Datenschutz Grundverordnung und Physische Akten und ihr Umgang

Im Offline-Bereich entstehen täglich viele Aufzeichnungen personenbezogener Daten auf Papier. Ein Kunde ruft an, Du nimmst seine Daten auf (schreibst sie auf ein Stück Papier), ein Kunde bestellt einen Artikel und füllt ein Bestellformular aus …

Die DSGVO regelt jede Verarbeitung personenbezogener Daten. Das Format ist davon nicht betroffen. Man denkt in erster Linie an elektronische Formate, aber das ist nicht komplett. Ich persönlich denke, dass der Verarbeitung in physischer Form in der ganzen Diskussion viel zu wenig Aufmerksamkeit geschenkt wird. Ich nehme als Beispiel einen Dienstleistungsbetrieb wie „Steuerberatung“. Da entstehen täglich viele Datensätze über personenbezogene Daten. Da braucht es ein wirklich gutes Konzept um dem gerecht zu werden. 

Viele Dienstleistungsbetriebe sind auch Auftragsverarbeiter physischer Datensätze (Aktenvernichtung, Lieferservice) und brauchen eine funktionierende Infrastruktur um den Verpflichtungen in vollem Umfang gerecht zu werden. Mache eine gute Auswertung wo und wie personenbezogene Daten in physischer Form entstehen und folge ihrem Weg.

Einwilligungen die in Papierform gemacht werden müssen besonders aufgehoben werden. Man braucht diese vielleicht später einmal zum Nachweis! Die Einwilligung zur Verarbeitung personenbezogener Daten kann schriftlich, elektronisch oder mündlich erteilt werden. Aufgrund der Nachweispflicht muss die Einwilligung aufgezeichnet sein. Für eine mündliche Einwilligung kann es ein Tondokument, für die schriftliche ein Formblatt mit Unterschrift und elektronisch ein Logfile oder Bestätigungsnachweis.

In vielen Fällen würde ich raten, dass Du den Kunden das jeweilige Formular selbst ausfüllen lässt. Du gibst ihm das Formular und lässt ihn die Einwilligung ankreuzen. Mit dem Ankreuzen bestätigt er die Einwilligung und alle damit verbundenen Rechte, Grundsätze und Verpflichtungen (siehe Einwilligung). Dann füllt er alles aus und Du hast die Daten mehr oder weniger „rechtssicher“ erhalten. Dadurch, dass der Betroffene die Daten selbst ausgefüllt hat, hast Du auch gleich die Freiwilligkeit nachgewiesen. Hier hast Du eine Einwilligung für einen unbestimmten Zweck als Vorlage.

Wie das in der Praxis auszusehen hat, musst Du Dir erarbeiten. Das machst Du am besten in dem Du Deiner Verarbeitung personenbezogener Daten in Deinem Betrieb nachspürst. 

Ein Hinweis am Rande: Wenn Du personenbezogene Daten auf Notizzettel (Telefonmitteilung, Gesprächsnotizen) erfasst, stelle sicher, dass diese zeitgerecht verarbeitet und vernichtet werden (schredding), dass Du nicht in die Verlegenheit kommst, dass diese Zetteln irgendwo auftauchen, oder verloren gehen.

★ Achte auf sorgfältigen Umgang mit Telefonlisten, Kundenlisten, interne Informationen (Herr „Name“ mit der Telefonnummer fragt nach X), Karteikarten, Zentralakten, Verträge, Datenerfassungsblätter, Patientenkartei (oft ein Thema bei Ärzten, die die Patientenakten gerne bei der Rezeption haben) und Ähnliches. Achte darauf, dass nur befugtes Personal Zugang dazu hat und nichts herumliegt. Wenn Du z.B. eine Kundenliste verlegst und sie nicht mehr wiederfindest, musst Du die Behörde darüber informieren.

Wie schon oben gesagt, Du musst das in Deinem Unternehmen einmal genau untersuchen und Deine eigenen Abläufe aufzeichnen, dann machst Du Dir einen Plan wie das praktisch funktioniert, sodass Du nicht im Tagesgeschäft lahm gelegt wirst.