Erinnern Sie sich an den Mai 2018? Postfächer voller Mails mit „Wir wollen Sie nicht verlieren“, Vereinsvorsitzende in Sorge, Fotografen in Panik. Ein Jahr DSGVO später ist es Zeit für eine nüchterne Bilanz: Was ist eingetreten, was blieb aus, und wo stehen mittelständische Betriebe heute? Wir haben im vergangenen Jahr viele Firmen in Mainz und Umgebung begleitet und teilen unsere Beobachtungen.
Ein Jahr DSGVO: Die Befürchtungen und was daraus wurde
| Befürchtung im Mai 2018 | Was wir nach einem Jahr beobachten |
|---|---|
| Abmahnwelle gegen kleine Firmen | Die große Welle ist ausgeblieben. Einzelne Abmahnungen gab es, aber nicht in dem befürchteten Ausmaß. Ob Datenschutzverstöße überhaupt abmahnfähig sind, ist unter Gerichten weiter umstritten. |
| Millionenbußgelder für jeden Fehler | Die Aufsichtsbehörden haben Bußgelder verhängt, in Deutschland bisher aber überwiegend mit Augenmaß. Große Summen trafen vor allem große Konzerne. |
| Ende der Firmenfotos und Visitenkarten | Fotos und Visitenkarten gibt es weiter. Es kommt auf Information, Rechtsgrundlage und gesunden Menschenverstand an. |
| Riesiger Aufwand | Das stimmt leider in vielen Betrieben. Vor allem die erstmalige Dokumentation hat Zeit gekostet. |
Bußgelder: Was ist bisher passiert?
Für Schlagzeilen sorgte im Januar 2019 die französische Datenschutzbehörde mit einem Bußgeld von 50 Millionen Euro gegen Google. In Deutschland wurde im Herbst 2018 bekannt, dass die Aufsichtsbehörde in Baden-Württemberg gegen den Betreiber einer Chat-Plattform 20.000 Euro verhängt hatte, nachdem Nutzerdaten durch einen Hackerangriff abgeflossen waren und Passwörter unverschlüsselt gespeichert waren. Bemerkenswert war die Begründung: Das Unternehmen hatte kooperiert und schnell nachgebessert, das wirkte sich positiv aus.
Unsere Lehre daraus: Wer Fehler offen meldet, mit der Behörde zusammenarbeitet und seine Hausaufgaben gemacht hat, steht deutlich besser da als jemand, der das Thema ignoriert.
Wo der Mittelstand gut aufgestellt ist
Viele Betriebe haben im letzten Jahr ordentlich gearbeitet. Typischerweise inzwischen erledigt:
- Datenschutzerklärung auf der Website überarbeitet
- Verzeichnis der Verarbeitungstätigkeiten zumindest in einer ersten Fassung angelegt
- Verträge zur Auftragsverarbeitung mit den wichtigsten Dienstleistern abgeschlossen
- Website auf HTTPS umgestellt
- Mitarbeitende einmal zum Thema Datenschutz informiert
Was sich positiv verändert hat
Bei aller Kritik am Aufwand: Die DSGVO hat in vielen Betrieben auch etwas Gutes angestoßen. Wer einmal aufgeschrieben hat, welche Daten wo liegen, hat plötzlich einen Überblick über die eigene IT, der vorher fehlte. Alte Kundendaten aus längst beendeten Geschäftsbeziehungen wurden gelöscht, verwaiste Benutzerkonten deaktiviert, Dienstleisterverträge sortiert. Manche Kunden haben dabei sogar Kosten gespart, weil sie Software-Abos entdeckt haben, die niemand mehr nutzte.
Auch das Bewusstsein ist gewachsen. Mitarbeitende fragen heute eher nach, bevor sie eine Kundenliste per Mail verschicken oder eine neue App auf dem Diensthandy installieren. Genau dieses Nachfragen ist im Alltag mehr wert als jedes Dokument im Ordner.
Die typischen Baustellen nach einem Jahr
Genauso deutlich sehen wir aber Lücken, die sich durch viele Unternehmen ziehen:
Dokumentation ohne Leben
Das Verzeichnis wurde im Mai 2018 erstellt und seitdem nicht mehr angefasst. Neue Software, neue Dienstleister, neue Prozesse fehlen. Eine Dokumentation, die nicht gepflegt wird, verliert schnell ihren Wert.
Technische Maßnahmen
Laptops ohne Festplattenverschlüsselung, gemeinsam genutzte Passwörter, Backups ohne Test: Die technischen und organisatorischen Maßnahmen sind oft der schwächste Teil. Dabei sind gerade sie es, die im Ernstfall einen Schaden verhindern.
Auskunftsanfragen
Wenn eine betroffene Person Auskunft verlangt, haben Sie grundsätzlich einen Monat Zeit. Viele Firmen wissen gar nicht, wo überall Daten dieser Person liegen. Ein einfacher Ablaufplan hilft hier enorm.
Datenpannen
Ein verlorenes Smartphone, eine Mail an den falschen Verteiler: Meldepflichtige Datenpannen müssen innerhalb von 72 Stunden an die Aufsichtsbehörde gemeldet werden. Wer erst im Ernstfall überlegt, wer zuständig ist, verliert wertvolle Zeit.
Fotos von Mitarbeitenden
Das Teamfoto auf der Website oder der Messestand-Schnappschuss bei Facebook: Hier herrscht nach wie vor viel Unsicherheit. Unser pragmatischer Rat: Holen Sie für Fotos, auf denen Mitarbeitende im Mittelpunkt stehen, eine schriftliche Einwilligung ein, erklären Sie, wo das Bild erscheint, und respektieren Sie es, wenn jemand nicht abgebildet werden möchte. Wer ausscheidet, sollte auf Wunsch von der Website verschwinden. Das ist kein großer Aufwand und vermeidet Streit.
Und der Datenschutzbeauftragte?
Nach dem Bundesdatenschutzgesetz brauchen Unternehmen in der Regel einen Datenschutzbeauftragten, wenn mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Politisch wird zwar darüber diskutiert, diese Schwelle für kleine Betriebe anzuheben. Beschlossen ist das aber nicht. Bis auf Weiteres gilt die Zehn-Personen-Regel. Und auch ohne Beauftragten müssen Sie die DSGVO natürlich einhalten.
Checkliste für Ihren DSGVO-Jahrescheck
Der Jahrestag ist ein guter Anlass für einen kurzen Check. Nehmen Sie sich eine Stunde Zeit:
- Ist das Verzeichnis der Verarbeitungstätigkeiten aktuell?
- Gibt es neue Dienstleister ohne Vertrag zur Auftragsverarbeitung?
- Stimmt die Datenschutzerklärung noch mit den eingesetzten Tools auf der Website überein?
- Wissen alle, was bei einer Datenpanne zu tun ist?
- Sind neue Mitarbeitende zum Datenschutz unterwiesen und verpflichtet worden?
- Werden Löschfristen tatsächlich umgesetzt?
- Sind Laptops und Smartphones verschlüsselt und mit Passwort geschützt?
Unser Fazit
Ein Jahr DSGVO zeigt: Der Weltuntergang ist ausgeblieben, der Aufwand war trotzdem real. Für den Mittelstand geht es jetzt nicht mehr um das große Projekt, sondern um Routine. Datenschutz sollte so selbstverständlich werden wie die Buchhaltung: regelmäßig, ordentlich und ohne Drama.
Wir helfen Ihnen gerne
Sie möchten wissen, wo Ihr Betrieb nach einem Jahr steht? Das Datenschutz-Team der Mittelstandsoptimierer macht mit Ihnen einen kompakten Jahrescheck und übernimmt auf Wunsch die Rolle des externen Datenschutzbeauftragten. Rufen Sie uns an: 06131 144928-0.
Herzliche Grüße aus Mainz
