DSGVO: So sichern KMU jetzt ihre Daten und erfüllen die Vorschriften

Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 in der gesamten Europäischen Union. Viele kleine und mittlere Unternehmen (KMU) haben die neuen Anforderungen an Datenschutz und Datenverarbeitung inzwischen umgesetzt – in manchen Betrieben besteht jedoch weiterhin Nachholbedarf. Hier ein Überblick über wesentliche Neuerungen und Handlungsempfehlungen für KMU.

Warum die DSGVO für jedes Unternehmen relevant ist

Die DSGVO schützt sämtliche Daten, die Rückschlüsse auf natürliche Personen in der EU zulassen. Wer Beschäftigte hat oder Kundendaten verarbeitet, fällt automatisch unter die DSGVO. Dies betrifft z. B. E-Mails von Mitarbeitenden, Kundendaten, Informationen von Lieferanten oder personenbezogene Angaben in digitalen Systemen.

Erhöhte Anforderungen und mögliche Strafen

Zwar orientiert sich die DSGVO in vielen Punkten am bisherigen Bundesdatenschutzgesetz (BDSG), sie bringt aber deutlich umfangreichere Pflichten mit sich:

Wichtige DSGVO-Neuerungen für Unternehmen

• Verzeichnis der Verarbeitungstätigkeiten: Jedes Unternehmen muss ein Verzeichnis führen, in dem sämtliche Prozesse der Datenverarbeitung detailliert aufgeführt sind (Art. 30 DSGVO). Das bisherige Verfahrensverzeichnis nach § 4e BDSG entfällt.
• Erweiterte Informationspflichten: Betroffene Personen müssen klar, verständlich und umfassend über die Verarbeitung ihrer Daten informiert werden, z. B. Zweck, Dauer und Rechtsgrundlage.
• Meldepflichten bei Datenschutzverstößen: Datenschutzverstöße mit Risiko für Betroffene müssen innerhalb von 72 Stunden den Aufsichtsbehörden gemeldet werden; betroffene Personen sind unverzüglich zu informieren, wenn ein hohes Risiko besteht.
• Recht auf Löschung („Recht auf Vergessenwerden“): Betroffene können die Löschung ihrer personenbezogenen Daten verlangen; Unternehmen müssen sicherstellen, dass diese Daten auch bei Dritten gelöscht werden, sofern weitergegeben.
• Recht auf Datenübertragbarkeit: Personen können die Herausgabe ihrer Daten in einem strukturierten, maschinenlesbaren Format verlangen, z. B. für einen Anbieterwechsel.
• Privacy by Design und Privacy by Default: Datenschutz muss von Anfang an in Produkten, Dienstleistungen und Software berücksichtigt werden („Privacy by Design“) und standardmäßig maximal gewährleistet sein („Privacy by Default“).

Strenge Bußgelder

Bei Verstößen können Aufsichtsbehörden bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes verhängen – deutlich höher als die früheren Grenzen von maximal 300.000 Euro.

Handlungsempfehlungen für KMU

Unternehmen sollten weiterhin ihre Datenschutzmaßnahmen prüfen und priorisieren:

1. Verzeichnis der Verarbeitungstätigkeiten: Unverzichtbar für ein DSGVO-konformes Datenschutzkonzept. Es lohnt sich, dieses Verzeichnis kontinuierlich zu pflegen und zu aktualisieren.
2. Dokumentation aller Maßnahmen: Sämtliche bereits umgesetzten oder geplanten Schritte sollten schriftlich festgehalten werden. Eine gute Dokumentation kann im Falle von Prüfungen oder Verstößen positiv berücksichtigt werden.
3. Fokus auf besonders prüfungsrelevante Bereiche: Experten empfehlen, besonders Einwilligungserklärungen, Informationspflichten, Datenschutzbelehrungen und Direktmarketing-Maßnahmen im Blick zu behalten.
4. Externe Unterstützung nutzen: Bei Unsicherheiten kann der Rat eines Datenschutzexperten helfen, Risiken zu minimieren und die DSGVO-konforme Umsetzung zu sichern.

Fazit

Die DSGVO ist kein vorübergehender Trend, sondern bindendes Recht in der EU. KMU, die ihre Datenschutzpflichten ernst nehmen, schützen nicht nur ihre Kundendaten und Mitarbeitenden, sondern sichern auch ihre rechtliche und wirtschaftliche Handlungsfähigkeit langfristig ab.

Lesen Sie auch:
>> Experten-Interview zur DSGVO mit einem Rechtsanwalt
>> Hinweisgeberschutzgesetz: Was Unternehmen nun beachten müssen
>> Geändertes Nachweisgesetz: Was müssen Arbeitgeber beachten?

Bildquelle: ihorzigor/iStockphoto.com