Der Kalender lässt sich nicht verhandeln: Ab dem 25. Mai 2018 gilt die Datenschutz-Grundverordnung (DSGVO) in der gesamten EU unmittelbar. Beschlossen ist sie schon seit 2016, die Übergangszeit läuft also seit fast zwei Jahren. Trotzdem merken wir in vielen Gesprächen, dass das Thema bei kleineren Betrieben gerade erst auf dem Schreibtisch landet. Kein Grund zur Panik, aber ein guter Grund, jetzt anzufangen. Unsere DSGVO-Checkliste fasst die zehn Aufgaben zusammen, die Sie bis Mai unbedingt angehen sollten.
Warum gerade jetzt?
Bisher regelt in Deutschland vor allem das Bundesdatenschutzgesetz (BDSG) den Umgang mit personenbezogenen Daten. Ab Mai tritt die DSGVO in den Vordergrund, ergänzt durch ein neues BDSG, das der Bundestag im vergangenen Jahr verabschiedet hat. Vieles kennen Sie also schon, einiges wird strenger. Vor allem die Dokumentations- und Nachweispflichten nehmen zu, und die möglichen Bußgelder steigen deutlich: bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. Diese Höchstbeträge sind für Konzerne gedacht, aber sie zeigen, dass der Gesetzgeber es ernst meint.
Die DSGVO-Checkliste: 10 Aufgaben bis zum 25. Mai
1. Verantwortung klären
Wer kümmert sich bei Ihnen um den Datenschutz? Benennen Sie eine verantwortliche Person in der Geschäftsführung und planen Sie Zeit ein. Datenschutz „nebenbei“ funktioniert erfahrungsgemäß bis zum ersten Problem.
2. Datenschutzbeauftragten prüfen
In Deutschland bleibt es im Wesentlichen bei der bekannten Regel: Wenn in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, brauchen Sie einen Datenschutzbeauftragten. Unabhängig von der Zahl kann eine Pflicht bestehen, etwa bei besonders sensiblen Daten. Wenn Sie schon einen haben: prima, dann holen Sie ihn jetzt an den Tisch.
3. Verzeichnis der Verarbeitungstätigkeiten anlegen
Das frühere Verfahrensverzeichnis heißt jetzt „Verzeichnis von Verarbeitungstätigkeiten“ (Art. 30 DSGVO). Darin steht, welche Daten Sie zu welchem Zweck verarbeiten, wer sie bekommt und wann sie gelöscht werden. Typische Einträge: Lohnabrechnung, Kundenverwaltung, Website, E-Mail, Bewerbungen. Das Verzeichnis ist die Grundlage für fast alle weiteren Punkte.
4. Rechtsgrundlagen prüfen
Jede Verarbeitung braucht eine Rechtsgrundlage: Vertrag, gesetzliche Pflicht, berechtigtes Interesse oder Einwilligung. Prüfen Sie besonders Einwilligungen, etwa für Newsletter. Sie müssen nachweisen können, dass jemand eingewilligt hat.
5. Informationspflichten erfüllen
Betroffene müssen erfahren, was mit ihren Daten passiert (Art. 13 und 14 DSGVO). Das betrifft die Datenschutzerklärung der Website, aber auch Formulare, Bewerbungsprozesse und Kundenverträge. Die Liste der Pflichtangaben ist länger als bisher.
6. Auftragsverarbeitung regeln
Ihr Hoster, Ihr IT-Dienstleister, der Newsletter-Versender: Wer in Ihrem Auftrag Daten verarbeitet, braucht einen Vertrag nach Art. 28 DSGVO. Alte Verträge nach § 11 BDSG sollten Sie auf die neuen Anforderungen umstellen.
7. Technische und organisatorische Maßnahmen dokumentieren
Zugriffsrechte, Passwortregeln, Verschlüsselung, Backups, abschließbare Schränke: Halten Sie fest, wie Sie Daten schützen. Lücken, die dabei auffallen, kommen auf die To-do-Liste.
8. Betroffenenrechte organisieren
Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch: Wenn ein Kunde oder Mitarbeiter eine solche Anfrage stellt, haben Sie in der Regel einen Monat Zeit. Legen Sie fest, wer solche Anfragen bearbeitet und wie Sie die Identität des Anfragenden prüfen.
9. Datenpannen-Prozess festlegen
Geht ein Notebook verloren oder landet eine Kundenliste beim falschen Empfänger, müssen Sie das unter Umständen innerhalb von 72 Stunden der Aufsichtsbehörde melden. Für Mainzer Unternehmen ist das der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz. Wer weiß, wie der Meldeweg aussieht, verliert im Ernstfall keine Zeit.
10. Mitarbeiter sensibilisieren
Die beste Dokumentation hilft wenig, wenn im Alltag Kundenlisten per privatem E-Mail-Konto verschickt werden. Eine kurze Schulung und eine schriftliche Verpflichtung auf die Vertraulichkeit gehören deshalb in jede Planung.
Der Fahrplan bis Mai auf einen Blick
| Zeitraum | Schwerpunkt |
|---|---|
| Februar | Verantwortung klären, Datenschutzbeauftragten prüfen, Verzeichnis beginnen |
| März | Rechtsgrundlagen prüfen, Auftragsverarbeitungsverträge sammeln und anpassen |
| April | Datenschutzerklärung und Informationstexte überarbeiten, Maßnahmen dokumentieren |
| Mai | Prozesse für Anfragen und Datenpannen festlegen, Mitarbeiter schulen |
Drei Missverständnisse, die uns oft begegnen
- „Das betrifft nur große Firmen.“ Nein. Die DSGVO gilt für jeden, der personenbezogene Daten verarbeitet, also auch für den Handwerksbetrieb mit fünf Mitarbeitern, der Kundenadressen und Lohndaten speichert. Einige Erleichterungen gibt es für kleine Unternehmen, zum Beispiel beim Verzeichnis, aber sie sind eng gefasst.
- „Wir brauchen jetzt für alles eine Einwilligung.“ Auch nicht. Für die Abwicklung eines Auftrags oder die Lohnabrechnung brauchen Sie keine Einwilligung, dafür gibt es andere Rechtsgrundlagen. Wer zu viele Einwilligungen einholt, schafft sich eher Probleme, denn eine Einwilligung kann jederzeit widerrufen werden.
- „Am 25. Mai kommen die Kontrolleure.“ Wie die Aufsichtsbehörden in den ersten Monaten vorgehen, kann heute niemand sicher sagen. Verlassen sollten Sie sich auf eine Schonfrist aber nicht. Wer zeigen kann, dass er strukturiert an der Umsetzung arbeitet, steht in jedem Fall besser da.
Unser Tipp: Arbeiten Sie die Liste nicht perfekt, sondern vollständig ab. Ein schlichtes, aber vollständiges Verzeichnis ist mehr wert als ein halb fertiges Hochglanzdokument.
Und was ist mit der ePrivacy-Verordnung?
Ursprünglich sollte zusammen mit der DSGVO auch eine neue ePrivacy-Verordnung gelten, die unter anderem Cookies und elektronische Werbung regelt. Sie ist aber noch nicht verabschiedet, und wann sie kommt, ist offen. Konzentrieren Sie sich deshalb jetzt auf die DSGVO, sie ist fest terminiert.
Wir helfen Ihnen gerne
Sie wollen die Checkliste nicht allein abarbeiten? Das Datenschutz-Team der Mittelstandsoptimierer begleitet kleine und mittlere Unternehmen pragmatisch durch die DSGVO-Umstellung, vom Verzeichnis bis zur Mitarbeiterschulung. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
