Autorin<\/span>: Marijam \u00d6zdemir, Senior Privacy Consultant bei DataGuard<\/a><\/p>\n <\/p>\n Datenschutz, Informationssicherheit und die DSGVO: Immer wieder passieren Unternehmen die gleichen Fehler und Fehlinterpretationen. Die Konsequenzen reichen von kleinen Unannehmlichkeiten f\u00fcr die Firma oder deren Kunden \u00fcber negative Bewertungen auf Vergleichsportalen bis hin zu teuren Bussgeldern.<\/p>\n \u00dcber welche Fallstricke viele Firmen stolpern und wie Sie es besser machen k\u00f6nnen, zeigen die folgenden sechs Tipps.<\/p>\n Der Klassiker unter den Datenschutzverletzungen ist eine E-Mail mit Empf\u00e4ngern in cc, die da nicht hingeh\u00f6ren.<\/p>\n Die Rechtslage: Solange sich die E-Mail-Adresse einer nat\u00fcrlichen Person zuordnen l\u00e4sst, gilt sie nach Art. 4 Nr. 1 DSGVO als personenbezogenes Datum. Dieses darf Dritten nur mit Einwilligung oder einer anderen entsprechenden Rechtsgrundlage zur Verf\u00fcgung gestellt werden. Wird die E-Mail-Adresse wie im Fall der offenen E-Mail-Liste ohne entsprechende Rechtsgrundlage geteilt, liegt ein Verstoss gegen den Datenschutz vor.<\/p>\n So geht es besser: Statt des cc-Feldes sollten Sie das bcc-Feld nutzen; die Empf\u00e4nger dieser Zeile sehen nur den Absender und den Inhalt der E-Mail oder des E-Mail-Verlaufs. Vor dem Weiterleiten an weitere Empf\u00e4nger lohnt sich ein zus\u00e4tzlicher Check: Sind alle Informationen f\u00fcr die neuen Empf\u00e4nger geeignet? F\u00fcr Newsletter eignen sich dedizierte Tools, die direkt auch andere Datenschutzgrunds\u00e4tze wie die Einwilligung durch das Double-Opt-in-Verfahren erlauben und speichern, sowie Links zur Abmeldung mitversenden.<\/p>\n Viele Personalabteilungen legen sich ganze Datenbanken voller Lebensl\u00e4ufe und Arbeitszeugnisse an, damit sie f\u00fcr jede offene Stelle m\u00f6gliche Kandidaten parat haben.<\/p>\n Die Rechtslage: Lebensl\u00e4ufe, Arbeitszeugnisse und Bewerberakten geh\u00f6ren zur Kategorie der personenbezogenen Daten. Damit muss sich ihre Verarbeitung und Speicherung auf eine Rechtsgrundlage st\u00fctzen (Art. 6 DSGVO). Verf\u00e4llt diese Rechtsgrundlage (etwa, wenn ein Bewerber abgelehnt wird), sind die Daten zu l\u00f6schen. Zudem m\u00fcssen Betroffene unter anderem \u00fcber den Zweck und die Dauer der Datenverarbeitung informiert werden, wie in Art. 13\/Art. 14 DSGVO beschrieben.<\/p>\n So geht es besser: Unternehmen sollten ihren Prozess f\u00fcr Bewerber unter die Lupe nehmen. Werden die Kandidaten beispielsweise \u00fcber Zweck und Dauer der Datenverarbeitung in Kenntnis gesetzt? Wenn nicht, k\u00f6nnte die E-Mail zur Eingangsbest\u00e4tigung der Bewerbung entsprechend erg\u00e4nzt werden. Gibt es ein L\u00f6schkonzept f\u00fcr die Daten von Bewerbern oder eine Anfrage f\u00fcr die Einwilligung einer l\u00e4ngeren Speicherung, um etwa f\u00fcr zuk\u00fcnftige offene Stellen ber\u00fccksichtigt zu werden? Viele Recruiter nutzen l\u00e4ngst professionelle Netzwerke wie Xing und LinkedIn, um mit Bewerbern in Kontakt zu bleiben. Das hat Vor- und Nachteile: Einerseits wird ein LinkedIn-Profil laufend aktualisiert und die Kontaktaufnahme ist unkompliziert, andererseits gehen die so gekn\u00fcpften Verbindungen verloren, wenn ein Recruiter die Firma verl\u00e4sst. Dennoch ist die Nutzung von beruflichen Netzwerken eine sinnvolle Erg\u00e4nzung.<\/p>\n Der Datenverarbeitung zu Marketingzwecken wird gern die Einwilligung der Betroffenen als Rechtsgrundlage zugrunde gelegt. Das leuchtet ein, da die anderen Rechtsgrundlagen bei Kontakten, die noch keine Kunden sind, meist nicht einschl\u00e4gig sind. Es werden also fleissig Einwilligungen eingeholt.<\/p>\n Die Rechtslage: Auf einem Formular m\u00fcssen unter anderem die folgenden Elemente abgebildet werden: Aufkl\u00e4rung \u00fcber den Zweck der Datenerhebung (Zweckbindungsprinzip gem\u00e4\u00df Art. 5 Abs. 1 lit. b DSGVO), Hinweis auf die Widerrufbarkeit der Einwilligung oder freiwillige Checkbox zur Einwilligung in die Zusendung von Marketinginformationen und\/oder Kontaktaufnahme durch den Vertrieb.<\/p>\n So geht es besser: Bei Einwilligungen muss f\u00fcr den Nutzer klar und deutlich erkennbar sein, wozu er zustimmt. Die Checkbox darf dabei nicht schon vorangekreuzt sein, da eine aktive Zustimmung des Nutzers notwendig ist. Zudem darf ein Hinweis zur M\u00f6glichkeit zum Widerruf nicht fehlen \u2013 diesen schreibt die DSGVO explizit vor.<\/p>\n Trennen Sie das Notwendige vom Optionalen: Fordert ein Website-Besucher eine Checkliste an, die per E-Mail versandt wird, f\u00fchrt kein Weg an der Datenverarbeitung f\u00fcr genau diesen Zweck vorbei. Optional sind allerdings weiterf\u00fchrende Marketing-Informationen wie Newsletter. Diese beiden Zwecke sollten nicht miteinander vermischt werden \u2013 die Einwilligung zum Newsletter etwa muss freiwillig bleiben und sollte nicht im Gegenzug f\u00fcr ein kostenloses Angebot wie ein E-Book oder Webinar eingefordert werden.<\/p>\n Egal, wie gut Ihre Serverr\u00e4ume \u00fcberwacht werden, wie ausgekl\u00fcgelt Ihre Kryptografie und wie wasserdicht Ihre Auftragsverarbeitungsvertr\u00e4ge sind \u2013 wenn Ihre Mitarbeiter nicht aufpassen, herrscht keine Datensicherheit.<\/p>\n Die Rechtslage: Die Mitarbeiterschulung geh\u00f6rt laut DSGVO zu den Kernaufgaben eines Datenschutzbeauftragten (DSB). Art. 39 DSGVO listet die Aufgaben, dazu z\u00e4hlen Strategien f\u00fcr den Schutz personenbezogener Daten einschlie\u00dflich der Zuweisung von Zust\u00e4ndigkeiten, der Sensibilisierung und Schulung der an den Verarbeitungsvorg\u00e4ngen beteiligten Mitarbeiter und der diesbez\u00fcglichen \u00dcberpr\u00fcfungen.<\/p>\n So geht es besser: Wie genau Schulungen aussehen, in welcher Form (online, pers\u00f6nlich, schriftlich) und in welchen Abst\u00e4nden sie stattfinden sollen, gibt die DSGVO nicht vor. Da sich Verarbeitungsvorg\u00e4nge jedoch laufend ver\u00e4ndern, neue Technologien zum Einsatz kommen und Menschen das Gelernte ohne Wiederholungen schnell vergessen, sollten Schulungen mindestens j\u00e4hrlich stattfinden.<\/p>\n Themen: Besonders wichtig ist der Umgang mit Mitarbeiterdaten. Auch Bereiche wie Datenschutzgrunds\u00e4tze, Rechtsgrundlagen, Betroffenenrechte, Verhalten im Fall eines Datenschutzverstosses, Verhalten im direkten Kontakt mit Kunden, Partnern, Bewerbern und anderen externen Stakeholdern, BOYD und die Verwendung mobiler Endger\u00e4te sollten abgedeckt werden. Am besten enth\u00e4lt die Schulung zudem rollenspezifische Trainings je nach T\u00e4tigkeitsbereich, wird mit vielen Beispiele aus der Praxis angereichert, ist interaktiv und auf Abruf online verf\u00fcgbar.<\/p>\n Kundendaten in einem SaaS-CRM verwalten, die Lohnbuchhaltung \u00fcber einen Drittanbieter abwickeln oder einfach nur Newsletter \u00fcber eine Marketing-Software rausschicken \u2013 all das sind Beispiele f\u00fcr die Auftragsverarbeitung. Bei dieser werden Daten gem\u00e4ss den Weisungen des Verantwortlichen durch ein anderes Unternehmen (den Auftragsverarbeiter) verarbeitet. Immer wieder kommt es dabei zu Unklarheiten, wer welche Pflichten zu erf\u00fcllen hat.<\/p>\n Die Rechtsgrundlage: Die Verarbeitung geschieht vollst\u00e4ndig auf Weisung des Verantwortlichen. Somit ist dieser auch f\u00fcr die Erstellung einer Datenschutzerkl\u00e4rung zust\u00e4ndig und muss den Auftragsverarbeiter in sein Verzeichnis von Verarbeitungst\u00e4tigkeiten (VVT) mit aufnehmen. Der Vertrag, der die Zusammenarbeit regelt, nennt sich Auftragsverarbeitungsvertrag (AVV). Er wird \u00fcblicherweise durch den Auftraggeber als verantwortliche Stelle angefertigt und dem Auftragsverarbeiter zur Unterzeichnung zur Verf\u00fcgung gestellt. Der Auftragsverarbeiter wiederum muss entsprechende Verarbeitungst\u00e4tigkeiten in einem \u201eVerzeichnis von Verarbeitungst\u00e4tigkeiten f\u00fcr Auftragsverarbeiter\u201c nach Art. 30 Abs. 2 DSGVO listen.<\/p>\n Die Pflichten des Auftragsverarbeiters: Der Auftragsverarbeiter ist daf\u00fcr verantwortlich, die Daten gem\u00e4ss den Weisungen des Verantwortlichen zu verarbeiten. Dabei m\u00fcssen die Grunds\u00e4tze der DSGVO eingehalten werden, die auch f\u00fcr andere Unternehmen gelten. Hinzu kommt eine wichtige und oft vergessene Pflicht: Verst\u00f6sst eine Weisung des Verantwortlichen gegen die DSGVO, so muss der Auftragsverarbeiter den Verantwortlichen dar\u00fcber informieren (Art. 28 Abs. 3 DSGVO). Zudem besteht eine Pflicht zur Meldung von Datenschutzverst\u00f6\u00dfen an den Verantwortlichen (Art. 33 Abs. 2 DSGVO).<\/p>\n Die Datenpanne ist passiert. Sie erhalten Post vom Finanzamt, von einem Gericht, der Bank oder einer Aufsichtsbeh\u00f6rde und verfallen in Panik.<\/p>\n Die Rechtslage: Die Aufsichtsbeh\u00f6rde ist keine rechtssprechende Instanz, sondern unterst\u00fctzt Unternehmen in der Umsetzung von Datenschutzgesetzen und steht bei Fragen zur Verf\u00fcgung. Neben der beratenden Funktion \u00fcbernehmen Aufsichtsbeh\u00f6rden auch eine Kontrollfunktion und passen auf, dass Regeln eingehalten werden. Die Zusammenarbeit mit der zust\u00e4ndigen Aufsichtsbeh\u00f6rde geh\u00f6rt nach Art. 39 DSGVO zu den Aufgaben des Datenschutzbeauftragten. Nimmt eine Aufsichtsbeh\u00f6rde also Kontakt mit Ihnen auf, obliegt die offene Kommunikation dem Datenschutzbeauftragten und dem Verantwortlichen. Gab es in Ihrem Unternehmen einen Datenschutzverstoss, m\u00fcssen Sie diesen innerhalb von 72 Stunden von sich aus bei der zust\u00e4ndigen Aufsichtsbeh\u00f6rde melden. Bei hohen Risiken m\u00fcssen Sie zus\u00e4tzlich die Betroffenen informieren.<\/p>\n So geht es besser: Kooperieren Sie mit den Aufsichtsbeh\u00f6rden und gehen Sie Gespr\u00e4chen nicht aus dem Weg. Fragt eine Aufsichtsbeh\u00f6rde bestimmte Unterlagen an, z\u00e4hlt proaktives und umsichtiges Verhalten. Eine bereitwillige, offene Zusammenarbeit kann sich mildernd auf ein Urteil auswirken. Bei Datenpannen ist es besonders wichtig, keine Fristen verstreichen zu lassen. Auch, wenn der erste Impuls eine Art Schockstarre sein kann oder der Wunsch, den Vorfall still und heimlich unter den Teppich zu kehren, w\u00e4re genau das die falsche Reaktion. Mit einer sofortigen Meldung an die Aufsichtsbeh\u00f6rde beweisen Sie als Unternehmen, dass Sie den Datenschutz ernst nehmen, und Sie sch\u00fctzen sich eher vor hohen Geldstrafen.<\/p>\n Kein Unternehmen macht in Sachen Datenschutz immer alles richtig. Es gibt einige H\u00fcrden und Fallstricke, die zu Fehlern und Missverst\u00e4ndnissen f\u00fchren k\u00f6nnen. Wichtig ist es, am Ball zu bleiben, den eigenen Datenschutz konstant unter die Lupe zu nehmen und stetig zu verbessern.<\/p>\n Marijam \u00d6zdemir ist Volljuristin und zertifizierte Datenschutzbeauftragte. Durch ihre langj\u00e4hrige Expertise als Rechtsanw\u00e4ltin und Beraterin im Datenschutzrecht sticht sie als Senior Privacy Consultant bei DataGuard<\/a> besonders durch pragmatische L\u00f6sungen heraus, die ihre Kunden handlungs- und zukunftsf\u00e4hig machen.<\/p>\n","protected":false},"excerpt":{"rendered":" Autorin: Marijam \u00d6zdemir, Senior Privacy Consultant bei DataGuard<\/p>\n","protected":false},"author":0,"featured_media":4578,"comment_status":"open","ping_status":"closed","template":"","categories":[187,78],"artikelbranche":[],"acf":[],"_links":{"self":[{"href":"https:\/\/staging.cmm360.ch\/wp\/wp-json\/wp\/v2\/artikel\/4577"}],"collection":[{"href":"https:\/\/staging.cmm360.ch\/wp\/wp-json\/wp\/v2\/artikel"}],"about":[{"href":"https:\/\/staging.cmm360.ch\/wp\/wp-json\/wp\/v2\/types\/artikel"}],"replies":[{"embeddable":true,"href":"https:\/\/staging.cmm360.ch\/wp\/wp-json\/wp\/v2\/comments?post=4577"}],"version-history":[{"count":0,"href":"https:\/\/staging.cmm360.ch\/wp\/wp-json\/wp\/v2\/artikel\/4577\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/staging.cmm360.ch\/wp\/wp-json\/wp\/v2\/media\/4578"}],"wp:attachment":[{"href":"https:\/\/staging.cmm360.ch\/wp\/wp-json\/wp\/v2\/media?parent=4577"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/staging.cmm360.ch\/wp\/wp-json\/wp\/v2\/categories?post=4577"},{"taxonomy":"artikelbranche","embeddable":true,"href":"https:\/\/staging.cmm360.ch\/wp\/wp-json\/wp\/v2\/artikelbranche?post=4577"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}1. Fehlversendung von E-Mails<\/span><\/h2>\n
2. Ausufernde CV-Datenbanken<\/span><\/h2>\n
3. Falsche oder sinnlose Checkboxen unter Formularen auf der Website<\/span><\/h2>\n
4. Fehlende Mitarbeiterschulung zu Datenschutzthemen<\/span><\/h2>\n
5. Falsche Abgrenzung von Verantwortlichkeit und Auftragsverarbeitung<\/span><\/h2>\n
So geht es besser: Die Pflichten des Verantwortlichen<\/h3>\n
\n
6. Datenpanne nicht melden<\/span><\/h2>\n
Fazit<\/h2>\n
\u00dcber die Autorin <\/h3>\n