Wie schon im newsletter immobilienrecht vom 04.04.2018 berichtet, tritt am 25. Mai 2018 die neue europäische Datenschutz-Grundverordnung (DSGVO) in Kraft und damit ein neues Datenschutzrecht in Deutschland und der EU. Die DSGVO gilt für Sie, wenn in Ihrem Unternehmen personenbezogene Daten natürlicher Personen verarbeitet werden. Es gibt keine Übergangsfristen. Sämtliche Anforderungen des neuen Rechts müssen ab dem 25. Mai 2018 eingehalten werden. Bei Verstößen drohen aufsichtsrechtliche Maßnahmen und hohe Bußgelder. Aber es ist nicht zu spät, sich mit dem Thema zu beschäftigen. Nachfolgend haben wir für Sie noch einmal die Top 10 an Last-Minute Maßnahmen zusammengestellt:

1. Benennung eines betrieblichen Datenschutzbeauftragten

Gemäß Art. 37 Abs. 4 DSGVO i. V. m. § 38 Abs. 1 BDSG-neu ist ein Datenschutzbeauftragter zu benennen, sobald in einem Betrieb mehr als 10 Personen mit der Verarbeitung von personenbezogenen Daten beschäftigt sind.

2. Erstellung eines Verzeichnisses aller Verarbeitungstätigkeiten – Data-Mapping

Art. 30 DSGVO schreibt die Führung eines Verzeichnisses aller Verarbeitungstätigkeiten vor, auch Data Mapping genannt. Das Verzeichnis dient dem Nachweis einer DSGVO-konformen Datenverarbeitung in dem Betrieb. Als Verarbeitungstätigkeiten gelten beispielsweise: elektronische Akten; Software zur Versendung und Verwaltung von E-Mails; Adressdatenbanken; Software zur Terminverwaltung; Websites.

3. Lückensuche bzw. „Gap Analysis“

Die Data-Map ist der Ausgangspunkt für eine „Lückensuche“, die in den DSGVO-Umstellungsprozessen „Gap Analysis“ genannt wird. Diese Schwachstellensuche soll für jedes einzelne Verarbeitungsverfahren unter den folgenden Aspekten durchgeführt werden: Datensparsamkeit (Nur so viel Daten verarbeiten wie nötig.), Datenrichtigkeit (Aktualität der Informationen), Rechtmäßigkeit der Datenverarbeitung, Löschung der Daten nach Ende der Nutzung (Notwendigkeit der Datenvorhaltung), Zugriffskontrolle und -berechtigung (Wer hat Zugriff auf die Daten?) und Datensicherheit (Schutz gegen Hacker und Malware). Am Ende jeder „Gap Analysis“ steht ein Maßnahmenplan mit dem Ziel der möglichst umfassenden Datenschutzkonformität aller Verfahren.

4. Datensicherheit

Gemäß Art. 32 DSGVO sind technische und organisatorische Maßnahmen zu ergreifen, um die Sicherheit der verarbeiteten Personendaten zu gewährleisten. Die Vorschrift konkretisiert den Grundsatz der „Integrität und Vertraulichkeit“ gem. Art. 5 Abs. 1 lit. f DSGVO. Die bereits bei Ihnen ergriffenen Maßnahmen sind mit Blick auf Verschlüsselung, Stabilität und Wiederherstellbarkeit zu überprüfen und ggf. zu verbessern, damit der Stand der Technik eingehalten wird.

5. Implementierung der neuen Rechtslage in die Arbeitsprozesse

Bei der Datenverarbeitung wird sich zumeist der Unterstützung durch Dienstleister aller Art bedient. All diese Verfahren waren bereits nach bisherigem Recht als Auftragsdatenverarbeitung anzusehen mit der Folge, dass es entsprechender Verträge bedurfte. Nach neuem Recht bleibt dies so, allerdings müssen bestehende Verträge an das neue Recht angepasst werden. Sind Ihre Dienstleister schon auf Sie zugekommen?

6. Datenschutzinformationen

Die Informationspflichten sind nach neuem Recht wesentlich umfangreicher als dies bisher der Fall war (Art.13 und 14 DSGVO). Beispielsweise müssen die Datenschutzbestimmungen auf Websites überarbeitet werden. Zudem empfehlen sich allgemeine „Hinweise zur Datenverarbeitung“, die jedem neuen Vertrag beigefügt werden sollten, den Sie abschließen. Entsprechende Hinweise gehören zudem in Zukunft auch in jeden Arbeitsvertrag.

7. Geltendmachung von Betroffenenrechten

Die DSGVO gibt dem Betroffenen eine Palette von Rechten an die Hand. In Ihrem Betrieb sollte es daher klare Regeln geben, wie zu verfahren ist, wenn beispielsweise ein (früherer) Kunde sein gesetzliches Recht auf „Datenübertragbarkeit“ gem. Art. 20 DSGVO geltend macht und die Herausgabe aller Daten verlangt, die Sie über ihn gespeichert haben. Auch für andere Betroffenenrechte, wie etwa das Auskunftsrecht (Art. 15 DSGVO) oder das Recht auf Löschung (Art. 17 DSGVO) sollten interne Reglungen existieren.

8. Meldepflichten

Jeder Datenschutzverstoß muss gemäß Art. 33 DSGVO innerhalb von maximal 72 Stunden bei der zuständigen Datenschutzbehörde gemeldet werden. Verliert ein Mitarbeiter beispielsweise sein Dienst-Handy und befinden sich auf dem Handy personenbezogene Daten, muss geprüft werden, ob eine Meldepflicht in Betracht kommt. Der bloße Verstoß gegen die Meldepflicht kann ein Bußgeld nach sich ziehen. Interne Arbeitsanweisungen sollten festlegen, wie bei einer Datenpanne vorzugehen ist.

9. Datenschutzrichtlinien

Generell sollten in schriftlichen internen Richtlinien klare Regeln für die Datenverarbeitung aufgestellt werden mit dem Ziel des rechtskonformen Handelns. Art. 24 DSGVO legt die Erstellung derartiger Richtlinien nahe. Interne Richtlinien geben Mitarbeitern Orientierung, wenn es darum geht, Datenschutzverstöße, Datenpannen und Datenlecks zu vermeiden.

10. Rechnen Sie mit Anfragen der Behörden

Es wird nicht allzu lange dauern, bis es erste Berichte über Datenschutzkontrollen und Datenpannen nach dem neuen Recht gibt. Sobald es Beschwerden bei der Aufsichtsbehörde gibt, muss Ihr Betrieb damit rechnen, dass die Behörde kritische Fragen stellt. Spätestens zu diesem Zeitpunkt sollte es ein vorzeigbares Verarbeitungsverzeichnis sowie Datenschutzinformationen und -richtlinien geben, die die Handhabung des Datenschutzes dokumentieren. Zeigen Sie, dass Sie Datenschutz ernst nehmen.

Autor: Daniel Pahl 

Am 25. Mai 2018 tritt die neue europäische Datenschutz-Grundverordnung (DSGVO) in Kraft und damit ein neues Datenschutzrecht in Deutschland und der EU. Die DSGVO gilt für Sie, wenn in Ihrem Unternehmen personenbezogene Daten natürlicher Personen verarbeitet werden. Ab dem 25. Mai 2018 müssen sämtliche Anforderungen des neuen Rechts eingehalten werden. Es gibt keine Übergangsfristen. Bei Verstößen drohen aufsichtsrechtliche Maßnahmen und hohe Bußgelder in Höhe von bis zu 20 Mio. Euro oder 4 Prozent des weltweiten Jahresumsatzes. Wenn Sie die folgenden 10 Maßnahmen schon umgesetzt haben oder dabei sind, sind Sie auf einem guten Weg:

1. Sie haben zusätzliche Arbeit in das Thema Datenschutz investiert und notwendige Anpassungen Ihrer Systeme, Prozesse und internen Anweisungen unternommen.
2. Sofern Sie dazu verpflichtet sein werden, haben Sie einen internen oder externen Datenschutzbeauftragten benannt.
3. Sie haben in Ihrem Unternehmen klar definierte Verantwortungsbereiche für die Umsetzung der DSGVO geschaffen.
4. Alle verantwortlichen Entscheidungsträger sind rechtzeitig mit Information über die Anforderungen der DSGVO und deren Sanktionen versorgt worden.
5. Sie haben Ihren Mitarbeiter die nötigen Informationen zur DSGVO und etwaigen neuen Pflichten, Prozessen und Arbeitsanweisungen gegeben, zum Beispiel über die Meldepflicht bei Verstößen.
6. Sie haben Ihre IT-Struktur und Datenverarbeitungsprozesse überprüft und ein Datenverarbeitungsverzeichnis – eine sogenannte Data-Map – erstellt.
7. Auf der Grundlage des Data-Mapping haben Sie Lücken oder Verbesserungsmaßnahmen identifiziert (eine sogenannte Gap-Analysis), um die Sicherheit bei der Verarbeitung und hinsichtlich Verschlüsselung, Stabilität und Wiederherstellbarkeit zu erhöhen.
8. Sie haben Zugriffskontrollen und Berechtigungsprüfungen bei der Datenverarbeitung ein- und durchgeführt.
9. Sie haben Ihre Datenschutzmaßnahmen und internen Richtlinien schriftlich niedergelegt und die Umsetzung von (neuen) Datenschutzmaßnahmen aufgrund von Lücken, die sich anhand der Gap-Analysis gezeigt haben, dokumentiert.
10. Sie sind bereit, den Aufsichtsbehörden Ihre Dokumentationen und Richtlinien in kurzer Zeit vorzulegen, sollten diese Einsichtnahme von Ihnen verlangen.

Autor: Daniel Pahl