Datenschutz im Unternehmen – die wichtigsten Grundlagen

Ob Kundenverwaltung, Personalakte oder Kontaktformular: Fast jedes Unternehmen verarbeitet personenbezogene Daten. Die Datenschutz-Grundverordnung (DSGVO) gibt dafür den rechtlichen Rahmen vor. Doch welche Pflichten sind besonders wichtig – und wie gelingt ein strukturierter Einstieg?

Mit einem Überblick über die eigenen Datenverarbeitungen, klaren Verantwortlichkeiten und passenden Schutzmaßnahmen schaffen Unternehmen eine tragfähige Grundlage für ihren Datenschutz.

Welche Daten fallen unter die DSGVO?

Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören beispielsweise Namen, Kontaktdaten, Bankverbindungen und Angaben zu Beschäftigten. Auch technische Informationen wie IP-Adressen können personenbezogen sein.

Der Begriff „Verarbeitung“ umfasst nahezu jeden Umgang mit diesen Daten: das Erheben, Speichern, Auswerten, Weitergeben und Löschen. Datenschutz betrifft deshalb zahlreiche Geschäftsbereiche – vom Vertrieb über die Buchhaltung bis zur Personalabteilung.

Die wichtigsten Grundsätze des Datenschutzes

Die DSGVO verlangt einen verantwortungsvollen und nachvollziehbaren Umgang mit personenbezogenen Daten. Unternehmen sollten insbesondere folgende Grundsätze berücksichtigen:

1. Rechtmäßigkeit und Transparenz: Daten benötigen eine rechtliche Grundlage und müssen für betroffene Personen nachvollziehbar verarbeitet werden.
2. Zweckbindung: Daten werden für festgelegte Zwecke erhoben. Eine spätere Nutzung für andere Zwecke muss gesondert geprüft werden.
3. Datenminimierung: Erhoben werden sollen nur die Daten, die für den jeweiligen Zweck erforderlich sind.
4. Richtigkeit: Personenbezogene Daten müssen sachlich richtig und bei Bedarf aktuell sein.
5. Speicherbegrenzung: Daten dürfen nicht unbegrenzt aufbewahrt werden.
6. Vertraulichkeit und Sicherheit: Angemessene Maßnahmen müssen vor unbefugtem Zugriff, Verlust und anderen Schäden schützen.

Hinzu kommt die Rechenschaftspflicht: Unternehmen müssen die Einhaltung der Datenschutzgrundsätze nachweisen können.

Jede Verarbeitung braucht eine Rechtsgrundlage

Eine Einwilligung ist nicht für jede Datenverarbeitung erforderlich. Je nach Situation kommen beispielsweise die Erfüllung eines Vertrags, eine gesetzliche Verpflichtung oder ein berechtigtes Interesse als Rechtsgrundlage infrage.

So kann die Verarbeitung einer Lieferadresse zur Abwicklung einer Bestellung erforderlich sein. Die Aufbewahrung bestimmter Rechnungsunterlagen beruht dagegen auf gesetzlichen Pflichten.

Die passende Grundlage muss für den konkreten Zweck geprüft werden. Ein berechtigtes Interesse setzt insbesondere eine Interessenabwägung voraus. Für besonders geschützte Informationen, etwa Gesundheitsdaten, gelten zusätzliche Anforderungen.

Datenschutzhinweise verständlich bereitstellen

Unternehmen müssen betroffene Personen darüber informieren, wie sie deren Daten verarbeiten. Dazu gehören unter anderem Angaben zu Zwecken, Rechtsgrundlagen, Empfängern, Speicherdauer und Betroffenenrechten.

Eine Datenschutzerklärung auf der Website deckt nicht automatisch sämtliche Informationspflichten ab. Auch für Beschäftigte, Bewerber oder Kunden können eigene Hinweise erforderlich sein.

Unsere Empfehlung: Stellen Sie die Informationen dort bereit, wo die jeweilige Datenverarbeitung beginnt, und prüfen Sie bei neuen Anwendungen oder Abläufen, ob Anpassungen notwendig sind.

Datenverarbeitungen dokumentieren

Das Verzeichnis von Verarbeitungstätigkeiten schafft einen Überblick darüber, welche personenbezogenen Daten im Unternehmen zu welchen Zwecken verarbeitet werden. Typische Einträge betreffen die Personalverwaltung, Kundenbetreuung, Buchhaltung oder den Newsletterversand.

Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten ist eng begrenzt. Regelmäßige Verarbeitungen wie die Personal- oder Kundenverwaltung können auch bei kleinen Betrieben eine Dokumentationspflicht begründen.

Ein gepflegtes Verzeichnis hilft außerdem dabei, Zuständigkeiten, eingesetzte Dienstleister und vorgesehene Löschfristen nachvollziehbar festzuhalten.

Daten durch passende Maßnahmen schützen

Welche technischen und organisatorischen Maßnahmen erforderlich sind, hängt von der Verarbeitung und den Risiken für die betroffenen Personen ab. Typische Maßnahmen sind:

1. Individuelle Benutzerkonten und klar geregelte Zugriffsrechte.
2. Mehrfaktor-Authentifizierung, insbesondere für sensible Zugänge.
3. Regelmäßige Updates und die Behebung bekannter Sicherheitslücken.
4. Datensicherungen einschließlich überprüfter Wiederherstellungsmöglichkeiten.
5. Geeignete Verschlüsselung und sichere Übertragungswege.
6. Schulungen zum Umgang mit personenbezogenen Daten.

Datenschutz sollte bereits bei der Auswahl und Einrichtung neuer Systeme berücksichtigt werden. Dazu gehören beispielsweise datensparsame Voreinstellungen und begrenzte Zugriffsrechte.

Dienstleister und Löschfristen prüfen

Hosting, Cloudspeicher oder externe Lohnabrechnung: Dienstleister sind häufig in die Verarbeitung personenbezogener Daten eingebunden. Verarbeitet ein Anbieter Daten im Auftrag des Unternehmens, ist grundsätzlich eine Vereinbarung zur Auftragsverarbeitung erforderlich. Die tatsächliche Rolle des Dienstleisters muss zuvor geprüft werden. Bei Übermittlungen in Länder außerhalb des Europäischen Wirtschaftsraums können zusätzliche Anforderungen gelten.

Ebenso wichtig sind klare Löschregeln. Unternehmen sollten festlegen, wann Daten nicht mehr benötigt werden und welche gesetzlichen Aufbewahrungspflichten einer Löschung entgegenstehen. Diese Regeln müssen anschließend auch in den verwendeten Systemen umgesetzt werden.

Betroffenenanfragen und Datenschutzvorfälle organisieren

Menschen können unter den jeweiligen gesetzlichen Voraussetzungen unter anderem Auskunft, Berichtigung oder Löschung ihrer Daten verlangen. Unternehmen benötigen dafür verlässliche Abläufe. Anfragen sind grundsätzlich unverzüglich, spätestens innerhalb eines Monats, zu beantworten; eine Verlängerung ist nur unter bestimmten Voraussetzungen möglich.

Auch für Datenschutzverletzungen sollte ein Verfahren bestehen. Ein solcher Vorfall kann beispielsweise durch eine fehlgeleitete E-Mail, ein verlorenes Gerät oder einen unbefugten Systemzugriff entstehen.

Eine Meldung an die Aufsichtsbehörde ist grundsätzlich erforderlich, sofern die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Sie muss unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden erfolgen. Bei voraussichtlich hohem Risiko müssen grundsätzlich zusätzlich die Betroffenen informiert werden. Datenschutzverletzungen sind auch dann zu dokumentieren, wenn keine Meldung erforderlich ist.

So starten Unternehmen strukturiert

Für den Einstieg empfehlen wir fünf Schritte:

1. Bestandsaufnahme durchführen: Erfassen Sie Datenverarbeitungen, Anwendungen, Speicherorte und Dienstleister.
2. Zuständigkeiten festlegen: Bestimmen Sie interne Ansprechpartner und prüfen Sie, ob ein Datenschutzbeauftragter benannt werden muss.
3. Handlungsbedarf priorisieren: Bewerten Sie Risiken und bearbeiten Sie dringende Schutzlücken zuerst. Prüfen Sie bei voraussichtlich hohem Risiko auch die Notwendigkeit einer Datenschutz-Folgenabschätzung.
4. Dokumente und Abläufe umsetzen: Erstellen oder aktualisieren Sie Datenschutzhinweise, Verträge, Verarbeitungsverzeichnis und Löschregeln.
5. Regelmäßig überprüfen: Schulen Sie Beschäftigte und berücksichtigen Sie Datenschutz bei neuen Projekten und veränderten Prozessen.

Auch ohne Pflicht zur Benennung eines Datenschutzbeauftragten müssen Unternehmen die für sie geltenden Datenschutzanforderungen erfüllen.

Unterstützung beim Datenschutz in Ihrem Unternehmen

Sie möchten Ihren Datenschutz strukturiert aufbauen oder bestehende Maßnahmen überprüfen? Wir unterstützen Sie dabei, den Handlungsbedarf zu erkennen, Prioritäten festzulegen und passende Lösungen für Ihren Unternehmensalltag zu entwickeln.

Kontaktieren Sie uns für ein Gespräch über Ihre Datenschutzorganisation.

Quellen und rechtliche Grundlagen

1. Datenschutz-Grundverordnung: Insbesondere Artikel 4–6, 9, 12–22, 25, 28, 30 und 32–37 zu Begriffen, Grundsätzen und Unternehmenspflichten. eur-lex.europa.eu
2. EDSA: Rechtmäßige Verarbeitung personenbezogener Daten: Erläuterungen zu den Rechtsgrundlagen. edpb.europa.eu
3. BfDI: Verzeichnis von Verarbeitungstätigkeiten: Hinweise und Muster zur Dokumentation. bfdi.bund.de
4. EDSA: Sicherheit personenbezogener Daten: Orientierung zu technischen und organisatorischen Schutzmaßnahmen. Data protection guide for small business
5. EDSA: Datenschutzverletzungen: Informationen zu Dokumentation, Meldung und Benachrichtigung. Data protection guide for small business
6. § 38 Bundesdatenschutzgesetz: Ergänzende deutsche Regelungen zur Benennung eines Datenschutzbeauftragten.