Datenschutz-Pflichten im Unternehmen sind mehr als nur Bürokratie. Sie schaffen Vertrauen, sorgen für Sicherheit und schützen vor teuren Fehlern. Gerade für kleine und mittlere Unternehmen wirken die Anforderungen oft kompliziert. In diesem Beitrag zeige ich dir anhand von 30 praxisnahen Beispielen, wie du die wichtigsten Datenschutz-Maßnahmen einfach und strukturiert umsetzt, auch ohne eigenen Datenschutzbeauftragten.
Das Wichtigste auf einen Blick
- Thema: Umsetzungspflichten im Datenschutz für Unternehmen
- Ziel: DSGVO-konforme Organisation von Datenschutz & Datensicherheit
- Umfang: 30 praxisnahe Maßnahmen
- Besonders relevant für: KMU & Unternehmen ohne eigene Datenschutzabteilung
- Wichtig: Datenschutz ist ein laufender Prozess, kein einmaliges Projekt
Um es etwas übersichtlicher zu gestalten habe ich hier eine Aufzählung der wichtigsten Umsetzungspflichten zusammengestellt. Datenschutz ist komplex und nicht mit drei Worddateien erledigt. Unternehmen, die eine gute Umsetzung anstreben, sollten daher ein Management-System nutzen und sich zumindest für den Anfang einen Datenschutzberater dazu holen, wenn ein DSB nicht gesetzlich vorgeschrieben ist. Datenschutz ist Chefsache und unumgänglich, wenn man frei von Sanktionen bleiben möchte.
Nachfolgend stelle ich 30 Maßnahmen vor, die als Ansatz bei der Umsetzung helfen sollten.
Datenschutz-Pflichten im Unternehmen: die wichtigsten Aufgaben
- Identität und Kontaktdaten des Verantwortlichen. Müssen im Impressum und in der Datenschutzerklärung / -information zu finden sein. Die Identität kann auch ein Firmenname sein. Wichtig ist, dass Betroffene eine verantwortliche Stelle haben, bei der Anfragen gestellt werden können.
- Kontaktdaten des Datenschutzbeauftragten, falls vorhanden. Wenn ein DSB bestellt ist, muss zumindest eine E-Mail-Adresse veröffentlicht werden. Bei externen DSBs in der Regel auch der Firmenname.
- Zwecke der Datenverarbeitung. Zweckbindung ist ein Datenschutzrecht. Zwecke dürfen nicht geändert werden und bedürfen der vorherigen Zustimmung des Betroffenen.
- Rechtsgrundlage für die Datenverarbeitung. Ohne Rechtsgrundlage keine Datenverarbeitung von Personendaten. Es gibt rechtliche Gründe wie eine Einwilligung, ein Vertrag, gesetzliche Bestimmungen oder ein berechtigtes Interesse, dass dies legal ermöglicht.
- Empfänger oder Kategorien von Empfängern der personenbezogenen Daten dokumentieren. Welche Dritten erhalten außer dem Verantwortlichen noch Daten des Betroffenen? Krankenkassen, Banken, Steuerberater, ext. Dienstleister, Arbeitsamt, etc?
- Geplante Übermittlung von Daten an Drittländer oder internationale Organisationen dokumentieren. Wer z.B. Microsoft 365 nutzt, überträgt Daten in die Microsoft-Cloud. Werden Daten in die USA oder in andere Länder außerhalb der EU übertragen? Liegt dafür eine Vereinbarung vor?
- Die Dauer dokumentieren / mitteilen, für die die personenbezogenen Daten gespeichert werden. Daten dürfen nicht unbegrenzt gespeichert werden. Daten müssen gelöscht werden, wenn der Zweck erlöschen ist. Es sei denn es gibt gesetzliche Aufbewahrungspflichten, wie z.B. gegenüber den Finanzbehörden.
- Rechte der betroffenen Personen, einschließlich des Rechts auf Widerruf der Einwilligung und das Beschwerderecht bei einer Aufsichtsbehörde mitteilen. Betroffene haben durch die DSGVO viele Rechte erhalten. Diese müssen transparent mitgeteilt werden. In einer Datenschutzerklärung oder in anderer Form. Das zu unterlassen kann eine Bußgeldforderung der Aufsichtsbehörde auslösen.
- Vertraulichkeitsvereinbarungen mit Mitarbeitern / Lieferanten abschließen. Zu Beginn eines Beschäftigungs- oder Dienstleistungsverhältnisses, muss eine Vertraulichkeitsvereinbarung und die Geheimhaltung zu Geschäftsgeheimnissen abgeschlossen werden. Dazu gehören auch Informationen zu Sanktionen, wenn dagegen verstoßen wird.
- Durchführen von Backups und Überprüfung der Wiederherstellung. Backups sind wichtig und auch vorgeschrieben. Was nützen sie, wenn diese nicht zurückgelesen werden können. Deshalb ist es notwendig dies regelmäßig zu testen, damit im Ernstfall kein Datenverlust eintritt.
- Fortbildung des Datenschutzbeauftragten. Wenn sie einen internen DSB haben, dann sollte dieser mehrmals im Jahr an Fortbildungen teilnehmen und sich auf dem aktuellen Stand der Rechtlage befinden. Haben sie einen ext. DSB, dann lassen sie sich die Fortbildungen im Tätigkeitsbericht des DSB dokumentieren
FAQs
Besteht eine Pflicht für ein Impressum?
Ja, diese besteht. § 5 DDG führt das näher aus. Die Angabe ist in der EU sehr unterschiedlich. In Deutschland muss zumindest eine ladungsfähige Adresse und Kontaktdaten des Unternehmens stehen. Für bestimmte Branchen und Berufsgruppen gibt es weitere Angabepflichten.
Wozu dient die Datenschutzerklärung?
Die Datenschutzerklärung informiert über die Datenverarbeitung der Website. Je nachdem, was über diese Seite möglich ist, muss eine Information der Webseitenbesucher vorliegen. Gibt es ein Kontaktformular? Einen Bewerberprozess? Eine Newsletter-Funktion? Ein Cookie-Banner? Über all diese Verknüpfungen muss informiert werden und wie die Datenverarbeitung im Detail vorgenommen wird. Als Beispiel die Speicherung von Daten, auch über Dritte, die eingebunden sind.
Warum ist ein Auftragsverarbeitungsvertrag (AVV) sinnvoll?
Ein AVV ist gem. DSGVO verpflichtend für beide Parteien, den Auftraggeber sowie den Auftragnehmer. Wird kein Vertrag geschlossen, dann haften immer beide Parteien gemeinsam, auch wenn nur einer ein geltendes Gesetz missachtet hat.
Muss ich außer der Datenschutzerklärung weitere Informationen mitteilen?
Ja, wenn weitere Datenverarbeitungen stattfinden. Z.B. die Auswahl / Korrespondenz mit Bewerbern oder die Vertragsgestaltung mit Kunden. Für diese Personengruppen bestehen verschiedene Rechtsgrundlagen und verschiedene Speicherfristen. Somit müssen auch unterschiedliche Informationen zur Datenverarbeitung mitgeteilt werden.
Fazit
Welche Datenschutz-Pflichten Unternehmen konkret erfüllen müssen, hängt von Branche, Größe und Verarbeitung ab – die Liste ist ein guter Startpunkt.
Du möchtest wissen, welche dieser Datenschutz-Pflichten für dein Unternehmen wirklich relevant sind?
Dann unterstütze ich dich gern bei der strukturierten Umsetzung, von der ersten Bestandsaufnahme bis zur laufenden Betreuung.
