Was hat sich konkret in Bezug auf die gesetzlichen Grundlagen geändert?

Kurz gesagt: Zum 25.05.2018 hat sich im Datenschutzrecht (fast) alles verändert:

1. Das bis zum 25.05.2018 noch geltende Bundesdatenschutzgesetz (BDSG alt) mit 48 Paragraphen wurde aufgehoben.
2. Die DSGVO regelt als europäische Verordnung nunmehr auch in Deutschland als unmittelbar geltendes Recht den Datenschutz mit 99 Artikeln, die zusätzlich mit den 173 Erwägungsgründen zu lesen sind.
3. Eine abweichende Regulierung durch deutsches Recht ist nur möglich, soweit dies durch sogenannte Öffnungsklauseln in der DSGVO vorgesehen ist. Tatsächlich gibt es zahlreiche Öffnungsklauseln, je nach Zählweise sind es 50 bis 60 Öffnungsklauseln.
4. Aufgrund dieser Öffnungsklauseln ist – neben der DSGVO – auch noch das zum 25.05.2018 in Kraft getretene neue Bundesdatenschutzgesetz (BDSG neu) mit 84 Paragraphen zu beachten.

Ergebnis: Das deutsche Datenschutz-Recht (BDSG) wurde in weiten Teilen durch europäische Regelungen (DSGVO) ersetzt und insgesamt deutlich erweitert. Ohne professionelle Hilfe ist es erheblich schwerer geworden, sich im Paragraphen-Dschungel zurechtzufinden.

Umsetzung der DSGVO im Unternehmen

Konkreter Handlungsbedarf gegenüber Business-Partnern

In Bezug auf Business-Partner ergibt sich durch die DSGVO eine größere Veränderung im Bereich der Auftragsdatenverarbeitung, also immer dann, wenn Ihr Vertragspartner von Ihnen Zugriff auf personenbezogene Daten erhält. Dies geschieht wesentlich häufiger als Sie vielleicht meinen. Haben Sie zum Beispiel externe IT-Betreuung? Dann verarbeitet diese höchstwahrscheinlich in Ihrem Auftrag personenbezogene Daten.

Was ist bei der Auftragsdatenverarbeitung (ADV) zu beachten?

Nach Art. 28 DSGVO muss der Verantwortliche den Auftragsverarbeiter sorgfältig auswählen, das heißt:
– Auch der Auftragsverarbeiter muss technische und organisatorische Maßnahmen durchführen, damit die DSGVO eingehalten wird. Diese Maßnahmen dürfen das Niveau der Datenschutzmaßnahmen in Ihrem Unternehmen nicht unterschreiten.
– Es muss ein Vertrag zwischen Verantwortlichem und Auftragsverarbeiter geschlossen werden, der den Auftragsverarbeiter in Bezug auf den Umgang mit den Daten klar bindet, siehe auch Art. 29 DSGVO.

Müssen Sie einen Datenschutzbeauftragten für Ihr Unternehmen benennen?

Diese Frage ist relativ leicht zu beantworten. Machen Sie den schnellen Selbsttest:

1. Besteht Ihre Kerntätigkeit in der Durchführung von Verarbeitungsvorgängen, die aufgrund ihrer Art, ihres Umfangs oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich machen?

oder

2. Besteht Ihre Kerntätigkeit in der umfangreichen Verarbeitung besonderer Kategorien von Daten wie zum Beispiel Gesundheitsdaten, politische Meinungen, religiösen Überzeugungen, strafrechtliche Verurteilungen?

Sollten Sie beide Fragen verneinen können, so spricht vieles dafür, dass jedenfalls nach der DSGVO keine Pflicht zur Benennung eines Datenschutzbeauftragten trifft.

Aber möglicherweise ergibt sich diese Pflicht aus den gesetzlichen Regelungen, die nach dem deutschen Recht parallel zur DSGVO anwendbar sind:

1. Verarbeiten Sie personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, der anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung?

oder

2. Beschäftigen Sie in der Regel mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten? Dabei spielt es keine Rolle, ob Ihre Angestellten in Voll- oder Teilzeit arbeiten. Es gilt das sogenannte „Kopf-Prinzip“.

Sollten Sie eine dieser Fragen bejahen, sind Sie ebenfalls verpflichtet, einen Datenschutzbeauftragten zu benennen. Gerade die letzte abgefragte Fallkonstellation ist von den meisten mittelständischen Unternehmen zu bejahen. Auch wenn im Reflex viele Unternehmer meinen, dass Ihre Mitarbeiter nicht „ständig“ mit der Datenverarbeitung beschäftigten oder keine „automatisierte Verarbeitung“ vorliegt, so dürfte dies in den allermeisten Fällen nach dem Gedanken des Gesetzes doch zu bejahen sein. Sobald Sie also mindestens zehn Personen beschäftigen, die regelmäßig mit Daten in Berührung kommen, haben Sie sehr wahrscheinlich die Pflicht, einen Datenschutzbeauftragten zu benennen.

Klingt kompliziert? Ist es nicht! Wenn Sie Hilfe benötigen, vereinbaren Sie ein kostenloses Erstgespräch oder buchen Sie eines unserer Pakete! Wir freuen uns auf Ihre Kontaktaufnahme!