Neue Datenschutz-Grundverordnung: Was KMU jetzt wissen müssen

Ein einheitlicher Rechtsschutz für alle 500 Millionen EU-Bürger: Ab 25. Mai werden alle Datensammler und -verarbeiter stärker in die Pflicht genommen. An diesem Tag tritt ein EU-weit einheitliches, strenges Datenschutzgesetz in Kraft. Wer sich nicht daran hält, muss mit hohen Strafen rechnen. Betroffen sind nicht nur Datenkraken wie Facebook oder Google, sondern auch jeder kleine Handwerksbetrieb, der eine Kundendatei führt. Höchste Zeit also, sich um die Umsetzung zu kümmern, mahnen Experten, Panik sei jedoch nicht angebracht.

„Grundsätzlich sind viele der geltenden Regeln gar nicht so anders als bisher, jedoch hatten diese oft nicht die Bedeutung wie jetzt“, erläutert Markus Knasmüller, Prokurist beim BMD-Systemhaus und gerichtlich zertifizierter Sachverständiger für Datenschutz. Vieles ist in Österreich ohnehin schon geregelt, der EU ging es um einheitliche Standards. Die zum Teil hohen Strafdrohungen würden vor allem dazu dienen, dass Firmen den Datenschutz ernster nehmen. Juristen warnen vor Rechtsrisiken aufgrund unklarer Gesetzesbestimmungen, die den Behörden viel Spielraum ließen. Das komplexe Regelwerk lässt nämlich viele Fragen offen. Der KURIER nahm die zehn wichtigsten Punkte aus Sicht von Klein- und Mittelbetrieben (KMU) unter die Lupe:

1. Transparenz

Ziel der Verordnung ist mehr Transparenz bei personenbezogenen Daten. Jeder sollte wissen, wann welche Daten wo über ihn wie lange gespeichert werden und wie sorgsam mit ihnen umgegangen wird. Für Firmen heißt das: Sie müssen klar und verständlich formulieren, wie personenbezogene Daten verarbeitet und verwendet werden.

2. Personenbezogene Daten

Zu unterscheiden sind sensible und nicht sensible Daten. Die häufigsten Personendaten in Firmendatenbanken sind allgemeine Kontaktdaten wie Name, Anschrift, eMail etc. Besonderen Schutz genießen sensible Daten. Sensibel sind Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen sowie religiöse oder weltanschauliche Überzeugungen hervorgehen sowie biometrische Daten wie Fingerabdruck oder Irisscan. Sensibel sind natürlich auch alle Gesundheitsdaten. Strengen Regeln unterliegt ferner die automatisierte Verarbeitung der Personendaten zur Profilbildung („Profiling“).

3. Einwilligung

Bitte vorher fragen. Firmen benötigen immer die Einwilligung der Person, dessen Daten sie speichern. Diese Einwilligung ist in vielen Fällen aber bereits vorhanden – etwa wenn eine Geschäftsbeziehung besteht – oder durch andere Rechtsgrundlagen abgedeckt. Liegt keine andere Rechtsgrundlage vor, ist eine Einwilligung einzuholen. Diese kann schriftlich, elektronisch oder auch mündlich (schwer zu beweisen!) erfolgen, etwa durch Anklicken eines Kästchens auf einer Internetseite. Achtung: Ist ein Kästchen bereits vorangeklickt, liegt keine gültige Einwilligung vor. Bei der Verarbeitung sensibler Daten muss jedenfalls eine ausdrückliche Einwilligungserklärung vorliegen.

4. Verzeichnispflicht

Es gelten verschärfte Dokumentationspflichten. Eine Neuerung ist das Führen eines Verarbeitungsverzeichnisses, das die bisherigen Meldungen an das Datenverarbeitungsregister (DVR) ersetzt. Von der Dokumentationspflicht ausgenommen sind Kleinbetriebe (unter 250 Mitarbeiter), die nur gelegentlich personenbezogene Daten verarbeiten. Die genaue Abgrenzung hier ist aber schwierig. Das Verarbeitungsverzeichnis muss alle Programme enthalten, mit denen personenbezogene Daten verarbeitet werden. Diverse Softwareanbieter bieten dazu eigene Programme an. Diese dienen auch zur besseren Übersicht, wenn etwa jemand das Recht auf Auskunft oder Löschung – siehe Punkt 8 – begehrt. Zur Prävention von Datenmissbrauch oder Datendiebstahl muss im Register auch schon eine Folgenabschätzung enthalten sein. Diese gilt jedoch nur bei sensiblen Daten wie Gesundheitsdaten oder der systematischen Videoüberwachung von öffentlichen Orten.

5. Datenschutzbeauftragter

Zwingend vorgeschrieben ist ein Datenschutzbeauftragter für Behörden, öffentliche Stellen sowie Unternehmen, die regelmäßig und systematisch umfangreiche und sensible Datenmengen verarbeiten, z.B. Banken, Versicherungen oder Krankenanstalten. Auf Klein- und Mittelbetriebe trifft dies wohl nur in Ausnahmefällen zu, sie können aber freiwillig einen Beauftragen ernennen. Dieser muss entsprechend qualifiziert sein und genießt Kündigungsschutz. Seine Aufgabe ist es, die Einhaltung der DSGVO zu überwachen, Mitarbeiter zu schulen und mit Behörden zu kooperieren. Firmen können auch einen externen Datenschutzexperten beauftragen.