DSGVO in Unternehmen

Die EU-Datenschutzgrundverordnung (kurz: DSGVO) ist nach wie vor ein heißes Eisen. Denn nach einer Übergangsphase schauen die Datenschutzbehörden nun immer genauer hin, ob Unternehmen die Datenschutzvorgaben einhalten. Bei einem Verstoß werden unter Umständen saftige Bußgelder fällig. Damit Sie auf der sicheren Seite sind, finden Sie in unserem Ratgeber geballtes Fachwissen zum Datenschutz für Unternehmen, kostenlose Vorlagen und wirksame Praxistipps. Nutzen Sie diese Vorteile, um Ihr Unternehmen DSGVO-konform zu machen.

Hinweis: Gendergerechte Sprache ist uns wichtig. Daher verwenden wir auf diesem Portal, wann immer möglich, genderneutrale Bezeichnungen. Daneben weichen wir auf das generische Maskulinum aus. Hiermit sind ausdrücklich alle Geschlechter (m/w/d) mitgemeint. Diese Vorgehensweise hat lediglich redaktionelle Gründe und beinhaltet keinerlei Wertung.

Zuletzt aktualisiert am:18.09.2023

Was ist die DSGVO?

„DSGVO“ ist die Abkürzung für die „Europäische Datenschutzgrundverordnung“. Sie ist bereits am 24. Mai 2016 in Kraft getreten, hat durch eine zweijährige Umsetzungsfrist ihre volle Wirkung aber erst am 25. Mai 2018 entfaltet.

Die DSGVO beinhaltet EU-weit einheitliche Vorgaben für die Verarbeitung personenbezogener Daten durch Unternehmen und Behörden. Ziel der Grundverordnung ist es, die persönlichen Daten der EU-Bürger noch besser zu schützen. Dazu erhalten die Bürger mehr Rechte in Bezug auf Ihre Daten und Betrieben werden umfangreiche Datenschutz-Pflichten auferlegt.

Wen betrifft die DSGVO?

Die EU-Datenschutzgrundverordnung oder DSGVO betrifft alle Unternehmen, die personenbezogene Daten von Kunden oder Mitarbeitern verarbeiten. Es gibt keine Schwellenwerte für Umsatz oder Mitarbeiterzahl, die die Gültigkeit einschränken. Das heißt: Die Grundverordnung gilt für Amazon genauso wie für den Einzelhändler, für den DAX-Konzern ebenso wie für den Handwerker mit drei Angestellten.

Personenbezogene Daten: Das müssen Sie bei der Verarbeitung beachten

Datenschutzrecht gilt heute wie morgen ausschließlich für personenbezogene Daten. Geschützt wird mit der DSGVO die Privatsphäre des Einzelnen. Dies setzt voraus, dass es einen Bezug zu einer natürlichen Person gibt.

Was sind personenbezogene Daten?

Zu den personenbezogenen Daten zählen laut Grundverordnung unter anderem:

  • allgemeine Personendaten: z. B. Name, Geburtsdatum, Geburtsort, Postanschrift, E-Mail-Adresse, Rufnummern
  • körperliche Merkmale: z. B. Geschlecht, Haar- und Augenfarbe, Statur
  • Kennnummern: z. B. Sozialversicherungsnummer, Personalausweisnummer, Steueridentifikationsnummer
  • Online-Daten: z. B. IP-Adresse, Standortdaten
  • Bankdaten: z. B. Kontostände, Kontonummern, Kreditinformationen
  • Vermögen und Besitz: z. B. Immobilien, Fahrzeuge, Grundbucheintragungen, Kfz-Kennzeichen
  • Werturteile: z. B. Schul-, Hochschul- und Arbeitszeugnisse
  • Kundendaten: z. B. Bestellungen, Adressdaten, Kontodate

Darüber hinaus gibt es „besondere personenbezogene Daten“, für die noch einmal strengere Vorschriften zur Sammlung und Verarbeitung gelten. Es handelt sich dabei um folgende Daten:

  • Angaben über rassische sowie ethnische Herkunft
  • politische Ansichten
  • religiöse und philosophische Überzeugung
  • Gewerkschaftszugehörigkeit
  • Angaben zur Gesundheit
  • Angaben zur Sexualität

Info

B2B-Unternehmen sind auch von der DSGVO betroffen

Unternehmensdaten sind von der DSGVO nicht geschützt. Daraus darf aber nicht der falsche Schluss gezogen werden, dass B2B-Unternehmen nicht betroffen sind. Auch im rein geschäftlichen Bereich werden Daten von Ansprechpartnern gespeichert und verarbeitet. Selbst wenn der Kundenverkehr vollständig anonym ablaufen würde, bleibt die Speicherung von Mitarbeiter- und Lieferantendaten.

Einwilligungserklärung im Datenschutz

Oberster Grundsatz des alten wie neuen Datenschutzrechts ist das Verbotsprinzip:
Jede Verarbeitung personenbezogener Daten ist grundsätzlich verboten und nur in Ausnahmefällen gerechtfertigt
.

Eine Rechtfertigung kann sich aus einem Vertrag mit der betroffenen Person ergeben.

Info

Beispiel für eine berechtigte Verarbeitung personenbezogener Daten

Der Betreiber eines Online-Shops darf die Adressdaten seines Kunden an einen Logistikdienstleister weitergeben, damit die Ware ausgeliefert werden kann. Diese Rechtfertigung reicht aber stets nur so weit, wie dies zur Vertragserfüllung erforderlich ist. Eine Bonitätsprüfung ist schon nicht mehr inbegriffen. Sie benötigen also nicht pauschal eine Einwilligung zur Datenverarbeitung.

Eine Datenverarbeitung kann nach der DSGVO auch auf berechtigte Interessen des verantwortlichen Unternehmens gestützt werden. In dem Fall muss die Verarbeitung zur Wahrung der berechtigten Interessen erforderlich sein. Dabei dürfen die Interessen der betroffenen Person nicht überwiegen und die Datenverarbeitung muss für den verfolgten Zweck notwendig sein.

Mit einer Einverständniserklärung zur Datenverarbeitung der betroffenen Person sind Sie dagegen in Bezug auf den Datenschutz fast immer „auf der sicheren Seite“. Oberste Regel ist hierbei, dass die Einwilligung freiwillig abgegeben wurde. Außerdem sollten für verschiedene Verarbeitungsvorgänge auch gesonderte Einwilligungen eingeholt werden. Einwilligungen, die vor Inkrafttreten der DSGVO abgeschlossen wurden, gelten nur dann weiterhin, wenn sie im Wesentlichen den Anforderungen der DSGVO für Unternehmen entsprechen. Zweifelhaft ist das, wenn die Einwilligung an den Abschluss eines Vertrages geknüpft war. Denn das verbietet die DSGVO für bestimmte Umstände.

DSGVO in Unternehmen: Diese Pflichten müssen Sie einhalten

Wesentliche Neuerung der DSGVO ist die Umkehrung der Darlegungslast. Während es bisher für kleinere Unternehmen vertretbar war, in Sachen Datenschutz einfach nichts falsch zu machen, legt die Datenschutzgrundverordnung den Unternehmen umfangreiche Pflichten auf. Diese müssen aktiv erfüllt werden, um Bußgelder zu vermeiden.

Für Sie als Unternehmer sind vor allem folgende Forderungen der Datenschutzverordnung relevant:

Recht auf Vergessenwerden bzw. Löschpflicht

Ein wichtiger Teil des Datenschutzgesetzes beschäftigt sich mit den Rechten der Betroffenen (sogenannte Betroffenenrechte) und der Löschung ihrer Daten: Daten müssen auf Verlangen eines Kunden gelöscht werden, wenn der Zweck, für den die Daten gespeichert wurden, nicht mehr besteht (sogenanntes Recht auf Vergessenwerden). Es besteht auch dann eine Löschpflicht, wenn der Kunde seine Einwilligung zur Datenspeicherung widerruft oder wenn die personenbezogenen Daten unrechtmäßig verarbeitet wurden.

Informationspflicht

Als Unternehmer sind Sie gemäß DSGVO grundsätzlich verpflichtet, Ihre Kunden darüber zu informieren, wenn Sie personenbezogene Daten, wie z. B. E-Mail-Adressen, speichern oder weitergeben. Dabei müssen Sie unter anderem die folgenden Fragen beantworten:

  • Welche Daten werden gespeichert?
  • Wofür werden diese benötigt?
  • An wen werden sie weitergegeben?

Auskunftsrecht

Wie das Bundesdatenschutzgesetz (BDSG) besitzt auch die DSGVO ein Auskunftsrecht. Der Kunde kann jederzeit Auskunft darüber verlangen, welche Daten von ihm gespeichert und wie diese verarbeitet werden. Diese Auskunft muss unverzüglich erteilt werden. Das bedeutet: In jedem Unternehmen muss ein Prozessgeschaffen werden, der den Auskunftsansprüchen gerecht wird.

Neu ist ein generelles Widerspruchsrecht gegen die Datenverarbeitung. Natürlich kann dem Unternehmen nicht verwehrt werden, Daten zu speichern, die für die Vertragserfüllung oder Verfolgung von Ansprüchen benötigt werden. Daten, die ausschließlich zu Marketingzwecken verarbeitet werden, müssen dagegen auf Verlangen gelöscht werden.

Tipp

Muster-Anschreiben für Auskunftsanfrage

Nimmt ein Kunde sein Auskunftsrecht in Anspruch, müssen Sie ihm mitteilen, welche Daten Sie gespeichert haben und wie Sie diese verarbeiten. Damit Sie dieses korrekt formulieren und alle nötigen Daten integrieren, haben wir dieses Muster-Anschreiben entworfen.

Verzeichnis von Verarbeitungstätigkeiten

Das Verarbeitungsverzeichnis nimmt im Datenschutz Ihres Unternehmens eine zentrale Rolle ein. Die Datenschutzbehörde muss anhand des Verzeichnisses erkennen können, ob Ihr Unternehmen rechtskonform arbeitet. Zur Form gibt es dabei keine Vorschriften, wichtig ist aber, dass alle durch die Grundverordnung vorgeschriebenen Pflichtangaben enthalten sind.

Das Datenverarbeitungsverzeichnis sollte grundsätzlich Folgendes enthalten:

  • Kontaktdaten Ihres Unternehmens und, falls vorhanden, des Datenschutzbeauftragten
  • Analyse und Beschreibung der Geschäftsprozesse bzw. der Verarbeitungsvorgänge Ihres Unternehmens gemäß Art. 30 DSGVO
  • Schilderung der technischen und organisatorischen Maßnahmen (kurz: TOM) für alle Verarbeitungsvorgänge, bspw. Maßnahmen der IT-Sicherheit

Erfahren Sie in unserem weiterführenden Artikel, welche Vorgehensweise wir mit Blick auf die DSGVO Ihrem Unternehmen empfehlen und wie es Ihnen gelingt, ein Verarbeitungsverzeichnis korrekt zu erstellen.

Tipp

Verarbeitungsverzeichnis: kostenloses Muster

Auch für das Verarbeitungsverzeichnis haben wir ein kostenloses Muster für Sie vorbereitet. Mit diesem erstellen Sie ganz einfach Ihr eigenes Verarbeitungsverzeichnis – unkompliziert und nach den Vorgaben der DSGVO.

Datenschutzerklärung

Jedes Unternehmen mit einer Webseite kennt das: Man muss nicht nur ein Impressum auf seine Seite stellen, sondern mit einer Erklärung zum Datenschutz in Firmen über die Erhebung und Verarbeitung personenbezogener Daten informieren. Die DSGVO geht bei Unternehmen darüber hinaus. Denn die Informationspflicht gilt auch im Offline-Bereich. Wer offline Daten erhebt, etwa in einem Kundengespräch, muss ebenfalls über die Verarbeitung der Daten informieren. Unter anderem müssen Sie auf Folgendes hinweisen:

  • den Zweck der Datenverarbeitung
  • die Dauer der Datenspeicherung
  • das Recht zur Beschwerde

Erfahren Sie in unserem Artikel, welche weiteren Pflichtinhalte Sie in Ihre Datenschutzhinweise aufnehmen und wann Sie die Informationen bereitstellen müssen.

Tipp

Muster-Datenschutzerklärung

Mit unserer kostenlose Muster-Datenschutzerklärung sind Sie rechtlich abgesichert. Laden Sie sich einfach unsere DSGVO-konforme Vorlage für Unternehmen herunter, passen Sie sie für Ihren Betrieb   entsprechend an und schon haben Sie eine wasserdichte Datenschutzerklärung.

Meldepflicht bei Datenpannen

Datenpannen können z. B. durch Hacker-Angriffe sowie den Verlust eines Datenträgers oder mobilen Endgeräts verursacht werden. Die Meldepflicht dieser Vorfälle ist mit der DSGVO deutlich umfangreicher geworden: Vor Inkrafttreten der Grundverordnung war nur im Ausnahmefall eine Meldung an die zuständige Datenschutzbehörde erforderlich. Nach neuem Recht muss jede Verletzung des Datenschutzes binnen 72 Stunden der Aufsichtsbehörde gemeldet werden – unter Umständen auch den Betroffenen. Deshalb sollte jedes Unternehmen über einen internen Prozess verfügen, der im Falle von Datenlecks greift.

DSGVO-Datenschutzbeauftragter bei Unternehmen

Die DSGVO sieht eine Pflicht zur Bestellung eines Datenschutzbeauftragten für das Datenschutzmanagement im Unternehmen vor, wenn sich mehr als 20 Mitarbeiter (bis September 2019: 10) im Unternehmen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.

Prinzipiell kann jeder zum Datenschutzbeauftragten ernannt werden. Bestimmte Anforderungen werden aber dennoch gestellt. So muss er beispielsweise beruflich qualifiziert sein und über Fachwissen im Datenschutzrecht verfügen. Der Beauftragte für Datenschutz in Unternehmen darf sich auch nicht selbst kontrollieren, denn dann läge eine Interessenskollision vor. Das wäre z. B. als Geschäftsführer oder Leiter der IT-Abteilung der Fall.

Informieren Sie sich in unserem Ratgeber-Artikel über die Aufgaben des Datenschutzbeauftragten zur Einhaltung der DSGVO in Unternehmen, seine Stellung und in welchem Maße er für Datenschutzverletzungen und -pannen haftet.

Welche DSGVO-Strafen drohen bei Datenschutzverstößen?

Eine der augenfälligsten Änderungen des Datenschutzrechts im Rahmen der DSGVO sind die potenziell horrenden Bußgelder. Während die Aufsichtsbehörden bisher für schwerwiegende Datenschutzverstöße ein Bußgeld von maximal 300.000 Euro verhängen konnten, drohen nun bis zu 20 Millionen Euro. Bei Großunternehmern kann das Bußgeld bei einer Datenverletzung sogar bis zu 4 % vom weltweiten Jahresumsatz betragen.

Das Risiko, von Bußgeldern betroffen zu sein, ist für kleinere Unternehmen (KMU) nicht unbedingt höher als vor Inkrafttreten der DSGVO. Dennoch ist es auch für KMU wichtig, alle Regelungen umzusetzen. Denn die Datenschutzbehörden sind darauf bedacht, den Bußgeldrahmen komplett auszuschöpfen.

Was tun bei einer Abmahnung? Das erfahren Sie in unserem Artikel:

DSGVO-Umsetzung: Datenschutz und Folgenabschätzung in der Praxis

Bei der Umsetzung der DSGVO-Vorgaben haben viele Unternehmen nach wie vor Probleme. Oft ist nicht klar, wo man überhaupt anfangen und wie man konkret vorgehen soll. Wir zeigen Ihnen in diesem Abschnitt, welche Maßnahmen Sie unbedingt treffen sollten und wie Sie Schritt für Schritt dabei vorgehen. Bei der Umsetzung kann Ihnen auch unsere Online-Schulung zur DSGVO in Unternehmen helfen.

Der richtige Umgang mit Kundendaten

Grundsätzlich gilt: Alle Daten, die Sie zu einem Kunden speichern, haben einen Personenbezug. Die Tatsache, dass sich ein Kunde für ein bestimmtes Produkt interessiert, ohne es zu kaufen, ist genauso personenbezogen wie die Zahlungsfrist oder die Anzahl (und der Inhalt) der Mahnungen, die versendet wurden. Dies ist offensichtlich, wenn es sich um Privatkunden handelt. Im B2B-Bereich gilt die Regelung nur bei Kleinunternehmen oder wenn die Daten zu einem Ansprechpartner gespeichert werden.

Für jedes einzelne Datum muss geprüft werden, ob ein Rechtfertigungsgrund vorliegt und wie lange dieser reicht. So besteht beispielsweise kein Grund, eine Kaufabsicht für ein konkretes Produkt ewig zu speichern. Je nach Investment muss diese Information schon wenige Wochen später wieder gelöscht werden. Die Auftragshistorie darf dagegen länger – im Zweifel bis zum Ablauf der jeweiligen Verjährungsfrist – gespeichert werden.

So ist für jedes Datum eine Löschfrist zu ermitteln. Kreditkartendaten dürfen in aller Regel nur mit zusätzlicher Einwilligung des Kunden gespeichert werden.

Wann muss ein Auftragsverarbeitungsvertrag abgeschlossen werden?

Die Lohnbuchhaltung beispielsweise wird in der Regel an einen Spezialisten gegeben oder mittels einer Software intern erledigt. In beiden Fällen bleibt das Unternehmen für den Datenverarbeitungsvorgang verantwortlich. Dies bedeutet insbesondere, dass mit einem Dienstleister eine Vereinbarung zur Auftragsverarbeitung zu schließen ist, die den Vorgaben der Datenschutzgrundverordnung gerecht wird. Diese Regelung gab es bereits im Bundesdatenschutzgesetz (BDSG). Eventuell bestehen solche Verträge also schon und müssen nur an die DSGVO angepasst werden. 

Wird eine Software verwendet, muss sichergestellt sein, dass das Produkt ein hinreichendes Datenschutzniveau gewährleistet und geeignete technische und organisatorische Maßnahmen beinhaltet. So sollte beispielsweise ein Berechtigungskonzept existieren, damit nicht jeder Mitarbeiter, der Zugriff auf die Software hat, personenbezogene Daten von Mitarbeitern einsehen kann. Sprechen Sie Ihren Softwareanbieter  zwecks einer Datenschutzberatung gezielt auf die DSGVO an.

Info

Lexware-Software DSGVO-konform

Die Lexware-Lösungen erfüllen alle Anforderungen der EU-Datenschutzgrundverordnung.

DSGVO bei Unternehmen in Newsletter-Werbung

Fast jedes Unternehmen versendet heutzutage mehr oder weniger regelmäßig E-Mail-Nachrichten an Kunden und Interessenten. Die Datenschutzgrundverordnung lässt die gesetzlichen Vorschriften (u. a. durch das BDSG) zur Zulässigkeit solcher Marketing-Aktionen unberührt. Insbesondere bleibt es dabei, dass jedenfalls grundsätzlich eine vorherige ausdrückliche Einwilligung des Empfängers vorliegen muss. Es ist darauf zu achten, dass diese Einwilligung auch den datenschutzrechtlichen Anforderungen genügt.

Soll der Newsletter personalisiert werden und Wissen über den Empfänger in die Inhalte einfließen (z. B. Bestellverhalten oder Öffnungsrate), ist dies eine Verarbeitung von Daten, die wiederum rechtfertigungsbedürftig ist. Je nachdem, welche Daten für die Individualisierung des Marketingmaterials tatsächlich verwendet werden, lässt sich das womöglich mit berechtigten Interessen des werbenden Unternehmens rechtfertigen. Hier hilft die Verordnung, die das Direktmarketing ausdrücklich als mögliches berechtigtes Interesse bezeichnet.

Info

Erwartungen des Empfängers entscheidend

Maßgeblich sind die vernünftigen Erwartungen der Empfänger. Je mehr Daten verwendet werden und je überraschender deren Verwendung ist, umso eher wird sich die Auswertung der Daten nicht mehr auf berechtigte Interessen stützen lassen. Im Zweifel ist dann eine Einwilligung erforderlich. In jedem Falle muss der Empfänger die Möglichkeit haben, die Personalisierung zu beenden. Über dieses Widerspruchsrecht muss der Empfänger vorab belehrt werden.

Lexware Newsletter

Möchten Sie zukünftig wichtige News zu Gesetzes­änderungen, hilfreiche Praxis-Tipps und kostenlose Tools für Unternehmen erhalten? Dann abonnieren Sie unseren Newsletter.