Heute ist Europäischer Datenschutztag. Seit 2007 erinnert der 28. Januar jedes Jahr an die Bedeutung des Datenschutzes, und in diesem Jahr gibt es mehr zu besprechen als sonst. Denn seit gut acht Monaten gilt die DSGVO. Im Frühjahr 2018 haben wir hier im Blog einen Countdown begleitet, Checklisten veröffentlicht und vor Panik gewarnt. Zeit für eine ehrliche Datenschutz-Bilanz zur DSGVO: Was ist eingetreten, was nicht, und was sollten Unternehmen im Jahr 2019 tun?
DSGVO-Bilanz: Erwartung und Wirklichkeit
| Befürchtung im Mai 2018 | Was bisher passiert ist |
|---|---|
| Eine Abmahnwelle rollt über kleine Websites | Einzelne Abmahnungen, aber keine Flut. Gerichte haben unterschiedlich beurteilt, ob Wettbewerber DSGVO-Verstöße überhaupt abmahnen können. |
| Behörden verhängen sofort Millionenbußgelder | Erste Bußgelder gibt es, in Deutschland bisher in überschaubarer Höhe. Die Behörden setzen stark auf Beratung. |
| Fotografieren wird praktisch unmöglich | Fotografiert wird weiter. Rechtliche Fragen sind teilweise offen, der Alltag hat sich eingespielt. |
| Newsletter sind am Ende | Viele Verteiler sind geschrumpft, dafür sind die verbliebenen Leser oft aufmerksamer. |
| Niemand blickt mehr durch | Leider teilweise zutreffend, aber es gibt inzwischen deutlich mehr Orientierung durch die Aufsichtsbehörden. |
Die ersten Bußgelder
In Deutschland hat im vergangenen Herbst der Landesbeauftragte für den Datenschutz in Baden-Württemberg ein Bußgeld von 20.000 Euro gegen ein soziales Netzwerk verhängt, nachdem dort Nutzerdaten durch einen Hackerangriff abgeflossen waren und die Passwörter unverschlüsselt gespeichert worden waren. Bemerkenswert war dabei, dass die Behörde ausdrücklich die gute Zusammenarbeit des Unternehmens nach der Meldung positiv berücksichtigt hat. Die Botschaft: Wer eine Datenpanne offen meldet und sofort handelt, wird nicht ruiniert.
Ganz anders die Dimension vor einer Woche in Frankreich: Die französische Datenschutzbehörde CNIL hat gegen Google ein Bußgeld von 50 Millionen Euro verhängt, unter anderem wegen unzureichender Information der Nutzer und unwirksamer Einwilligungen bei der Einrichtung von Android-Geräten. Das zeigt, dass die hohen Bußgeldrahmen der DSGVO keine Theorie sind, zumindest bei den ganz großen Anbietern.
Mehr Meldungen, mehr Beschwerden
Deutlich spürbar ist die DSGVO bei den Aufsichtsbehörden selbst. Die Zahl der gemeldeten Datenpannen und der Beschwerden von Bürgern ist nach übereinstimmenden Berichten stark gestiegen. Das liegt auch daran, dass die Meldepflicht bei Datenpannen jetzt deutlich weiter reicht als früher und viele Unternehmen lieber einmal zu viel melden als zu wenig. Für Sie als Unternehmen heißt das: Rechnen Sie damit, dass Bearbeitungszeiten bei Behörden länger sein können, und dokumentieren Sie Ihre eigenen Entscheidungen sorgfältig. Wer nachvollziehbar begründen kann, warum er eine Panne gemeldet oder nicht gemeldet hat, ist auf der sicheren Seite.
Die Fanpage-Entscheidung
Ein Urteil, das viele unserer Kunden direkt betrifft, kam im Juni 2018 vom Europäischen Gerichtshof: Betreiber von Facebook-Fanpages sind gemeinsam mit Facebook für die Verarbeitung der Besucherdaten verantwortlich. Facebook hat daraufhin eine Vereinbarung für Seitenbetreiber bereitgestellt. Ob das alle Anforderungen erfüllt, sehen die deutschen Aufsichtsbehörden kritisch. Für Unternehmen bleibt das Thema also auf der Agenda. Wer eine Fanpage betreibt, sollte sie zumindest in der Datenschutzerklärung erwähnen und die weitere Entwicklung verfolgen.
Was wir in unseren Projekten beobachtet haben
Bei den Unternehmen, die wir in Mainz und der Region begleiten, sehen wir ein gemischtes Bild:
- Websites: Fast überall wurden Datenschutzerklärungen überarbeitet und HTTPS eingeführt. Das ist ein echter Fortschritt.
- Verträge zur Auftragsverarbeitung: Die großen Dienstleister sind abgedeckt, bei kleineren fehlen sie noch erstaunlich oft.
- Verzeichnis der Verarbeitungstätigkeiten: Häufig im Mai angelegt und seitdem nicht mehr angefasst.
- Betroffenenanfragen: Selten, aber wenn sie kommen, ist oft unklar, wer sie bearbeitet.
- Datenpannen: Das Bewusstsein ist gestiegen. Fehlversendete Mails werden heute eher erkannt und intern gemeldet.
- Mitarbeiterschulung: Im Frühjahr gut, danach eingeschlafen. Neue Mitarbeiter werden oft nicht unterwiesen.
Fünf Aufgaben für 2019
- Verzeichnis aktualisieren: Neue Software, neue Dienstleister, neue Prozesse? Alles, was seit Mai dazugekommen ist, gehört hinein.
- Lücken bei Verträgen schließen: Gehen Sie die Eingangsrechnungen des letzten Jahres durch und prüfen Sie, ob für jeden relevanten Dienstleister ein Vertrag vorliegt.
- Prozesse testen: Spielen Sie eine Auskunftsanfrage oder eine Datenpanne einmal durch. Wer macht was, wie schnell?
- Neue Mitarbeiter einbeziehen: Eine kurze Datenschutzunterweisung gehört in jede Einarbeitung.
- Brexit im Blick behalten: Großbritannien will die EU Ende März verlassen. Sollte es keine Einigung geben, wäre das Land datenschutzrechtlich ein Drittland. Wer Dienstleister oder Server im Vereinigten Königreich nutzt, sollte jetzt klären, auf welcher Grundlage die Daten künftig übermittelt werden.
Unser Fazit nach acht Monaten
Die DSGVO hat nicht den Untergang des Mittelstands gebracht, den manche vorhergesagt haben. Sie hat aber viel Arbeit verursacht, und nicht alle Regeln sind im Alltag praktikabel. Positiv ist: In vielen Betrieben wird heute bewusster mit Daten umgegangen, und manche Altlast, etwa der ungenutzte Kundenstamm von 2009 oder das unverschlüsselte Kontaktformular, ist verschwunden. Die größte Gefahr sehen wir derzeit nicht in Abmahnungen oder Bußgeldern, sondern darin, dass Datenschutz nach dem Kraftakt im Frühjahr wieder in der Schublade verschwindet. Die DSGVO ist kein Projekt mit Enddatum, sondern eine Daueraufgabe.
Wir helfen Ihnen gerne
Sie möchten wissen, wo Ihr Unternehmen acht Monate nach dem Stichtag steht? Das Datenschutz-Team der Mittelstandsoptimierer macht mit Ihnen einen kompakten Check, aktualisiert Ihre Unterlagen und schult neue Mitarbeiter. Rufen Sie uns an: 06131 144928-0.
Herzliche Grüße aus Mainz
