Datenschutz im Unternehmen

Das Thema Datenschutz ist nicht nur für Konzerne relevant, sondern auch für kleinere Unternehmen, Selbstständige und Freiberufler.

Das Ziel des Datenschutzes ist es, die Daten der Kunden und Geschäftspartner zu schützen und sich an die gesetzlichen Vorgaben zu halten. Relevant hierfür sind die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG).

In diesem Artikel erläutern wir Dir, was alles zum Datenschutz gehört, wann es besonders relevant ist und wer in einem Unternehmen eigentlich die Verantwortung trägt. Auch das Thema Datenschutz-Verstöße wird von uns thematisiert.

Ein Gastbeitrag von Maria Lengemann

Was bedeutet Datenschutz im Unternehmen konkret?

Datenschutz bedeutet den Schutz personenbezogener Daten und gleichzeitig die Sicherstellung, dass diese nur für den vorgegebenen Zweck verarbeitet werden. Besonders Unternehmen müssen Regelungen schaffen, um die Daten von Kunden, Mitarbeitern und Geschäftspartnern zu schützen und zu bewahren.

Dabei geht es um Folgendes:

• Einwilligung: Daten dürfen nur mit Einwilligung der betroffenen Personen erhoben, gespeichert und verarbeitet werden (außer in Ausnahmefällen, die die DSGVO explizit vorsieht).
• Zweckbindung: Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden.
• Datensparsamkeit: Es sollten nur die Daten erhoben werden, die für den jeweiligen Zweck absolut notwendig sind.
• Datensicherheit: Durch technische und organisatorische Maßnahmen (TOMs genannt) muss verhindert werden, dass Daten verloren gehen, gestohlen oder missbraucht werden.
• Recht auf Auskunft und Löschung: Betroffene Personen müssen erfahren können, welche Daten von ihnen gespeichert sind. Diese müssen sich außerdem auf Wunsch löschen lassen.

Wann ist Datenschutz für Unternehmen nötig?

Datenschutz betrifft jedes Unternehmen, sobald personenbezogene Daten verarbeitet werden. Das heißt, dass selbst Kleinunternehmer, Freiberufler und Selbstständige schon dann aktiv werden müssen, wenn sie nur eine Webseite betreiben oder Rechnungen erstellen. 

• Art. 6 DSGVO und Art. 5 DSGVO: Schon das Speichern von Kundennamen und Kundenadressen in einem CRM-System erfordert Datenschutzmaßnahmen. Laut Artikel 6 müssen personenbezogene Daten nur unter bestimmten Bedingungen verarbeitet werden, beispielsweise wenn sie für die Vertragserfüllung notwendig sind. Artikel 5 fordert zudem die Datenminimierung und die Speicherbegrenzung.
• Art. 13 DSGVO, Art. 58 DSGVO und Art. 25 DSGVO: Wenn eine Webseite Kontaktformulare oder Analyse-Tools nutzt, sind ebenfalls Maßnahmen zum Datenschutz erforderlich. Hierfür muss außerdem der DSGVO zufolge eine Datenschutzrichtlinie bereitgestellt werden. Artikel 13 verpflichtet zur Information über die Datenverarbeitung. Artikel 58 gibt den Aufsichtsbehörden Durchsetzungsbefugnisse und Artikel 25 fordert den Datenschutz durch die Technikgestaltung.
• Art. 88 DSGVO und Art. 6 DSGVO: Der Versand von Newslettern darf nur an Kunden erfolgen, die ausdrücklich per Double-Opt-In-Verfahren eingewilligt haben. Artikel 6 Absatz 1 verlangt für Newsletter die ausdrückliche Einwilligung, während Artikel 7 die Bedingungen für die Einwilligung festlegt.
• Art. 88 DSGVO und Art. 6 DSGVO: Für Lohnabrechnungen, Urlaubsverwaltung oder Arbeitszeitaufzeichnungen müssen ebenfalls Datenschutzbestimmungen eingehalten werden.
  Artikel 88 regelt spezifische Bedingungen im Beschäftigungsumfeld und verweist auf das BDSG, das in § 26 BDSG zusätzliche Bestimmungen enthält.

Wer ist im Unternehmen für den Datenschutz verantwortlich?

In Kleinunternehmen, bei Selbstständigen und Freiberuflern liegt die Verantwortung meist in der Geschäftsführung oder der selbstständigen/freiberuflichen Person. Diese müssen sicherstellen, dass die Anforderungen der DSGVO und des BDSG eingehalten werden. Größere Unternehmen, die regelmäßig mit sensiblen Daten arbeiten, benötigen je nach Situation einen Datenschutzbeauftragten.

Das ist nötig, wenn das Unternehmen regelmäßig und systematisch personenbezogene Daten in größerem Umfang verarbeitet. Es ist aber auch nötig, wenn eine öffentliche Stelle als Arbeitgeber tätig ist und wenn besondere Kategorien personenbezogener Daten (zum Beispiel Gesundheitsdaten) verarbeitet werden.

Die verantwortliche Person oder direkt Datenschutzbeauftragte kümmern sich in einem Unternehmen um die Sensibilisierung von Mitarbeitern für die Datenschutzanforderungen und auch für die Einhaltung der Richtlinien. Außerdem hat die Person eine Übersicht darüber, welche Daten verarbeitet werden und zu welchem Zweck.

Wichtig: Eine Datenpanne in einem Unternehmen muss innerhalb von 72 Stunden der Datenschutzbehörde gemeldet werden (Art. 33 Absatz 1 DSGVO).

Was kann bei einem Verstoß gegen den Datenschutz passieren?

Wenn gegen die DSGVO verstoßen wird, sind hohe Bußgelder vorgesehen. Schon kleine Verstöße wie eine fehlende Datenschutzerklärung auf einer Webseite können problematisch sein.
Mögliche Sanktionen:

• Verwarnungen und Aufforderungen zur Nachbesserung
• Laut Art. 83 Absatz 5 DSGVO Bußgelder bis 20 Millionen Euro (oder bis zu vier Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist)
• Schadensersatzforderung durch betroffene Personen

Datenschutzverstöße können außerdem das Vertrauen der Kunden beeinträchtigen – und zwar nachhaltig. Das schadet dem gesamten Ruf des Unternehmens oder der selbstständigen/freiberuflich agierenden Person.

Die wichtigsten Tipps für den Datenschutz in Unternehmen

Über viele Maßnahmen wie Datenschutzschulungen, Einwilligungen oder auch TOMs haben wir bereits gesprochen. Nachfolgend bieten wir Dir noch einige weitere Tipps für den Datenschutz in Unternehmen:

• Lagere sensible Daten nur an sicheren, DSGVO-konformen Orten und vermeide ungesicherte Speicherlösungen.
• Begrenze den Datenzugriff strikt auf notwendige Mitarbeiter und aktualisiere die Berechtigungen zudem regelmäßig.
• Verwende verschlüsselte Kanäle für den Austausch sensibler Informationen, damit die Datensicherheit gewährleistet wird.
• Dokumentiere, welche Daten wofür und wie lange gespeichert werden – das ist zudem eine Absicherung und Pflicht gemäß DSGVO.
• Lasse Deine Systeme regelmäßig auf Schwachstellen prüfen, um eventuelle Datenschutzrisiken zu minimieren.
• 
  

Fazit

Datenschutz ist nicht nur gesetzlich vorgeschrieben, sondern trägt auch zur Vertrauensbildung bei Geschäftspartnern und der Kundschaft bei. Die wichtigsten Regelwerke dazu sind die DSGVO und das BDSG. Maßnahmen für den Datenschutz im Unternehmen sind Datenschutzerklärungen, regelmäßige Prüfungen der Prozesse und generell ein verantwortungsvoller und sensibler Umgang mit Kundendaten. 

Über die Autorin:

Maria Lengemann ist Geschäftsführerin der Diginauten GmbH,
einer Content-Marketing-Agentur mit Sitz in Bayern.
Sie ist zudem seit 14 Jahren als Journalistin selbstständig und Romanautorin.