DSGVO-Umsetzung im Mittelstand: Fahrplan in acht Schritten

Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018. Trotzdem stellen sich viele kleine und mittlere Unternehmen dieselbe Frage: Womit fangen wir an, und was gehört wirklich dazu? Dieser Beitrag ordnet die wichtigsten Pflichten in einen Fahrplan aus acht Schritten. Er beschreibt, was DSGVO und Bundesdatenschutzgesetz (BDSG) verlangen, und verweist dazu auf den Gesetzestext der DSGVO auf EUR-Lex. Eine Rechtsberatung ersetzt er nicht.

Wenn Sie zuerst einen Überblick für die Geschäftsführung suchen, also wer im Unternehmen wofür verantwortlich ist und wie Datenschutz und IT-Sicherheit zusammenhängen, lesen Sie unseren Beitrag Datenschutz im Unternehmen. Hier geht es um die praktische Umsetzung.

Worum es geht: personenbezogene Daten

Die DSGVO schützt personenbezogene Daten. Das sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Das Gesetz nennt als Beispiele unter anderem Namen, Kennnummern, Standortdaten und Online-Kennungen. Im Unternehmensalltag betrifft das etwa Kundenadressen, E-Mail-Adressen von Ansprechpartnern, Personalakten oder Protokolle mit Benutzernamen.

Für jede Verarbeitung gelten die Grundsätze aus Art. 5 DSGVO. Dazu gehören Rechtmäßigkeit und Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit. Wichtig für die Umsetzung ist Art. 5 Abs. 2: Das Unternehmen muss die Einhaltung nachweisen können. Diese sogenannte Rechenschaftspflicht ist der Grund, warum Dokumentation in jedem der folgenden Schritte vorkommt.

Schritt 1: Verarbeitungen erfassen

Am Anfang steht eine Bestandsaufnahme. Welche personenbezogenen Daten verarbeiten Sie, zu welchem Zweck, in welchen Systemen, und wer erhält sie? Das Ergebnis ist das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Es wird schriftlich geführt, ein elektronisches Format ist zulässig. Auf Anfrage stellen Sie es der Aufsichtsbehörde zur Verfügung.

Art. 30 Abs. 5 DSGVO enthält eine Ausnahme für Unternehmen mit weniger als 250 Beschäftigten. Sie gilt aber nicht, wenn die Verarbeitung ein Risiko für die Rechte und Freiheiten der Betroffenen birgt, wenn sie nicht nur gelegentlich erfolgt oder wenn besondere Kategorien von Daten wie Gesundheitsdaten betroffen sind. Prüfen Sie diese Ausnahme deshalb sorgfältig, bevor Sie auf das Verzeichnis verzichten.

Unsere Empfehlung: Beschreiben Sie Abläufe konkret. „Lohnabrechnung über externes Lohnbüro“ hilft mehr als „Personalverwaltung“.

Schritt 2: Für jede Verarbeitung die Rechtsgrundlage festlegen

Eine Verarbeitung ist nach Art. 6 Abs. 1 DSGVO nur rechtmäßig, wenn mindestens eine der folgenden sechs Bedingungen erfüllt ist:

1. Einwilligung (lit. a): Die betroffene Person hat für einen oder mehrere bestimmte Zwecke eingewilligt, zum Beispiel in einen Newsletter.
2. Vertrag (lit. b): Die Verarbeitung ist für die Erfüllung eines Vertrags mit der Person oder für vorvertragliche Maßnahmen auf ihre Anfrage erforderlich, etwa die Lieferadresse für eine Bestellung.
3. Rechtliche Verpflichtung (lit. c): Das Unternehmen muss die Daten aufgrund einer gesetzlichen Pflicht verarbeiten, zum Beispiel für steuerliche Aufzeichnungen.
4. Lebenswichtige Interessen (lit. d): Die Verarbeitung ist erforderlich, um lebenswichtige Interessen der betroffenen oder einer anderen natürlichen Person zu schützen.
5. Öffentliche Aufgabe (lit. e): Die Verarbeitung ist für eine Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich, die dem Verantwortlichen übertragen wurde.
6. Berechtigtes Interesse (lit. f): Die Verarbeitung ist zur Wahrung berechtigter Interessen des Unternehmens oder eines Dritten erforderlich, und die Interessen oder Grundrechte der betroffenen Person überwiegen nicht. Das erfordert eine nachvollziehbare Abwägung.

Halten Sie die gewählte Rechtsgrundlage je Verarbeitung im Verzeichnis fest. Eine Einwilligung ist nicht immer die richtige Wahl. Wenn Sie eine einholen, muss sie nachweisbar sein (Art. 7 Abs. 1 DSGVO). Die Person kann sie jederzeit widerrufen, und der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO).

Sonderfall Werbung: Post und E-Mail unterscheiden

Werbung an die Postadresse von Kunden braucht nicht in jedem Fall eine Einwilligung. Nach Erwägungsgrund 47 der DSGVO kann die Verarbeitung personenbezogener Daten für Direktwerbung als Verarbeitung betrachtet werden, die einem berechtigten Interesse dient. Dann gilt Art. 6 Abs. 1 lit. f mit der dort verlangten Interessenabwägung. Dabei kommt es nach Erwägungsgrund 47 auch darauf an, ob die Person mit einer solchen Verarbeitung vernünftigerweise rechnen kann, etwa weil sie bereits Kunde ist.

Der Empfänger kann der Verarbeitung für Direktwerbung jederzeit widersprechen. Danach dürfen seine Daten für diesen Zweck nicht mehr verarbeitet werden (Art. 21 Abs. 2 und 3 DSGVO). Auf dieses Recht müssen Sie spätestens bei der ersten Kommunikation ausdrücklich hinweisen (Art. 21 Abs. 4 DSGVO).

Für Werbung per E-Mail gilt zusätzlich das Gesetz gegen den unlauteren Wettbewerb. Nach § 7 Abs. 2 Nr. 2 UWG ist sie ohne vorherige ausdrückliche Einwilligung grundsätzlich unzulässig. § 7 Abs. 3 UWG macht eine eng gefasste Ausnahme für Bestandskunden. Alle vier Bedingungen müssen erfüllt sein:

• Sie haben die E-Mail-Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden erhalten.
• Sie werben nur für eigene ähnliche Waren oder Dienstleistungen.
• Der Kunde hat nicht widersprochen.
• Sie weisen bei der Erhebung und bei jeder Verwendung klar darauf hin, dass er jederzeit widersprechen kann.

Schritt 3: Betroffene informieren

Wer Daten bei der betroffenen Person erhebt, muss sie zu diesem Zeitpunkt informieren (Art. 13 DSGVO). Werden Daten nicht bei der Person selbst erhoben, gilt Art. 14 DSGVO. Zu den Pflichtangaben gehören unter anderem Name und Kontaktdaten des Verantwortlichen, die Zwecke und die Rechtsgrundlage der Verarbeitung. In der Praxis sind das die Datenschutzhinweise auf der Website, in Formularen, in Bewerbungsverfahren und für Beschäftigte.

Schritt 4: Prüfen, ob Sie einen Datenschutzbeauftragten brauchen

Die DSGVO selbst verlangt einen Datenschutzbeauftragten in Art. 37 Abs. 1 nur in bestimmten Fällen: bei Behörden und öffentlichen Stellen sowie dann, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen oder in der umfangreichen Verarbeitung besonderer Datenkategorien besteht.

Die bekannte Grenze von 20 Personen steht nicht in der DSGVO, sondern im deutschen Recht. Nach § 38 Abs. 1 BDSG benennen Unternehmen einen Datenschutzbeauftragten, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen. Unabhängig von dieser Zahl gilt die Pflicht unter anderem, wenn eine Verarbeitung einer Datenschutz-Folgenabschätzung unterliegt.

Schritt 5: Dienstleister und Datenübermittlungen regeln

Verarbeitet ein Dienstleister personenbezogene Daten in Ihrem Auftrag, etwa ein Cloud-Anbieter, ein Lohnbüro oder ein IT-Dienstleister mit Zugriff auf Ihre Systeme, brauchen Sie einen Vertrag nach Art. 28 Abs. 3 DSGVO. Er legt unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung fest und bindet den Dienstleister an Ihre Weisungen. Sie dürfen nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO).

Werden Daten an Empfänger in einem sogenannten Drittland übermittelt, gelten die Art. 44 bis 49 DSGVO. Eine Übermittlung ist zum Beispiel zulässig, wenn die EU-Kommission für das Zielland einen Angemessenheitsbeschluss gefasst hat (Art. 45) oder wenn geeignete Garantien bestehen, etwa die von der Kommission erlassenen Standarddatenschutzklauseln (Art. 46). Fragen Sie bei Cloud-Diensten nach, wo die Daten verarbeitet werden und welche Grundlage der Anbieter nennt. Mehr zu Cloud-Diensten finden Sie bei unseren Cloud-Lösungen.

Schritt 6: Technische und organisatorische Maßnahmen umsetzen

Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, kurz TOM, für ein dem Risiko angemessenes Schutzniveau. Maßstab sind unter anderem der Stand der Technik, die Kosten und das Risiko für die Betroffenen. Das Gesetz nennt beispielhaft Pseudonymisierung und Verschlüsselung, die dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die rasche Wiederherstellung nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen.

Für kleine und mittlere Unternehmen empfehlen wir als Grundlage:

• Zugriffsrechte nach Rollen vergeben und regelmäßig überprüfen.
• Für Fernzugriffe und Cloud-Konten Multi-Faktor-Authentifizierung nutzen, also eine Anmeldung mit einem zweiten Merkmal neben dem Passwort.
• Updates für Betriebssysteme und Programme geplant einspielen.
• Datensicherungen anlegen und die Wiederherstellung testen.
• Mobile Geräte und Datenträger verschlüsseln.
• Beschäftigte regelmäßig zum Umgang mit Daten schulen.

Welche Maßnahmen im Einzelfall angemessen sind, hängt von Ihren Daten und Abläufen ab. Halten Sie die Maßnahmen schriftlich fest. Wie Sie Ihre IT-Sicherheit prüfen und verbessern können, lesen Sie auf unserer Seite IT-Sicherheit.

Schritt 7: Anfragen von Betroffenen beantworten können

Betroffene haben unter anderem das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Auf einen Antrag müssen Sie unverzüglich reagieren, spätestens innerhalb eines Monats. Diese Frist kann um zwei weitere Monate verlängert werden, wenn Komplexität oder Anzahl der Anträge das erfordern. Darüber informieren Sie die Person innerhalb des ersten Monats mit Begründung (Art. 12 Abs. 3 DSGVO).

Legen Sie deshalb vorab fest, wer Anfragen annimmt, wer die Daten zusammenstellt und wer antwortet. Bei Löschanfragen ist zu beachten, dass das Löschrecht nicht gilt, soweit eine rechtliche Verpflichtung die weitere Verarbeitung erfordert, zum Beispiel eine gesetzliche Aufbewahrungspflicht (Art. 17 Abs. 3 lit. b DSGVO).

Schritt 8: Datenpannen und neue Vorhaben

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, etwa durch Verlust oder unbefugte Offenlegung (Art. 4 Nr. 12 DSGVO), meldet der Verantwortliche sie unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde. Das gilt nicht, wenn die Verletzung voraussichtlich zu keinem Risiko für die Betroffenen führt (Art. 33 Abs. 1 DSGVO). Bei voraussichtlich hohem Risiko sind auch die betroffenen Personen unverzüglich zu benachrichtigen (Art. 34 DSGVO). Legen Sie dafür einen internen Meldeweg fest.

Planen Sie eine neue Verarbeitung, die voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt, führen Sie vorab eine Datenschutz-Folgenabschätzung durch (Art. 35 DSGVO). Gibt es einen Datenschutzbeauftragten, holen Sie dabei seinen Rat ein.

Dranbleiben: Datenschutz als laufende Aufgabe

Die Maßnahmen werden nach Art. 24 Abs. 1 DSGVO erforderlichenfalls überprüft und aktualisiert. Neue Software, ein neuer Dienstleister oder ein neuer Ablauf bedeutet deshalb meist auch: Verzeichnis ergänzen, Rechtsgrundlage prüfen, Vertrag schließen, Datenschutzhinweise anpassen.

Unterstützung bei der technischen Umsetzung

Die GSL Groß GmbH betreut kleine und mittelständische Unternehmen in Rheinland-Pfalz und Hessen bei der IT. Wir unterstützen bei der technischen Seite des Datenschutzes, also bei Zugriffsrechten, Updates, Datensicherung und sicherer Cloud-Nutzung. Mit unseren Managed Services übernehmen wir den laufenden Betrieb Ihrer IT zum monatlichen Festpreis. Rechtliche Fragen klären Sie bitte mit Ihrem Datenschutzbeauftragten oder einer Rechtsberatung.

Sie möchten wissen, wo Ihre IT beim Datenschutz steht? Sprechen Sie uns an.