Das große Abwarten

Die Datenschutzgrundverordnung sorgte zuerst für Panik in den Unternehmen – seit dem 25. Mai ist nichts entschieden, Doch trotz der Ruhe drohen hohe Strafen. Viele Unternehmen fühlen sich von der Politik im Stich gelassen. Doch wenn man ein paar einfache Grundregeln beachtet, können Unternehmen Fehler vermeiden.

„Wenn Sie Ihren gesunden Menschenverstand einschalten, kann Ihnen eigentlich nicht viel passieren“, beruhigte Manfred Ilgenfritz die zahlreichen anwesenden Unternehmer. Er ist Referatsleiter beim Bayerischen Landesamt für Datenschutzaufsicht in Ansbach. „Die hohen Strafen werden Sie nicht gleich treffen, diese sind, um Google, Amazon & Co überhaupt einmal zu beeindrucken.“ Die Datenschutzbehörde in Ansbach geht einen bayerischen Weg. „Das heißt, sie wollen Unternehmen und Vereinen so weit es geht entgegenkommen“, erklärt der externe Datenschutzbeauftragte Markus Dinzl. Noch immer herrscht viel Unklarheit, trotzdem warten alle ab. Der Rahmen ist gesteckt, doch zum Teil sind die Verordnungen unklar formuliert oder widersprechen sich sogar. Erst Gerichtsurteile werden die strittigen Fälle eindeutig klären. Mit der neuen Richtlinie sollten vor allem die Verbraucher besser geschützt werden, Datenschützer feiern sie deshalb als Meilenstein, doch Unternehmer hemmt diese Richtlinie in der Ansprache von Kunden, zum Beispiel bei elektronischen Newslettern. Wem darf ich einen Newsletter zusenden und wem nicht? Aus Angst vor den angedrohten Strafen, verhalten sich viele abwartend oder starten skurrile Datenabfragen. So gingen viele Unternehmen von einem Umsatzrückgang aufgrund der DSGVO aus, meldet beispielsweise Springer professional. Grund sei der erhöhte Aufwand. In diversen Umfragen gaben fast die Hälfte der Befragten an, ihre digitalen Geschäftsaktivitäten zurückgefahren zu haben. Rund ein Drittel rechnen sogar mit Abmahnungen. Einziger Vorteil der unklaren Rechtslage. „Die ganz große, befürchtete Abmahnwelle blieb bisher offensichtlich aus, auch wenn vereinzelt Anwälte versucht haben, gerade kleinere Unternehmen abzumahnen“, berichtete der Anwalt Jochen Birk. „Die Politik diskutiert gerade, wer überhaupt eine Abmahnung aussprechen darf, es könnte auch zum Bumerang für Abmahnanwälte kommen.“

Einfache Grundregeln beachten
Die Datenschutzexperten Christian Grund und Markus Dinzl sind als externe Dienstleister für viele Unternehmen tätig und unterstützen bei der Umsetzung der neuen Verordnung. In ihrer täglichen Arbeit sind sie dabei immer wieder mit großen Problemen konfrontiert. „Wichtig ist für Unternehmen, dass ihre Mitarbeiter die Verordnung richtig umsetzen“, erinnert Christian Grund. „Das bedeutet, die Mitarbeiter sollten sensibilisiert und geschult werden. Nicht jedem ist die Tragweite bei seiner täglichen Arbeit bewusst. Aus versehen ist schnell einmal eine falsche Adresse im E-Mail-Programm angeklickt.“ Noch diffiziler wird es bei der Personalverwaltung, hier gibt es Daten, die als „normal“ und solche, die als „sensibel“ eingestuft werden – beide müssen unterschiedlich behandelt werden. Es empfiehlt sich, möglichst nur die Daten zu erheben, die wirklich notwendig sind. Das betrifft die interne Datenverwaltung, aber auch ein Bewerbungsmanagement. Bewerber haben schließlich ein Recht auf Datenlöschung. Auch mit externen Mitarbeitern oder Dienstleistern sollte der datenschutz in sogenannten Auftragsverarbeitungsverträgen (AV-Verträge) geregelt werden. Kommt es doch einmal zu einer Datenpanne, muss diese innerhalb von 72 Stunden bei der Aufsichtsbehörde gemeldet werden. Wichtig ist es im Vorfeld ein Konzept zu erarbeiten, in dem alle Richtlinien, Notfallpläne und Prozesse fixiert sind.

Empfehlung der Experten

• Technische Voraussetzungen von IT, WLAN und Cloudlösungen schaffen sowie verschlüsselte Datenübermittlung einführen
• Eigene Homepage überprüfen: Datenschutzunterseite, Impressum und SSL-Verschlüsselung müssen vorhanden sein
• Mitarbeiter sensibilisieren und schulen
• Vereinbarungen mit den eigenen Mitarbeitern treffen, z.B. für Veröffentlichungen auf der Firmenhomepage
• Personalverantwortliche speziell auf die neue Verordnung schulen, eventuell Einstufung in „normale“ und „sensible“ Daten
• AV-Verträge mit externen Dienstleistern abschließen
• Aufbau von Richtlinien, Notfallplänen und Sicherheitskonzepten
• Konzept erstellen, was bei einer Datenpanne zu machen ist