Die im Mai 2016 in Kraft getretene EU-Datenschutz-Grundverordnung (EU-DSGVO) wird nach einer zweijährigen Übergangsphase ab dem 25.05.2018 wirksam. Gleichzeitig gilt ab diesem Stichtag das neue Bundesdatenschutzgesetz („BDSG neu“).
Bis zu diesem Stichtag müssen Unternehmen ihre Geschäftsabläufe ggf. an die neue Rechtslage anpassen. Von den neuen Regelungen betroffen sind auch kleine und mittlere Unternehmen (KMU) sowie Einzelunternehmen, also z.B. auch freiberuflich tätige Architekten.
Grundsätzlich jedes Unternehmen sollte daher prüfen, inwieweit die neuen gesetzlichen Datenschutzregelungen technische bzw. organisatorische Auswirkungen auf die tägliche Arbeit haben, z.B. bezüglich:
- Vorgaben für Vereinbarungen mit Auftragsverarbeitern
- Dokumentationspflichten, z.B. Pflicht zur Führung eines Verzeichnisses aller Verarbeitungstätigkeiten mit personenbezogenen Daten (Verfahrensverzeichnis), Dokumentation von Datenschutzvorfällen und Dokumentation von Weisungen im Rahmen von Auftragsverarbeitungsverhältnissen
- Melde– und Konsultationspflichten, z.B. Pflicht zur Benennung eines betrieblichen Datenschutzbeauftragten gem. § 38 Abs. 1 BDSG, wenn in der Regel mindestens 10 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, also z.B. am PC arbeiten
- Verbot mit Erlaubnisvorbehalt: für die Verarbeitung personenbezogener Daten ist stets eine Rechtsgrundlage erforderlich, die in der Regel auch die Anforderungen an die erforderliche datenschutzrechtliche Einwilligung konkretisiert
- Betroffenenrechte und Informationspflichten, z.B. das Recht auf Vergessenwerden
Bei Datenschutzverletzungen drohen empfindliche Geldbußen (gem. Artikel 83 EU-DSGVO) und/oder Schadensersatzansprüche (gem. Artikel 82 EU-DSGVO).
Die meisten Anforderungen, auch z.B. die Pflicht zur Führung eines Verfahrensverzeichnisses oder zu vertraglichen Vereinbarungen mit Auftragsverarbeitern, gelten unabhängig von der Betriebsgröße, also auch für Einzelunternehmen.
Die Pflicht zur Benennung eines Datenschutzbeauftragten gilt ab 10 beschäftigten Personen, die ständig personenbezogene Daten verarbeiten - unabhängig davon, ob diese Personen im eigenen Betrieb angestellt sind oder als externe Auftragsverarbeiter für das Unternehmen arbeiten (z.B. Buchhaltung) und auch unabhängig davon, ob die 10 Personen in Voll- oder Teilzeit arbeiten. Der Datenschutzbeauftragte ist dabei der zuständigen Datenschutzbehörde zu melden und mit Kontaktdaten zu veröffentlichen, z.B. im Impressum der Firmenwebseite.
Weiterführende Informationen: ► Die EU-Datenschutz-Grundverordnung - Checkliste für die Umsetzung in Unternehmen (auf der Webseite des Bundesministeriums für Wirtschaft und Energie)
