Berater zeigt etwas auf dem Tablet.
www.bildwerknord.de - Hannes Harnack

Neues Datenschutzrecht

EU-Datenschutzgrundverordnung (DSGVO): Das müssen Betriebe seit Mai 2018 beachten.

Am 25. Mai 2018 ist die EU-Datenschutzgrundverordnung (DSGVO) in allen EU Mitgliedsstaaten unmittelbar in Kraft getreten. Sie betrifft alle Unternehmen, die innerhalb der EU personenbezogene Daten verarbeiten. Diese Änderung betrifft alle Betriebe, denn es gibt keine Schwellenwerte für Umsatz oder Mitarbeiterzahl, die die Gültigkeit der DSGVO einschränken. Mit anderen Worten: Die DSGVO gilt grundsätzlich für Weltkonzerne genauso wie für kleine und mittelständische Handwerksbetriebe. Nutzer-Tracking, Kundendaten, Newsletter oder Werbemails, Werben auf Facebook, die eigene Datenschutzerklärung - einiges ändert sich durch die Neuregelung.



 

Ansprechpartner

Udo Kaethner / Frank Twele
datenschutzbeauftragter@hwk-bls.de

Was ist neu?

Vor allem die Rechtsgrundlagen der Verarbeitung, die Rechte der Betroffenen und die Pflichten der Verantwortlichen werden in der neuen Verordnung konkrekt geregelt. Betroffenen soll leichter Zugang zu ihren Daten und der Information über deren Nutzung gewährt werden. Außerdem wird der Anspruch auf Löschung personenbezogener Daten (Recht auf Vergessen werden) nun in das Gesetz mit aufgenommen.



Verbot mit Erlaubnisvorbehalt

Oberster Grundsatz des alten wie des neuen Datenschutzrechts ist das Verbotsprinzip. Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten ist grundsätzlich verboten, es sei denn, es liegt eine Erlaubnis vor. Diese Erlaubnis kann sich u.a. ergeben aus einem Gesetz oder der Einwilligung der betroffenen Personen. Bestehende Einwilligungserklärungen haben weiterhin Gültigkeit.

Wenn sich die Unternehmen von Betroffenen eine neue Einwilligungserklärung einholen, greift die neue Regelung: Zu diesem Zeitpunkt muss der Betroffene darüber schriftlich informiert werden, was mit den Daten passieren soll und zwar zum Zeitpunkt der Datenerhebung.





  

Im Leitfaden des Zentralverbands des Deutschen Handwerks finden Sie alle Informationen, Checklisten und Musterformulierungen zum neuen Datenschutzrecht übersichtlich zusammengestellt.



Download Leitfaden

  Leitfaden "Das neue Datenschutzrecht" - Was Betriebe künftig zu beachten haben

Wesentliche Pflichten

Fünf wesentliche Pflichten müssen Sie als Betrieb erfüllen:

1. Die Informationspflicht

Bei der Neuanlage von Kunden, beim Erhalt von Kundendaten von Dritten oder bei Änderung des Verarbeitungszweckes haben Sie Informationspflichten.

Hier erklären Sie

  • wer Sie sind,
  • warum Sie die Daten speichern und verarbeiten,
  • dass der Kunde das Recht hat, die Berichtigung, Sperrung oder Löschung der Daten – wenn diese widerrechtlich erhoben wurden – zu verlangen
  • und dass dem Kunden ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zusteht.

Hinweis: siehe dazu Leitfaden Seite 12ff sowie Anlage 2



2. Auskunftspflicht

Wenn ein Kunde Auskunft darüber verlangt, welche Daten über ihn bei Ihnen im Betrieb gespeichert und verarbeitet werden, müssen Sie innerhalb von vier Wochen darüber Auskunft geben.

Hinweis: siehe dazu Leitfaden Seite 15ff sowie Anlage 3



3. Dokumentationspflicht der Verarbeitung von personenbezogenen Daten

Wenn Sie Kundendaten verarbeiten, müssen Sie Verzeichnisse über Ihre Verarbeitungstätigkeiten anlegen und diese darin dokumentieren. Wenn Sie risikoreiche Daten – wie z.B. Gesundheitsdaten – erheben, müssen Sie zusätzlich eine Datenschutzfolgenabschätzung vornehmen.

Hinweis: siehe Leitfaden Seite 18ff sowie Anlagen 4 und 5



4. Überprüfung von externen Verarbeitungen bzw. Auftragsverarbeitungen

Für den Fall das personenbezogene Daten durch einen Dienstleister wie z.B. einen Steuerberater zur Lohnabrechnung verarbeitet werden, besteht nun die Verpflichtung einen Auftragsverarbeitungsvertrag abzuschließen.

Hinweis: siehe Leitfaden Seite 24f sowie Anlage 8

 Praxistipp: Fragen Sie Ihren Dienstleister nach einem solchem Vertrag. In der Regel hat dieser solch einen Vertrag bereits vorbereitet und stellt Ihnen diesen zur Verfügung.



5. Bestellung eines Datenschutzbeauftragten

Wenn im Betrieb mehr als 10 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind - also z. B. Bearbeitung und Pflege von Kundendaten oder Mitarbeiterdaten - dann muss ein Datenschutzbeauftragter benannt werden. Zu diesen Mitarbeitern im Betrieb, die mit Daten umgehen, zählen auch Leiharbeitnehmer, Auszubildende, Praktikanten oder auch der Geschäftsführer selbst.

Personenbezogene Daten sind Daten, die sich auf identifizierte oder identifizierbare natürliche Personen beziehen also z.B. Adressen, Geburtstage, erteilte Aufträge von Kunden, Krankheitstage oder Arbeitsstunden der Mitarbeiter.

Wird ein Datenschutzbeauftragter im Betrieb benannt, so hat dieser einen Sonderkündigungsschutz.

Hinweis: siehe Leitfaden Seite 21ff sowie Anlage 7



Was heißt automatische Verarbeitung?

Diese liegt immer vor, wenn Computer, moderne Smartphones, z.B. E-Mailverkehr oder auch Videoanlagen mit Aufzeichnungsfunktion eingesetzt werden zur Datenerhebung, Speicherung, Veränderung, Löschung oder Datennutzung. Wegen der Rechtsfolgen einer Benennung ist zukünftig eine schriftliche Benennung eines Datenschutzbeauftragten zu empfehlen, wobei auch externe Dienste hierfür herangezogen werden können.



Unterrichtung und Verpflichtung von Beschäftigten

In Artikel 32 Abs. 4 DS-GVO ist geregelt, dass der Verantwortliche oder Auftragsverarbeiter Schritte unternehmen muss, um sicherzustellen, dass ihnen unterstellte Personen (insbesondere ihre Beschäftigten), die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten (es sei denn, eine gesetzliche Regelung schreibt eine Verarbeitung dieser Daten vor).



Übergangsfristen

Es gelten keine Übergangsfristen.



FAQs: Fragen und Antworten

1. Drohen bei Verstößen hohe Bußgelder bis 20 Mio. Euro?

Nein. Der Bußgeldkatalog bei Datenschutzverstößen wurde im Zuge der Reform erweitert. Diese Erweiterung verfolgt jedoch ausschließlich den Zweck, global agierende Internetkonzerne angemessen sanktionieren zu können. Für mittelständische Betriebe und insbesondere für Kleinbetriebe hat dies keine relevanten Auswirkungen.

2. Wie hoch ist das Risiko von Abmahnungen?

Abmahnungen drohen Betrieben wenn überhaupt nur dort, wo Angaben über den Datenschutz zu veröffentlichen sind. Dies betrifft hauptsächlich Datenschutzinformationen auf Webseiten. Jedoch ist auch hier das Abmahnrisiko als gering einzuschätzen, da Abmahner Verstöße nicht pauschal feststellen können, sondern in jedem Einzelfall prüfen müssen, welche konkreten Informationen auf der Webseite zu erteilen sind. Dies ist aufwändig und zeitintensiv. Zudem ist rechtlich umstritten, ob Datenschutzverstöße überhaupt wettbewerbsrechtlich abgemahnt werden können. Es gibt gute Gründe dies zu verneinen.

3. Benötige ich einen Datenschutzbeauftragten, wenn ich zehn Mitarbeiter habe?

Nein. Ein Datenschutzbeauftragter ist zu bestellen, wenn in Ihrem Betrieb mindestens zehn Mitarbeiter ständig mit der automatisierten Verarbeitung von Daten befasst sind. Als „ständig befasst“ gelten nur solche Mitarbeiter, deren alltägliche Kerntätigkeit die Verarbeitung von Daten ist. Dies ist z.B. bei Mitarbeitern der Lohnbuchhaltung oder der Personalabteilung der Fall. Mitarbeiter, die lediglich die Daten zur Ausübung ihrer handwerklichen Tätigkeit benötigen, fallen grundsätzlich nicht unter diese Regelung.

4. Muss ich als Gesundheitshandwerker immer einen Datenschutzbeauftragten benennen?

Nein. Ein Datenschutzbeauftragter muss bestellt werden, wenn ein Betrieb Gesundheitsdaten umfangreich verarbeitet. Zwar verarbeiten Gesundheitshandwerker Gesundheitsdaten, jedoch geschieht dies nicht in umfangreicher Weise. Im Vergleich zu Krankenhäusern oder großen Arztpraxen wird der geringe Umfang deutlich. Für Gesundheitshandwerker gelten somit i.d.R. dieselben Regelungen wie für andere Handwerksbetriebe.

5. Muss ich von jedem Kunden eine Einwilligung einholen, bevor ich seine Daten erhebe und speichere?

Nein. Handwerksbetriebe dürfen – wie bisher – die Daten ihrer Kunden für alle vorvertraglichen Maßnahmen (z.B. Kostenvoranschlag) und zur Abwicklung des Auftrags erheben, speichern und nutzen. Eine Einwilligung ist nicht erforderlich.

6. Für was benötige ich im Betrieb eine Einwilligung?

Betriebe benötigen nur in seltenen Ausnahmen eine Einwilligung. Dies gilt etwa für die Werbung per E-Mail oder die Veröffentlichung von Mitarbeiterfotos auf der Firmenwebseite. Selbst dabei ist der Grund für die Einwilligung nicht das Datenschutzrecht, sondern andere Rechtsgebiete, wie das Wettbewerbsrecht.

7. Muss jede Datenerhebung von allen Kunden einzeln dokumentiert werden?

Nein. Die Verwendung von Kundendaten zur Vertragsabwicklung stellt ein einziges betriebliches Verfahren dar. Dies gilt unabhängig von der Kundenanzahl. Weitere Verfahren sind z.B. die Nutzung von Kundendaten zur Direktwerbung oder der Verarbeitung von Mitarbeiterdaten zur Lohnabrechnung und zur Personalführung. Für diese Verfahren stehen auf www.zdh.de vorausgefüllte Dokumentationen zur Verfügung.

8. Muss ich auf meiner Firmenwebseite etwas beachten?

Ja. Wenn auf der Firmenwebseite Daten der Websitebesucher erhoben werden, muss darüber im Datenschutzhinweis informiert werden. Typische Fälle sind Formulare zur Kontaktaufnahme oder zur Bestellung von Newslettern. Hierfür finden Sie auf www.zdh.de Musterformulierungen für den Datenschutzhinweis.

9. Muss mit jedem Lieferanten oder Subunternehmer eine Vereinbarung zur Auftragsverarbeitung geschlossen werden?

Nein. Eine Auftragsverarbeitung liegt nur vor, wenn ein Betrieb Daten nutzt, die Aufbereitung dieser Daten aber von einem Dienstleister vornehmen lässt. Der Dienstleister verarbeitet die Daten für und im Auftrag des Betriebs. Dies ist z.B. bei Anbietern von Cloud-Lösungen der Fall, die auf ihren Servern Daten für den Betrieb speichern. Dasselbe gilt für Lohnbuchhaltungsanbieter, die für den Betrieb die Lohnbuchhaltung erstellen und dabei z.B. Mitarbeiterdaten verarbeiten. Bei Subunternehmern und Lieferanten handelt es sich dagegen um eine gewöhnliche Datenweitergabe.

10. Ist das Fotografieren für Fotografen überhaupt noch zulässig?

Ja. Das neue Datenschutzrecht ändert nichts an der Zulässigkeit von professionellen Fotografien. Ob bei Hochzeitsfeiern, im Fotostudio oder in der Öffentlichkeit: Hier gilt die bisherige Praxis uneingeschränkt weiter. Das betrifft auch die Zulässigkeit von Veröffentlichungen. Neu sind lediglich Informationen, die den fotografierten Personen zu erteilen sind. Hierbei genügt jedoch bei Veranstaltungen ein entsprechender Aushang. Bei öffentlichen Fotografien oder Fotos mit zahlreichen abgebildeten Personen, die nicht informiert werden können, entfällt die Pflicht sogar.

Zehn Fragen und Antworten als PDF herunterladen

Quelle: Zentralverband des Deutschen Handwerks (ZDH)



 Weitere Fragen und Antworten von der Landesbeauftragten für Datenschutz Niedersachsen



Missbrauch von Abmahnungen

Der ZDH unterstützt die aktuellen Bestrebungen zur Eindämmung von Abmahnrisiken bei Verstößen gegen Datenschutzregeln. Darüber hinaus spricht sich der ZDH für weitere punktuelle Änderungen im Urheber- und Wettbewerbsrecht aus. Mitbewerber sollen nur dann eine Abmahnbefugnis erhalten, wenn sie von dem abgemahnten Verstoß auch tatsächlich und spürbar wettbewerbsrechtlich betroffen sind. Sogenannte Bagatellverstöße gegen Informations- und Impressumspflichten wie auch Verstöße gegen das Datenschutzrecht sollen künftig beim Abmahnrecht für Mitbewerber entzogen werden.

Stellungnahme des Zentralverbands des Deutschen Handwerks