Datenschutz im Unternehmen: DSGVO für Firmen

1. Die DSGVO – Umfassender Datenschutz im Unternehmen

Durch die Datenschutzgrundverordnung (DSGVO) wird jedes in der EU tätige Unternehmen zum Datenschutz verpflichtet. Sie ist europaweit die Wichtigste aller Datenschutzbestimmungen, deren Umsetzung die Unternehmen durch geeignete Maßnahmen unbedingt beachten müssen. In ihrer ursprünglichen Ausführung bereits mehrmals neu gefasst und modifiziert, setzt sie die EU-Datenschutzrichtlinie (RL 95/46/EG) um und regelt umfassend die Verarbeitung personenbezogener Daten. Das Bundesdatenschutzgesetz (BDSG-neu) erweitert die Regelungen zum Umgang mit personenbezogenen Daten in Deutschland als nationales Recht. Das Telekommunikationsgesetz (TKG) und das Telemediengesetz (TMG) fanden bis zum Inkrafttreten der DSGVO neben dem BDSG Anwendung.

Verarbeitungen personenbezogener Daten sind nur bei Vorliegen einer Rechtsgrundlage aus Art. 6 DSGVO gerechtfertigt. Unternehmen trifft dabei die Pflicht, Daten betroffener Personen, also beispielsweise von Mitarbeitern, Kunden und Geschäftspartnern, zu schützen und dafür besondere Maßnahmen zu ergreifen, um Sanktionen in Form von hohen Bußgeldern, zu entgehen. Die DGSVO bringt dadurch für Unternehmen datenschutzrechtliche Neuerungen und erhöhte Anforderungen an den Datenschutz mit sich.

2. Datenschutz für kleine und mittlere Unternehmen

Kleine und mittlere Unternehmen (KMU) vernachlässigen den Datenschutz oftmals aus Gründen des Budgets, der Zeit, oder einfach, weil sie sich nicht mit der Umsetzung der neuen Vorgaben beschäftigen möchten. Doch auch KMUs sind zur Wahrung des Datenschutzes verpflichtet und gehen durch dieses Verhalten ein erhebliches Risiko ein. Drohende Bußgelder und Sanktionen können für manche kleine und mittlere Unternehmen existenzgefährdend sein. Insbesondere medienorientierte Start-Ups, die sich regelmäßig mit Daten von Kunden beschäftigen und eine Vielzahl personenbezogener Daten verarbeiten, haben eine große Verantwortung im Bereich Datenschutz und kommen dieser oft nicht ausreichend oder gar nicht nach.

KMUs sind jedoch, wie alle anderen Unternehmen, die personenbezogene Daten verarbeiten, zur Einhaltung des Datenschutzes durch geeignete Maßnahmen verpflichtet. Hierbei sind die Vorschriften der Datenschutzgrundverordnung und des BDSG-neu unabhängig von der Unternehmensgröße zu beachten. Gerade die Pflicht zur Benennung eines Datenschutzbeauftragten, also eines professionellen Ratgebers, sollte nicht unbeachtet bleiben – denn auch Praktikanten, Teilzeitkräfte und freie Mitarbeiter müssen bei den Voraussetzungen an die Benennung eines Datenschutzbeauftragten aus § 38 Abs. 1 BDSG-neu berücksichtigt werden. Zudem kann die Benennung eines Datenschutzbeauftragten unabhängig von der Anzahl der Mitarbeiter, die personenbezogene Daten verarbeiten, notwendig werden. Dies ist nach Art. 37 Abs. 1 DSGVO z. B. dann der Fall, wenn das Unternehmen besondere Kategorien personenbezogener Daten wie Gesundheitsdaten verarbeitet.

Der größte Fehler, den KMUs in dieser Hinsicht machen können, ist, die DSGVO zu ignorieren. Denn neben der Gefahr von hohen Bußgeldern droht ein erheblicher Imageverlust bei den Kunden. Gerade für kleine und mittlere Unternehmen ist oft jeder einzelne Kunde existenzsichernd. Möchte man einen vertrauensvollen und professionellen Umgang mit seinen Kunden pflegen, ist deshalb die Organisation, Einhaltung und Umsetzung der Datenschutzbestimmungen aus der DSGVO und dem neuen Bundesdatenschutzgesetz von höchster Bedeutung.

3. Harmonisierung des Datenschutzrechts durch die DSGVO

In Zeiten rasant wachsender Digitalisierung und Globalisierung nimmt die Verarbeitung immer größerer Datenmengen im globalen Rahmen konstant zu. So werden auch die Herausforderungen für den Datenschutz immer größer. Aus diesem Grund hat der Gesetzgeber im Frühjahr 2016 die Datenschutzgrundverordnung (DSGVO) verabschiedet. Diese gilt seit Mai 2018 verbindlich in allen Mitgliedstaaten. Während die nationalen Datenschutzgesetze bis zum Inkrafttreten große Differenzen aufwiesen, führt die Verordnung zu einer weitgehenden Harmonisierung des Datenschutzrechts auf europäischer Ebene. Das primäre Ziel der Verordnung ist der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und der freie Verkehr solcher Daten gemäß Art. 1 DGSVO.