In mittelständischen Unternehmen ist der Schutz der Daten wichtig.
Kleine und mittlere Unternehmen (KMU) müssen sich ebenso wie Großunternehmen an die Datenschutzvorschriften der DSGVO halten. Was rational erscheint, ist in der Praxis mit gewissen Schwierigkeiten bei der Umsetzung verbunden. Damit Sie die häufigsten Hürden gleich kennen, haben wir sie aufgelistet und die wichtigsten Standards für den Datenschutz im Mittelstand zusammengestellt.
Die Allgemeine Datenschutzverordnung (DSGVO) ist eine Reihe von Leitlinien, die die Verarbeitung personenbezogener Daten regeln. Obwohl diese Anforderungen für alle Unternehmen gelten, hat der Datenschutz in mittelständischen Unternehmen noch nicht ein akzeptables Niveau erreicht. Andererseits kann sich ein Unternehmen keine hohen Bußgelder oder schlechte Publicity aufgrund von Verstößen gegen die Datenschutzbestimmungen leisten. Wenn Datenschutz im Mittelstand für Sie noch eine Grauzone ist, ist es höchste Zeit, sich systematisch mit dem Thema auseinanderzusetzen. Zunächst ermitteln wir die häufigsten Hindernisse und zeigen fünf Wege auf, wie KMU die DSGVO einhalten können.
Datenschutz-Herausforderungen für KMU
Dabei spielt es keine Rolle, ob Sie mit Mitarbeitern oder Partnern zu tun haben oder einfach mit Kunden interagieren. Unternehmen sind immer in Situationen, in denen sie mit personenbezogenen Daten umgehen müssen. Gemäß der Datenschutz-Grundverordnung müssen diese geschützt werden. Das gilt für kleine, mittlere und große Unternehmen gleichermaßen.
Die Anwendung des Datenschutzrechts, insbesondere in kleinen und mittleren Unternehmen, ist mit Schwierigkeiten und Mängeln behaftet. Die Hauptgründe dafür sind Zeitmangel und mangelndes Verständnis für das Thema „Datenschutz und KMU“. Mitarbeiter, die Bedürfnisse in konkrete Maßnahmen umsetzen können, sind in einer schlanken Unternehmensstruktur einfach nicht vorhanden. Unterm Strich müssen sich KMU wie Großunternehmen an die Datenschutzgrundverordnung halten. Zumindest erfordern die Kontrollen der Datenschutzaufsichtsbehörden und die möglichen Konsequenzen bei Nichteinhaltung der Verordnung ein aktives Handeln. Aber lassen Sie es gar nicht erst so weit kommen. Richten Sie von Anfang an die richtigen Strukturen ein und überprüfen Sie diese regelmäßig.
Sie sollten auf den Datenschutz für mittelständische Unternehmen achten.
Es gibt mehrere Fälle, in denen die DSGVO berücksichtigt werden muss, wenn es um den Schutz personenbezogener Daten in Unternehmen geht. Die fünf wichtigsten Abschnitte sind im Folgenden zusammengefasst, zusammen mit Empfehlungen, wie die ersten Schritte gemeistert werden können.
Sichere Websites und Online-Shops
In der digitalen Welt von heute hat praktisch jedes Unternehmen eine Website oder sogar einen Online-Shop, in dem man Dinge kaufen kann. Die Website ist hauptsächlich eine Visitenkarte für kleine Unternehmen. Sie wurde einmal erstellt und dann vergessen. In der Zwischenzeit hat sich die Rechtslandschaft dramatisch verändert. Unabhängig davon, welche Funktion Ihre eigene Website erfüllt, ist die Verwaltung der Daten Ihrer Website-Benutzer immer durch die Datenschutzvorschriften vorgeschrieben.
Der erste Schritt besteht darin, sich einen Überblick darüber zu verschaffen, wie personenbezogene Daten auf Ihrer Website verarbeitet werden und welche Partner, wie z. B. Ihr Server-Provider, Zugang zu diesen Daten haben könnten. Binden Sie ein Cookie-Banner und eine aktualisierte Datenschutzerklärung auf Ihrer Website ein und machen Sie Angaben über die Verwendung der Daten.
Ist eine Dokumentation erforderlich?
Das Führen von Aufzeichnungen über die Datenverarbeitung ist eine der Dokumentationspflichten. Unternehmen mit weniger als 250 Beschäftigten sind nach Artikel 30 (5) der DSGVO ausgenommen, wenn personenbezogene Daten nur selten verarbeitet werden. Diese Ausnahme ist in der Praxis nicht anwendbar, da allein die monatliche Gehaltsabrechnung den theoretischen Rahmen überschreitet.
Ausgangspunkte: Erfahren Sie, welche Informationen Ihr Unternehmen über seine Mitarbeiter und Verbraucher sammelt. Schaffen Sie Transparenz, indem Sie alle Prozesse dokumentieren. Wenn dies noch nicht den aktuellen Vorschriften entspricht, optimieren Sie die Art der Datenverarbeitung und planen Sie regelmäßig verfahrenstechnische und technische Verbesserungen in Ihrer Infrastruktur.
Die Verträge für die Auftragsabwicklung sollten mit Ihren Partnern abgeschlossen werden.
In den beiden vorangegangenen Abschnitten haben wir bereits über die Zusammenarbeit mit Ihren Partnern und Dienstleistern gesprochen. Ein Auftragsverarbeitungsvertrag wird dann bedeutsam, wenn diese in Ihrem Auftrag mit personenbezogenen Daten aus Ihrem Unternehmen arbeiten. Dazu gehören unter anderem Anweisungen zur Datenverarbeitung und -speicherung sowie Fragen der Verantwortung bei möglichen Datenschutzverstößen.
Der erste Schritt besteht darin, alle Schnittstellen Ihrer Partner und Dienstleister aufzulisten. Machen Sie sich mit dem Datenaustausch und der Beauftragung der Datenverarbeitung vertraut. Entwerfen Sie dann mit jedem Dritten einen separaten, datenschutzkonformen AV-Vertrag.
Ernennung eines Datenschutzbeauftragten.
Ein Datenschutzbeauftragter überwacht die Einhaltung der Verfahren zum Schutz personenbezogener Daten auf unabhängiger Basis. Nur kleine Unternehmen müssen sich überlegen, ob ein Datenschutzbeauftragter erforderlich ist. Bei einem Unternehmen mit mehr als 20 Mitarbeitern, die mit personenbezogenen Daten zu tun haben, lautet die Antwort „ja“. Folglich ist in den meisten mittelständischen Unternehmen ein Datenschutzbeauftragter erforderlich. Es gibt einige Ausnahmen, die sich auf kleine Unternehmen auswirken und ihnen Pflichten auferlegen können.
Der erste Schritt besteht darin, immer zu prüfen, ob Sie unabhängig von der Größe Ihres Unternehmens einen Datenschutzbeauftragten benennen müssen. Behalten Sie die Merkmale im Auge, die Ihnen bisher die Arbeit erleichtert haben, wenn sie für Ihr Unternehmen nicht mehr erforderlich sind. Die Ereignisse können sich schnell überschlagen, so dass Handlungsbedarf besteht. Ob Sie einen internen Mitarbeiter einstellen oder sich von einem Experten beraten lassen, bleibt ganz Ihnen überlassen.
Die Mitarbeiter sollten eine Datenschutzschulung erhalten.
Fast jeder in Ihrem Unternehmen hat mit personenbezogenen Daten zu tun oder ist an der allgemeinen Prozesslandschaft beteiligt. Daher ist es von entscheidender Bedeutung, aktuelle Informationen zur Verfügung zu stellen, damit jeder einen positiven Beitrag zur Einhaltung der rechtlichen Standards leisten kann. Indirekt besagt Art. 32 DSGVO fest: „Es ist wichtig, technische und organisatorische Maßnahmen zu treffen, um die Sicherheit der Datenverarbeitung zu gewährleisten.“ Diese Standards sind ohne Fortbildung vor Ort nur schwer zu erfüllen.
Planen Sie zunächst eine Datenschutzschulung für Ihre Mitarbeiter in Ihrem mittelständischen Unternehmen. Überlegen Sie sich, wie Sie die Teilnehmer begeistern können, anstatt sie einfach nur durchzubringen. So überzeugen Sie Ihre Mitarbeiter, sich hinter die Maßnahmen zu stellen und zum Erfolg des Unternehmens beizutragen.
Sie wissen nun, wie Sie den Datenschutz in Ihrem Unternehmen mit Hilfe der fünf Eckpfeiler konform gestalten können. Von nun an sollten Sie idealerweise in einem Team mit ausgewählten Mitarbeitern Maßnahmen erarbeiten und umsetzen. Für Schulungen und Einzelfragen empfiehlt sich externe Unterstützung. So wird der Datenschutz im Mittelstand auch für Sie bald zum Standard werden.