Ich hab mir gedacht, dass mit dem Datenschutz wird nicht so heiß gegessen wie gekocht
Der Datenschutzbeauftragte auf der Suche nach der verborgenen Datenverarbeitung
Im Internet ist alles recht schnelllebig, wer nicht kreativ und innovativ ist, hat im Wettlauf um den Internetkunden, schnell das Nachsehen.
So passiert es häufig, dass datenschutzrechtliche Aspekte außen vor gelassen werden, frei nach dem Motto: „Dafür haben wir jetzt keine Zeit – raus mit dem Angebot! – aber dalli dalli!“
Jetzt ist das vielleicht noch nicht so gefährlich. Droht jetzt vielleicht im Falle einer Datenschutzverletzung nur eine UWG-Abmahnung, wird ab Mai nächsten Jahres die Datenschutzbehörde mit einem abschreckenden Strafbetrag zuschlagen.
Spätestens dann wird der Ruf nach Hilfe und Klarheit ertönen. „Wieso hat mich keiner aufgeklärt“, „Ich dachte das wird erst diskutiert“; Nein es wird nicht mehr diskutiert.
Ich rate mittlerweile dringend den Datenschutzbeauftragten, Führungskräften, Geschäftsführern und Inhabern, mit den Erhebungen der Datenverarbeitung personenbezogener Daten, schnellstens zu beginnen.
Mein Partner hat die, mittlerweile sehr erfolgreiche, digitale Schulung fertig gestellt. Diese Schulung, die übrigens kostenlos ist, informiert Dich und Deine Mitarbeiter über die Grundbegriffe der DSGVO. Mit diesem Wissen im Gepäck bist Du bereit für die wichtigste Aktion überhaupt, nämlich die Erhebung.
Die Erhebung verschafft den Durchblick in der Verarbeitung personenbezogener Daten
Ich bin immer wieder erstaunt wie überrascht Geschäftsführer, Führungskräfte aber auch IT-Leute sind, wenn sie feststellen in welchem Umfang sie personenbezogene Daten verarbeiten, und wo sich diese überall finden. Es kommt nicht selten vor, dass das mit einem Ausruf „Die sind ja überall!“ begleitet ist.
Wie geht man am besten an die Sache heran?
Hier ist eine Checkliste die Dir das Arbeiten etwas erleichtert.
Es gibt Datenverarbeitung die nach außen gerichtet ist, das sind etwa Verarbeitungen in einem Onlineshop, Kundenverwaltungssysteme, automatisierte Mitarbeiterbewerbungs-Systeme, Optin-Verfahren für Newsletter, Internetangebote, Affiliate-Systeme aber auch Kooperationsaktivitäten die auf Datentausch beruhen.
Dann schaut man weiter in die Datenverarbeitung im inneren Bereich. Das sind Buchhaltung, Lohnverrechnung, Kundenauftrags-Bearbeitung, Zahlungswesen, Lieferantenbeziehungen (obwohl diese wohl auch in die nach außen gerichtete Datenverarbeitung gerechnet werden können), Personalwesen und nicht zuletzt der ganze Bereich der Speicherung, Lagerung und Ablage.
Meist übersehene Bereich der Datenverarbeitung
Der Betriebsrat verarbeitet auch personenbezogene Daten und unterliegt ebenfalls der DSGVO. Aber das ist nicht der einzige übersehene Bereich. Auch die Fuhrparkverwaltung, der Betriebsarzt und Lieferabteilung werden oft übersehen, weil man sie als „Datenverarbeitungsstelle“ nicht wahrnimmt. Das Ausgefallenste, was ich einmal entdeckte, war eine Betriebsküche die Aufzeichnungen darüber führte wer wann welche Menüs konsumiert hat. Wenn man jetzt noch die religiösen Essenvorschriften verschiedener Bekenntnisse mit den personenbezogenen Daten verknüpft hat man auch in der Küche hohe Datenschutzanforderungen.
Erstellung der Verarbeitungsübersicht
In Österreich hat man noch bis Mai 2018 das Datenverarbeitungsregister (das ist etwas Ähnliches wie die Verarbeitungsübersicht in Deutschland). Wer sich schon mit Datenschutz auseinander gesetzt hat, kennt vielleicht den § 4e BDSG wo der Inhalt der Verarbeitungsübersicht festgelegt ist. In der DSGVO gibt es in Zukunft das Verzeichnis der Verarbeitungstätigkeiten (siehe Art 30 DSGVO).
Über das Verarbeitungsverzeichnis habe ich im DSGVO-Kompass-Infobereich schon einiges geschrieben. Diese Informationen sind recht hilfreich beim Umsetzen des Verzeichnisses. Selbst auf die Gefahr hin mich zu wiederholen aber das Verfahrensverzeichnis ist ein „Schlüsselding“ in der Umsetzung der DSGVO in Deinem Betrieb.
Ist eine Frage offen geblieben?
Kann ich Dir beim Umsetzen helfen?
