#Datenschutz(DSGVO)
#Datenschutz (dsgvo)
Herausragende Bedeutung des Datenschutzes.
Praktisch jedes Unternehmen jeder Branche und Größe ist täglich als „Verantwortlicher“ oder als „Auftragsverarbeiter“ im Sinne der Datenschutz-Grundverordnung (DSGVO) mit der Verarbeitung personenbezogener Daten befasst. Jede Datenverarbeitung – wie zum Beispiel das Erfassen, Ordnen, Speichern oder Verwenden von Mitarbeiter‑, Kunden- oder Lieferantendaten – ist nur rechtmäßig, wenn sich das Unternehmen auf eine definierte Rechtsgrundlage (z.B. Einwilligung, Vertragserfüllung oder berechtigtes Interesse) stützen kann. Zudem muss das Unternehmen aufgrund seiner Rechenschaftspflicht in der Lage sein, nachzuweisen, dass sämtliche datenschutzrechtlichen Grundsätze (z.B. Datenminimierung, Zweckbindung und Speicherbegrenzung) beachtet wurden.
Die Nachweispflicht erstreckt sich auch auf die zu implementierenden Sicherheitsmaßnahmen, die sog. technischen und organisatorischen Maßnahmen. Der Grundsatz der Integrität und Vertraulichkeit verlangt, dass das Unternehmen die Daten so zu verarbeiten hat, dass eine dem Risiko angemessene Sicherheit der personenbezogenen Daten gewährleistet ist. Die Daten sind damit insbesondere vor unbefugten Zugriffen sowie vor unbeabsichtigtem Verlust, Zerstörung oder Veränderung zu schützen (z.B. über hinreichende Verschlüsselung und ein Rollen- und Berechtigungskonzept). Derartige Maßnahmen sind im Rahmen eines IT-Sicherheitskonzepts sorgfältig zu planen, umzusetzen und zu dokumentieren.
Bei DSGVO-Verstößen drohen Unternehmen zum einen Schadensersatzansprüche von Betroffenen, zum anderen empfindliche Geldbußen von bis zu 10 Mio. Euro oder 2% des weltweiten Konzernumsatzes.
Die DSGVO in der täglichen Unternehmenpraxis.
Für die Geschäftsleitung gilt im Hinblick auf das Compliance-Risiko Datenschutz zunächst nichts anderes als für andere Compliance-Bereiche: Das Unternehmen ist so zu organisieren und zu beaufsichtigen, dass es zu keinen Verstößen gegen die DSGVO kommt („Legalitätspflicht“). Vorstände und Geschäftsführer sind danach insbesondere verpflichtet, verschiedene Richtlinien und dokumentierte Prozesse vorzuhalten:
- Regelmäßige Analyse der Geschäftsprozesse, in denen personenbezogene Daten verarbeitet werden, um das Verzeichnis von Verarbeitungstätigkeiten (VVT) fortlaufend auf dem aktuellen Stand zu halten;
- Umsetzung der Betroffenenrechte, wie etwa Erfüllung der Informationspflichten (Datenschutzhinweise) und Gewährung von Auskunftsrechten;
- Planung, Umsetzung und fortlaufende Evaluierung der technischen und organisatorischen Maßnahmen im Rahmen eines IT-Sicherheitskonzepts;
- Umsetzung eines Löschkonzepts;
- Prüfung von Auftragsverarbeitern (z.B. Cloud-/SaaS-Anbieter) auf deren datenschutzrechtliche Geeignetheit; bei US-Anbietern mit Datenübermittlung an Drittländer sind ggf. Standardvertragsklauseln und „zusätzliche Maßnahmen“ nach dem Schrems II Urteil des Europäischen Gerichtshofs erforderlich.
DSGVO-Compliance mit LUCID.
Wir beraten und unterstützen Unternehmen jeder Branche und Größe professionell und pragmatisch bei allen datenschutzrechtlichen Themen und im Hinblick auf sämtliche Anforderungen der DSGVO, insbesondere:
- Implementierung eines Datenschutzmanagementsystems („DSMS“) nach ISO-Standard bzw. nach IDW PS 980;
- Beratung im Zusammenhang mit Datentransfers in Drittstaaten („Schrems II“);
- AV-Verträge, Joint Control (Abgrenzung, Vereinbarung z.B. bei gemeinsamen IT‑, CRM-Systemen);
- Umsetzung und Implementierung eines Löschkonzepts;
- Erstellung von Richtlinien und Datenschutzerklärungen;
- Unterstützung bei der Einführung relevanter Prozesse (z.B. Meldepflichten bei Datenschutz-Verstößen, Umgang mit Bewerberdaten, Bearbeitung von Betroffenenrechten);
- Mitarbeiterschulungen;
- DSGVO-Erfordernisse in #InternenUntersuchungen.
- Dokumentationserfordernisse.