Datenschutz-Schulung für KMUs

Der Begriff Datenschutz wird in verschiedenen Bereichen unterschiedlich interpretiert und häufig fälschlicherweise mit Datensicherheit gleichgesetzt. Eine Definition lässt sich jedoch ganz einfach bereits begrifflich ableiten: Es handelt sich um den Schutz von personenbezogenen Daten und die Verhinderung der missbräuchlichen Verarbeitung sowie den Schutz des Rechts auf informationelle Selbstbestimmung.

Im Datenschutz stehen dabei Informationen im Fokus, die in einem unmittelbaren bzw. mittelbaren Zusammenhang zu einer bestimmten Person stehen. Diese Informationen müssen sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Eine Person ist identifizierbar, wenn sie direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung, wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann.

Besondere Kategorien von personenbezogenen sind hingegen besonders sensible Informationen, die einen höheren Schutzbedarf haben als die herkömmlichen personenbezogenen Daten. Darüber hinaus gelten für diese auch andere Rechtsgrundlagen für die Verarbeitung.

Der Begriff der Verarbeitung ist sehr weit zu verstehen: Umfasst ist jeder, mit oder ohne Hilfe automatisierter Verfahren, ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten.

Sog. technische und organisatorische Maßnahmen (TOM) sind Werkzeuge für den Schutz von personenbezogenen Daten und die Einhaltung des Datenschutzes. Diese müssen insbesondere von den Mitarbeitern gelebt, beachtet und eingehalten werden.

Datenschutzvorfälle bzw. Datenpannen oder offiziell die „Verletzung des Schutzes personenbezogener Daten“ gem. Art. 33 DSGVO gehören genau zu den Szenarien, die jeder Verantwortliche vermeiden sollte. Wenn es aber doch zu einem derartigen Datenschutzvorfall kommt, müssen gewisse Mechanismen etabliert sein, die eine rechtzeitige „unverzüglich und binnen 72 Stunden“ zu tätigende Meldung an die zuständige Aufsichtsbehörde ermöglichen, um die gesetzlichen Meldefristen zu erfüllen.

Die Betroffenenrechte wurden durch die europäische DSGVO erheblich gestärkt und erweitert. Betroffene können u.a. Ihr Recht auf Auskunft, Löschung oder sogar Datenübertragbarkeit gegenüber dem Verantwortlichen geltend machen.

Das Auslagern von Datenverarbeitungsprozessen durch den Auftraggeber auf externe Dienstleister ist ein häufiges Mittel zur Kostensenkung und der Nutzung von externem Know-how. Wichtig ist zunächst, dass ein Auftraggeber, z.B. ein Unternehmen, eine Behörde oder auch ein Verein, der einen Dritten beauftragt personenbezogene Daten im Auftrag zu verarbeiten, zwingend einen Vertrag i.S.d. Art. 28 DSGVO mit dem Auftragnehmer schließen muss.

Datenschutzbeauftragte übernehmen die gesamte Koordination von datenschutzrechtlichen Aufgaben des Verantwortlichen und entlasten auf diese Weise die Geschäftsführung und das Management des Verantwortlichen, da grundsätzlich die höchste Management-Ebene für die Umsetzung des Datenschutzes verantwortlich ist.