Datenschutz – aus Pflicht wird Chance

Datenschutzverstöße können teuer werden – nicht nur in Form von Bußgeldern, sondern auch durch den Verlust von Kundenvertrauen. Unternehmen, die Datenschutz als ein Risiko verstehen, wollen dieses aktiv managen. Dazu gehört die Erfüllung von Standardpflichten wie die regelmäßige Löschung personenbezogener Daten oder die Sicherstellung einer rechtssicheren Verarbeitung.

In vielen Unternehmen wird Datenschutz als Hemmnis empfunden. Neue Systeme, innovative Geschäftsmodelle oder datengetriebene Prozesse scheinen durch Datenschutzvorgaben ausgebremst zu werden. Doch Datenschutz muss kein Showstopper sein: Mit einer strategischen Herangehensweise lassen sich Anforderungen effizient in bestehende und neue Prozesse integrieren, ohne eine effiziente Datenverarbeitung zu verhindern.

Für Unternehmen mit Sitz außerhalb der EU, die in Europa Geschäfte machen, ist Datenschutz oft eine besondere Herausforderung. Die DSGVO verlangt in vielen Fällen die Benennung eines EU-Vertreters, der als Ansprechpartner für Behörden und Kunden agiert. Wir übernehmen diese Rolle und stellen sicher, dass alle Datenschutzvorgaben eingehalten werden, um rechtliche Risiken zu vermeiden.

Junge Unternehmen haben oft begrenzte Ressourcen für Datenschutz. Viele Start-ups setzen daher zunächst nur auf das Nötigste, um den Betrieb am Laufen zu halten. Doch spätestens, wenn das Unternehmen wächst, größere Kunden anzieht oder Investoren ins Spiel kommen, wird Datenschutz zum geschäftskritischen Faktor. Wir helfen Start-ups, skalierbare Datenschutzstrukturen zu schaffen, die mit dem Unternehmen mitwachsen und den Anforderungen von Partnern und Investoren gerecht werden.

Ein Wechsel in der Geschäftsführung oder im HR-Bereich kann Fragen aufwerfen: Welche Datenschutzprozesse sind etabliert? Wo gibt es Risiken? Welche Verantwortlichkeiten müssen neu geklärt werden? Gerade wenn der bisherige Datenschutzverantwortliche das Unternehmen verlässt, können Wissenslücken entstehen. Wir sorgen dafür, dass Datenschutzprozesse nahtlos weitergeführt werden und keine Compliance-Lücken entstehen.

Bei Unternehmensverkäufen, Investitionen oder Fusionen spielt Datenschutz eine immer größere Rolle. Investoren und Käufer prüfen genau, ob ein Unternehmen datenschutzrechtlich gut aufgestellt ist – denn unzureichende Datenschutzmaßnahmen können zum Dealbreaker werden. Wir unterstützen Unternehmen bei der Vorbereitung auf eine Due Diligence und helfen Investoren dabei, Datenschutzrisiken bei potenziellen Beteiligungen richtig zu bewerten.

Vorgehensweise:

• Überprüfung der Umsetzung: Eine interne Überprüfung des Sachverhalts ergibt, dass der Kunde tatsächlich von seinem Widerspruchsrecht Gebrauch gemacht hat, der zuständige Mitarbeiter diesem allerdings nicht nachgekommen ist.
• Umsetzung des Widerspruchs: Der Datensatz des Kunden wird im System mit einem „Sperrvermerk“ versehen, welcher klar aufzeigt, dass die Daten des Kunden nicht weiterverarbeitet werden dürfen.
• Interne Schulung und Prozessoptimierung: Das Unternehmen führt eine ganzheitliche Überprüfung zur Umsetzung von Betroffenenanfragen durch, um sicherzustellen, dass sich in Zukunft keine Verstöße dieser Art mehr ereignen. Die Mitarbeitenden werden erneut zum Umgang mit Betroffenenanfragen sensibilisiert.
• Stellungnahme an die Behörde: Das Unternehmen führt in seiner Stellungnahme an die Behörde aus, dass es dem Widerspruch des Kunden tatsächlich nicht nachgekommen sei, aber in der Zwischenzeit Maßnahmen ergriffen habe, um einen solchen Vorfall in Zukunft zu vermeiden. Die Behörde akzeptiert die Stellungnahme und sieht (ausnahmsweise) von der Verhängung eines Bußgelds ab.

Gesetzlicher Hintergrund: Die Betroffenenrechte sind in Art. 12–22 DSGVO geregelt und gewährleisten natürlichen Personen Kontrolle über ihre personenbezogenen Daten. Unternehmen müssen daher Prozesse zur Umsetzung der Betroffenenrechte in Ihrer Organisation etablieren.

Vorgehensweise:

• Auskunftserteilung: Die Mitarbeiterin wird darüber informiert, dass die Videoüberwachung der Verfolgung von Straftaten und Ordnungswidrigkeiten dient, die in letzter Zeit vermehrt aufgetreten sind.
• Erfüllung der Informationspflichten: Das Unternehmen nimmt die Anfrage seiner Mitarbeiterin zum Anlass, Hinweisschilder zur Videoüberwachung für jeden einsehbar auszuhängen. Darin sind der Name und die Kontaktdaten des Verantwortlichen sowie des Datenschutzbeauftragten, die Rechtsgrundlagen und Zwecke der Datenverarbeitung sowie die Speicherdauer hinterlegt.

Gesetzlicher Hintergrund: Die DSGVO und das BDSG regeln, dass eine Videoüberwachung in öffentlich zugänglichen Bereichen nur unter strengen Auflagen erfolgen darf. Betroffene müssen klar informiert werden, und es muss ein legitimer Zweck für die Überwachung bestehen. Überwachungsaufnahmen dürfen nur für einen begrenzten Zeitraum, in der Regel bis zu 72 Stunden, gespeichert werden.  

Vorgehensweise:

• Risikoanalyse: Der Kundenservice informiert den Datenschutzbeauftragten des Unternehmens, welcher schließlich eine Risikoanalyse durchführt. Dabei wird festgestellt, dass es sich um eine meldepflichtige Datenschutzverletzung handelt.
• Benachrichtigung und Schadensbegrenzung: Die Datenschutz-Aufsichtsbehörde sowie die betroffenen Personen werden gemäß Art. 33 / 34 DSGVO über den Vorfall sowie der getroffenen bzw. zu treffenden Maßnahmen informiert. Ferner wird der Kunde, welcher die falsche Rechnung erhielt, zur Löschung dieser aufgefordert.
• Prävention und Schulung: Die für die Versandvorbereitung zuständigen Mitarbeitenden werden erneut dahingehend sensibilisiert, der Ware beiliegenden Unterlagen (wie z.B. Rechnungen) stets auf Korrektheit zu überprüfen.

Gesetzlicher Hintergrund: Gemäß Art. 33 und 34 DSGVO müssen Datenschutzverletzungen, die ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen darstellen, innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden. Die betroffenen Personen sind ebenfalls zu informieren, um geeignete Schutzmaßnahmen zu treffen.

Vorgehensweise:

• Prozessüberprüfung: Das Unternehmen stellt fest, dass für die Durchführung von Telefonwerbung stets eine Einwilligung erforderlich ist, die zum aktuellen Zeitpunkt nicht eingeholt wurde.
• Prozessanpassung: In enger Zusammenarbeit mit dem Datenschutzbeauftragten wird der Prozess umgestaltet: Ab sofort muss vor jeder Telefonwerbung die ausdrückliche Einwilligung der Kunden eingeholt und dokumentiert werden. Zudem werden alle Mitarbeitenden in Bezug auf diese Änderungen geschult und sensibilisiert, damit die Anforderungen korrekt umgesetzt werden.
• Stellungnahme an den Kunden: Der Datenschutzbeauftragte informiert den betroffenen Kunden in einer offiziellen Stellungnahme, dass der Prozess überarbeitet wurde. Zukünftig wird Telefonwerbung nur noch im Rahmen der rechtlich erforderlichen und dokumentierten Einwilligung durchgeführt.

Gesetzlicher Hintergrund: In Art. 6 DSGVO sind die Rechtsgrundlagen zur Verarbeitung personenbezogener Daten definiert. Eine dieser Rechtsgrundlagen ist die Einwilligung nach Art. 6 Abs. 1 lit. a) DSGVO, welche für bestimmte Verarbeitungstätigkeiten (z. B. Telefonwerbung) erforderlich ist.

Vorgehensweise:

• Risikoanalyse: Die Überprüfung des Vorfalls ergibt, dass personenbezogene und vertrauliche Unternehmensdaten betroffen sind. Dabei wird ein Verstoß gegen die DSGVO und das Geschäftsgeheimnisgesetz (GeschGehG) festgestellt.
• Benachrichtigung und Schadensbegrenzung: Die Datenschutz-Aufsichtsbehörde sowie die betroffenen Personen werden gemäß Art. 33 / 34 DSGVO über den Vorfall sowie der getroffenen bzw. zu treffenden Maßnahmen informiert. Ferner wird der KI-Anbieter zur Löschung der Daten aufgefordert.
• Prävention und Schulung: Es werden interne Richtlinien zum datenschutzkonformen Umgang mit KI-Anwendungen erstellt und die Mitarbeitenden gesondert geschult. Darüber hinaus wird eine klare Anweisung kommuniziert, dass lediglich die unternehmensinternen KI-Systeme, welche in der eigenen IT-Infrastruktur betrieben werden, verwendet werden dürfen. Frei zugängliche KI-Systeme dürfen lediglich in einem begrenzten Umfang eingesetzt werden.

Gesetzlicher Hintergrund: Gemäß Art. 33 und 34 DSGVO müssen Datenschutzverletzungen, die ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen darstellen, innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden. Die betroffenen Personen sind ebenfalls zu informieren, um geeignete Schutzmaßnahmen zu treffen.