Wie wird Datenschutz im Unternehmen umgesetzt?

Datenschutz im Unternehmen umfasst alle Maßnahmen und Verfahren, mit denen personenbezogene Daten von Beschäftigten, Kunden und Partnern rechtmäßig verarbeitet und vor unbefugtem Zugriff, Missbrauch und Verlust geschützt werden. Umgesetzt wird er mit einer Bestandsaufnahme der Verarbeitungen, klaren Zuständigkeiten, technischen und organisatorischen Maßnahmen, Schulungen und festen Abläufen für Datenpannen und Anfragen Betroffener. Als Rahmen dafür dient häufig ein Datenschutz-Managementsystem nach ISO/IEC 27701; für Cloud-Anbieter gibt die ISO/IEC 27018 spezifische Leitlinien.

Rechtsgrundlage ist in der EU die Datenschutz-Grundverordnung (DSGVO), in Deutschland ergänzt durch das Bundesdatenschutzgesetz (BDSG). Die DSGVO gilt seit dem 25. Mai 2018 und hat die frühere Datenschutzrichtlinie 95/46/EG abgelöst. Sie betrifft nahezu jede Organisation, die personenbezogene Daten verarbeitet, vom Handwerksbetrieb bis zum Konzern. Was sie im Einzelnen regelt, erklärt der Beitrag zur DSGVO. Einen älteren, inzwischen zurückgezogenen britischen Standard für das Datenschutzmanagement beschreibt der Beitrag zum BS 10012.

Grundsätze und Rechte der Betroffenen

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage und muss Grundsätzen wie Transparenz, Zweckbindung, Datenminimierung, Datensicherheit und Rechenschaftspflicht folgen. Betroffene haben unter anderem das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Unternehmen brauchen deshalb Abläufe, um solche Anfragen fristgerecht zu beantworten. Qualifikationen für Datenschutzfachleute sind etwa der Certified Information Privacy Professional/Europe (CIPP/E) und der Certified Information Privacy Manager (CIPM) der IAPP oder das EIPA Data Protection Professional Certificate.

Umsetzung im Unternehmen

Bestandsaufnahme und Verzeichnis

Am Anfang steht eine Übersicht aller Verarbeitungen, von der Kundengewinnung bis zum Newsletter-Versand: welche Daten zu welchem Zweck, auf welcher Rechtsgrundlage, bei wem und wie lange verarbeitet werden. Die DSGVO verlangt dafür in Artikel 30 ein Verzeichnis von Verarbeitungstätigkeiten. Die Bestandsaufnahme zeigt auch Lücken, etwa fehlende Einwilligungen oder unzureichende Sicherheitsmaßnahmen. Daraus entsteht ein Maßnahmenplan.

Datenschutzbeauftragten benennen

Ein Datenschutzbeauftragter (DSB) unterrichtet und berät das Unternehmen und seine Beschäftigten, überwacht die Einhaltung der Datenschutzvorschriften und ist Ansprechpartner für Aufsichtsbehörde und Betroffene. Er kann ein Beschäftigter sein oder die Aufgabe auf Grundlage eines Dienstleistungsvertrags erfüllen. Nach § 38 BDSG muss ein Unternehmen in Deutschland einen DSB benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Bei bestimmten Verarbeitungen, etwa solchen, die eine Datenschutz-Folgenabschätzung erfordern, gilt die Pflicht unabhängig von dieser Zahl.

Technische und organisatorische Maßnahmen

Nach Artikel 32 DSGVO treffen Unternehmen technische und organisatorische Maßnahmen (TOM), die dem Risiko angemessen sind. Dazu zählen Verschlüsselung, Zugriffskontrollen, Datensicherung und gesicherte Kommunikationswege, ebenso Regeln für den Umgang mit Daten und regelmäßige Sicherheitsüberprüfungen der IT. Ein Beispiel ist das Homeoffice: Verschlüsselte Verbindungen, sichere Endgeräte und regelmäßige Sicherheitsupdates sorgen dafür, dass Daten auch außerhalb der Büroräume geschützt sind.

Datenschutz-Folgenabschätzung

Hat eine Verarbeitung, insbesondere beim Einsatz neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, führt das Unternehmen vorab eine Datenschutz-Folgenabschätzung (DSFA) nach Artikel 35 DSGVO durch.

Dienstleister und Cloud-Anbieter

Lässt ein Unternehmen Daten von einem Dienstleister verarbeiten, darf es nach Artikel 28 DSGVO nur Auftragsverarbeiter einsetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Dazu gehören die Prüfung der Schutzmaßnahmen des Anbieters und ein Vertrag zur Auftragsverarbeitung.

Schulung und Sensibilisierung

Im Alltag hängt Datenschutz am Verhalten der Beschäftigten. Regelmäßige Schulungen zu Pflichten und Verantwortlichkeiten sowie klar kommunizierte Richtlinien stärken das Bewusstsein jedes Einzelnen im Umgang mit personenbezogenen Daten.

Datenschutzverletzungen

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, meldet das Unternehmen sie nach Artikel 33 DSGVO unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Hat sie voraussichtlich ein hohes Risiko zur Folge, sind nach Artikel 34 auch die betroffenen Personen unverzüglich zu benachrichtigen. Jede Verletzung wird mit Fakten, Auswirkungen und ergriffenen Abhilfemaßnahmen dokumentiert. Ein vorbereiteter Notfallplan hilft, schnell und geordnet zu reagieren, siehe Incident Management.

Bußgelder und Haftung

Bei Verstößen können Aufsichtsbehörden Geldbußen verhängen, nach Artikel 83 DSGVO in den schwersten Fällen bis zu 20 Millionen Euro oder bei Unternehmen bis zu 4 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Betroffene, denen ein Schaden entstanden ist, haben nach Artikel 82 Anspruch auf Schadenersatz. Hinzu kommt der mögliche Vertrauensverlust bei Kunden und Geschäftspartnern.

Datenschutz prüfen und weiterentwickeln

Ob ein Unternehmen die DSGVO einhält, zeigen interne Audits oder eine externe Prüfung. Wichtige Prüfpunkte sind das Verzeichnis der Verarbeitungstätigkeiten, die Einhaltung der Verarbeitungsgrundsätze, die Datenschutzhinweise, die Sicherheit der Verarbeitung und der Umgang mit Betroffenenrechten. Weil sich Gesetzgebung, Technik und Geschäftsprozesse ändern, werden die Maßnahmen regelmäßig überprüft. Das gelingt nur im Zusammenspiel von Geschäftsleitung, Datenschutzbeauftragtem, IT und allen Beschäftigten.

Häufige Fragen zum Datenschutz im Unternehmen

Was versteht man unter Datenschutz im Unternehmen?

Alle Maßnahmen, Praktiken und Richtlinien, mit denen ein Unternehmen personenbezogene Daten von Kunden, Beschäftigten und anderen Betroffenen rechtmäßig verarbeitet und vor Missbrauch schützt. Dazu gehören technische und organisatorische Vorkehrungen für Vertraulichkeit, Integrität und Verfügbarkeit der Daten.

Welche Gesetze gelten für den Datenschutz im Unternehmen?

Zentral ist die Datenschutz-Grundverordnung (DSGVO), die in der gesamten EU gilt. In Deutschland ergänzt sie das Bundesdatenschutzgesetz (BDSG). Je nach Branche kommen weitere Vorschriften hinzu.

Wann braucht ein Unternehmen einen Datenschutzbeauftragten?

In Deutschland in der Regel, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig davon besteht die Pflicht zum Beispiel, wenn Verarbeitungen eine Datenschutz-Folgenabschätzung erfordern oder die DSGVO selbst eine Benennung vorschreibt.

Was ist bei Dienstleistern und Cloud-Anbietern zu beachten?

Sie müssen hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Das Unternehmen prüft ihre Schutzmaßnahmen und schließt einen Vertrag zur Auftragsverarbeitung.

Wie schnell muss eine Datenpanne gemeldet werden?

Unverzüglich und möglichst binnen 72 Stunden, nachdem sie bekannt wurde, an die zuständige Aufsichtsbehörde, sofern ein Risiko für die Betroffenen besteht. Bei voraussichtlich hohem Risiko werden auch die Betroffenen benachrichtigt.

Was passiert bei Verstößen gegen die DSGVO?

Es drohen Geldbußen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, außerdem Schadenersatzforderungen Betroffener und Reputationsschäden.

Ist eine Datenschutzberatung Pflicht?

Nein, eine externe Beratung schreibt das Gesetz nicht vor. Pflicht ist unter den genannten Voraussetzungen ein Datenschutzbeauftragter, der auch extern bestellt werden kann. Externe Unterstützung kann helfen, Verarbeitungen zu erfassen, Lücken zu finden und einen Maßnahmenplan aufzustellen, wenn intern das Fachwissen fehlt.