Die DSGVO betrifft jedes Unternehmen, das mit personenbezogenen Daten arbeitet. Ein verständlicher Überblick über die wichtigsten IT-Pflichten für KMU.
Kaum ein Thema sorgt bei Geschäftsführern für so viel Unsicherheit wie der Datenschutz. Die Datenschutz-Grundverordnung, kurz DSGVO, klingt nach viel Bürokratie und komplizierten Vorschriften. Im Kern geht es aber um eine nachvollziehbare Idee: Personenbezogene Daten, also alle Informationen über konkrete Menschen, sollen verantwortungsvoll behandelt werden. Dieser Beitrag gibt einen verständlichen Überblick über die wichtigsten IT-bezogenen Pflichten. Er ersetzt keine Rechtsberatung, hilft Ihnen aber, die richtigen Fragen zu stellen.
Ein weit verbreiteter Irrtum lautet, die DSGVO gelte nur für große Konzerne. Tatsächlich betrifft sie jedes Unternehmen, das mit personenbezogenen Daten arbeitet, und das tut praktisch jeder Betrieb. Kundenadressen, Mitarbeiterdaten, E-Mail-Verkehr, Bewerbungsunterlagen: All das fällt darunter.
Entscheidend ist nicht die Größe des Unternehmens, sondern der Umgang mit den Daten. Wer nachvollziehbar und sorgfältig arbeitet, hat den größten Teil bereits erledigt. Die IT spielt dabei eine zentrale Rolle, weil die meisten Daten heute digital verarbeitet und gespeichert werden.
Die DSGVO verlangt, dass Sie personenbezogene Daten angemessen schützen. Der Gesetzestext spricht von „technischen und organisatorischen Maßnahmen”. Das klingt abstrakt, meint aber ganz konkrete Dinge, die im IT-Alltag umsetzbar sind.
Dazu gehören unter anderem:
Diese Maßnahmen dienen doppelt: Sie erfüllen datenschutzrechtliche Anforderungen und schützen zugleich vor Datenverlust und Angriffen. Guter Datenschutz und gute IT-Sicherheit gehen Hand in Hand.
Neben der Technik verlangt die DSGVO, dass Sie den Überblick über Ihre Datenverarbeitung behalten. Ein zentraler Baustein ist das sogenannte Verzeichnis von Verarbeitungstätigkeiten. Vereinfacht gesagt ist das eine Auflistung, welche Daten Sie zu welchem Zweck verarbeiten. Auch kleinere Betriebe sind hiervon in vielen Fällen betroffen.
Ebenso wichtig ist der Umgang mit externen Dienstleistern. Wenn Sie zum Beispiel einen Cloud-Anbieter oder einen IT-Dienstleister nutzen, der Zugriff auf personenbezogene Daten hat, braucht es dafür in der Regel eine vertragliche Grundlage, die sogenannte Auftragsverarbeitung. Auch hier gilt: Im Zweifel sollten Sie einen Datenschutzbeauftragten oder Anwalt hinzuziehen, um auf der sicheren Seite zu sein.
Sollte es einmal zu einer Datenpanne kommen, etwa weil Daten verloren gehen oder in falsche Hände geraten, sieht die DSGVO Meldepflichten vor, die oft kurzfristig greifen. Wer vorher weiß, wen er informieren muss und wie er reagiert, verliert im Ernstfall keine wertvolle Zeit. Ein einfacher, im Betrieb bekannter Ablaufplan ist hier Gold wert.
Die DSGVO ist kein Grund zur Panik, aber ein Thema, das man ernst nehmen sollte. Vieles davon ist gesunder Menschenverstand, unterstützt durch solide IT. Wichtig ist, dass Technik und Organisation zusammenpassen und dass Sie den Überblick behalten.
Bei den technischen und organisatorischen IT-Themen rund um den Datenschutz unterstütze ich Sie bei bavartis gern. Für die rein rechtliche Bewertung sollten Sie zusätzlich einen Datenschutzbeauftragten oder Anwalt einbinden. Sprechen Sie mich einfach an.
Kostenlose Erstberatung – unverbindlich, ehrlich und auf Augenhöhe.