Neue EU-Datenschutz-Grundverordnung Was auf Betriebe zukommt

Mit der Digitalisierung steigt die Menge an Daten, die Unternehmen erfassen, verarbeiten und speichern. Daran passt sich auch der Gesetzgeber an. Ab Mai 2018 gilt europaweit eine neue Datenschutz-Grundverordnung. Sie präzisiert die bereits geltenden Vorgaben auch in Deutschland.Mit der neuen Datenschutz-Grundverordnung (DSGVO) sollen die Regeln für die Verarbeitung von personenbezogenen Daten durch private Unternehmen und öffentliche Stellen EU-weit vereinheitlicht werden. Ziel ist es, den Schutz von personenbezogenen Daten innerhalb der Europäischen Union sicherzustellen, aber auch den Datenverkehr innerhalb des europäischen Binnenmarktes zu gewährleisten. Die Verordnung tritt am 25. Mai 2018 in Kraft. Das bislang geltende Bundesdatenschutzgesetz (BDSG) muss sich anpassen. Auch Handwerksbetriebe gelten als datenverarbeitende Unternehmen, wenn sie Mitarbeiterdaten erfassen und Kundendaten speichern. Damit unterliegen sie den Vorgaben des Bundesdatenschutzgesetzes und sind vom Inkrafttreten der neuen EU-Datenschutz-Grundverordnung betroffen. Zu den personenbezogenen Daten, die ein Betrieb erheben, nutzen und speichern darf, zählen die Daten, die Betriebe zur Erfüllung ihrer Pflichten als Arbeitgeber oder als Auftragnehmer gegenüber ihren Kunden benötigen. Für die Einstellung eines Mitarbeiters und die Zahlung des Lohns samt Abführung der Lohnnebenkosten sind zum Beispiel die Kontonummer, die Krankenkasse oder der Familienstand erforderlich. Nach dem Bundesdatenschutzgesetz (BDSG) sind personenbezogene Daten Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person. Was sind personenbezogene Daten?Die Definition wird in der neuen EU-Verordnung wie folgt lauten: Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Onlinekennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann. Im Klartext heißt das: „Alle Informationen, durch die auf irgendeine Art und Weise Rückschlüsse auf eine natürliche Person gezogen werden können, sind personenbezogene Daten und damit datenschutzrechtlich abgesichert. Das kann natürlich der Name sein, aber auch ein Kfz-Kennzeichen oder Aufzeichnungen über Arbeitszeiten und Pausen“, erklärt Dara Horwath, Rechtsexpertin der Handwerkskammer Region Stuttgart. Welche Daten man erfassen und speichern darf Die Regeln des Beschäftigtendatenschutzes sehen vor, dass personenbezogene Daten für Zwecke des Beschäftigungsverhältnisses erhoben, verarbeitet oder genutzt werden dürfen. Ausschlaggebend dafür muss sein, dass ohne sie kein rechtskonformes Beschäftigungsverhältnis zustande kommen kann beziehungsweise dass der Betrieb seine regulär nötigen Abläufe ansonsten nicht gewährleisten und seinen gesetzlichen Pflichten nicht nachkommen kann. Es handelt sich also um Daten wie den Namen einer Person, seine Steuer-Identifikationsnummer und seine Daten zur Sozialversicherung. „Außerdem können es Angaben sein wie Beruf, Qualifikation und Einsatzfähigkeit“, sagt Dara Horwath. Auch wenn der Beschäftigtendatenschutz ab 25. Mai 2018 von seiner Regelung her deutlich umfangreicher wird, bleibt es bei den oben dargestellten Grundsätzen. In Bezug auf die Daten, die der Arbeitgeber benötigt, um das Beschäftigungsverhältnis entstehen zu lassen und seinen gesetzlichen Pflichten nachzukommen, muss er keine gesonderte Einwilligung von seinen Mitarbeitern einholen. Möchte er allerdings mehr Daten erfassen und speichern – wie Angaben zu Hobbys und Interessen des Mitarbeiters –, braucht er eine schriftliche Einverständniserklärung. Das Gleiche gilt, wenn er Daten an andere weitergibt – etwa, wenn das Geburtsdatum in einem von den Kollegen einsehbaren Geburtstagskalender veröffentlicht werden soll. Welche Daten von Kunden darf ein Betrieb erfassen? Für welchen Zweck darf er sie nutzen und speichern? Das Bundesdatenschutzgesetz erlaubt auch hier ein Erheben, Speichern, Verändern oder Übermitteln personenbezogener Daten oder ihre Nutzung, wenn es dabei um die Erfüllung eigener Geschäftszwecke geht. So darf ein Handwerksbetrieb all die Daten in Absprache mit dem Kunden erfassen, die er benötigt, um seine Arbeiten zu erledigen – also beispielsweise die Maße eines Raums oder auch die Adresse des Kunden, damit dort Arbeiten durchgeführt werden oder die Rechnung dorthin versendet werden kann. Diese Daten – genauso wie die Daten der Mitarbeiter – darf der Betrieb aber nicht an Dritte weitergeben. Speichern darf der Betrieb die Daten so lange, bis der Auftrag erledigt ist. Will er sie in einer Datenbank archivieren, bedarf das einer Genehmigung. „Grundsätzlich darf nur den jeweils unbedingt erforderlichen Personen Zugang zu personenbezogenen Daten gewährt werden“, sagt Dara Horwath. Gemäß § 5 BDSG unterliegen diese Personen dem Datengeheimnis. Das heißt: Den bei der Datenverarbeitung beschäftigten Personen ist es untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen. Diese Personen sind bei der Aufnahme ihrer Tätigkeit auf das Datengeheimnis zu verpflichten, welches im Übrigen auch nach Beendigung ihrer Tätigkeit fortbesteht. Auch an dieser Stelle gilt, dass Unternehmen die Daten erfassen, verarbeiten und speichern dürfen, die sie benötigen, um vereinbarte Leistungen ordnungsgemäß zu erfüllen. Für alles andere bedarf es einer schriftlichen Genehmigung – etwa, wenn der Betrieb die Kunden nach Abschluss der Arbeiten für Werbezwecke erneut kontaktieren möchte. Will eine Firma die Daten der Kunden in einer Datenbank speichern, muss auch sie die Kunden einerseits darüber informieren und sich dies genehmigen lassen. Dazu rät die Rechtsexpertin: „Der Kunde muss vorab über den Zweck sowie den Umfang der Verwendung seiner Daten und die Bedeutung seiner Einwilligung aufgeklärt werden. Allgemeine Hinweise wie, dass die Daten zu Werbezwecken verarbeitet werden, reichen nicht aus.“ Wann braucht man einen Datenschutzbeauftragten? Unternehmen haben derzeit einen betrieblichen Datenschutzbeauftragten zu bestellen, wenn das Unternehmen in der Regel mehr als neun Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Bei einer nichtautomatisierten Datenverarbeitung liegt die Schwelle bei 20 Mitarbeitern. „Von einer automatisierten Verarbeitung von Daten spricht man dann, wenn die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten unter Einsatz von Datenverarbeitungsanlagen erfolgt. Das sind in erster Linie Computer, Server oder Smartphones, können aber auch Kopierer sein, wenn sie, wie heute üblich, über ein Speichermedium verfügen“, sagt Dara Horwath. Darüber hinaus sind Unternehmen auch unterhalb dieser Schwelle zur Bestellung eines betrieblichen Datenschutzbeauftragten verpflichtet, wenn sie eine automatisierte Verarbeitung vornehmen und dabei eine sogenannte Vorabkontrolle durchführen müssen. Eine solche Vorabkontrolle ist dann Pflicht, wenn personenbezogene Daten verarbeitet werden, die dazu bestimmt sind, die Persönlichkeit des Betroffenen zu bewerten einschließlich seiner Fähigkeiten, seiner Leistung oder seines Verhaltens. Konkret geht es beispielsweise um die Verarbeitung von Gesundheitsdaten oder wenn mit den Daten Persönlichkeitsprofile erstellt werden sollen. Und es gibt derzeit noch weitere Zwecke, wann grundsätzlich ein Datenschutzbeauftragter eingesetzt werden muss: Wenn personenbezogene Daten für Zwecke der Markt- oder Meinungsforschung automatisiert verarbeitet werden. „Ab 25. Mai 2018 wird die Bestellpflicht ausgeweitet“, erklärt Dara Horwath. Dann bestehe eine Verpflichtung zur Benennung eines Datenschutzbeauftragten auch dann, wenn alternativ eine der folgenden Voraussetzungen vorliegt: es handelt sich um eine öffentliche Stelle, das heißt die Verarbeitung wird von einer Behörde durchgeführt; die Kerntätigkeit besteht in Verarbeitungsvorgängen, die eine umfangreiche, regelmäßige und systematische Überwachung betroffener Personen mit sich bringen, oder die Kerntätigkeit besteht in einer umfangreichen Verarbeitung besonders sensibler personenbezogener Daten.Welche Aufgaben hat ein Datenschutzbeauftragter? Ein Datenschutzbeauftragter muss auf die ordnungsgemäße Anwendung der Datenverarbeitungsprogramme, mit deren Hilfe personenbezogene Daten verarbeitet werden, achten. Für die Praxis bedeutet das: „Als Datenschutzbeauftragter darf nur bestellt werden, wer die zur Erfüllung seiner Aufgaben erforder-liche Fachkunde und Zuverlässigkeit besitzt. Neben umfassenden Kenntnissen im Datenschutzrecht sowie sonstigen relevanten Rechtsvorschriften muss ein Datenschutzbeauftragter auch über grundlegende IT-Kenntnisse sowie betriebswirtschaftliche Grundkompetenzen verfügen. Selbstredend muss er die betrieblichen Verfahrensabläufe und die Betriebsorganisation genau kennen, um beispielsweise Einführungen oder Änderungen von Datenverarbeitungsprozessen hinreichend datenschutzrechtlich beurteilen zu können“, erklärt die Rechtsexpertin. Zudem muss der Datenschutzbeauftragte immer über die aktuellen Rechtsvorschriften informiert sein und diese den mit der Verarbeitung personenbezogener Daten tätigen Personen mitteilen. Umfassende ÜberwachungspflichtenDurch die neue EU-Datenschutz-Grundverordnung wird der Datenschutzbeauftragte nicht nur auf die Einhaltung der entsprechenden Datenschutzvorschriften hinzuwirken haben, sondern er wird eine umfassende Überwachungspflicht haben. Er muss sich dann laut Gesetz mit allen Datenschutzvorschriften der EU-Mitgliedstaaten auskennen. Er ist auch derjenige, auf den eine Aufsichtsbehörde zugeht, wenn es Probleme mit dem Datenschutz beziehungsweise Beschwerden von Mitarbeitern oder Kunden gibt. Hackerangriffe auf Firmennetzwerke sind nicht in jedem Betrieb ein großes Thema. Dennoch müssen Internetverbindungen und WLAN-Netze aller Unternehmen sicher sein – so verlangt es der Gesetzgeber. Dazu rät Dara Horwath: „Man sollte zumindest darauf achten, dass auf jedem einzelnen Computersystem eine Anti-Virus-Software oder sonstige anerkannte Internet-Sicherheitssoftware installiert und der Internetanschluss durch eine Firewall geschützt ist.“ Selbstverständlich müssten diese stets auf aktuellem Stand gehalten und die Computersysteme regelmäßig auf Befall durch Viren, Würmer oder Trojaner kontrolliert werden. Auch sollten Mitarbeiter im Hinblick auf den Umgang mit Dateianhängen und Links in E-Mails sowie eine sichere Passwortgenerierung sensibilisiert werden. Ziel der EU-DSGVO ist, das bisher in den einzelnen Ländern völlig unterschiedlich geregelte Datenschutzrecht europaweit anzugleichen. Da das deutsche Datenschutzrecht der EU als Vorbild gedient haben soll, wird sich in Deutschland das Datenschutzrecht als solches nicht grundsätzlich ändern. Nichtsdestotrotz enthält die Verordnung auch für Deutschland nicht nur Präzisierungen, sondern auch Neuerungen und Erweiterungen, wie die Pflicht zur Schaffung eines Datenschutzmanagements oder die Einführung einer Datenschutz-Folgenabschätzung. Laut Dara Horwath gibt es auch Änderungen bei den Sanktionen, denn bei Verstößen gegen die DSGVO müssen selbst natürliche Personen wie Geschäftsführer und auch Mitarbeiter statt mit Bußgeldern von bis zu 300.000 Euro zukünftig mit bis zu 20 Millionen Euro rechnen. Bei Unternehmen können sogar aufgrund einer umsatzbezogenen Berechnung Millionenbeträge in dreistelliger Höhe fällig werden. „Auch wird zukünftig nicht mehr das Sitzlandprinzip gelten, sondern das Marktortprinzip, so dass sich US-Konzerne wie Google, Facebook oder Microsoft auch an die EU-DSGVO halten müssen, wenn sie in der EU Leistungen anbieten wollen“, gibt die Rechtsexpertin als weiteres Beispiel zu den Neuerungen an. Mit welchen Erwartungen drei Unternehmer aus dem Gebäudereiniger-Handwerk der neuen EU-Datenschutz-Grundverordnung entgegensehen, lesen Sie im Beitrag Ein Thema mit vielen Facetten .Jana Tashina Wörrle | heike.holland@holzmann-medien.de

Neue EU-Datenschutz-Grundverordnung Was auf Betriebe zukommt

Bleiben Sie auf dem aktuellen Stand

Sie wollen schon gehen? Das ist schade.