EU DS-GVO: Darauf müssen sich Unternehmen einstellen!
Am 25. Mai tritt die EU Datenschutz-Grundverordnung (EU DS-GVO) in Kraft. Was das für Unternehmen und Vereine heißt, stellte der „Solution Day“ des IT-Dienstleisters nobocom in Kooperation mit Securepoint im Hugo Junkers Hangar dar. „Ich denke, dass wir einen guten Überblick geben konnten, welche Herausforderungen und Aufgaben auf alle zukommen werden“, so nobocom-Geschäftsführer Maximilian Reisch. Die Veranstaltung habe gezeigt, wie groß der Aufklärungsbedarf noch sei. „Viele haben sich mit dem Thema immer noch nicht beschäftigt, obwohl die Übergangsfrist am 25. Mai endet.“
Ein Randthema? Lästige Pflicht? Schnell macht Securepoint-Referent René Hofmann in seinem Vortrag klar, dass die EU DS-GVO für alle gilt, die in irgendeiner Form Kundenkontakt haben. Der „Solution Day“ spiegelt das wider: Mitarbeiter aus dem Gesundheitswesen, Großhandel, Produktion und Handwerk wollten mehr zum personenbezogenen Datenschutz erfahren. Aber was sind personenbezogene Daten überhaupt? Dazu gehören unter anderem Telefonnummer, Adresse, aber auch Geburtsdatum, Gehalt, Gewicht oder Herkunft. „Es geht darum, nach bestem Gewissen Datenschutz herzustellen. Die DS-GVO hat ihre Daseinsberechtigung“, betont Hofmann. Wer sich nicht an die Vorgaben halte, werde mit empfindlichen Bußgeldern rechnen müssen. Das können bis zu vier Prozent des weltweiten Firmenjahresumsatzes sein. Die Geldbußen sollen laut Verordnung in jedem Fall „wirksam, verhältnismäßig und abschreckend“ sein. Neu ist auch, dass Strafen gegen natürliche Personen vorgesehen sind und nicht nur gegen Unternehmen. Auch ein Geschäftsführer kann mitunter persönlich haftbar sein.
Was müssen Unternehmen jetzt tun? „Es sollte eine Bestandsaufnahme gemacht werden, wie der Datenschutz bisher innerbetrieblich gehandhabt wurde“, so der Experte. Fakt ist: Die DS-GVO stärkt die Rechte der Kunden. Jeder Kunde muss „umfassend und in einfacher Sprache“ über den Verwendungszweck von Daten informiert werden und einwilligen. Betroffene Personen dürfen auf Verlangen eine kostenlose Auskunft über gespeicherte Daten beantragen und haben auch das Recht, personenbezogene Daten sofort löschen zu lassen.
Dokumentiert wird der Datenschutz in den Unternehmen durch das Verzeichnis von Verarbeitungstätigkeiten. Das Verzeichnis soll neben der allgemeinen Beschreibung der technischen und organisatorischen Maßnahmen darüber informieren, wer die Verantwortlichen und Auftragsverarbeiter sind und welche Daten zu welchem Zweck wie und durch wen verarbeitet werden. Dieses Verzeichnis ist auf Nachfrage den Aufsichtsbehörden vorzuzeigen. Desweiteren sollten technisch-organisatorische Maßnahmen ergriffen werden: „Eine kostenlose Virenschutz-Software reicht da sicherlich nicht“, bemerkt Hofmann augenzwinkernd.
Wenn mehr als 10 Personen ständig mit der automatisierten Verarbeitung von personenbezogenen Daten beschäftigt sind, müssen Unternehmen künftig einen Datenschutzbeauftragten benennen. Im Falle der Benennung eines internen Mitarbeiters sollten keine Interessenskonflikte zwischen normaler Beschäftigung und der Stellung des Datenschutzbeauftragten vorliegen. Auch externe Dienstleister können als Datenschutbeauftragte benannt werden.
Für nobocom war der „Solution Day“ ein voller Erfolg. Der IT-Dienstleister will im September einen weiteren Informationstag zur EU DS-GVO anbieten. „Das Thema wird auch dann noch brandaktuell sein“, ist sich Maximilian Reisch sicher.