Datenschutz Neu - der Mai 2018 naht schnellen Schrittes

Ab nächstem Frühjahr entfaltet die EU-Datenschutz-Grundverordnung (DSGVO) ihre rechtliche Wirkung. Die Herangehensweise mancher Unternehmer, der DSGVO erst nächstes Jahr Beachtung zu schenken, stellt sich dabei mit Blick auf die neuen Strafhöhen als massiver Fehler dar.

Inkrafttreten mit 25.5.2018

Bei der DSGVO handelt es sich um eine EU-Verordnung mit dem Ziel, die Verarbeitung personenbezogener Daten durch private Unternehmen und öffentliche Stellen EU-weit zu vereinheitlichen. Die bestehende Datenverarbeitung ist innerhalb von zwei Jahren ab Inkrafttreten der DSGVO mit ihr in Einklang zu bringen.

Am Stichtag 25. Mai 2018 muss somit jedes Unternehmen die DSGVO einhalten.

Von der DSGVO erfasste Personen

Betroffen sind dabei nicht nur Großunternehmer, Behörden und öffentliche Stellen, sondern auch Klein- und mittelständische Unternehmen und Einpersonenunternehmen (Art 2 DSGVO). Somit ist von der DSGVO jedes Unternehmen in der EU betroffen, das personenbezogene Daten verarbeitet. Verarbeitet im Sinne der Verordnung werden Daten dann, wenn sie entweder computerbasiert erfasst werden oder in digitalen oder analogen Systemen gespeichert oder abgelegt werden (Art 4 DSGVO). Entscheidend ist, dass es sich um Daten handelt, die personenbezogen sind, also Name, Adresse, Geburtsdatum, Bankdaten etc.

Endlich mehr Dokumentationspflichten für Unternehmer!

Interessant für Unternehmen sind v.a. die neuen Dokumentationspflichten und die damit einhergehenden Strafbestimmungen. Die bürokratische Hürde der Melde- und Genehmigungspflichten durch die Daten-schutzbehörde ist mit der DSGVO Geschichte. Diese scheinbare Erleichterung entpuppt sich jedoch als Trug-schluss. So hat der/die UnternehmerIn fortan verpflichtend ein „Verzeichnis für Verarbeitungstätigkeiten“ (Art 30 DSGVO) zu führen. Inhaltlich decken sich die Anforderungen weitgehend mir den derzeitigen DVR-Meldung. Neu hinzu kommt die Verpflichtung, zu dokumentieren, wann die personenbezogenen Daten wieder gelöscht werden sollen. Verantwortlich für den gesamten Datenverarbeitungsvorgang ist ab jetzt terminologisch nicht mehr der „Auftraggeber“, sondern dieser wurde in den Begriff des „Verantwortlichen“ geändert. Auch wenn der Datenschutzbehörde die Verarbeitung nun nicht mehr zu melden ist, kann sie den/die UnternehmerIn jederzeit auffordern, ihr das Verzeichnis zu übermitteln. Ausnahmen von der Ver-pflichtung zur Führung eines „Verzeichnisses für Verarbeitungstätigkeiten“ normiert die DSGVO für Unter-nehmen mit weniger als 250 Beschäftigten. Aber auch hier ist Vorsicht geboten. Denn auch kleine Unternehmen müssen dieses Verzeichnis führen, wenn die Verarbeitung von personenbezogenen Daten nicht nur gelegentlich erfolgt bzw. es sich um sensible Daten handelt (bspw. Gesundheitsdaten). Somit unterliegen Lieferanten-, Kunden- und Personalverwaltung – unabhängig der Größe des Unternehmens – aufgrund ihrer regelmäßigen Verarbeitung der DSGVO.

Hauptarbeit für Unternehmen wird somit bis zum 25.5.2018 die Erstellung des „Verzeichnisses für Verarbeitungstätigkeiten“. Die gute Nachricht ist, dass jene Unternehmen, die bereits jetzt faktisch ihre Melde- und Genehmigungspflichten nach dem alten Datenschutzgesetz nachgekommen sind, einen Großteil der Arbeit bereits erledigt haben, da sie ihr Verzeichnis auf den gespeicherten Datenanwendungen aus dem Datenver-arbeitungsregister (DVR-Online) aufbauen können.

Enorme Strafdrohungen

Auch die neuen Strafhöhen zeigen, dass es sich bei Verstößen nicht um ein Kavaliersdelikt handelt. Wurden bisher Verwaltungsstrafen von bis zu EUR 10.000,00 verhängt, beträgt die neue Strafdrohung bis zu zehn Millionen Euro (!) oder zwei Prozent des gesamten weltweit erzielten Jahresumsatzes des vorigen Geschäftsjahres.

Rechtzeitige fachkundige Beratung (etwa hier) kann daher nicht nur hilfreich sein, sondern auch dazu beitragen, existenzbedrohende Strafen zu vermeiden.