Noch ein Jahr und gut zwei Wochen: Ab dem 25. Mai 2018 gilt die Datenschutz-Grundverordnung (DSGVO) unmittelbar in allen EU-Mitgliedstaaten. Eine Übergangsfrist darüber hinaus gibt es nicht. Viele Mittelständler haben das Thema bisher vor sich hergeschoben, verständlicherweise, denn das Tagesgeschäft drängt. Aber zwölf Monate sind genug Zeit, wenn man jetzt anfängt. Wir stellen Ihnen einen Fahrplan für die DSGVO-Umsetzung vor, den wir mit unseren Kunden in ähnlicher Form gehen.
Was sich grundsätzlich ändert
Viele Grundsätze kennen Sie aus dem bisherigen Bundesdatenschutzgesetz. Neu oder deutlich verschärft sind vor allem:
- Rechenschaftspflicht: Sie müssen nicht nur datenschutzkonform handeln, sondern es auch nachweisen können.
- Höhere Bußgelder: bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
- Erweiterte Informationspflichten: Betroffene müssen bei der Datenerhebung umfassender informiert werden.
- Meldepflicht bei Datenpannen: grundsätzlich innerhalb von 72 Stunden an die Aufsichtsbehörde.
- Neue Betroffenenrechte: etwa das Recht auf Datenübertragbarkeit.
- Verzeichnis von Verarbeitungstätigkeiten: löst das bisherige Verfahrensverzeichnis ab.
Parallel passt der deutsche Gesetzgeber das nationale Recht an. Der Bundestag hat Ende April ein neues Bundesdatenschutzgesetz beschlossen, das die DSGVO ergänzen soll; die Befassung des Bundesrats steht noch aus. Nach dem beschlossenen Text bleibt etwa die Pflicht zur Benennung eines Datenschutzbeauftragten ab zehn Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind, im Grundsatz erhalten.
Der Fahrplan für die DSGVO-Umsetzung
| Zeitraum | Etappe | Ergebnis |
|---|---|---|
| Mai bis Juni 2017 | Verantwortung klären, Bestandsaufnahme starten | Projektverantwortlicher, Liste aller Datenverarbeitungen |
| Juli bis September 2017 | Verzeichnis und Rechtsgrundlagen | Verzeichnis von Verarbeitungstätigkeiten im Entwurf |
| Oktober bis Dezember 2017 | Verträge und Technik | Auftragsverarbeitungsverträge, Maßnahmen zur Datensicherheit |
| Januar bis März 2018 | Informationspflichten und Prozesse | Neue Datenschutzhinweise, Abläufe für Auskunft, Löschung, Datenpannen |
| April bis Mai 2018 | Schulung und Abschluss | Mitarbeiter geschult, Dokumentation vollständig |
Etappe 1: Verantwortung und Bestandsaufnahme
Bestimmen Sie eine Person, die das Projekt intern vorantreibt, und informieren Sie die Geschäftsführung über Umfang und Risiken. Falls Sie einen Datenschutzbeauftragten haben, gehört er von Anfang an dazu. Dann geht es an die Bestandsaufnahme: Wo im Unternehmen werden personenbezogene Daten verarbeitet? Gehen Sie Abteilung für Abteilung durch: Personal, Vertrieb, Buchhaltung, Website, IT, Empfang. Vergessen Sie Excel-Listen, Papierakten und private Smartphones mit Kundenkontakten nicht.
Etappe 2: Verzeichnis und Rechtsgrundlagen
Aus der Bestandsaufnahme entsteht das Verzeichnis von Verarbeitungstätigkeiten. Für jede Verarbeitung halten Sie Zweck, betroffene Personen, Datenkategorien, Empfänger, Löschfristen und Schutzmaßnahmen fest. Prüfen Sie gleichzeitig, auf welcher Rechtsgrundlage Sie die Daten verarbeiten: Vertrag, gesetzliche Pflicht, berechtigtes Interesse oder Einwilligung. Bestehende Einwilligungen, etwa für Newsletter, sollten Sie darauf prüfen, ob sie den neuen Anforderungen genügen.
Etappe 3: Verträge und Technik
Listen Sie alle Dienstleister auf, die in Ihrem Auftrag Daten verarbeiten: IT-Betreuer, Cloud-Anbieter, Lohnbuchhaltung, Webhoster, Newsletter-Dienst, Aktenvernichtung. Mit allen brauchen Sie Verträge, die den Anforderungen der DSGVO an die Auftragsverarbeitung entsprechen. Viele Anbieter werden neue Verträge anbieten; fragen Sie aktiv nach. Parallel prüfen Sie die technischen und organisatorischen Maßnahmen: Zugriffsrechte, Verschlüsselung von Laptops und mobilen Datenträgern, Datensicherung, Passwortregeln.
Etappe 4: Informationspflichten und Prozesse
Überarbeiten Sie die Datenschutzerklärung Ihrer Website, Hinweise in Formularen, Bewerberinformationen und Mitarbeiterinformationen. Legen Sie fest, wie Sie Anfragen von Betroffenen beantworten, etwa auf Auskunft oder Löschung, und wer innerhalb welcher Frist reagiert. Besonders wichtig: ein klarer Ablauf für Datenpannen. Wer im Ernstfall erst überlegen muss, wer zuständig ist, schafft die 72 Stunden kaum.
Etappe 5: Schulung und Abschluss
Datenschutz scheitert selten an Paragrafen, sondern im Alltag: die E-Mail an den falschen Verteiler, der unverschlüsselte USB-Stick, die Bewerbungsmappe auf dem Kopierer. Schulen Sie Ihre Mitarbeiter kurz und praxisnah. Prüfen Sie zum Schluss, ob alle Dokumente vorliegen und auffindbar sind. Damit erfüllen Sie die Rechenschaftspflicht.
Drei verbreitete Missverständnisse
„Das gilt nur für Konzerne.“
Nein. Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet, also auch für den Handwerksbetrieb mit fünf Mitarbeitern und Kundenkartei. Einzelne Erleichterungen für kleinere Unternehmen gibt es, sie sind aber eng gefasst.
„Wir brauchen jetzt für alles eine Einwilligung.“
Auch nein. Die Einwilligung ist nur eine von mehreren Rechtsgrundlagen. Für die Abwicklung eines Auftrags, die Lohnabrechnung oder die Aufbewahrung von Rechnungen brauchen Sie keine Einwilligung, weil Vertrag oder Gesetz die Verarbeitung erlauben.
„Ein Muster aus dem Internet reicht.“
Muster sind ein guter Anfang, aber sie kennen Ihre Abläufe nicht. Eine Datenschutzerklärung, die Werkzeuge nennt, die Sie gar nicht einsetzen, oder Ihre tatsächlichen Dienstleister verschweigt, hilft im Ernstfall wenig.
Prioritäten, wenn die Zeit knapp wird
Nicht alles ist gleich dringend. Wenn Sie priorisieren müssen, beginnen Sie mit diesen Punkten, weil sie nach außen sichtbar sind oder hohe Risiken bergen:
- Datenschutzerklärung der Website
- Verträge mit Dienstleistern, die viele Daten verarbeiten
- Ablauf für Datenpannen
- Verzeichnis von Verarbeitungstätigkeiten
- Verschlüsselung mobiler Geräte
Unsere ehrliche Einschätzung
Die DSGVO ist für kleine und mittlere Unternehmen kein Weltuntergang, aber auch kein Selbstläufer. Wer bisher das Bundesdatenschutzgesetz ernst genommen hat, hat einen großen Teil der Arbeit schon erledigt und muss vor allem dokumentieren und nachschärfen. Wer bisher wenig gemacht hat, sollte jetzt beginnen. Erfahrungsgemäß werden Berater, Anwälte und Dienstleister im Frühjahr 2018 knapp. Wer früh anfängt, hat Ruhe.
Wir helfen Ihnen gerne
Sie möchten die DSGVO-Umsetzung strukturiert angehen, brauchen einen externen Datenschutzbeauftragten oder einfach eine Einschätzung, wo Sie stehen? Das Datenschutz-Team der Mittelstandsoptimierer begleitet Sie Schritt für Schritt bis Mai 2018 und darüber hinaus. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
