30 Minuten DSGVO richtig umsetzen E-Book

Achim Barth

• Herausgeber: GABAL Verlag
• Kategorie: Fachliteratur
• Serie: 30 Minuten
• Sprache: Deutsch
• Veröffentlichungsjahr: 2022

Seitenzahl: 68

Beschreibung

Datenschutzkonform: schnell, einfach, sicher! Als Inhaber oder Vorstand möchten Sie vor allem eines: Schaden von Ihrem Unternehmen oder Verein abwenden. Das ist, was die Datenschutz-Grundverordnung (DSGVO) betrifft, vor allem das Risiko, ein Bußgeld bezahlen zu müssen, abgemahnt zu werden, einen Imageverlust zu erleiden und/oder Opfer eines Cyberangriffes zu werden.  Wie sich dieses Risiko reduzieren lässt und was Sie als Verantwortlicher dafür genau tun müssen, erfahren Sie kompakt und auf das Wesentliche zusammengefasst in diesem Buch. Dabei müssen Sie nicht mit ausschweifenden Herleitungen und Begründungen rechnen, sondern erhalten in aller Kürze Informationen darüber, was zu tun ist, um das Thema DSGVO angemessen umzusetzen.

Leseprobe

30 Minuten DSGVO richtig umsetzen

Achim Barth

Bibliografische Information der Deutschen Nationalbibliothek. Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.

© 2022 Achim Barth

ISBN Buchausgabe: 978-3-96739-121-3

ISBN epub: 978-3-96740-224-7

Umschlaggestaltung: die imprimatur, Hainburg

Umschlagkonzept: Martin Zech Design, Bremen

Lektorat: Eva Gößwein, Berlin

Autorenfoto: Danijel Grbic, Schorndorf

© 2022 GABAL Verlag GmbH, Offenbach

Alle Rechte vorbehalten. Nachdruck, auch auszugsweise, nur mit schriftlicher Genehmigung des Verlags.

www.gabal-verlag.de

www.gabal-magazin.de

www.twitter.com/gabalbuecher

www.facebook.com/gabalbuecher

www.instagram.com/gabalbuecher

Wir übernehmen Verantwortung! Ökologisch und sozial!

Verzicht auf Plastik: kein Einschweißen der Bücher in Folie

Nachhaltige Produktion: Verwendung von Papier aus nachhaltig bewirtschafteten Wäldern, PEFC-zertifiziert

Stärkung des Wirtschaftsstandorts Deutschland: Herstellung und Druck in Deutschland

Wissen auf den Punkt gebracht

Dieses Buch ist so konzipiert, dass Sie in kurzer Zeit prägnante und fundierte Informationen aufnehmen können. Mithilfe eines Leitsystems werden Sie durch das Buch geführt. Es erlaubt Ihnen, innerhalb Ihres persönlichen Zeitkontingents (von 10 bis 30 Minuten) das Wesentliche zu erfassen.

Kurze Lesezeit

In 30 Minuten können Sie das ganze Buch lesen. Wenn Sie weniger Zeit haben, lesen Sie gezielt nur die Stellen, die für Sie wichtige Informationen beinhalten.

Zahlreiche Zusammenfassungen innerhalb der Kapitel erlauben das schnelle Querlesen.

Ein Fast Reader am Ende des Buches fasst alle wichtigen Aspekte zusammen.

Inhalt

Vorwort

1. Einführung in die DSGVO

Begriffe und Grundsätze im Datenschutz

Der Datenschutzbeauftragte

Rechenschaftspflicht und Rechtmäßigkeit

Die Rechte der Betroffenen

2. Die Pflicht – alles, was getan werden muss

Sieben Schritte zum Projektstart

Das Verzeichnis von Verarbeitungstätigkeiten

Dokumentation der technischen und organisatorischen Maßnahmen

3. Die Kür – alles, was getan werden soll

Umgang mit Auftragsverarbeitern

Erfüllung der Informationspflichten

Der DSGVO-konforme Internetauftritt

4. Zugabe – für ein Topergebnis

Schutzeinstufung von Daten und Risikobewertung

Aufbau eines Datenmanagements

Kontinuierlich: Überwachung, Kontrolle, Verbesserung

5. Besondere Datenverarbeitungen

Datenschutz im Homeoffice

Bewerberauswahl und Onboarding

Fast Reader

Der Autor

Weiterführende Literatur

Vorwort

Spätestens seit Einführung der Datenschutz-Grundverordnung (DSGVO) ist das Thema Datenschutz in den Köpfen der Verantwortlichen in Unternehmen, Vereinen und sonstigen Organisationen angekommen. Als die DSGVO im Mai 2018 kam, hatten viele vor allem Angst vor Bußgeldern und Abmahnungen. Die befürchtete Abmahnwelle blieb jedoch aus, und so trat Frust an die Stelle der Angst. Grund dafür waren schwammige Formulierungen im Gesetzestext, keine eindeutigen Vorgaben, wie Datenschutz nun konkret im Unternehmen umgesetzt werden muss, und sich ständig widersprechende Aussagen in Medien und von Experten. Dazu kamen noch nörgelnde Kollegen in Vertriebs- und Marketingabteilungen, die sich in ihrer Tätigkeit ausgebremst sahen.

Kurzum, der Datenschutz hat in so gut wie allen Organisationen für Unsicherheit und Unverständnis gesorgt. Dies führte teilweise zu teurem Aktionismus, teilweise dazu, dass Datenschutz völlig ausgeblendet wurde. Beide Verhaltensweisen sind nicht zielführend.

Große Unternehmen sind in der Lage, eigene Datenschutzabteilungen aufzubauen und das Thema professionell mit eigenen und externen Experten anzugehen und umzusetzen. Diese Ressourcen stehen kleinen Organisationen im Regelfall nicht zur Verfügung. Das vorliegende Buch richtet sich daher vor allem an Verantwortliche in KMU, an Soloselbstständige, an Menschen, die sich in Vereinen engagieren, und solche, die in ihrer Firma die Rolle des Datenschutzkoordinators einnehmen. Ich stelle Ihnen eine Lösungsmöglichkeit vor, wie Sie das Thema Datenschutz Schritt für Schritt angehen können. Dabei berücksichtige ich die zeitlichen und finanziellen Ressourcen eines KMU genauso wie die praktische Umsetzung der Maßnahmen.

Nehmen Sie das Thema ernst, genießen Ihre Kunden mindestens drei Vorteile: mehr Transparenz, was mit den eigenen Daten passiert, weniger Bürokratie und mehr Sicherheit für die gespeicherten personenbezogenen Daten.

Und für alle Verantwortlichen gilt: Wer seine Pflicht erfüllt, muss sich weder um Bußgelder und Abmahnungen noch um persönliche Haftung sorgen.

Legen wir los.

Ich wünsche Ihnen viel Erfolg bei der Umsetzung.

Achim Barth

1. Einführung in die DSGVO

Wenn Sie mit Ihrem Auto auf der Straße fahren, dann kennen Sie die Verkehrsregeln. Sie wissen, auf welcher Seite Sie zu fahren haben, Sie können gut einschätzen, wie sich die anderen Verkehrsteilnehmer verhalten, und Sie können die Verkehrszeichen lesen. Dazu kommt, Sie beherrschen Ihr Fahrzeug und können es sicher durch den Verkehr lenken, und wenn es doch mal zu einem Unfall kommt, sind das Fahrzeug und Sie selbst abgesichert.

Wenn wir das Beispiel Autofahren und Verkehr mit der Situation im Hinblick auf den Datenschutz vergleichen, sieht es dort leider bei den meisten nicht so rosig aus. Alle stehen mit ihrem kleinen oder großen Auto auf derselben Straße, kennen aber die Regeln kaum und können auch die Verkehrsschilder nicht lesen. Manch einer fährt, bildlich gesprochen, mit 200 Stundenkilometern über die Autobahn, obwohl nur 80 erlaubt sind, und der nächste hätte freie Fahrt, steht aber auf dem Standstreifen. Daher beschäftigen wir uns in diesem Kapitel zuerst einmal mit den „Verkehrsregeln“, damit Sie zukünftig die Schilder auch lesen können, die Ihnen auf der Datenautobahn entgegenkommen.

Sehr oft erlebe ich in der Praxis, dass Unternehmen zwar damit begonnen haben, etwas in Sachen Datenschutz in die Wege zu leiten, aber entweder schnell aufgegeben oder sich selbst mit unnötigen internen Regeln ausbremsen.

Datenschutz richtig umsetzen ist das Ziel. Allerdings hapert es genau daran in der Praxis leider sehr oft. Das soll nicht heißen, dass Datenschutz in den Unternehmen keine Rolle spielt. Vielmehr setzen unerfahrene eigene Mitarbeiter sehr oft irgendetwas um, ohne dass sie selbst oder die Geschäftsleitung wissen, warum überhaupt. Man hat eventuell gesehen, dass der Wettbewerber so verfährt, in einem Tagesseminar etwas aufgeschnappt oder vom Berufsverband wenig „Hilfreiche Tipps zur Umsetzung der DSGVO“ erhalten. Oft fehlen auch zwei Zutaten: gesunder Menschenverstand und genaues Wissen, was die DSGVO überhaupt in der praktischen Umsetzung verlangt … und was nicht.

1.1 Begriffe und Grundsätze im Datenschutz

Das Ziel ist es, dieses Buch in einfacher, verständlicher Sprache zu schreiben und nicht in die „Expertensprache“ abzudriften. Dennoch gibt es einige Begriffe, die ich direkt zu Beginn erläutern möchte. Grundsätzlich können Sie die 26 wichtigsten Begriffe in Artikel 4 der DSGVO direkt nachschlagen (folgen Sie dazu einfach dem QR-Code auf dieser Seite). Dort sind diese zwar definiert, aber leider nicht sonderlich verständlich für Laien.

https://dsgvo-gesetz.de/art-4-dsgvo/

Begriffe

Folgende Fachbegriffe sollten Sie kennen, um in Ihrem Betrieb datenschutzkonform zu arbeiten. Außerdem sollten Sie die Grundsätze der Datenverarbeitung gelesen und verstanden haben. Denn jegliche Verarbeitung von personenbezogenen Daten muss diesen Grundsätzen entsprechen. (Die Grundsätze zur Datenverarbeitung nach der DSGVO finden Sie direkt nach den Begriffsdefinitionen.)

Personenbezogene Daten

In der DSGVO sind personenbezogene Daten definiert als: „alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.“

⇨

In der Praxis:

Personenbezogene Daten sind neben Namen, Adresse, Geburtsdatum und allen Kontaktdaten auch Informationen über Vermögen, Besitz oder Gehalt sowie Fotos. Auch Angaben zum Arbeitsverhalten, die Personalnummer, die Arbeitsergebnisse, Benutzererkennungen und Nutzungszeiten zählen dazu.

Verantwortlicher

Ein „Verantwortlicher“ ist „die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“.

⇨

In der Praxis:

Verantwortliche sind die Inhaber, Geschäftsführer, CEOs oder (ehrenamtliche) Vorstände einer Organisation.

Gemeinsam Verantwortliche

Eine gemeinsame Verantwortlichkeit oder auch Joint Control liegt vor, wenn für die Datenverarbeitung zwei und mehr Verantwortliche gemeinsam tätig sind.

⇨

In der Praxis:

Gemeinsam verantwortlich sind Sie zum Beispiel mit Facebook, wenn Sie eine Facebook-Unternehmensseite betreiben.

Auftragsverarbeiter

„Auftragsverarbeiter ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.“

⇨

In der Praxis:

Ich vergleiche Auftragsverarbeiter gerne mit Sherpas bei einer Bergexpedition. Ein Auftragnehmer ist weisungsgebunden und verarbeitet die Daten ausschließlich im Sinne des Auftraggebers und explizit nicht für eigene Zwecke.

Besondere Kategorien personenbezogener Daten

Diese Daten stehen unter besonders hohem Schutz. Gemeint sind Informationen über die ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten und Daten zum Sexualleben oder der sexuellen Orientierung.

⇨

In der Praxis:

Wenn Sie solche besonderen Kategorien von personenbezogenen Daten regelmäßig verarbeiten, zum Beispiel als Gesundheitsdienstleister, sind höhere Schutzmaßnahmen für die Datensicherheit notwendig.

Grundsätze der Datenverarbeitung