Die DSGVO steht vor der Tür – und was machst DU?

Die neue Datenschutz Grundverordnung, die seit 2016 schon gültig ist, wird zum 25.Mai.2018 rechtskräftig. Doch viele wissen anscheinend noch gar nicht, dass sie auch selbst aktiv werden müssen!

Im Gespräch mit Selbständigen, Freiberuflern und Kollegen geht es um vielen Dinge. Softwaretipps, Optimierungsideen, Kundenprobleme und Lösungsansätze. Aber die neue DSGVO ist bei vielen Kleinbetrieben noch nicht angekommen.

Während große Konzerne schon seit 1 bis 2 Jahres aktiv sind, um die neue Rechtsgrundlage über alle Prozesse einzuhalten, sich Expertise einkaufen und Datenschutzbeauftragte mit dem Thema beauftragen, müssen sich die Kleinen meist selbst um die Compliance kümmern.

Ein Vortrag der Kanzlei JUN-IT in Würzburg, im Rahmen der 1. Würzburger Web Week hat einiges an Klarheit gebracht, was mit der DSGVO alles abzuhandeln ist.

Kurz zusammengefasst geht es um die Dokumentation der Prozesse, in der personenbezogene Daten verarbeitet werden. Weiterhin müssen alle betroffenen, die mit persönlichen Daten anderer arbeiten, darüber in Kenntnis gesetzt werden, wie sie sich an den Datenschutz zu halten haben. Die Betroffenen, deren Daten verarbeitet werden, müssen darüber informiert werden was mit ihren Daten bei Erteilung eines Auftrages oder Einwilligung zu einem Vorgang passiert.

Es geht somit um klare Kommunikation zwischen Geschäftspartnern und Kunden was und wie mit persönlichen Kundendaten umzugehen ist, und das auf einem einheitlichen europäischem Standard. Das kann die Lohnbuchhaltung von Mitarbeitern sein, das Onlinebanking, die Weitergabe an Agenturen wie mobilemojo, oder die Speicherung der Daten in internen und externen Systemen wie Lexoffice, Google Docs oder Pipedrive. Alles muss analysiert und dokumentiert werden, um gegenüber Dritten, zum Beispiel dem betroffenen Kunden, Auskunftsfähig zu sein, und auf Wunsch dessen Daten unwiederbringlich und nachweislich aus allen Systemen zu löschen.

Du hast einen Webshop oder eine Webseite, in der Kunden oder Interessenten Daten eingeben können? Dann bist du vermutlich schon betroffen, wenn diese gespeichert, weitergegeben oder verwendet werden. 

Es gibt nun viele Lösungsansätze, dem Thema Herr zu werden:

• Je weniger Daten gespeichert werden, desto besser. Somit ist eine Lösung erfasste Daten, sofern mal Sie nicht für Geschäftsprozesse benötigt, zu anonymisieren. Aber das Problem steckt wieder im Begriffs-Detail. Wenn Kundendaten z.B. verschlüsselt abgelegt werden, und somit für Dritte nicht lesbar sind, und nur der Chef den Schlüssel hat, ist es trotzdem keine Anonymisierung, da ja einer den Schlüssel hat. Das heisst die Abgrenzung der Begriffe ist extrem relevant.
• Option 2: Die Spielregeln der DSGVO beachten, und die rechtlichen Grundlagen umsetzen, z.B. die Dokumentation der Verwendung von Daten, und sicherstellen dass alle, die Zugriff auf die Daten haben, sich an die Spielregen und Gesetze halten.

Es gibt 6 Baustellen, die man bei der Umsetzung beackern sollte:

• Datenschutzerklärung novelieren -> Hier gibt es eine Reihe von Vorlagen und Templates im Netz
• Anonymisierung und Pseudonyomsierung von Daten – welche Daten habe ich, welche benötige ich?
• Auftragsverarbeitung – Die Auftragsverabeiter mit Verträgen zur Einhaltung der Compliance verpflichten
• Einwilligungen sinnvoll einsetzen -> Information des betroffenen über die Nutzung der gespeicherten Daten
• Verfahrensverzeichnis erstellen -> Je nach Komplexität eine umfanfgeiche Aufgabe.
• Technische Datensicherheit sicherstellen

Aufgrund der Komplexität werden viele wohl Tools und Software, die aktuell international eingesetzt werden, wieder zurück auf den eigenen PC holen, oder zumindest in Deutschland hosten lassen. Das Thema Cloud Dienste scheint besonders komplex zu sein.

Wie lösen wir das Thema:

Das wichtigste ist die Datenschutzerklärung zu aktualisieren, um sich vor Massenabmahnung zu schützen.

Anschließend werden wir die internen Prozesse dokumentieren und alle Partner und Kunden davon in Kenntnis setzen.

Auch vertraglich werden wir Dinge von unseren Kunden und Partnern einfordern, um proaktiv unseren Verpflichtungen nachgekommen zu sein.

So können wir bei Nachfragen und Kontrollen unser Tätigkeiten sauber dokumentieren und nachvollziehbar darstellen.

Das nicht alles am 25.5. reibungslos funktionieren wird, sollte allen klar sein. Aber es ist ein guter Ansatz und Startpunkt um sich mit dem Thema nachhaltig zu beschäftigen.

Auf der Suche nach Informationen sind wir auf diese Quellen gestoßen. 

• Hier gibt es Informationen von T3N (Kostenpflichtig) in einem Sammel PDF das man abarbeiten kann.
• Hier gibt es bei eRecht 24 Textgeneratoren die interaktiv die benötigten Dokumente erstellen. (Kostenpflichtes Abo)
• Einen Überblick gibt es auch beim BSI 
• Und einen kleinen Einblick gibt es auch auf Golem.de 
• Ein Gastbeitrag bei OXID eSales zum Thema eCommerce Webshop und DSGVO.
• Last but no least: Auch auf Wikipedia findet man einen Einstieg: 

Unser Tipp:

Ran an die DSVGO, und nicht zu lange Warten. Es ist doch einiges, was abzuarbeiten ist.

Übrigens haben einige eCommerce Shop Software Hersteller wie OXID-eSales ein Update angekündigt, um auch alle Webshops rechtzeitig auf die neue Gesetzesgrundlage anpassen zu können. Das Zeitfenster vom Release bis zum Inkrafttreten wird dann die heisse Zeit für uns Agenturen, um die Neuerungen rechtzeitig livezustellen.

Viel Erfolg bei der Umsetzung eueres persönlichen DSGVO Projektes!

*DISCLAIMER* DIES IST KEINE RECHTSBERATUNG, es geht ausschließlich um persönliche Eindrücke zu dem Thema aus eigenen Kundenprojekten und verschiedensten Informationsquellen.

Wie geht ihr mit der DSGVO um? Schreibt uns!