Daten­schutz­kon­zept im Betrieb, mit dem Sie Ihre Daten­er­he­bung vor den Behör­den recht­fer­ti­gen kön­nen?

2. Hand­lungs­be­darf ermit­teln

In die­sem Schritt glei­chen Sie die Ergeb­nis­se der Bestands­auf­nah­me mit der DSGVO ab. Dazu gehö­ren unter ande­rem Daten­schutz­er­klä­rung und Daten­schutz­hin­wei­se. Bei­spiels­wei­se muss der Haken bei Daten­schutz­hin­wei­sen und Ein­wil­li­gungs­er­klä­run­gen vom Besucher/Kunden gesetzt wer­den und darf nicht vor­ge­fer­tigt mit ange­kreuz­tem “ich stim­me zu” aus­ge­lie­fert wer­den. Wei­ter­hin soll­ten Sie Dienst­leis­tungs­ver­trä­ge und Auf­trags­ver­ar­bei­tungs­ver­trä­ge auf ihre Kom­pa­ti­bi­li­tät mit der DSGVO über­prü­fen.

3. Umset­zung

Mög­li­cher­wei­se müs­sen Sie Anpas­sun­gen Ihrer Daten­er­he­bungs­pro­zes­se vor­neh­men. Wei­te­re Ände­run­gen kön­nen die Art der Daten­spei­che­rung betref­fen oder die Art, wie Mit­ar­bei­ter auf die­se Daten zugrei­fen kön­nen. Wich­tig ist natür­lich, dass Mit­ar­bei­ter nicht unbe­rech­tigt auf Daten zugrei­fen kön­nen.

Natür­lich soll­ten Sie Ihre Daten­schutz­er­klä­rung und ‑Hin­wei­se der­ge­stalt ändern, dass sie DSGVO-kon­form sind.

Gege­be­nen­falls muss ein Daten­schutz­be­auf­trag­ter ein­ge­stellt wer­den. Ab min­des­tens zehn Mit­ar­bei­tern im Betrieb ist ein sol­cher ver­pflich­tend. Er über­nimmt Bera­tung und Über­wa­chung der Ein­hal­tung daten­schutz­recht­li­cher Richt­li­ni­en. Der Daten­schutz­be­auf­trag­te ist Ansprech­part­ner für Betrof­fe­ne (ins­be­son­de­re Kun­den), die ihre Ansprü­che bezüg­lich Daten­schutz gel­tend machen wol­len. Sie soll­ten ihn schnellst­mög­lich der zustän­di­gen Auf­sichts­be­hör­de mel­den, weil die­se sonst nicht weiß, mit wem sie in Kon­takt tre­ten soll.

Wich­tig ist außer­dem, dass Sie Ihre IT-Infra­struk­tur an die DSGVO anpas­sen. Eine 100%ige Sicher­heit kann nie­mand garan­tie­ren, aber: Schwa­che Pass­wör­ter, man­geln­de Ver­schlüs­se­lung und man­gel­haf­te Doku­men­ta­ti­on Ihrer Dienst­leis­ter kann mit der Grund­ver­ord­nung schwer­wie­gen­de und vor allem teu­re Fol­gen nach sich zie­hen.
Unter­neh­men sind also gehal­ten, die Zeit bis zur Gül­tig­keit des neu­en euro­päi­schen Daten­schutz­rechts ab dem 25. Mai 2018 zu nut­zen, die eige­nen Daten­ver­ar­bei­tungs­pro­zes­se auf Anpas­sungs­be­darf zu über­prü­fen.

In die­sem Zusam­men­hang wei­sen wir auf eine Check­lis­te für die Umset­zung im Unter­neh­men vom Bun­des­mi­nis­te­ri­um für Wirt­schaft und Ener­gie (BMWi) hin, die Sie hier abru­fen kön­nen.

Abschlie­ßend rich­ten wir unse­ren Appell an alle, die sich mit dem The­ma DSGVO noch gar nicht aus­ein­an­der­ge­setzt haben. Denn ins­be­son­de­re für jeden Web­sei­ten­be­trei­ber, der sei­ne Daten­schutz­er­klä­rung bis zum 25.05.2018 nicht rechts­kon­form gestal­tet und auf sei­ner Web­sei­te ver­öf­fent­licht hat, könn­te es teu­er wer­den: Wir gehen von einer Abmahn­wel­le aus…
Haf­tungs­aus­schluss: Die­ser Inhalt ist nicht als Rechts­be­ra­tung aus­zu­le­gen.