Gemäß § 38 BDSG sind alle Organisationen (Unternehmen, Vereine und Verbände, aber auch Freiberufler und Selbständige), die mehr als 20 Beschäftigte haben und die sich mit der automatisierten Verarbeitung von personenbezogenen Daten beschäftigen, dazu verpflichtet, einen Datenschutzbeauftragten (DSB) zu benennen. Gern können Sie das auch mit uns klären, ob Ihr Unternehmen einen DSB benötigt - rufen Sie uns einfach an: 03629 77 51 47.

Unabhängig davon, ob Sie einen DSB benötigen oder nicht, müssen Sie dennoch Ihren gesetzlichen DSGVO-Verpflichtungen nachkommen! 

In einem Verzeichnis von Verarbeitungstätigkeiten (oder auch Verarbeitungsverzeichnis) wird z.B. dokumentiert:

• Welche (personenbezogenen) Daten für welchen Zweck verarbeiten Sie?
• Wie schützen Sie diese Daten?
• Wann löschen Sie diese Daten?
• Auf welche Rechtsgrundlage stützen Sie die Verarbeitung der Daten?

Die Führung des Verzeichnisses von Verarbeitungstätigkeiten hat schriftlich zu erfolgen. Kommen Sie dieser Pflicht nicht nach, drohen Strafen von bis zu 20 Mio. EUR bzw. 4 % des letztjährigen Umsatzes. Nach Auskunft der Aufsichtsbehörden liegen die durchschnittlichen Bußgelder bei 10.000 bis 15.000 Euro.

Um personenbezogene Daten vor Verlust oder Zugriff durch unbefugte Personen zu schützen, müssen technische und organisatorische Maßnahmen (TOMs) definiert und beschrieben werden.

Den Verantwortlichen im Unternehmen treffen umfangreiche Informationspflichten gegenüber den betroffenen Personen (z.B. Kunden oder Mitarbeiter). Die Informationen sind zum Zeitpunkt der Erhebung der Daten in präziser, transparenter, verständlicher und leicht zugänglicher Form schriftlich, gegebenenfalls elektronisch zu erteilen.

Die Information über die Verarbeitung der personenbezogenen Daten muss folgendes enthalten:

• Namen und Kontaktdaten des Verantwortlichen,
• Verarbeitungszwecke und Rechtsgrundlage der Verarbeitung,
• Empfänger der Daten oder Kategorien der Empfänger,
• ob die Daten in ein Drittland übermittelt werden,
• Dauer der Datenspeicherung bzw. wenn unmöglich die Kriterien für die Festlegung der Dauer,
• Betroffenenrechte,
• die Möglichkeit des Widerrufs der Einwilligung,
• Aufklärung über das Beschwerderecht bei einer Datenschutzbehörde,
• Informationen darüber, ob die Bereitstellung der personenbezogenen Daten gesetzlich oder vertraglich vorgeschrieben oder für einen Vertragsabschluss erforderlich ist, ob die betroffene Person verpflichtet ist, die personenbezogenen Daten bereitzustellen und welche möglichen Folgen die Nichtbereitstellung hätte und
• gegebenenfalls Information über das Bestehen „automatisierter Entscheidungsfindung“.

Bei Verletzung der Informationspflicht kann die Datenschutzbehörde eine Strafe von bis zu 20 Mio. EUR bzw. 4 % des letztjährigen Umsatzes verhängen.

Sie sind verpflichtet, anfragenden Personen binnen 30 Tagen auf Anfragen zu Auskunft, Berichtigung und Löschung ihrer Daten gesetzeskonform zu antworten. Sie kümmern sich also um alle Betroffenenrechte, die Beantwortung aller Anfragen, Beschwerden und löschen die jeweiligen persönlichen Daten.

Die Verletzung von Betroffenenrechten ist mit bis zu 20 Mio. EUR oder 4% des letztjährigen Jahresumsatzes sanktioniert.

Als Data Breach bzw. Datenpanne wird ein Vorfall verstanden, durch den Unbefugte auf personenbezogene Daten zugreifen (z.B. Verlust eines Datenträgers oder bei einem Cyberangriff).

Die Meldung einer Datenschutzverletzung an die Datenschutzbehörde muss unverzüglich und binnen 72 Stunden, nachdem dem Verantwortlichen diese Verletzung bekannt wurde, erfolgen.

Die Datenschutzbehörde kann Geldstrafen von bis zu 20 Mio. EUR bzw. 4% des letztjährigen Umsatzes verhängen. Außerdem können Betroffene unter Umständen Schadenersatzansprüche gegenüber dem Verantwortlichen geltend machen (sofern er schuldhaft und kausal gegen die Bestimmungen der DSGVO verstoßen hat).

In einem Datenschutzaudit wird dokumentiert, inwieweit Datenschutzbestimmungen auch umgesetzt sind. Externe, unabhängige Prüfer und Gutachter überprüfen hierbei, ob das Unternehmen datenschutzkonform ist. Je nachdem, ob es um die DSGVO-Konformität bei einem bestimmten Projekt oder um die allgemeine Einhaltung des Datenschutzes geht, werden unterschiedliche Fragen gestellt und dokumentiert.

Nicht nur Sie als Unternehmer müssen wissen, wie Sie sich gesetzeskonform zu verhalten haben. Es nützt auch nichts, alles in der Praxis zu wissen und dann trotzdem Strafen zu bekommen, weil Ihre Mitarbeiter die DSGVO-Richtlinien nicht kennen und sich nicht DSGVO-konform verhalten.

Da (personenbezogene) Daten nur für den Zweck, für den diese gedacht/gesammelt wurden, genutzt werden dürfen, ist es notwendig, die Daten in regelmäßigen Abständen auf ihre Aktualität und ihren Zweck zu überprüfen. Falls Daten für den erhobenen Zweck nicht mehr aktuell sind oder nicht mehr benötigt werden, müssen diese gelöscht werden.