Gastbeitrag: Datenschutz 2.0 – was Unternehmen beachten müssen

Unsere heutige Gastautorin Nasanin Bahmani kenne ich bislang aufgrund ihrer Tätigkeiten innerhalb der Franchise-Wirtschaft. Als ich erfuhr, dass sie seit 2013 als externe Datenschutzbeauftragte ist, fragte ich Frau Bahmani, ob sie nicht Interesse habe, einen Gastbeitrag zum Thema Datenschutz für diesen Blog zu schreiben. Denn ich hatte bislang noch nicht über die Verpflichtung von Unternehmen nachgedacht, einen Datenschutzbeauftragten zu stellen. Geschweige denn über den Unterschied zwischen internen und externen Datenschutzbeauftragten. Ehrlich gesagt wusste ich noch nicht einmal, wann und für welche Unternehmen Datenschutzbeauftragte verpflichtend sind. Umso mehr freue ich mich darüber, dass sich Frau Bahmani dazu bereit erklärt hat, für mich und unsere Leser (falls nötig) ein wenig Nachhilfe zu leisten:

Datenschutz 2.0

Ein Gastbeitrag von Nasanin Bahmani

Das letzte Jahr war für Datenschützer ein aufregendes Jahr. Nachdem der Datenschutz lange stiefmütterlich behandelt worden ist, sei es in der Politik, als auch in der deutschen Wirtschaft, gerät er durch die jüngsten Ereignisse nun immer mehr in den Fokus. Doch was genau ist Datenschutz? Datenschutz hört sich sehr theoretisch und juristisch an, ist aber so wichtig, dass er im Grundgesetz verankert ist. Dennoch wissen viele nicht, was für Rechte und Pflichten jeder einzelne hat.

Am 15.12.1983, also vor genau 30 Jahren, hat das Bundesverfassungsgericht mit seinem Urteil zur informativen Selbstbestimmung die verfassungsrechtliche Grundlage der deutschen Datenschutzbestimmungen gelegt. Informative Selbstbestimmung, den Begriff kennen wir alle und wir alle stimmen sicherlich zu, dass uns dieses Recht wichtig ist.

Datenschutzbeispiele aus unserem Alltag

Nun, was tun wir dafür, dass dieses Recht gewahrt wird? Achten wir darauf, dass niemand unsere Post liest? Sicher! Doch achten wir auch darauf, dass unsere E-Mails nicht gelesen werden? Am Geldautomaten verdecken wir die Tasten, so dass niemand unsere PIN-Eingabe sehen kann, doch im Internet geben wir ohne Überlegung unsere Kreditkartennummer und unsere Daten an. Wir erzählen niemandem, was wir an unseren Wochenenden tun – denn Privat ist Privat – doch unsere Freunde auf Facebook sehen live Bilder des Geschehens mit genauer Ort- und Zeitangabe und den Namen aller Anwesenden und dazu noch die Freunde unserer Freunde und deren Freunde – doch Privat ist Privat.

Die Privatsphäre eines jeden ist unerlässlich und sollte vor allem im Zeitalter von E-Commerce, sozialen Netzwerken und Mobiltelefonen in unser aller Köpfen sein. Doch ist es uns wirklich bewusst, wie verletzlich wir auf Grund von neuen Kommunikationswegen sind? Sicherlich ist das Online Shopping und die Online Bank ein großer Vorteil. Vor allem in unserer heutigen schnelllebigen Gesellschaft, mit einem erheblichen Zeit- und Leistungsdruck, freuen wir uns über jede technische Erleichterung, die uns der Fortschritt bringt. Doch sollten wir uns genauso überlegen, wie wir uns vor der möglichen unerlaubten Nutzung unserer Daten schützen.

Datenschutz in Unternehmen

Auch und vor allem in der Wirtschaft, sollten wir uns an strenge Datenschutzrichtlinien halten, denn sie schützen sowohl unsere Kunden, als auch unser eigenes Unternehmen. Jeder Unternehmer wird mir beipflichten, wie wichtig es sei, Firmeninterna intern zu halten und Kundendaten nicht an Außenstehende kommen zu lassen. Dennoch gibt es noch Unternehmen, in deren Datenbank sich ein Teenager von überall auf der Welt reinhacken und alle Daten klauen kann, ohne dass es dem Unternehmer auffällt. Goldstaub, so wird bei Unternehmen die Kundendatei genannt. Diesen Goldstaub lassen wir uns nur all zu leicht durch die Hände rinnen.

Auch wenn das Datenschutzgesetz selbst Kleine und Mittelständige Unternehmen dazu verpflichtet es einzuhalten, wird der Datenschutz bei vielen Unternehmen noch immer als lästige Pflichtübung behandelt oder sogar komplett ignoriert. Was vielen Unternehmen und Unternehmern nicht bewusst ist – hält man sich nicht an die Datenschutzbestimmungen, drohen einem Bußgelder von bis zu 300.000 EURO und sogar Freiheitsstrafen für die unzulässige Erhebung, Verarbeitung und Nutzung personenbezogener Daten. Allein das Fehlen eines Datenschutzbeauftragten kann mit bis zu 50.000 EURO geahndet werden. Die Leitung eines jeden Unternehmens ist dafür verantwortlich und Unwissenheit schützt in Deutschland niemanden vor Strafe.

Datenschutzbestimmungen in aller Kürze

Gemäß § 4 BDSG müssen Datenschutzbeauftragte bestellt werden wenn

• mehr als neun Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Beispiel: Vor allem in Franchisesystemen bedeutet dies, dass ein Franchisegeber mehr als neun Angestellte – unabhängig ob Voll- oder Teilzeit – beschäftigt, welche mit ihrem PC Zugriff auf die Datenbank der Franchise-Entwicklungs-Abteilung und den möglichen neuen Franchisepartnern, der Trainings-Abteilung und / oder den Daten der Franchisepartner haben.

• mindestens zwanzig Personen mit der nicht automatisierten Erhebung, Verarbeitung oder Nutzung personenbezogener Daten beschäftigt sind.

Beispiel: Hier wird noch mit einer Hard-Copy Kundendatei, wie z.B. Dateikarten gearbeitet. Dies kommt heutzutage aber kaum noch vor.

• Wenn „besondere Daten“ verarbeitet werden, so dass eine sogenannte „Vorab-Kontrolle“ erforderlich ist.

Beispiel: Dies gilt unabhängig von der Anzahl der Personen, also theoretisch bereits für einen „Ein-Mann-Betrieb“. Betriebe mit Arbeitszeiterfassung, Betriebsdatenerfassung (BDE), Telefondatenspeicherung, medizinischen Daten (Patientendaten, Gesundheitsdaten, …) uvm.

• Bei der „Übermittlung von Daten“

Beispiel: Wenn personenbezogene Daten gewerbsmäßig zum Zweck der Übermittlung verarbeitet werden. Dies gilt unabhängig von der Anzahl der Personen, also theoretisch bereits für einen „Ein-Mann-Betrieb“. Betriebe wie Auskunfteien, Wirtschaftsinformationsdienste, Adressverlage (Handel mit Adressen zu Werbezwecken) uvm.

In allen anderen Fällen braucht das Unternehmen keine Datenschutz-Beauftragte zu bestellen. Dies bedeutet allerdings nicht, dass der Betrieb von allen anderen Pflichten aus dem Datenschutz-Gesetz befreit ist. Die Datenschutzvorschriften gelten für jeden Betrieb, ob mit oder ohne Beauftragten! Daher muss jedes Unternehmen die gesetzlich vorgeschriebenen Maßnahmen zum Schutz personenbezogener Daten ergreifen und dies dokumentieren und jedes Unternehmen muss für sämtliche Personendaten Verfahrensverzeichnisse führen. Es ist demnach in jedem Fall ratsam, sich vorab mit einer versierten Datenschutbeauftragten zu unterhalten und dann zu entscheiden, ob man sich ggf. selber um die Einhaltung der Datenschutzvorschriften kümmern möchte oder eine externe Datenschutzbeauftragte bestellt.

Die Tätigkeit als externe Datenschutzbeauftragte

Nicht jede Angestellte kann ohne weiteres als Datenschutzbeauftragte tätig werden – es können zwar interne oder externe Datenschutzbeauftragte bestellt werden, d.h., dass entweder eine Mitarbeiterin des Unternehmens kann (zusätzlich) mit der Aufgabe der Datenschutzbeauftragten betraut werden oder aber die Datenschutzbeauftragte kann durch einen externen Dienstleister gestellt werden. Doch muss diese Person über fachliche Kenntnisse verfügen, welche ggf. von den Aufsichtsbehörden geprüft wird und muss zuverlässig sein. Zudem muss sie EDV- und betriebswirtschaftliche Kenntnisse vorweisen, sowie organisatorische und pädagogische Fähigkeiten inne haben.

Die Datenschutzbeauftragte übernimmt in Unternehmen eine wichtige Rolle, sie trägt zum Schutz der Grundrechte bei und hilft dem Unternehmen Risiken zu minimieren, indem sie diese über die gesetzlichen Vorschriften berät, die Einhaltung dieser überwacht und Datenverlusten vorbeugt. Für KMU’s ist es allerdings sowohl wirtschaftlich, als auch organisatorisch von Vorteil eine externe Datenschutzbeauftragte zu beauftragen. Die Ausbildung einer Datenschutzbeauftragten ist kosten- und zeitintensiv. Zudem ist eine interne Datenschutzbeauftragte gesetzlich unkündbar und die Tätigkeit ist aufwendig und kann intern zu Problemen führen. Darüber hinaus darf kein Interessenkonflikt aufgrund der sonstigen von ihr für das Unternehmen ausgeübten Tätigkeit entstehen.

Da die externe Datenschutzbeauftragte nicht persönlich im Unternehmen verankert ist, sind Interessenskonflikte unwahrscheinlicher und es kann keine „Betriebsblindheit“ entstehen. Eine externe Datenschutzbeauftragte ist ferner besser auf dem Gebiet des Datenschutzes ausgebildet und bildet sich auch ständig weiter, so dass sie auch über Gesetzesänderungen, Gerichtsentscheidungen uvm. informiert ist. Darüber hinaus ist die Arbeit einer externen Datenschutzbeauftragten sicherer und effektiver, denn wer sich zu 100% mit Datenschutz beschäftigt, arbeitet natürlich effektiver als ein „Halbtags-Datenschutzbeauftragter“.

Obwohl Datenschutz so wichtig ist, ist es aber doch erst durch das Handy der Kanzlerin für jedermann zum Thema geworden. Wie kann es sein, dass jemand die Kurznachrichten der Kanzlerin lesen kann? Wenn das bei der Kanzlerin geht, geht das bei mir auch?

Der Datenschutz in naher Zukunft

Datenschützer fordern die Politik und Gesetzgebung schon seit Jahren auf, härtere Gesetze zu erlassen, welche vor allem EU- und auch Weltweit gelten. Im Koalitionsvertrag der Großen Koalition, der GroKo, wie es auf neudeutsch heißt, wird der Datenschutz daher ebenfalls erwähnt. Die GroKo möchte unter anderem den Beschäftigtendatenschutz verbessern und ein IT-Sicherheitsgesetz erlassen. Auch die Aufsichtsbehörden haben angekündigt, Unternehmen mehr und mehr zu kontrollieren, so dass es zu einer flächendeckenden Einhaltung des Datenschutzes kommt.

2014 wird interessant! Sowohl für Datenschützer, als auch für Datenklauer. Nehmen wir uns daher für das neue Jahr vor, unsere Daten besser zu schützen.

Über die Autorin:

Nasanin Bahmani lebt und arbeitet in Münster als externe Datenschutzbeauftragte. Um Beruf und Muttersein vereinbaren zu können, hat sie sich 2013 kurz vor der Geburt ihres ersten Kindes als Datenschutzbeauftragte Selbstständig gemacht, um Kunden im Münsterland von nun an Ihre wertvolle Dienstleistung anzubieten. Als Datenschutzbeauftragte war sie bereits vor Ihrer Selbständigkeit tätig. Tatsächlich beschäftigt sie sich schon mehr als 10 Jahre mit der Thematik Datenschutz. Nun hat sie sich dazu entschieden, sich auch in ihrem Beruf 100% auf dieses Thema zu konzentrieren. www.bahmani.de

„Wichtig ist für mich, Datenschutz und die Möglichkeiten eines Unternehmens zu vereinbaren und so jedem Unternehmen eine optimale, angemessene, praktikable und maßgeschneiderte Lösung zu bieten.“