Lesezeit: 4 Min
Wie Sie in Ihrem Unternehmen die DS-GVO umsetzen
Der Schutz personenbezogener Daten ist nicht nur eine gesetzliche Verpflichtung, sondern auch ein wesentlicher Bestandteil der Vertrauensbildung gegenüber Kunden und Partnern. Die Umsetzung effektiver Datenschutzmaßnahmen in Unternehmen erfordert systematisches Vorgehen und kontinuierliche Anpassung an sich ändernde rechtliche Rahmenbedingungen und technologische Entwicklungen.
Wir möchten Ihnen in diesem Blogartikel eine Übersicht und einen Leitfaden für die Umsetzung des Datenschutzes in Ihrem Unternehmen/Ihrer Organisation an die Hand geben. Dazu klären wir im ersten Schritt die Frage:
Was sind personenbezogene Daten im Datenschutz?
Im digitalen Zeitalter, in dem Daten zu einem wertvollen Gut geworden sind, hat der Schutz personenbezogener Daten an Bedeutung gewonnen. Doch was genau sind personenbezogene Daten?
Personenbezogene Daten sind gemäß Artikel 4 Absatz 1 der Datenschutzgrundverordnung (DS-GVO) alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Eine natürliche Person wird als identifizierbar angesehen, wenn sie direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, Standortdaten, einer Online-Kennung oder einem oder mehreren besonderen Merkmalen, identifiziert werden kann.
Beispiele für personenbezogene Daten
Personenbezogene Daten können sehr vielfältig sein und sind auch situationsabhängig zu betrachten. Beispiele für personenbezogene Daten sind:
- Name und Vorname: Diese grundlegenden Informationen sind die am offensichtlichsten personenbezogenen Daten, da sie direkt eine Person identifizieren.
- Anschrift: Wohnort oder Postanschrift können eine natürliche Person identifizieren und sind daher ebenfalls personenbezogene Daten.
- Geburtsdatum: Auch das Datum, an dem eine Person geboren wurde, kann zur Identifikation herangezogen werden.
- E-Mail-Adresse: Obwohl sie manchmal auf den ersten Blick anonym erscheinen mag, insbesondere wenn sie Pseudonyme enthält, kann eine E-Mail-Adresse oft einer bestimmten Person zugeordnet werden.
- Telefonnummer: Diese erlaubt es, direkt Kontakt zu einer Person aufzunehmen, und ist somit auch ein personenbezogenes Datum.
- Identifikationsnummern: Dazu gehören Personalausweisnummern, Sozialversicherungsnummern, aber auch Kundennummern in Unternehmen.
- Standortdaten: Informationen darüber, wo sich eine Person befindet oder befunden hat, sind ebenfalls personenbezogene Daten, beispielsweise GPS-Daten eines Mobiltelefons.
- Online-Kennungen: Dazu zählen unter anderem IP-Adressen, Cookies oder Gerätekennungen, die bei der Nutzung von Online-Diensten anfallen.
BLOG-TIPP: DATENSCHUTZ IN DER PRAXIS – WAS SIND PERSONENBEZOGENE DATEN NACH DS-GVO?
Besondere Kategorien personenbezogener Daten
Die DS-GVO definiert auch besondere Kategorien personenbezogener Daten, die als besonders sensibel gelten und daher einem höheren Schutzniveau unterliegen. Dazu gehören:
- Daten über die rassische und ethnische Herkunft
- Politische Meinungen
- Religiöse oder weltanschauliche Überzeugungen
- Gewerkschaftszugehörigkeit
- Genetische Daten
- Biometrische Daten zur eindeutigen Identifizierung
- Gesundheitsdaten
- Daten zum Sexualleben oder der sexuellen Orientierung
BLOG-TIPP: PERSONENBEZOGENE DATEN BESONDERER KATEGORIEN IM DATENSCHUTZ
Grundsätze des Datenschutzes
Im Datenschutz sind unterschiedliche Grundsätze festgelegt. Diese müssen Unternehmen bei der Verarbeitung von personenbezogenen Daten einhalten:
- Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
- Zweckbindung
- Datenminimierung
- Richtigkeit
- Speicherbegrenzung
- Integrität und Vertraulichkeit
- Rechenschaftspflicht
BLOG-TIPP: DATENSCHUTZ FÜR UNTERNEHMEN IN NRW – GRUNDSÄTZE DES DATENSCHUTZES
Bestellung eines Datenschutzbeauftragten
Unternehmen, die bestimmte Schwellenwerte an Datenverarbeitung überschreiten oder sensible Daten verarbeiten, sind gesetzlich verpflichtet, einen Datenschutzbeauftragten zu bestellen.
BLOG-TIPP: DIE BENENNUNG DES DATENSCHUTZBEAUFTRAGTEN
Erstellung und Pflege eines Verzeichnisses von Verarbeitungstätigkeiten (VVT)
Gemäß Artikel 30 DS-GVO sind Unternehmen verpflichtet, ein Verzeichnis aller Verarbeitungstätigkeiten zu führen, die personenbezogene Daten betreffen. Dieses Verzeichnis muss mindestens folgende Informationen enthalten:
- Name und Kontaktdaten des Verantwortlichen.
- Zwecke der Verarbeitung.
- Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten.
- Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt werden.
- Evtl. Übermittlungen personenbezogener Daten in ein Drittland oder an eine internationale Organisation.
- Fristen für die Löschung der verschiedenen Datenkategorien.
- Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOM).
BLOG-TIPP: VERZEICHNIS VON VERARBEITUNGSTÄTIGKEITEN (VVT) IM DATENSCHUTZ FÜR NRW
Technische und organisatorische Maßnahmen (TOM)
Um die Sicherheit und den Schutz von personenbezogenen Daten zu gewährleisten, müssen umfassende technische und organisatorische Maßnahmen implementiert werden. Dazu gehören:
- Schutz vor unbefugtem Zutritt zu Datenverarbeitungsanlagen.
- Verhinderung der Nutzung von Datenverarbeitungssystemen durch Unbefugte.
- Sicherstellen, dass nur Berechtigte auf personenbezogene Daten zugreifen können.
- Schutz bei der Übertragung personenbezogener Daten.
- Nachvollziehbarkeit, welche Daten durch welche Person in das System eingegeben wurden.
- Sicherstellung, dass personenbezogene Daten nur entsprechend den Weisungen des Auftraggebers verarbeitet werden.
- Schutz vor Datenvernichtung oder Verlust, z.B. durch regelmäßige Backups.
- Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden.
BLOG-TIPP: EFFEKTIVE UMSETZUNG VON TECHNISCHEN UND ORGANISATORISCHEN MASSNAHMEN (TOM) IM DATENSCHUTZ
Schulung und Sensibilisierung der Mitarbeiter
Mitarbeiter spielen eine zentrale Rolle im Datenschutz. Regelmäßige Schulungen und Sensibilisierungsmaßnahmen helfen, das Bewusstsein für Datenschutz zu stärken und sicherzustellen, dass alle Beschäftigten die relevanten Vorschriften und Unternehmensrichtlinien kennen und einhalten.
Datenschutz-Folgenabschätzung (DSFA)
Für bestimmte Verarbeitungstätigkeiten, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben, ist eine Datenschutz-Folgenabschätzung durchzuführen.
BLOG-TIPP: DATENSCHUTZ-FOLGENABSCHÄTZUNG NACH DS-GVO
Umgang mit Datenpannen
Im Falle einer Verletzung des Schutzes personenbezogener Daten muss ein festgelegter Prozess für die Meldung und Bewältigung der Datenpanne existieren. Schritte bei einer Datenpanne umfassen:
- Sofortige Ergreifung von Schadenbegrenzungsmaßnahmen.
- Dokumentation des Vorfalls.
- Bewertung der Schwere der Datenschutzverletzung.
- Meldung der Datenpanne bei der Aufsichtsbehörde innerhalb von 72 Stunden.
- Benachrichtigung der betroffenen Personen, wenn ein hohes Risiko für deren Rechte und Freiheiten besteht.
Kontinuierliche Arbeit am Datenschutz
Die Einhaltung von Datenschutzbestimmungen ist eine kontinuierliche Verpflichtung, die systematisches Vorgehen und regelmäßige Anpassungen erfordert. Durch die Implementierung der hier beschriebenen Maßnahmen schafft Ihr Unternehmen eine solide Grundlage für den wirksamen Schutz personenbezogener Daten und stärkt das Vertrauen Ihrer Kunden und Geschäftspartner in Ihre Dienstleistungen.
Dennis Manz ist seit über 20 Jahren selbstständig. Ist in der IT für unterschiedliche Branchen und seit langer Zeit auch im Bereich Buchhaltung und Steuerrecht tätig. Als Gründer und Geschäftsführer der Datenschutzberater.NRW GmbH betreut er zusammen mit seinem Team erfolgreich Unternehmen, Praxen, Steuerberater und unterschiedliche Einrichtungen in Sachen Datenschutz und GoBD-Beratung.