Verstoß gegen DSGVO: ganze 9,6 Millionen Euro Strafe für die Dating-App Grindr

Neue Pflichten für Verantwortliche

Verantwortliche Unternehmen unterliegen gleichzeitig neuen Pflichten, die nicht mit den Rechten der Betroffenen korrelieren. Der Datenschutzbeauftragte und die Auftragsdatenverarbeitung waren schon vor der DSGVO für viele Unternehmen verpflichtend. Zusätzliche Pflichten ergeben sich vor allem im Bereich des technischen Datenschutzes.

Technisch-organisatorische Maßnahmen

Nach Art. 24 DSGVO müssen Unternehmen technisch-organisatorische Maßnahmen treffen, um den Datenschutz als Grundrecht zu gewährleisten. Das beinhaltet zudem eine ständige Evaluierung der technischen Maßnahmen und eine Anpassung an fortschreitende technologische Entwicklungen. Die Maßnahmen müssen somit dem „neusten Stand der Technik“ entsprechen.

Schutzziele als übergeordneter Maßstab

Der technische Datenschutz wird durch die DSGVO nicht konkretisiert. Wie einzelne Maßnahmen in der Praxis auszusehen haben, entscheiden entweder nationale Gesetze oder anstehende Gerichtsurteile. Die DSGVO selber formuliert allerdings Schutzziele, deren Erreichung Ziel der technischen Maßnahmen zum Datenschutz sein sollen:

• Verschlüsselung und Pseudonymisierung
• Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der technischen Systeme
• Wiederherstellbarkeit von Daten bei Verlust
• Regelmäßige Überprüfung der Wirksamkeit der technisch-organisatorischen Maßnahmen

Wie einzelne Maßnahmen in der Praxis in Ihrem Betrieb aussehen, hängt stark von der Art der Datenverarbeitung ab. Ein Datenschutzbeauftragter berät Sie umfangreich zu konkreten Maßnahmen.

Datenschutzfolgeabschätzung

In Art. 35 DSGVO wird eine Datenschutzfolgeabschätzung beschrieben, die notwendig wird, wenn die verarbeiteten Daten besonders sensibel sind. Ein Datenleck bei solchen Unternehmen würde ein erhöhtes Schadensrisiko für die betroffenen Personen darstellen. Die Datenschutzfolgeabschätzung wird nach Umsetzung eines Datenschutzkonzeptes vom Datenschutzbeauftragten vorgenommen und an die zuständige Datenschutzbehörde weitergeleitet. Im Grunde handelt es sich dabei um eine Abschätzung aller Risiken und eine Vorabkontrolle des Datenschutzkonzeptes durch die zuständige Behörde.

Höhere Strafen und Bußgelder

Besonders drastisch wird die DSGVO aufgrund der höheren Bußgelder und Strafen empfunden, die durch Datenschutzbehörden verhängt werden können. Viele Anforderungen der DSGVO bestanden in Teilen schon durch das deutsche BDSG-alt. Die Verfasser der neuen Verordnung haben sich an dem deutschen Datenschutzgesetz orientiert. Dass die Thematik von Unternehmen überwiegend ignoriert oder vernachlässigt wurde, lag zudem an der geringen Verfolgung durch Datenschutzbehörden und den niedrigen Bußgeldern. Wer nach Inkrafttreten der DSGVO gegen das geltende Datenschutzrecht verstößt, muss mit Bußgeldern in Höhe von bis zu 20. Mio € oder 4% des gesamten Jahresumsatzes rechnen.

Strengere Verfolgung

Die DSGVO soll für einen einheitlichen europaweiten Datenschutz sorgen und die freie Bestimmung über die eigenen Daten als Persönlichkeits- und Grundrecht stärken. Deutsche Behörden haben angekündigt, Verstöße gegen die DSGVO streng zu verfolgen. Zudem wurden Datenschutzbehörden, die gleichzeitig eine beratende Funktion haben sollen, mit mehr Befugnissen ausgestattet. Es ist somit zu erwarten, dass die Einhaltung von Datenschutzgesetzen ab sofort streng verfolgt und ein wichtiger Bestandteil jeder unternehmerischen Tätigkeit sein wird.

Welche Grundsätze sind nach der DSGVO bei Datenverarbeitungen zu beachten?

Elementar ist die Rechenschaftspflicht der DSGVO für den neuen europäischen Datenschutz. Unternehmen, die personenbezogene Daten verarbeiten, müssen Aufsichtsbehörden gegenüber nachweisen können, dass sie die Vorgaben erfüllen. Maßgebend sind dabei folgende Grundsätze:

• Transparenz: Alle Verarbeitungen müssen offengelegt und öffentlich kommuniziert werden. Dies geschieht im Rahmen der Datenschutzerklärung.
• Datensparsamkeit: Es sollen lediglich die personenbezogenen Daten erhoben werden, die zur Erreichung des Zweckes erforderlich sind.
• Korrektheit der Daten: Falsche Daten dürfen nicht gespeichert werden. Die Korrektheit muss gewährleistet werden, was durch Nachjustierungen, Löschungen oder Aktualisierungen verwirklicht werden kann.
• Zweckbindung: Daten sollen lediglich für die festgelegten und kommunizierten Zwecke verwendet werden. Der Zweck muss dabei legitim und eindeutig sein.
• Speicherbegrenzung: Die Datensparsamkeit wird durch die Speicherbegrenzung konkretisiert. Die Speicherdauer darf das notwendige Mindestmaß zur Zweckerreichung nicht überschreiten.
• Integrität und Vertraulichkeit: Durch angemessene technisch-organisatorische Maßnahmen wird die Unversehrtheit und der Schutz der Daten garantiert.

Die Umsetzung der Grundsätze in konkrete Maßnahmen sollte bereits vor der Gründung vorgenommen werden. Im Optimalfall treten Sie mit einem juristischen Beistand in Kontakt, um Ihr Geschäftsmodell evaluieren zu lassen und einen Überblick über datenschutzrechtliche Anknüpfungspunkte zu erhalten.

An welchen Stellen sind Start Ups und Gründer von der DSGVO besonders betroffen?

Durch die DSGVO wird der Datenschutz zum wichtigen Themenfeld jeder unternehmerischen Tätigkeit. Schon bei der Wahl des Geschäftsmodells und der Vorbereitung der Unternehmensgründung sollten Aspekte des Datenschutzes evaluiert werden. Start Ups müssen in folgenden Bereichen sich häufig mit Datenschutzaspekten auseinandersetzen:

• Mitarbeiter: Auch gegenüber Mitarbeitern müssen Unternehmen Datenschutzpflichten wahrnehmen. Sowohl die Berücksichtigung der Rechte der Mitarbeiter als betroffene Personen deren Daten verarbeitet werden, als auch die Schulung der Mitarbeiter und die Anpassung der IT-Infrastruktur an Datenschutzaspekte ist erforderlich.
• Marketing: Das digitale Marketing spielt für viele Start Ups eine wichtige Rolle. Die Bewerbung eigener Produkte und Dienstleistungen über das Internet, etwa über die eigene Webseite, Facebook- oder Google-Anzeigen oder der Verkauf über den eigenen Onlineshop unterliegt den Anforderungen der DSGVO und ist ein komplexes Themenfeld.
• Kommunikation: Die DSGVO fordert von Unternehmen Maßnahmen zur Wahrung des Datenschutzes in der täglichen Kommunikation. So müssen auch zur Speicherung der Kundendaten und dem Versenden von Werbeangeboten Einwilligung der Betroffenen eingeholt werden. Der E-Mail-Verkehr sollte zudem verschlüsselt werden. In jeden Fall müssen Start Ups ihre Kommunikationsstruktur so aufbauen, dass der Datenschutz gewahrt wird. Zudem müssen die Prozesse und die Kommunikation mit Kunden dokumentiert werden.
• Produktentwicklung: Digitale Produkte, wie Apps oder Software, müssen datenschutzkonform entwickelt werden. Unter Umständen können bestimmte Geschäftsmodelle nicht mehr durchgesetzt werden, da sie den Anforderungen der neuen Datenschutzgesetze nicht gerecht werden. Besonders die Verarbeitung von Nutzerdaten im Internet und deren Einsatz zu Werbezwecken, sollte einer juristischen Überprüfung unterzogen werden. Allerdings bietet die DSGVO auch viele Chancen auf das Erschließen neuer Geschäftsfelder.
• Allgemeine Verwaltung: Sogar in der täglichen Verwaltung müssen Anforderungen der DSGVO umgesetzt werden. Daten dürfen beispielsweise nur solange gespeichert werden, wie es zur Erfüllung des Zwecks erforderlich ist. Das Speichern von geschäftlichen Emails oder etwa Aufbewahrung von Kundendaten muss einer Struktur unterliegen, die den Prinzipien der DSGVO gerecht wird.

Start Ups müssen von Beginn an den Datenschutz als wichtigen Aspekt ihrer unternehmerischen Tätigkeit einplanen. Die konkrete Ausarbeitung eines Datenschutzkonzeptes ist in den meisten Fällen Aufgabe des Datenschutzbeauftragten und stark abhängig von dem angestrebten Geschäftsmodell. Da die strengeren Datenschutzgesetze eine Antwort auf die erstarkten Bedürfnisse der Verbraucher sind, können Start Ups sich gegenüber positiv positionieren, wenn Sie die eigene DSGVO-Compliance und eine Betonung der Thematik als Marketingvorteil nutzen.

Wie muss die DSGVO-Compliance in einen Businessplan integriert werden?

Die DSGVO-Compliance muss bei der Planung eines Unternehmens berücksichtigt werden. Neben der Personalplanung, wird auch die Finanzplanung und der zeitliche Fortschritt eines neu gegründeten Unternehmens tangiert. Nach einer juristischen Evaluation des Geschäftsmodells und des Plans, sollten Datenschutzaspekte ermittelt und die Compliance eingeplant werden. Unterliegt ein Unternehmen der Pflicht zur Bestellung eines Datenschutzbeauftragten, müssen die Kosten dafür eingeplant werden. Weitere Kosten entstehen durch den Einsatz datenschutzkonformer Software, der Dokumentation der Datenschutzmaßnahmen und der Erhebung der Daten sowie durch die Schulung der Mitarbeiter.

Wer ist für datenschutzrechtliche Verletzungen verantwortlich?

Für die Einhaltung der Datenschutzgesetze ist in jedem Unternehmen der Geschäftsführer oder bei Personengesellschaften der Inhaber verantwortlich. Auch wenn ein Datenschutzbeauftragter bestellt werden muss, kann er nur eine beratende Funktion haben.

Er muss die Geschäftsführung jedoch über alle problematischen Felder in Kenntnis setzen. Somit obliegt ihm die indirekte Verantwortung. Er muss das Unternehmen analysieren und feststellen, an welcher Stelle Anpassungen der Prozesse notwendig sind. Versäumt er die Feststellung, so kann er haftbar gemacht werden.

Es sollte allerdings festgehalten werden, dass bei der Bestellung eines internen Datenschutzbeauftragten aufgrund der inneren Betriebshaftung weiterhin das Unternehmen selbst haftet. Für die praktische Umsetzung ist in jedem Fall die Geschäftsführung verantwortlich.

An wen können Gründer sich richten, um sich über den Datenschutz zu informieren?

Um ein gesetzeskonformes Datenschutzkonzept zu entwickeln wird in erster Linie juristische Unterstützung benötigt. Ein akkreditierter Datenschutzbeauftragter kann Ihnen bei der Entwicklung und Umsetzung eines Konzeptes behilflich sein. Eine erste Evaluierung Ihres Vorhabens können Sie einem kostenlosen Erstgespräch im Rahmen unserer Datenschutzberatung erhalten. Fortlaufend kann auch der Kontakt zur zuständigen Datenschutzbehörde aufgenommen werden. Sie haben neben der überwachenden auch eine beratende Funktion.