Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: KMU

  • Datenschutz-Jahrescheck für KMU: 12 Punkte vor dem Jahresende

    Datenschutz ist kein Projekt, das einmal abgeschlossen wird, sondern eine Daueraufgabe. Das Jahresende ist ein guter Zeitpunkt, um Bilanz zu ziehen: Was hat sich im Unternehmen verändert, welche neuen Tools sind hinzugekommen, welche rechtlichen Entwicklungen müssen berücksichtigt werden? Unser 12-Punkte-Check hilft kleinen und mittleren Unternehmen, ihren Datenschutz mit überschaubarem Aufwand auf Stand zu bringen.

    Organisation und Dokumentation

    1. Ist das Verzeichnis von Verarbeitungstätigkeiten aktuell, mit neuen Prozessen, neuer Software und ohne weggefallene Verfahren? Unsere Anleitung hilft.
    2. Hat sich die Mitarbeiterzahl verändert, und ist die Benennung des Datenschutzbeauftragten noch korrekt gemeldet?
    3. Gibt es für jeden neuen Dienstleister mit Datenzugriff einen Auftragsverarbeitungsvertrag, und sind Unterauftragnehmer und Drittlandübermittlungen geprüft?
    4. Ist der Löschlauf erledigt? Bewerberdaten, alte Angebote, Daten ausgeschiedener Beschäftigter und Bestände mit abgelaufenen Aufbewahrungsfristen werden gemäß Löschkonzept bereinigt.

    Website und Marketing

    1. Welche Cookies und Drittdienste lädt die Website? Stimmen Cookie-Banner und Datenschutzerklärung noch mit der Realität überein? Seit Mai 2024 heißt das TTDSG übrigens TDDDG; veraltete Verweise sollten angepasst werden.
    2. Sind Einwilligungen für Newsletter und Werbung dokumentiert, und werden Abmeldungen und Widersprüche zuverlässig umgesetzt?
    3. Haben Kontaktformulare nur die nötigen Pflichtfelder, und kommen Antworten auf Online-Bewertungen ohne Kundendaten aus?

    IT-Sicherheit

    1. Sind Updates, Zwei-Faktor-Authentifizierung, Berechtigungen, Offline-Backups und ein getesteter Wiederherstellungsprozess auf Stand? Hinweise in unserem Beitrag zu TOMs nach Art. 32 DSGVO.
    2. Ist der Notfallplan aktuell, mit Telefonliste, Meldewegen für Datenpannen und, falls einschlägig, den NIS2-Meldepflichten?

    Beschäftigte und KI

    1. Haben alle Beschäftigten eine aktuelle Datenschutzschulung erhalten, und ist die KI-Kompetenz nach Art. 4 AI Act abgedeckt?
    2. Welche KI-Tools werden genutzt, und sind Inventar und Richtlinie aktuell? Seit August 2026 gelten die Transparenzpflichten der KI-Verordnung; die Hochrisiko-Pflichten für Anhang-III-Systeme folgen nach dem KI-Omnibus ab Dezember 2027 (siehe unseren Beitrag zum KI-Omnibus).
    3. Wie viele Auskunfts- und Löschanfragen gab es, wurden die Fristen eingehalten, und wo hakte es?

    Ergebnisse festhalten

    Dokumentieren Sie den Jahrescheck kurz: Datum, geprüfte Punkte, festgestellte Lücken, verantwortliche Personen und Fristen für die Umsetzung. Das erfüllt nicht nur die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO, sondern verbessert auch Ihre Position, falls es einmal zu einer Datenpanne, einer Beschwerde oder einer Abmahnung kommt.

    In kleinen Unternehmen ist ein solcher Check oft an einem halben Tag erledigt. Wenn Sie ihn gemeinsam mit uns durchgehen möchten, schreiben Sie uns oder buchen Sie einen Termin.

  • Abmahnung wegen Datenschutzverstoß erhalten: So reagieren Sie richtig

    Ein Schreiben mit kurzer Frist, einer vorformulierten Unterlassungserklärung und einer Kostennote: Abmahnungen wegen Datenschutzverstößen sind für viele kleine Unternehmen ein Schreckmoment. Seit der EuGH sowohl Verbraucherverbänden als auch Mitbewerbern ein Klagerecht bei DSGVO-Verstößen zugestanden hat, ist das Risiko gestiegen. Hinzu kommen Forderungen von Privatpersonen. Wer richtig reagiert, kann den Schaden begrenzen oder unberechtigte Forderungen abwehren.

    Schritt 1: Ruhe bewahren, Frist notieren

    Abmahnungen setzen meist kurze Fristen von einer bis zwei Wochen. Die Frist sollte ernst genommen werden, denn nach ihrem Ablauf droht eine einstweilige Verfügung oder Klage. Ignorieren ist keine Option. Ebenso wenig sollte die beigefügte Unterlassungserklärung ungeprüft unterschrieben werden.

    Schritt 2: Wer mahnt ab, und mit welchem Recht?

    • Verbraucherverbände müssen bestimmte Voraussetzungen erfüllen, etwa die Eintragung in die Liste qualifizierter Einrichtungen.
    • Mitbewerber müssen tatsächlich in einem konkreten Wettbewerbsverhältnis stehen.
    • Privatpersonen können Unterlassung und unter Umständen Schadensersatz verlangen, wenn ihre eigenen Daten betroffen sind.

    Bei auffälligen Serienforderungen, etwa nach Newsletter-Anmeldung mit sofortigem Auskunftsersuchen, kann ein Rechtsmissbrauch vorliegen. Der EuGH hat dies in seinem Urteil vom März 2026 anerkannt; siehe unseren Beitrag „Missbräuchliche Auskunftsersuchen“.

    Schritt 3: Liegt der Verstoß tatsächlich vor?

    Häufige Vorwürfe sind: Tracking ohne Einwilligung, dynamisch eingebundene Schriftarten oder Karten, fehlerhafte Datenschutzerklärung, Werbe-E-Mails ohne Einwilligung, unbeantwortete Auskunftsersuchen. Prüfen Sie den Vorwurf technisch und rechtlich und beheben Sie einen tatsächlichen Verstoß sofort. Praktische Hinweise geben unsere Beiträge zum Cookie-Banner und zur Datenschutzerklärung.

    Schritt 4: Die Unterlassungserklärung prüfen

    Eine strafbewehrte Unterlassungserklärung bindet dauerhaft. Verstößt das Unternehmen später erneut, wird eine Vertragsstrafe fällig. Vorformulierte Erklärungen sind oft zu weit gefasst, enthalten feste hohe Vertragsstrafen oder ein Schuldanerkenntnis. In vielen Fällen ist eine modifizierte Unterlassungserklärung sinnvoll, die nur den konkreten Verstoß erfasst und eine angemessene Vertragsstrafe vorsieht. Ob überhaupt eine Erklärung abgegeben werden sollte, hängt von der Berechtigung der Abmahnung ab.

    Schritt 5: Kosten und Schadensersatz

    Ob und in welcher Höhe Abmahnkosten zu erstatten sind, hängt vom Abmahnenden und von gesetzlichen Beschränkungen ab. Mitbewerber können bei bestimmten Datenschutzverstößen kleinerer Unternehmen nach dem UWG keinen Aufwendungsersatz verlangen. Schadensersatzforderungen von Privatpersonen setzen einen tatsächlich erlittenen Schaden voraus; Einzelheiten in unserer Zwischenbilanz zum DSGVO-Schadensersatz.

    Vorbeugen

    Die beste Verteidigung ist eine regelmäßig geprüfte Website und funktionierende Prozesse für Betroffenenanfragen. Ein jährlicher Datenschutz-Check der Website kostet wenig im Vergleich zu einer Abmahnung.

    Nicht jede Abmahnung ist berechtigt, aber jede verdient eine sorgfältige Prüfung; unterschreiben Sie die Unterlassungserklärung nie ungeprüft. Liegt Ihnen eine Abmahnung wegen eines Datenschutzverstoßes vor, prüfen wir sie kurzfristig und vertreten Sie. Schreiben Sie uns oder buchen Sie einen Termin.

  • Data Act: „Access by Design“ ab 12.09.2026 – Datenschutz mitdenken

    Seit einem Jahr ist der Data Act anwendbar; im September 2025 hatten wir über die Grundzüge berichtet. Nun steht die nächste wichtige Frist an: Vernetzte Produkte und verbundene Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden, müssen nach Art. 3 Abs. 1 des Data Act so konzipiert sein, dass Nutzer standardmäßig einfach, sicher und, soweit relevant und technisch durchführbar, direkt auf die Produktdaten zugreifen können. Für Hersteller, aber auch für Händler und Anbieter von Apps zu vernetzten Geräten bedeutet das konkrete Umsetzungsarbeit.

    Was heißt „Access by Design“?

    Die Daten, die ein vernetztes Produkt bei seiner Nutzung erzeugt, etwa Betriebs-, Verbrauchs- oder Sensordaten, sollen dem Nutzer ohne Hürden zugänglich sein. Wie das technisch umgesetzt wird, schreibt der Data Act nicht im Detail vor: denkbar sind ein Download im Kundenkonto, eine Schnittstelle oder ein direkter Zugriff am Gerät. Der Zugang muss aber bereits im Produktdesign mitgedacht werden.

    Die datenschutzrechtliche Seite

    Viele Produktdaten sind personenbezogen: Die Fahrdaten eines Autos, die Verbrauchsdaten eines smarten Zählers oder die Aktivitätsdaten eines Wearables lassen Rückschlüsse auf Personen zu. Der Data Act lässt die DSGVO unberührt und schafft keine eigene Rechtsgrundlage. Daraus folgen mehrere Aufgaben:

    • Nutzer eines Produkts ist nicht immer die betroffene Person. Wer ein Fahrzeug least oder ein Gerät mit anderen teilt, darf nicht ohne Weiteres auf personenbezogene Daten Dritter zugreifen. Identität und Berechtigung sind daher zu prüfen.
    • Verlangt ein Nutzer die Weitergabe an einen Dritten, muss bei personenbezogenen Daten eine Rechtsgrundlage nach der DSGVO bestehen.
    • Datenzugänge sind Angriffsflächen und müssen nach dem Stand der Technik abgesichert werden.
    • Art. 25 DSGVO verlangt, Datenschutz von Anfang an in die Produktentwicklung einzubauen; das passt zur Logik des Data Act.
    • Bei umfangreicher Verarbeitung etwa von Standort- oder Gesundheitsdaten kann eine Datenschutz-Folgenabschätzung erforderlich sein.

    Verhältnis zur Datenübertragbarkeit

    Für personenbezogene Daten besteht daneben weiterhin das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO. Die Rechte überschneiden sich, haben aber unterschiedliche Voraussetzungen. Unternehmen sollten ihre Prozesse für Anfragen deshalb so gestalten, dass beide Regelwerke abgedeckt sind.

    Checkliste für Hersteller

    1. Welche Produkte werden nach dem 12. September 2026 neu in Verkehr gebracht?
    2. Welche Daten erzeugen sie, welche davon sind personenbezogen?
    3. Wie wird der Zugang technisch bereitgestellt und abgesichert?
    4. Wie werden Nutzer und betroffene Personen unterschieden?
    5. Sind vorvertragliche Informationen und Datenschutzhinweise angepasst?
    6. Sind die Ausnahmen für Kleinst- und Kleinunternehmen einschlägig?

    Wer den Datenzugang umsetzt, sollte Datenschutz und IT-Sicherheit von Beginn an mitdenken, sonst entstehen aus der neuen Pflicht neue Risiken. Hersteller und Händler vernetzter Produkte unterstützen wir bei der Umsetzung von Data Act und DSGVO. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Auf Online-Bewertungen antworten: Datenschutz-Fallen vermeiden

    Online-Bewertungen sind für Handwerksbetriebe, Praxen, Restaurants und Dienstleister ein wichtiger Faktor. Eine unfaire Ein-Stern-Bewertung ärgert, und die Versuchung ist groß, in der öffentlichen Antwort „die Dinge richtigzustellen“. Genau hier liegt eine Datenschutzfalle: Wer in seiner Antwort Informationen über den Kunden preisgibt, verarbeitet personenbezogene Daten und veröffentlicht sie. Das ist häufig unzulässig und wird von Aufsichtsbehörden beanstandet.

    Warum eine Antwort datenschutzrelevant ist

    Auch wenn eine Bewertung unter einem Pseudonym verfasst ist, weiß das Unternehmen oft, wer dahintersteckt. Nennt es in der Antwort Behandlungsdetails, Auftragsumfang, Zahlungsverhalten oder gar den Namen, verknüpft es öffentlich die Bewertung mit Informationen aus der Kundenbeziehung. Dafür fehlt in aller Regel eine Rechtsgrundlage. Das berechtigte Interesse, sich gegen Kritik zu verteidigen, rechtfertigt keine Offenlegung von Kundendaten, die über das Notwendige hinausgeht.

    Besonders heikel: Gesundheitsberufe

    Bei Ärzten, Zahnärzten, Therapeuten und Pflegediensten kommt die Schweigepflicht hinzu. Schon die Bestätigung, dass eine bestimmte Person Patient war, kann eine Verletzung von Privatgeheimnissen darstellen. Antworten wie „Bei Ihrer Behandlung im März haben wir …“ sind tabu. Weitere Hinweise enthält unser Beitrag zu Gesundheitsdaten in Arztpraxis und Therapie.

    So antworten Sie richtig

    1. Bleiben Sie allgemein. Bedanken Sie sich für das Feedback und beschreiben Sie Ihre Standards, ohne auf den konkreten Fall einzugehen.
    2. Nennen Sie keine Details aus der Kundenbeziehung: keinen Namen, kein Datum, keine Leistungsdetails, keine Zahlungsinformationen.
    3. Bieten Sie ein Gespräch an: „Bitte melden Sie sich direkt bei uns, damit wir Ihr Anliegen klären können.“
    4. Bleiben Sie sachlich. Emotionale oder herabsetzende Antworten schaden dem Ansehen mehr als die Bewertung selbst.
    5. Lassen Sie Antworten auf kritische Bewertungen vor der Veröffentlichung gegenlesen.

    Unzulässige Bewertungen entfernen lassen

    Statt öffentlich zu streiten, ist es oft besser, gegen rechtswidrige Bewertungen vorzugehen. Bewertungsplattformen müssen Beanstandungen prüfen, etwa wenn kein Kundenkontakt stattgefunden hat, wenn unwahre Tatsachen behauptet werden oder wenn eine Bewertung beleidigend ist. Maßgeblich ist dabei die Abgrenzung zwischen zulässiger Meinungsäußerung und unzulässiger Tatsachenbehauptung. Ein klassisches Beispiel ist die von uns früher besprochene Hotelbewertung „Hühnerstall“.

    Bewertungen aktiv einholen

    Wer Kunden nach dem Auftrag per E-Mail um eine Bewertung bittet, betreibt Werbung im Sinne des Wettbewerbsrechts. Dafür ist grundsätzlich eine Einwilligung erforderlich, sofern nicht die enge Bestandskundenausnahme greift. Einzelheiten dazu in unserem Beitrag „Newsletter rechtssicher versenden“.

    Eine freundliche, allgemeine Antwort mit Gesprächsangebot wirkt professionell und vermeidet Datenschutzverstöße. Gegen rechtswidrige Bewertungen gehen wir für Sie vor, und wir beraten Sie, wie Sie auf Kritik antworten dürfen. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Data Act gilt seit 12.09.2025: Verhältnis zur DSGVO und To-dos

    Seit dem 12. September 2025 ist die europäische Datenverordnung (Verordnung (EU) 2023/2854, „Data Act“) in weiten Teilen anwendbar. Sie regelt den Zugang zu und die Nutzung von Daten, die bei der Nutzung vernetzter Produkte entstehen, vom smarten Haushaltsgerät über Maschinen bis zum vernetzten Fahrzeug. Daneben enthält sie Regeln zum Wechsel von Cloud-Anbietern und zu unfairen Vertragsklauseln. Für Datenschutzverantwortliche stellt sich vor allem die Frage, wie sich der Data Act zur DSGVO verhält.

    Worum geht es im Data Act?

    • Nutzer vernetzter Produkte und verbundener Dienste erhalten Rechte auf Zugang zu den von ihnen erzeugten Daten und können verlangen, dass diese an Dritte, etwa einen Reparaturbetrieb, weitergegeben werden.
    • Hersteller und Anbieter müssen vor Vertragsschluss informieren, welche Daten das Produkt erzeugt und wie Nutzer darauf zugreifen können.
    • Bestimmte einseitig auferlegte Klauseln über Datenzugang und Datennutzung zwischen Unternehmen sind unwirksam.
    • Anbieter von Datenverarbeitungsdiensten müssen den Wechsel zu einem anderen Anbieter ermöglichen. Wechselentgelte werden schrittweise abgeschafft; ab dem 12. Januar 2027 sind sie unzulässig.

    Die weiteren Fristen

    • Ab 12. September 2026 müssen vernetzte Produkte und verbundene Dienste, die danach in Verkehr gebracht werden, so gestaltet sein, dass Nutzer standardmäßig einfach auf ihre Daten zugreifen können („Access by Design“, Art. 3 Abs. 1).
    • Ab 12. September 2027 gelten die Regeln über unfaire Vertragsklauseln unter bestimmten Voraussetzungen auch für Altverträge, die vor dem 12. September 2025 geschlossen wurden.

    Kleinst- und kleine Unternehmen sind von den Pflichten des Kapitels II für ihre Produkte und Dienste unter bestimmten Voraussetzungen ausgenommen; für mittlere Unternehmen gibt es eine Übergangsregelung.

    Data Act und DSGVO

    Der Data Act lässt die DSGVO unberührt. Im Konfliktfall geht das Datenschutzrecht vor. Der Data Act schafft auch keine eigene Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Gibt ein Hersteller Nutzungsdaten eines vernetzten Produkts heraus, die sich auf eine natürliche Person beziehen, etwa Fahrdaten oder Daten eines smarten Thermostats, muss dafür weiterhin eine Rechtsgrundlage nach Art. 6 DSGVO bestehen. Die Zugangsrechte des Data Act ergänzen insoweit das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO, gehen aber darüber hinaus, weil sie auch nicht personenbezogene Daten erfassen.

    In der Praxis ist es oft schwierig, personenbezogene und nicht personenbezogene Daten sauber zu trennen. Gemischte Datensätze unterliegen regelmäßig beiden Regelwerken.

    Was Unternehmen jetzt tun sollten

    1. Prüfen Sie, ob Sie betroffen sind: Stellen Sie vernetzte Produkte her oder bieten verbundene Dienste an? Nutzen Sie solche Produkte im Betrieb? Sind Sie Cloud-Anbieter?
    2. Erstellen Sie ein Dateninventar: Welche Daten entstehen, welche davon sind personenbezogen?
    3. Passen Sie Datennutzungsverträge mit Kunden und Lieferanten sowie Cloud-Verträge an.
    4. Legen Sie für Datenherausgaben mit Personenbezug Rechtsgrundlagen, Informationspflichten und Schutzmaßnahmen fest.
    5. Berücksichtigen Sie die neuen Wechselrechte bei der Auswahl von Cloud-Diensten.

    Der Data Act ist kein Datenschutzgesetz, wirkt aber eng mit dem Datenschutzrecht zusammen; für Hersteller läuft die nächste Frist im September 2026. Welche Pflichten auf Ihr Unternehmen zukommen, klären wir gern mit Ihnen. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Recht auf Datenübertragbarkeit (Art. 20 DSGVO) einfach erklärt

    Der Wechsel des Stromanbieters, der Fitness-App oder des Online-Dienstes soll nicht daran scheitern, dass die eigenen Daten beim alten Anbieter „gefangen“ sind. Deshalb gibt Art. 20 DSGVO Betroffenen das Recht auf Datenübertragbarkeit. Es gehört zu den weniger bekannten Betroffenenrechten und wird in der Praxis oft mit dem Auskunftsrecht verwechselt.

    Was umfasst das Recht?

    Betroffene können verlangen, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Sie dürfen diese Daten einem anderen Verantwortlichen übermitteln. Soweit technisch machbar, können sie auch verlangen, dass die Daten direkt von einem Anbieter an den anderen übermittelt werden.

    Wann gilt das Recht?

    Das Recht ist an drei Voraussetzungen geknüpft:

    1. Die Verarbeitung beruht auf einer Einwilligung oder einem Vertrag (nicht etwa auf berechtigten Interessen oder gesetzlichen Pflichten).
    2. Die Verarbeitung erfolgt mithilfe automatisierter Verfahren, also nicht in Papierakten.
    3. Es geht um Daten, die die Person selbst bereitgestellt hat. Dazu zählen aktiv eingegebene Daten (z. B. Profilangaben) und nach überwiegender Auffassung auch Daten, die durch die Nutzung eines Dienstes beobachtet werden (z. B. Nutzungsverläufe, Messwerte eines Fitness-Trackers). Nicht erfasst sind dagegen vom Unternehmen abgeleitete Daten wie Scores oder Bewertungen.

    Abgrenzung zum Auskunftsrecht

    Das Auskunftsrecht nach Art. 15 DSGVO dient der Transparenz: Betroffene sollen erfahren, welche Daten verarbeitet werden. Es ist weiter, umfasst auch abgeleitete Daten und gilt unabhängig von der Rechtsgrundlage. Die Datenübertragbarkeit dient dagegen der Wiederverwendung: Die Daten sollen in einem Format bereitgestellt werden, das ein anderer Anbieter einlesen kann. Zur Auskunft siehe unseren Beitrag „Datenauskunft verlangen“.

    Welches Format ist geschuldet?

    Die DSGVO schreibt kein bestimmtes Format vor. „Strukturiert, gängig und maschinenlesbar“ sind etwa CSV-, JSON- oder XML-Dateien. Ein PDF oder ein Screenshot genügt in der Regel nicht, weil sich die Daten nicht ohne Weiteres weiterverarbeiten lassen.

    Hinweise für Unternehmen

    • Anfragen sind wie andere Betroffenenanfragen innerhalb eines Monats zu beantworten (Art. 12 Abs. 3 DSGVO).
    • Die Identität des Anfragenden ist angemessen zu prüfen.
    • Rechte und Freiheiten Dritter dürfen nicht beeinträchtigt werden, etwa wenn exportierte Daten Informationen über andere Personen enthalten.
    • Eine Exportfunktion im Kundenkonto kann den Aufwand erheblich reduzieren.
    • Die Datenübertragbarkeit bedeutet nicht automatisch die Löschung beim bisherigen Anbieter. Dafür ist ein gesonderter Löschantrag erforderlich.

    Ausblick: Data Act

    Ab dem 12. September 2025 gilt der europäische Data Act. Er gewährt Nutzern vernetzter Produkte eigene Zugangs- und Weitergaberechte, die über Art. 20 DSGVO hinausgehen und auch nicht personenbezogene Daten erfassen. Wir werden darüber gesondert berichten.

    Anbieter von Online-Diensten mit Kundenkonten fahren gut mit einer einfachen Exportfunktion und einem festgelegten Ablauf für solche Anfragen. Wir unterstützen Betroffene beim Anbieterwechsel ebenso wie Unternehmen bei der Beantwortung von Anfragen nach Art. 20 DSGVO. Schreiben Sie uns oder vereinbaren Sie einen Termin.

  • Offboarding und Datenschutz: Checkliste beim Ausscheiden

    Wenn Beschäftigte das Unternehmen verlassen, stehen meist organisatorische Fragen im Vordergrund: Übergabe, Resturlaub, Arbeitszeugnis. Datenschutzrechtlich ist das Ausscheiden aber ebenso bedeutsam. Zugänge müssen gesperrt, Postfächer geregelt, Fotos entfernt und Daten nach Fristen gelöscht werden. Wer hier strukturiert vorgeht, verhindert Sicherheitslücken und Konflikte, etwa ein Auskunftsersuchen im Kündigungsstreit.

    1. Zugänge und Geräte

    • Benutzerkonten, VPN- und Cloud-Zugänge zum letzten Arbeitstag sperren,
    • Passwörter für gemeinsam genutzte Konten ändern,
    • Zwei-Faktor-Apps und Token zurückfordern bzw. deaktivieren,
    • Laptop, Smartphone, USB-Sticks und Schlüssel zurücknehmen und dokumentieren,
    • Daten auf zurückgegebenen Geräten sichern oder sicher löschen,
    • Zugriffe auf Kundenportale, Social-Media-Konten und Dienstleisterportale entziehen.

    2. Das E-Mail-Postfach

    Ob und wie der Arbeitgeber auf das Postfach zugreifen darf, hängt maßgeblich davon ab, ob die private Nutzung erlaubt war; Einzelheiten in unserem Beitrag „Private E-Mail-Nutzung am Arbeitsplatz“. Bewährt hat sich: eine Abwesenheitsnachricht mit neuem Ansprechpartner für eine Übergangszeit, Weiterleitung nur dienstlicher Nachrichten in Absprache, und anschließend Deaktivierung und Löschung des Postfachs nach einer festgelegten Frist. Geschäftsbriefe, die aufbewahrt werden müssen, sind vorab zu archivieren.

    3. Website, Social Media und Printmaterial

    Fotos, Namen und Kontaktdaten ausgeschiedener Beschäftigter sollten zeitnah von Team-Seiten, Signaturen, Broschüren und Social-Media-Kanälen entfernt werden. Wurde die Einwilligung in die Veröffentlichung widerrufen, ist das ohnehin Pflicht; siehe „Mitarbeiterfotos auf der Website“.

    4. Personalakte und Fristen

    Die Personalakte darf nach dem Ausscheiden nicht pauschal unbegrenzt aufbewahrt werden. Für die einzelnen Bestandteile gelten unterschiedliche Fristen. Zu beachten ist, dass der Gesetzgeber die Aufbewahrungsfrist für Buchungsbelege zum 1. Januar 2025 von zehn auf acht Jahre verkürzt hat. Einen Überblick über die Behandlung der Personalakte bietet unser Beitrag „Personalakte und Datenschutz“. Legen Sie die Fristen in Ihrem Löschkonzept fest und richten Sie eine Wiedervorlage ein.

    5. Daten im Kopf und auf privaten Geräten

    Ausscheidende Beschäftigte sollten daran erinnert werden, dass die Verpflichtung zur Vertraulichkeit fortgilt. Wurden dienstliche Daten auf privaten Geräten gespeichert oder dienstliche Chats über private Messenger geführt, ist deren Löschung zu verlangen und zu dokumentieren. Werden Kundendaten mitgenommen, kann dies eine Datenpanne sein, die nach Art. 33 DSGVO zu bewerten ist.

    6. Auskunftsersuchen vorbereiten

    Gerade bei konfliktbehafteten Trennungen verlangen Beschäftigte häufig Auskunft nach Art. 15 DSGVO. Wer seine Daten geordnet hat, kann die Monatsfrist leichter einhalten. Hinweise zur Beantwortung enthält unser Leitfaden „Auskunftsersuchen nach Art. 15 DSGVO richtig beantworten“.

    Die Kurz-Checkliste

    1. Zugänge sperren, Geräte zurücknehmen.
    2. Postfach-Regelung umsetzen.
    3. Fotos und Kontaktdaten aus öffentlichen Kanälen entfernen.
    4. Löschfristen für Personalakte vormerken.
    5. Vertraulichkeitspflicht in Erinnerung rufen, Löschung privater Kopien dokumentieren.
    6. Ansprechpartner für Auskunftsersuchen festlegen.

    Am besten arbeiten Personalabteilung und IT eine gemeinsame, standardisierte Checkliste ab. Wir helfen beim Aufsetzen des Offboarding-Prozesses und ebenso, wenn bereits ein Auskunftsersuchen eines ehemaligen Mitarbeiters vorliegt. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • KI-Kompetenz nach Art. 4 AI Act: Pflicht seit Februar 2025

    Seit dem 2. Februar 2025 gelten die ersten Vorschriften der europäischen KI-Verordnung. Neben den Verboten bestimmter KI-Praktiken ist das vor allem Art. 4 AI Act: die Pflicht, für ausreichende KI-Kompetenz der eigenen Beschäftigten zu sorgen. Sie betrifft praktisch jedes Unternehmen, in dem KI-Tools genutzt werden, vom Chatbot über Übersetzungsdienste bis zur KI-Funktion in der Bürosoftware, und auch kleine Betriebe. Einen Überblick über die KI-Verordnung insgesamt gibt unser Beitrag „KI-Verordnung (AI Act) in Kraft“.

    Was verlangt Art. 4 AI Act?

    Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen. Dabei sind die technischen Kenntnisse, die Erfahrung, die Ausbildung der Personen und der Einsatzkontext zu berücksichtigen. „Betreiber“ ist bereits, wer ein KI-System in eigener Verantwortung beruflich nutzt, also auch das Handwerksunternehmen, das einen KI-Chatbot für Kundenanfragen einsetzt.

    Was bedeutet „KI-Kompetenz“?

    Gemeint sind Fähigkeiten, Kenntnisse und Verständnis, die einen sachkundigen Einsatz von KI-Systemen ermöglichen und ein Bewusstsein für Chancen, Risiken und mögliche Schäden schaffen. Eine bestimmte Schulungsform oder ein Zertifikat schreibt die Verordnung nicht vor. Die Maßnahmen müssen aber zum Unternehmen und zum Einsatz passen.

    Inhalte einer praxisnahen Schulung

    • wie generative KI-Systeme funktionieren und warum sie falsche Ergebnisse („Halluzinationen“) liefern können,
    • welche Anwendungen im Unternehmen freigegeben sind und welche nicht,
    • keine personenbezogenen Daten in nicht freigegebene Tools; Umgang mit Kunden-, Beschäftigten- und Gesundheitsdaten,
    • Schutz von Geschäfts- und Berufsgeheimnissen,
    • Prüfung von KI-Ergebnissen, bevor sie verwendet oder an Kunden weitergegeben werden,
    • Urheberrecht und Kennzeichnung KI-generierter Inhalte,
    • Meldewege bei Fehlern oder Vorfällen.

    Datenschutz und KI-Kompetenz verbinden

    Viele Unternehmen schulen ihre Beschäftigten ohnehin regelmäßig im Datenschutz. Es bietet sich an, die KI-Kompetenz in diese Schulungen zu integrieren. Grundlage sollte eine KI-Nutzungsrichtlinie sein, wie wir sie in unserer ChatGPT-Checkliste für Arbeitgeber beschrieben haben. Bei KI-Systemen, die personenbezogene Daten in größerem Umfang verarbeiten, sollte zudem geprüft werden, ob eine Datenschutz-Folgenabschätzung erforderlich ist.

    Dokumentation

    Halten Sie fest, welche KI-Systeme im Einsatz sind, welche Beschäftigten damit arbeiten, welche Schulungen wann durchgeführt wurden und welche Richtlinien gelten. Eine solche Dokumentation hilft, gegenüber Behörden und im Haftungsfall nachzuweisen, dass das Unternehmen seiner Pflicht nachgekommen ist.

    Ein KI-Inventar, eine klare Nutzungsrichtlinie und eine kurze Schulung, die Datenschutz und Vertraulichkeit einbezieht, reichen in vielen Unternehmen aus. Richtlinie und Schulungskonzept erarbeiten wir gern mit Ihnen. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • Cloud-Dienste datenschutzkonform auswählen: Checkliste für KMU

    Cloud-Dienste sind für kleine und mittlere Unternehmen heute Standard: E-Mail und Office-Anwendungen, Dateiablage, Buchhaltung, Kundenverwaltung, Terminbuchung. Die Vorteile liegen auf der Hand, nämlich keine eigene Serverinfrastruktur, Zugriff von überall und automatische Updates. Datenschutzrechtlich bleibt das Unternehmen aber verantwortlich für die Daten, die es in die Cloud legt. Die Auswahl des Anbieters ist deshalb eine wichtige Compliance-Entscheidung.

    1. Vertrag zur Auftragsverarbeitung

    Cloud-Anbieter verarbeiten Daten in aller Regel im Auftrag. Ein Vertrag nach Art. 28 DSGVO ist daher Pflicht. Große Anbieter stellen Standardverträge bereit, die meist nicht verhandelbar sind. Prüfen Sie, ob sie die gesetzlichen Mindestinhalte enthalten und ob der Anbieter Daten auch für eigene Zwecke nutzt, etwa zur Produktverbesserung oder für das Training von KI-Funktionen. Einzelheiten im Beitrag zum Auftragsverarbeitungsvertrag.

    2. Serverstandort und Drittlandbezug

    Wo werden die Daten gespeichert, und wer hat Zugriff? Viele Anbieter bieten Rechenzentren in der EU an. Bei US-Anbietern ist zu prüfen, ob sie unter dem EU-US Data Privacy Framework zertifiziert sind. Auch bei EU-Rechenzentren können Zugriffe aus Drittländern stattfinden, etwa durch Support-Mitarbeiter oder Unterauftragnehmer. Lassen Sie sich die Liste der Unterauftragsverarbeiter geben.

    3. Sicherheit und Zertifizierungen

    • Verschlüsselung bei Übertragung und Speicherung,
    • Zwei-Faktor-Authentifizierung und differenzierte Rechteverwaltung,
    • Protokollierung von Zugriffen,
    • anerkannte Zertifizierungen und Prüfberichte, etwa nach ISO/IEC 27001 oder dem C5-Kriterienkatalog des BSI,
    • klare Regeln zur Meldung von Sicherheitsvorfällen.

    4. Datenschutzfreundliche Konfiguration

    Viele Probleme entstehen nicht durch den Anbieter, sondern durch die Einstellungen beim Kunden: öffentlich freigegebene Ordner, zu weit gefasste Berechtigungen, aktivierte Telemetrie oder automatische KI-Funktionen. Prüfen Sie die Einstellungen vor dem Start und wählen Sie die datenschutzfreundlichsten Optionen. Der BGH hat jüngst betont, dass problematische Voreinstellungen einen Verstoß gegen den Grundsatz der Datenminimierung begründen können; siehe unseren Beitrag zum Facebook-Scraping-Urteil.

    5. Löschung und Exit-Strategie

    Was passiert mit den Daten, wenn Sie den Anbieter wechseln oder den Vertrag beenden? Achten Sie darauf, dass Sie Ihre Daten in einem gängigen Format exportieren können und dass der Anbieter sie nach Vertragsende löscht. Auch Backups beim Anbieter sollten in den Löschprozess einbezogen sein.

    6. Berufsgeheimnisträger

    Für Ärzte, Rechtsanwälte, Steuerberater und andere Berufsgeheimnisträger gelten zusätzliche Anforderungen. Dienstleister sind zur Verschwiegenheit zu verpflichten, und es ist sorgfältig zu prüfen, ob die Inanspruchnahme der Cloud für die Tätigkeit erforderlich ist. Hinweise für Praxen enthält unser Beitrag zu Gesundheitsdaten in Arztpraxis und Therapie.

    7. Dokumentation

    Halten Sie Ihre Auswahlentscheidung, den Vertrag, die geprüften Einstellungen und die Unterauftragsverarbeiter fest und nehmen Sie den Dienst in Ihr Verzeichnis von Verarbeitungstätigkeiten auf. Bei umfangreicher Verarbeitung sensibler Daten kann eine Datenschutz-Folgenabschätzung erforderlich sein.

    Eine strukturierte und dokumentierte Auswahl erspart später teure Nachbesserungen. Wir begleiten Sie beim Umstieg in die Cloud und prüfen auf Wunsch auch bereits genutzte Dienste. Kontakt aufnehmen oder Termin buchen.

  • Ransomware-Angriff: Datenschutz-Notfallplan für KMU

    Am Montagmorgen startet kein Rechner, auf dem Bildschirm erscheint eine Lösegeldforderung: Ransomware-Angriffe treffen längst nicht mehr nur Konzerne, sondern zunehmend kleine und mittlere Unternehmen, Praxen und Kanzleien. Neben dem Betriebsausfall drohen datenschutzrechtliche Folgen, nämlich Meldepflichten, Benachrichtigungen und Schadensersatzforderungen. Ein solcher Angriff ist IT-Notfall, Betriebsnotfall und Datenschutzvorfall zugleich. Wer einen Notfallplan hat, verliert in der Krise keine Zeit.

    Warum ein Cyberangriff fast immer eine Datenpanne ist

    Ransomware verschlüsselt Daten und macht sie unzugänglich. Das allein ist bereits eine Verletzung der Verfügbarkeit personenbezogener Daten. Hinzu kommt, dass viele Angreifer vor der Verschlüsselung Daten kopieren und mit deren Veröffentlichung drohen („Double Extortion“). Damit liegt regelmäßig auch eine Verletzung der Vertraulichkeit vor. Beides kann eine Meldepflicht nach Art. 33 DSGVO und gegebenenfalls eine Benachrichtigungspflicht nach Art. 34 DSGVO auslösen. Die Grundlagen beschreibt unser Leitfaden „Datenpanne melden: So reagieren Sie richtig in 72 Stunden“.

    Der Notfallplan: Die ersten 72 Stunden

    1. Betroffene Rechner vom Netz trennen, aber nicht ausschalten, wenn forensische Spuren gesichert werden sollen.
    2. Das Krisenteam zusammenrufen: Geschäftsführung, IT-Dienstleister, Datenschutzbeauftragter, gegebenenfalls externe IT-Forensik und Rechtsberatung.
    3. Besteht eine Cyberversicherung, deren Meldepflichten und Vorgaben beachten.
    4. Strafanzeige erstatten. Die Polizei verfügt über spezialisierte Ansprechstellen für Cybercrime.
    5. Klären, welche Systeme betroffen sind, welche Daten dort liegen und ob es Hinweise auf einen Datenabfluss gibt.
    6. Die Aufsichtsbehörde innerhalb von 72 Stunden ab Kenntnis informieren, notfalls als Erstmeldung mit späterer Ergänzung.
    7. Bei hohem Risiko, etwa wenn Gesundheits- oder Bankdaten abgeflossen sind, die Betroffenen benachrichtigen.
    8. Alle Schritte, Erkenntnisse und Entscheidungen dokumentieren.

    Lösegeld zahlen?

    Ermittlungsbehörden raten grundsätzlich davon ab, Lösegeld zu zahlen. Eine Zahlung garantiert weder die Entschlüsselung noch, dass kopierte Daten gelöscht werden. Datenschutzrechtlich beseitigt eine Zahlung die Meldepflicht nicht. Die Entscheidung sollte nicht ohne rechtliche Beratung getroffen werden.

    Haftung und Schadensersatz

    Ein Hackerangriff befreit das Unternehmen nicht automatisch von der Haftung. Der EuGH hat entschieden, dass der Verantwortliche nachweisen muss, dass seine Schutzmaßnahmen geeignet waren, und dass schon die begründete Befürchtung eines Datenmissbrauchs einen Schaden darstellen kann; mehr dazu in unserem Beitrag „Schon die Angst vor Datenmissbrauch kann ein Schaden sein“. Eine sorgfältige Dokumentation der IT-Sicherheit ist daher auch im Haftungsfall wertvoll.

    Vorsorge: Was jetzt zu tun ist

    • mindestens eine Sicherung, die vom Netzwerk getrennt ist, und regelmäßige Wiederherstellungstests,
    • Zwei-Faktor-Authentifizierung für E-Mail, Fernzugänge und Administratorkonten,
    • zeitnahe Updates, insbesondere für Firewalls und VPN-Gateways,
    • Phishing-Schulungen, denn die meisten Angriffe beginnen mit einer E-Mail,
    • ein schriftlicher Notfallplan mit Telefonliste, ausgedruckt, weil im Ernstfall die Systeme nicht funktionieren,
    • Reaktionszeiten und Meldepflichten der Dienstleister, geregelt im Auftragsverarbeitungsvertrag.

    Der beste Zeitpunkt für einen Notfallplan liegt vor dem Angriff. Ist Ihr Unternehmen bereits betroffen, unterstützen wir Sie auch kurzfristig bei Meldung und Kommunikation; ebenso erarbeiten wir mit Ihnen vorab einen Notfallplan. Kontakt aufnehmen oder Termin buchen.

  • Gesundheitsdaten in Arztpraxis und Therapie: Datenschutz-Leitfaden

    Arztpraxen, Zahnärzte, Physiotherapie- und Psychotherapiepraxen sowie Pflegedienste verarbeiten täglich Gesundheitsdaten. Diese gehören nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten und genießen erhöhten Schutz. Hinzu kommt die ärztliche Schweigepflicht, deren Verletzung nach § 203 StGB strafbar sein kann. Datenschutz ist in Gesundheitsberufen damit keine Formalie, sondern Teil der Berufspflichten.

    Rechtsgrundlage der Verarbeitung

    Für die Behandlung selbst ist in der Regel keine Einwilligung erforderlich. Art. 9 Abs. 2 lit. h DSGVO in Verbindung mit § 22 Abs. 1 Nr. 1 lit. b BDSG erlaubt die Verarbeitung für Zwecke der Gesundheitsvorsorge, der medizinischen Diagnostik und der Behandlung, wenn sie durch Fachpersonal erfolgt, das einer Geheimhaltungspflicht unterliegt. Eine Einwilligung wird aber nötig, wenn Daten für andere Zwecke genutzt oder an Dritte weitergegeben werden sollen, etwa an privatärztliche Verrechnungsstellen, und keine gesetzliche Erlaubnis greift. Für die Weitergabe an Abrechnungsstellen ist wegen der Schweigepflicht regelmäßig eine Einwilligung bzw. Schweigepflichtentbindung einzuholen.

    Typische Risiken im Praxisalltag

    • Am Empfang und im Wartezimmer sind Gespräche über Diagnosen und Medikation oft für andere hörbar. Diskretionszonen und eine sensible Kommunikation helfen.
    • Telefonische Auskünfte über Befunde gehören nur an eindeutig identifizierte Patienten, nicht an Angehörige ohne Berechtigung.
    • Für den Befundversand sind unverschlüsselte E-Mails regelmäßig nicht ausreichend. Mehr dazu in unserem Beitrag zur E-Mail-Verschlüsselung.
    • Terminabsprachen oder gar Befunde per privatem Messenger sind besonders riskant; siehe WhatsApp im Unternehmen.
    • Monitore am Empfang sollten so ausgerichtet sein, dass Patienten keine fremden Daten sehen, und Akten nicht offen liegen.

    Dienstleister und IT

    Praxissoftware, Online-Terminbuchung, IT-Wartung und Cloud-Speicher: Wer externe Dienstleister einsetzt, braucht einen Auftragsverarbeitungsvertrag und muss zusätzlich die Schweigepflicht beachten. § 203 Abs. 3 StGB erlaubt die Offenbarung gegenüber mitwirkenden Personen, wenn dies für deren Tätigkeit erforderlich ist; diese sind aber zur Geheimhaltung zu verpflichten. Für Online-Terminbuchungstools ist genau zu prüfen, welche Daten an den Anbieter fließen und ob dieser sie für eigene Zwecke nutzt.

    Aufbewahrung und Auskunft

    Für die ärztliche Dokumentation gelten besondere Aufbewahrungsfristen, insbesondere nach § 630f BGB in der Regel zehn Jahre nach Abschluss der Behandlung, sofern andere Vorschriften keine abweichenden Fristen vorsehen. Patienten haben ein Einsichtsrecht nach § 630g BGB und zusätzlich einen Auskunfts- und Kopieanspruch nach Art. 15 DSGVO. Der EuGH hat im Oktober 2023 entschieden, dass die erste Kopie der Patientenakte nach der DSGVO grundsätzlich unentgeltlich zur Verfügung zu stellen ist.

    Datenschutzbeauftragter und DSFA

    Größere Praxen und Medizinische Versorgungszentren verarbeiten Gesundheitsdaten in erheblichem Umfang. Ob deshalb ein Datenschutzbeauftragter zu benennen und eine Datenschutz-Folgenabschätzung durchzuführen ist, hängt von Größe und Umfang ab und sollte für jede Praxis geprüft werden.

    Klare Abläufe am Empfang, sichere Kommunikation, sorgfältig ausgewählte Dienstleister und ein geordneter Umgang mit Patientenakten decken die wichtigsten Risiken ab. Für Praxen und Pflegedienste prüfen wir den Datenschutz gern im Detail. Schreiben Sie uns oder buchen Sie einen Termin.

  • Informationspflichten nach Art. 13 DSGVO: Datenschutzhinweise offline

    Bei Datenschutzhinweisen denken die meisten an die Datenschutzerklärung auf der Website. Die Informationspflichten der DSGVO gelten aber unabhängig vom Kanal. Wer am Telefon einen Termin vereinbart, im Laden eine Kundenkarte ausfüllen lässt oder auf der Baustelle einen Auftrag aufnimmt, erhebt ebenfalls personenbezogene Daten und muss die Betroffenen informieren. Gerade kleine Betriebe übersehen das häufig.

    Wann muss informiert werden?

    Werden Daten direkt bei der betroffenen Person erhoben, ist sie nach Art. 13 DSGVO zum Zeitpunkt der Erhebung zu informieren. Stammen die Daten aus anderen Quellen, etwa von einem Auftraggeber, einem Adresshändler oder aus öffentlichen Verzeichnissen, gilt Art. 14 DSGVO: Die Information muss dann innerhalb einer angemessenen Frist, spätestens innerhalb eines Monats, erfolgen. Eine Pflicht entfällt nur, soweit die Person bereits über die Informationen verfügt.

    Welche Inhalte sind nötig?

    Die Pflichtangaben entsprechen denen der Website-Datenschutzerklärung: Verantwortlicher, gegebenenfalls Datenschutzbeauftragter, Zwecke und Rechtsgrundlagen, Empfänger, Drittlandübermittlungen, Speicherdauer, Betroffenenrechte und Beschwerderecht. Eine ausführliche Liste finden Sie in unserem Beitrag „Datenschutzerklärung für die Website: Diese Angaben sind Pflicht“.

    Das Mehrebenen-Modell

    Niemand erwartet, dass Sie einem Kunden am Telefon zwei Seiten Datenschutzhinweise vorlesen. Die Aufsichtsbehörden akzeptieren ein gestuftes Vorgehen: Auf der ersten Ebene werden die wichtigsten Informationen kurz mitgeteilt, also wer die Daten verarbeitet, wozu, und wo es die vollständigen Informationen gibt. Auf der zweiten Ebene stehen die vollständigen Hinweise bereit, etwa als Aushang, Handzettel, auf der Website oder auf Wunsch per Post.

    Praxisbeispiele

    • Bei der telefonischen Terminvereinbarung genügt ein kurzer Hinweis („Ihre Daten verwenden wir zur Terminplanung, Infos zum Datenschutz finden Sie auf unserer Website oder wir senden sie Ihnen zu“); die vollständigen Hinweise folgen mit der Terminbestätigung.
    • Im Ladengeschäft mit Kundenkarte gehören die Datenschutzhinweise auf das Anmeldeformular oder auf ein separates Blatt; für Werbung ist eine gesonderte Einwilligung nötig.
    • Handwerksbetriebe drucken die Hinweise auf die Rückseite des Angebots oder legen sie der Auftragsbestätigung bei.
    • In der Arztpraxis bieten sich ein Aushang im Wartebereich und ein Merkblatt bei der Anmeldung an.
    • Bei Videoüberwachung ist ein Hinweisschild vor dem überwachten Bereich anzubringen; siehe unseren Beitrag zur Videoüberwachung im Laden oder in der Praxis.

    Beschäftigte und Bewerber nicht vergessen

    Auch gegenüber Beschäftigten und Bewerbern bestehen Informationspflichten. Viele Unternehmen händigen neuen Mitarbeitenden daher mit dem Arbeitsvertrag ein Informationsblatt zur Datenverarbeitung im Beschäftigungsverhältnis aus. Für Bewerber empfiehlt sich ein Hinweis in der Eingangsbestätigung; Einzelheiten in unserem Beitrag zu Bewerberdaten.

    Typische Fehler

    • Keine Hinweise außerhalb der Website.
    • Veraltete Hinweise, die neue Dienstleister oder Software nicht erwähnen.
    • Information erst nach Wochen oder gar nicht, wenn Daten von Dritten stammen.
    • Unverständliche Fachsprache statt klarer, einfacher Formulierungen.

    Mit einem Mehrebenen-Modell und einigen Standardtexten für Telefon, Formulare und Aushänge sind die Anforderungen ohne großen Aufwand zu erfüllen. Diese Texte erstellen wir gern für Ihren Betrieb, für Kunden ebenso wie für Beschäftigte und Bewerber. Kontakt · Termin buchen

  • Interner oder externer Datenschutzbeauftragter? Vor- und Nachteile

    Muss ein Unternehmen einen Datenschutzbeauftragten benennen, etwa weil in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, folgt sofort die nächste Entscheidung: eigener Mitarbeiter oder externer Dienstleister. Beide Modelle sind nach Art. 37 Abs. 6 DSGVO zulässig. Welche Lösung besser passt, hängt von Größe, Branche und Ressourcen ab. Zu den Voraussetzungen der Benennungspflicht siehe unseren Beitrag „Datenschutzbeauftragter: Wann ist er Pflicht?“.

    Anforderungen an jeden Datenschutzbeauftragten

    Unabhängig vom Modell muss der Datenschutzbeauftragte über berufliche Qualifikation und insbesondere Fachwissen im Datenschutzrecht und in der Datenschutzpraxis verfügen (Art. 37 Abs. 5 DSGVO). Er muss frühzeitig eingebunden werden, darf bei der Erfüllung seiner Aufgaben keine Weisungen erhalten, berichtet unmittelbar der höchsten Managementebene und darf wegen seiner Aufgabenerfüllung nicht benachteiligt werden (Art. 38 DSGVO). Zudem dürfen andere Aufgaben nicht zu einem Interessenkonflikt führen.

    Der interne Datenschutzbeauftragte

    Vorteile: Ein interner Datenschutzbeauftragter kennt das Unternehmen, seine Abläufe und Ansprechpartner. Er ist vor Ort, schnell erreichbar und genießt häufig das Vertrauen der Belegschaft.

    Nachteile und Risiken:

    • Geschäftsführung, IT-Leitung, Personalleitung oder Marketingleitung scheiden wegen Interessenkonflikten in der Regel aus, weil sie über Zwecke und Mittel von Verarbeitungen mitentscheiden. Der EuGH hat bestätigt, dass die nationalen Gerichte das Vorliegen eines Interessenkonflikts im Einzelfall prüfen müssen.
    • Ein interner Datenschutzbeauftragter, dessen Benennung verpflichtend ist, kann nach § 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG nur aus wichtigem Grund abberufen und nur aus wichtigem Grund gekündigt werden, und zwar auch noch ein Jahr nach Ende der Tätigkeit. Das Bundesarbeitsgericht hat diesen besonderen Schutz nach Vorlage an den EuGH bestätigt, wie wir im Beitrag zur Abberufung eines Datenschutzbeauftragten berichtet haben.
    • Das Unternehmen muss Schulungen finanzieren und ausreichend Arbeitszeit freistellen.

    Der externe Datenschutzbeauftragte

    Externe Datenschutzbeauftragte bringen Erfahrung aus vielen Unternehmen und Branchen mit. Interessenkonflikte sind seltener. Ein besonderer Kündigungsschutz besteht nicht, der Vertrag kann nach den vereinbarten Bedingungen beendet werden. Die Kosten sind planbar.

    Nachteile: Ein externer Dienstleister kennt die internen Abläufe zunächst weniger gut und ist nicht ständig vor Ort. Das lässt sich durch einen festen internen Ansprechpartner (Datenschutzkoordinator) ausgleichen. Achten Sie bei der Auswahl auf nachgewiesene Fachkunde und Erreichbarkeit.

    Entscheidungshilfe

    • Kleine Unternehmen mit überschaubarer Datenverarbeitung fahren mit einem externen Datenschutzbeauftragten häufig günstiger und flexibler.
    • Größere Unternehmen mit vielen Verarbeitungen und eigener Rechts- oder Compliance-Abteilung können von einem internen Datenschutzbeauftragten profitieren, sofern ein geeigneter Kandidat ohne Interessenkonflikt verfügbar ist.
    • Möglich sind auch Mischmodelle, etwa ein externer Datenschutzbeauftragter mit einem internen Koordinator.

    Formalien nach der Benennung

    Die Benennung sollte schriftlich erfolgen. Die Kontaktdaten sind zu veröffentlichen und der zuständigen Aufsichtsbehörde mitzuteilen (Art. 37 Abs. 7 DSGVO). Beim externen Datenschutzbeauftragten regelt ein Dienstleistungsvertrag Umfang, Erreichbarkeit und Vergütung.

    Maßgeblich sind am Ende Fachkunde, Unabhängigkeit, ausreichende Ressourcen und die Vermeidung von Interessenkonflikten. Bei der Auswahl und beim Vertrag mit einem externen Datenschutzbeauftragten unterstützen wir Sie. Kontaktieren Sie uns oder buchen Sie einen Termin.

  • E-Mail-Verschlüsselung: Wann ist sie nach der DSGVO Pflicht?

    E-Mail ist nach wie vor das wichtigste Kommunikationsmittel im Geschäftsleben. Mit ihr werden täglich Rechnungen, Verträge, Lohnabrechnungen, Arztbriefe oder Bewerbungen versendet. Die DSGVO schreibt keine bestimmte Verschlüsselungstechnik vor. Sie verlangt aber in Art. 32 ein dem Risiko angemessenes Schutzniveau. Ob und wie E-Mails verschlüsselt werden müssen, hängt deshalb vom Inhalt ab.

    Zwei Arten der Verschlüsselung

    Transportverschlüsselung (TLS): Die Verbindung zwischen den E-Mail-Servern wird verschlüsselt. Die Nachricht liegt jedoch auf den beteiligten Servern im Klartext vor. TLS ist heute weit verbreitet und schützt gegen das Mitlesen auf dem Übertragungsweg. Inhaltsverschlüsselung (Ende-zu-Ende): Die Nachricht selbst wird verschlüsselt, etwa mit S/MIME oder OpenPGP, und kann nur vom Empfänger entschlüsselt werden. Auch die Betreiber der Server können den Inhalt nicht lesen.

    Der risikobasierte Ansatz der Aufsichtsbehörden

    Die Datenschutzkonferenz hat in einer Orientierungshilfe zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail Maßstäbe formuliert. Vereinfacht gilt:

    • Für alltägliche Geschäftskorrespondenz mit normalem Risiko genügt in der Regel eine obligatorische Transportverschlüsselung, die sicher konfiguriert ist.
    • Bei hohem Risiko, also bei sensiblen Daten wie Gesundheitsdaten, Kontoverbindungen in Verbindung mit weiteren Daten, Personalakten oder Daten über strafrechtliche Verfahren, ist regelmäßig eine Ende-zu-Ende-Verschlüsselung oder ein gleichwertiges Verfahren erforderlich.

    Praktische Alternativen

    Da Ende-zu-Ende-Verschlüsselung voraussetzt, dass auch der Empfänger mitmacht, setzen viele Unternehmen auf praktikable Alternativen:

    • verschlüsselte PDF- oder ZIP-Anhänge mit starkem Passwort, wobei das Passwort auf anderem Weg (z. B. telefonisch oder per SMS) übermittelt wird,
    • Portallösungen, bei denen der Empfänger einen Link zu einem gesicherten Download-Bereich erhält,
    • Kundenportale, in denen Dokumente in einem geschützten Kundenkonto bereitgestellt werden.

    Was ist mit Einwilligung des Empfängers?

    Häufig wünschen Kunden oder Patienten ausdrücklich den unverschlüsselten Versand. Ob und in welchen Grenzen Betroffene auf das Schutzniveau verzichten können, ist umstritten. Einige Aufsichtsbehörden halten einen Verzicht für die eigenen Daten des Betroffenen in bestimmten Konstellationen für möglich, wenn er informiert und ausdrücklich erfolgt. Für Daten Dritter ist ein Verzicht ausgeschlossen. Dokumentieren Sie solche Fälle sorgfältig.

    Organisatorische Maßnahmen nicht vergessen

    Viele E-Mail-Datenpannen entstehen nicht durch Hacker, sondern durch Fehlbedienung: falscher Empfänger durch Autovervollständigung, offener Verteiler statt BCC, falscher Anhang. Schulungen, eine kurze Prüfroutine vor dem Versand sensibler Daten und technische Hilfen, etwa Warnhinweise bei externen Empfängern, helfen. Passiert doch etwas, gilt unser Leitfaden zur Datenpanne. Die E-Mail-Sicherheit sollte zudem in Ihrem TOM-Konzept beschrieben sein.

    Eine Lösung, die dem Risiko entspricht, nützt nur, wenn sie im Alltag auch genutzt wird. Gern prüfen wir mit Ihnen, wie Ihre E-Mail-Kommunikation datenschutzkonform und praktikabel aufgestellt werden kann. Kontaktieren Sie uns oder vereinbaren Sie einen Termin.

  • Hinweisgeberschutzgesetz: Datenschutz bei der internen Meldestelle

    Am 2. Juli 2023 ist das Hinweisgeberschutzgesetz (HinSchG) in Kraft getreten. Es setzt die EU-Whistleblower-Richtlinie um und verpflichtet Unternehmen mit in der Regel mindestens 50 Beschäftigten, eine interne Meldestelle einzurichten. Für Unternehmen mit 50 bis 249 Beschäftigten gilt diese Pflicht ab dem 17. Dezember 2023. Eine Meldestelle verarbeitet zwangsläufig hochsensible personenbezogene Daten über die hinweisgebende Person, über beschuldigte Personen und über Dritte. Ohne sauberen Datenschutz lässt sie sich deshalb nicht umsetzen.

    Vertraulichkeit als Kernpflicht

    Das HinSchG verpflichtet die Meldestelle, die Identität der hinweisgebenden Person, der Personen, die Gegenstand einer Meldung sind, und sonstiger in der Meldung genannter Personen vertraulich zu behandeln. Die Identität darf grundsätzlich nur den Personen bekannt werden, die für die Entgegennahme und Bearbeitung der Meldungen zuständig sind. Dieses Vertraulichkeitsgebot geht über die allgemeinen Anforderungen der DSGVO hinaus und muss organisatorisch und technisch abgesichert werden.

    Rechtsgrundlage der Datenverarbeitung

    Die Verarbeitung personenbezogener Daten durch die Meldestelle ist zulässig, soweit sie zur Erfüllung der Aufgaben nach dem HinSchG erforderlich ist. Datenschutzrechtlich stützt sie sich auf Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem HinSchG. Auch besondere Kategorien personenbezogener Daten, die in Meldungen häufig vorkommen, dürfen unter den gesetzlichen Voraussetzungen verarbeitet werden, allerdings nur mit angemessenen Schutzmaßnahmen.

    Praktische Umsetzung

    • Ein spezielles, verschlüsseltes Hinweisgebersystem ist einem allgemeinen E-Mail-Postfach deutlich überlegen. Auf ein Postfach, auf das auch die Geschäftsführung oder die IT-Administration Zugriff haben, sollte verzichtet werden.
    • Nur die benannten Mitarbeitenden der Meldestelle dürfen Zugriff haben. Das muss in einem Berechtigungskonzept festgelegt werden.
    • Wird die Meldestelle an Dritte ausgelagert oder Software eines Anbieters genutzt, ist ein Auftragsverarbeitungsvertrag zu schließen. Bei Servern außerhalb der EU sind die Regeln zum Drittlandtransfer zu beachten.
    • Hinweisgeber und betroffene Personen sind über die Datenverarbeitung zu informieren. Gegenüber beschuldigten Personen kann die Information aufgeschoben werden, solange sie die Aufklärung gefährden würde.
    • Die Dokumentation der Meldungen ist nach dem HinSchG grundsätzlich drei Jahre nach Abschluss des Verfahrens zu löschen. Diese Frist gehört in Ihr Löschkonzept.
    • Wegen der Sensibilität der Daten ist häufig eine Datenschutz-Folgenabschätzung angezeigt.

    Spannungsfeld: Auskunftsanspruch

    Beschuldigte Personen können nach Art. 15 DSGVO Auskunft verlangen, auch darüber, woher die Daten stammen. Das kollidiert mit dem Schutz der hinweisgebenden Person. Die DSGVO und das BDSG lassen Einschränkungen des Auskunftsrechts zu, wenn Rechte Dritter überwiegen. In der Praxis ist eine sorgfältige Abwägung im Einzelfall erforderlich; die Identität der hinweisgebenden Person ist regelmäßig zu schützen.

    Rolle des Datenschutzbeauftragten

    Der Datenschutzbeauftragte sollte bei der Einrichtung der Meldestelle beteiligt werden. Ob er selbst die Meldestelle übernehmen kann, ist im Einzelfall zu prüfen, weil Interessenkonflikte entstehen können. Die Rollen sollten in jedem Fall klar getrennt sein.

    Eine Meldestelle funktioniert nur, wenn Hinweisgeber ihr vertrauen. Unternehmen mit 50 bis 249 Beschäftigten bleibt dafür Zeit bis Mitte Dezember. Wenn Sie den Datenschutz bei der Einrichtung von Anfang an mitdenken wollen, sprechen Sie uns an: Kontakt oder Online-Termin.

  • Kontaktformular auf der Website datenschutzkonform gestalten

    Das Kontaktformular ist für viele Unternehmen der wichtigste Weg, über die Website neue Anfragen zu erhalten. Zugleich werden hier personenbezogene Daten erhoben: Name, E-Mail-Adresse, Telefonnummer und häufig Angaben zum Anliegen, die sehr persönlich sein können. Mit wenigen Grundregeln lässt sich ein Kontaktformular datenschutzkonform gestalten, ohne Interessenten abzuschrecken.

    Regel 1: Nur die nötigen Pflichtfelder

    Nach dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) dürfen nur die Daten verlangt werden, die zur Bearbeitung der Anfrage erforderlich sind. In der Regel genügen eine Kontaktmöglichkeit, meist die E-Mail-Adresse, und das Nachrichtenfeld. Name, Telefonnummer, Firma oder Anschrift sollten freiwillige Felder sein und als solche gekennzeichnet werden. Wer eine Telefonnummer zur Pflicht macht, obwohl per E-Mail geantwortet werden kann, verstößt gegen diesen Grundsatz.

    Regel 2: Das Einwilligungshäkchen ist meist überflüssig

    Viele Formulare verlangen ein Häkchen „Ich willige in die Verarbeitung meiner Daten ein“. Das ist in der Regel nicht notwendig und kann sogar schaden. Wer eine Anfrage stellt, möchte eine Antwort; die Verarbeitung der Daten zu diesem Zweck lässt sich auf vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) oder auf das berechtigte Interesse an der Beantwortung (lit. f) stützen. Eine Einwilligung ist dagegen jederzeit widerruflich und muss alle Wirksamkeitsvoraussetzungen erfüllen, die wir im Beitrag „Einwilligung nach DSGVO wirksam einholen“ beschrieben haben. Ausreichend ist ein klarer Hinweis auf die Datenschutzerklärung direkt am Formular.

    Anders ist es, wenn die Daten für weitere Zwecke genutzt werden sollen, etwa für einen Newsletter. Dafür ist eine gesonderte, freiwillige Einwilligung erforderlich, die nicht an die Anfrage gekoppelt sein darf.

    Regel 3: Verschlüsselte Übertragung

    Die Übertragung der Formulardaten muss mindestens per TLS verschlüsselt erfolgen (HTTPS). Das ist heute Standard, sollte aber geprüft werden, auch für die Weiterleitung der Formularinhalte per E-Mail an das Unternehmen. Bei besonders sensiblen Anfragen, etwa in Arztpraxen oder Kanzleien, sollte erwogen werden, die Formularinhalte nicht unverschlüsselt per E-Mail weiterzuleiten, sondern in einem geschützten Bereich abzurufen.

    Regel 4: Spamschutz ohne Datenabfluss

    Captcha-Dienste großer Anbieter übertragen Daten über das Nutzerverhalten häufig an Server in Drittländern und setzen Cookies. Prüfen Sie Alternativen wie sogenannte Honeypot-Felder oder lokal betriebene Lösungen. Wird ein externer Dienst genutzt, ist er in der Datenschutzerklärung zu nennen und gegebenenfalls einwilligungspflichtig.

    Regel 5: Speicherdauer festlegen

    Anfragen, aus denen kein Auftrag wird, sollten nach angemessener Zeit gelöscht werden. Viele Formular-Plugins speichern Einsendungen zusätzlich in der Datenbank der Website, oft unbegrenzt. Deaktivieren Sie diese Funktion, wenn Sie sie nicht benötigen, oder richten Sie eine automatische Löschung ein. Mehr dazu in unserem Beitrag zum Löschkonzept.

    Regel 6: Transparente Information

    Die Datenschutzerklärung muss das Kontaktformular abdecken: Zweck, Rechtsgrundlage, Empfänger (etwa der Hosting-Anbieter), Speicherdauer. Eine Übersicht der Pflichtangaben finden Sie in unserem Beitrag „Datenschutzerklärung für die Website“.

    Ein schlankes Formular schafft Vertrauen und senkt die Hemmschwelle für Anfragen. Wenn Sie Website und Kontaktformular prüfen lassen möchten, schreiben Sie uns oder buchen Sie einen Termin.

  • Einwilligung nach DSGVO wirksam einholen: 6 Voraussetzungen

    „Wir holen einfach eine Einwilligung ein“: Diese Lösung liegt nahe, wenn Unternehmen unsicher sind, ob eine Datenverarbeitung zulässig ist. Die Einwilligung ist aber nur eine von sechs Rechtsgrundlagen in Art. 6 Abs. 1 DSGVO, und sie ist an strenge Voraussetzungen geknüpft. Eine unwirksame Einwilligung ist rechtlich wertlos, und eine widerrufliche Einwilligung kann ein schlechteres Fundament sein als eine andere Rechtsgrundlage.

    Brauchen Sie überhaupt eine Einwilligung?

    Vor der Einwilligung steht die Frage nach anderen Rechtsgrundlagen. Für die Abwicklung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung gesetzlicher Pflichten (lit. c) oder auf Grundlage berechtigter Interessen (lit. f) ist keine Einwilligung erforderlich. Wer für eine Vertragsabwicklung trotzdem eine Einwilligung einholt, gerät in Erklärungsnot, wenn der Kunde sie widerruft. Typische Fälle, in denen eine Einwilligung nötig ist: Werbung per E-Mail ohne Bestandskundenausnahme, nicht notwendige Cookies, Veröffentlichung von Fotos, Talentpools, Verarbeitung von Gesundheitsdaten außerhalb gesetzlicher Erlaubnisse.

    Die sechs Voraussetzungen

    1. Freiwilligkeit: Die Person muss eine echte Wahl haben. Problematisch ist es, wenn eine Leistung von einer nicht erforderlichen Einwilligung abhängig gemacht wird (Koppelungsverbot, Art. 7 Abs. 4 DSGVO) oder ein Machtungleichgewicht besteht, etwa im Arbeitsverhältnis.
    2. Bestimmtheit: Die Einwilligung muss sich auf einen oder mehrere konkrete Zwecke beziehen. Pauschale Einwilligungen „in die Nutzung zu Marketingzwecken durch Partnerunternehmen“ sind regelmäßig unwirksam, wie schon ältere Rechtsprechung zu Einwilligungen für eine Vielzahl von Unternehmen zeigt.
    3. Informiertheit: Die Person muss wissen, wer die Daten wofür verarbeitet und dass sie die Einwilligung widerrufen kann.
    4. Eine unmissverständliche Handlung, also aktives Ankreuzen, Klicken oder eine Erklärung. Schweigen oder vorangekreuzte Kästchen genügen nicht, wie der BGH im Urteil „Cookie-Einwilligung II“ bestätigt hat.
    5. Trennung von anderen Erklärungen: Wird die Einwilligung zusammen mit anderen Erklärungen abgegeben, etwa in AGB, muss sie klar davon abgehoben sein (Art. 7 Abs. 2 DSGVO).
    6. Widerrufbarkeit: Der Widerruf muss so einfach sein wie die Erteilung. Darauf ist vor Abgabe hinzuweisen (Art. 7 Abs. 3 DSGVO).

    Besondere Fälle

    Für Gesundheitsdaten und andere sensible Daten muss die Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO „ausdrücklich“ erfolgen. Bei Online-Diensten, die sich direkt an Kinder richten, ist bis zum vollendeten 16. Lebensjahr die Zustimmung der Eltern erforderlich (Art. 8 DSGVO). Für Beschäftigte enthält § 26 Abs. 2 BDSG eigene Vorgaben zur Freiwilligkeit und verlangt grundsätzlich Schrift- oder elektronische Form; Beispiele dazu in unserem Beitrag zu Mitarbeiterfotos auf der Website.

    Nachweis und Verwaltung

    Der Verantwortliche muss nachweisen können, dass eine Einwilligung vorliegt (Art. 7 Abs. 1 DSGVO). Dokumentieren Sie deshalb Zeitpunkt, Inhalt der Erklärung und Art der Abgabe. Widerrufe müssen zuverlässig und schnell umgesetzt werden, und zwar in allen Systemen, in denen die Daten verwendet werden.

    Prüfen Sie zuerst, ob eine andere Rechtsgrundlage greift; die Einwilligung ist kein Allheilmittel. Gern sehen wir uns Ihre Einwilligungstexte an oder klären mit Ihnen, welche Rechtsgrundlage für Ihre Verarbeitung trägt. Kontaktformular oder Online-Termin.

  • WhatsApp im Unternehmen: Datenschutzrisiken und Alternativen

    Schnell ein Foto vom Schaden an den Handwerker schicken, Termine mit Kunden abstimmen, im Team kurz etwas klären: Messenger wie WhatsApp gehören zum Alltag, auch im Beruf. Für Unternehmen bringt die Nutzung jedoch erhebliche datenschutzrechtliche Risiken mit sich. Wer WhatsApp geschäftlich einsetzt, sollte die Problemfelder kennen und bewusst entscheiden.

    Problem 1: Das Adressbuch

    Die private WhatsApp-App greift, wenn der Nutzer es zulässt, auf das Adressbuch des Smartphones zu und gleicht die Telefonnummern mit den Servern des Anbieters ab. Befinden sich auf einem Diensthandy Kontaktdaten von Kunden, Lieferanten oder Kollegen, werden diese damit an einen Dritten übermittelt, ohne dass die Betroffenen davon wissen oder eingewilligt haben. Dafür fehlt in aller Regel eine Rechtsgrundlage. Abhilfe schaffen technische Lösungen, die das Adressbuch von der App trennen, etwa Container-Lösungen auf Diensthandys.

    Problem 2: Datenübermittlung in die USA

    WhatsApp gehört zum Meta-Konzern. Auch wenn Nachrichteninhalte Ende-zu-Ende-verschlüsselt sind, fallen Metadaten an (wer mit wem wann kommuniziert), die auch in Drittländer übermittelt werden können. Seit dem Schrems-II-Urteil ist die Übermittlung in die USA nur mit zusätzlichen Garantien zulässig, deren Wirksamkeit im Einzelfall zu prüfen ist. Wie streng Aufsichtsbehörden diese Frage sehen, zeigt die Entscheidung der österreichischen Datenschutzbehörde zu Google Analytics.

    Problem 3: Kontrolle und Dokumentation

    Werden geschäftliche Chats auf privaten Smartphones geführt, verliert das Unternehmen die Kontrolle über die Daten. Auskunftsersuchen, Löschpflichten und Aufbewahrungspflichten für Geschäftskorrespondenz lassen sich kaum erfüllen. Scheidet ein Mitarbeiter aus, nimmt er die Kundenkommunikation mit.

    WhatsApp Business: die bessere Wahl?

    Die Business-Varianten von WhatsApp bieten zusätzliche Vertragsbedingungen für Unternehmen. Bei der API-Lösung lassen sich Nachrichten außerdem über Dienstleister verwalten, ohne auf das Adressbuch zuzugreifen. Die Drittlandfrage bleibt aber auch dort zu prüfen. Ob ein Einsatz vertretbar ist, hängt von der konkreten Konfiguration, den vertraglichen Grundlagen und den kommunizierten Inhalten ab.

    Empfehlungen für die Praxis

    1. Entscheiden Sie bewusst, ob ein Messenger überhaupt dienstlich genutzt werden darf und wenn ja, welcher.
    2. Prüfen Sie Alternativen. Es gibt Messenger europäischer Anbieter, die gezielt für den Unternehmenseinsatz konzipiert sind und Auftragsverarbeitungsverträge anbieten.
    3. Gesundheitsdaten, Vertragsunterlagen oder Bankdaten gehören nicht in Messenger-Chats.
    4. Verwalten Sie Diensthandys mit Mobile-Device-Management, getrennten Containern und Regelungen für Verlust und Ausscheiden.
    5. Stellen Sie Nutzungsregeln für Beschäftigte auf und schließen Sie, soweit möglich, einen Auftragsverarbeitungsvertrag mit dem Anbieter.
    6. Informieren Sie Kunden in der Datenschutzerklärung über die Nutzung.

    Die private WhatsApp-App auf dem Diensthandy ist die schwierigste Variante. Wenn Sie Messenger-Kommunikation mit Kunden anbieten möchten, prüfen wir die geplante Lösung und erstellen die nötigen Richtlinien. Nehmen Sie Kontakt auf oder buchen Sie einen Termin.

  • Private E-Mail-Nutzung am Arbeitsplatz: Regeln für Arbeitgeber

    Eine Mitarbeiterin ist plötzlich längere Zeit krank, ein Kunde wartet auf ein Angebot, das in ihrem Postfach liegt. Darf der Arbeitgeber das E-Mail-Konto öffnen? Oder: Ein Mitarbeiter scheidet aus, und sein Postfach soll ausgewertet werden. Solche Situationen sind Alltag und datenschutzrechtlich heikel. Die Antwort hängt maßgeblich davon ab, ob der Arbeitgeber die private Nutzung des dienstlichen E-Mail-Accounts erlaubt, geduldet oder verboten hat.

    Variante 1: Private Nutzung verboten

    Ist die private Nutzung ausdrücklich untersagt, handelt es sich beim dienstlichen Postfach um ein reines Arbeitsmittel. Der Arbeitgeber darf dann grundsätzlich auf dienstliche E-Mails zugreifen, soweit dies für die Durchführung des Beschäftigungsverhältnisses erforderlich ist (§ 26 Abs. 1 BDSG), etwa zur Vertretung im Urlaub oder bei Krankheit. Auch hier gilt aber der Grundsatz der Verhältnismäßigkeit: Eine anlasslose, flächendeckende Kontrolle aller E-Mails ist nicht zulässig. Erkennbar private E-Mails, die trotz Verbots eingegangen sind, sollten nicht gelesen werden.

    Variante 2: Private Nutzung erlaubt oder geduldet

    Erlaubt der Arbeitgeber die private Nutzung, ausdrücklich oder durch jahrelange Duldung, wird es kompliziert. Lange Zeit vertraten die Aufsichtsbehörden die Auffassung, der Arbeitgeber werde dann zum Anbieter von Telekommunikationsdiensten und sei an das Fernmeldegeheimnis gebunden. Ein Zugriff auf das Postfach wäre dann ohne Einwilligung der Beschäftigten kaum möglich. Seit dem neuen Telekommunikationsrecht ist diese Frage umstrittener denn je; eine höchstrichterliche Klärung steht aus. Fest steht: Bei erlaubter Privatnutzung muss der Arbeitgeber zumindest die privaten Inhalte besonders schützen, was den Zugriff auf dienstliche Mails im Postfach erheblich erschwert.

    Die Empfehlung: Klare Regeln schaffen

    Für die Praxis empfiehlt sich eine schriftliche Nutzungsrichtlinie oder, wenn ein Betriebsrat besteht, eine Betriebsvereinbarung. Bewährt hat sich ein Verbot der Privatnutzung, kombiniert mit einer großzügigen Regel für private Kommunikation über eigene Kanäle und einem transparenten Zugriffsverfahren:

    • Die private Nutzung des dienstlichen E-Mail-Accounts wird untersagt.
    • Beschäftigte dürfen in angemessenem Umfang über private Webmail-Dienste kommunizieren, etwa in der Pause.
    • Abwesenheitsnotizen und Funktionspostfächer für Teams reduzieren die Notwendigkeit, auf persönliche Postfächer zuzugreifen.
    • Für den Zugriff gibt es ein transparentes Verfahren: Wer entscheidet, wer ist dabei (z. B. Betriebsrat oder Datenschutzbeauftragter), wie wird dokumentiert?
    • Für das Offboarding ist geregelt, wann das Postfach eines ausgeschiedenen Mitarbeiters deaktiviert und wann es gelöscht wird.

    Kontrolle der Internetnutzung

    Ähnliche Grundsätze gelten für das Surfen im Internet. Protokolldaten dürfen zur Gewährleistung der IT-Sicherheit verarbeitet werden. Eine personenbezogene Auswertung zur Verhaltenskontrolle ist nur bei konkretem Verdacht und unter Beachtung der Verhältnismäßigkeit denkbar. Technische Überwachungseinrichtungen unterliegen der Mitbestimmung des Betriebsrats.

    Auskunftsansprüche nicht vergessen

    Gerade in Kündigungsstreitigkeiten verlangen Beschäftigte häufig Auskunft über ihre Daten, einschließlich E-Mails. Der BGH hat den Umfang des Auskunftsanspruchs zuletzt weit gezogen, wie wir im Beitrag „Auskunftsanspruch umfasst auch Korrespondenz und Vermerke“ dargestellt haben. Eine geordnete Postfachstruktur und ein Löschkonzept erleichtern die Beantwortung erheblich.

    Eindeutige Regeln ersparen im Ernstfall viel Streit. Für eine IT-Nutzungsrichtlinie oder eine Betriebsvereinbarung zur E-Mail-Nutzung stehen wir Ihnen zur Seite: Nachricht senden oder Termin vereinbaren.

  • Datenschutzerklärung für die Website: Diese Angaben sind Pflicht

    Jede Website, die personenbezogene Daten verarbeitet, benötigt eine Datenschutzerklärung, und das betrifft praktisch jede Website. Sie ist das Aushängeschild der Datenschutz-Compliance eines Unternehmens und wird von Wettbewerbern, Verbänden und Aufsichtsbehörden als Erstes geprüft. Gleichzeitig sind viele Datenschutzerklärungen veraltet, unvollständig oder beschreiben Dienste, die längst nicht mehr eingesetzt werden.

    Rechtsgrundlage: Art. 13 DSGVO

    Werden personenbezogene Daten bei der betroffenen Person erhoben, ist sie zum Zeitpunkt der Erhebung zu informieren. Auf einer Website geschieht das typischerweise über eine Datenschutzerklärung, die von jeder Seite aus mit einem Klick erreichbar sein sollte, üblicherweise über einen Link im Footer, getrennt vom Impressum. Die Informationen müssen präzise, transparent, verständlich und leicht zugänglich in klarer und einfacher Sprache erfolgen (Art. 12 Abs. 1 DSGVO).

    Die Pflichtangaben im Überblick

    • Name und Kontaktdaten des Verantwortlichen,
    • Kontaktdaten des Datenschutzbeauftragten, falls benannt,
    • Zwecke und Rechtsgrundlagen jeder Verarbeitung,
    • bei Art. 6 Abs. 1 lit. f DSGVO: die berechtigten Interessen,
    • Empfänger oder Kategorien von Empfängern, etwa Hosting-Anbieter oder Newsletter-Dienste,
    • Übermittlungen in Drittländer und die zugrunde liegenden Garantien,
    • Speicherdauer oder Kriterien für ihre Festlegung,
    • Hinweis auf die Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch),
    • Hinweis auf das Recht, eine Einwilligung jederzeit zu widerrufen,
    • Hinweis auf das Beschwerderecht bei einer Aufsichtsbehörde,
    • ob die Bereitstellung der Daten gesetzlich oder vertraglich vorgeschrieben ist,
    • gegebenenfalls das Bestehen automatisierter Entscheidungsfindung.

    Typische Verarbeitungen auf Websites

    Gegliedert wird die Erklärung am besten nach Verarbeitungsvorgängen: Server-Logfiles beim Aufruf der Seite, Kontaktformular und E-Mail, Newsletter, Cookies und Einwilligungsverwaltung, Analyse-Tools, eingebettete Inhalte wie Karten oder Videos, Online-Bewerbungen und gegebenenfalls ein Online-Shop. Für Cookies und ähnliche Technologien ist seit Dezember 2021 neben der DSGVO das TTDSG zu nennen; Einzelheiten dazu in unserem Beitrag „TTDSG ab 1. Dezember 2021“.

    Die häufigsten Fehler

    • Kopierte Muster ohne Bezug zur tatsächlichen Website.
    • Veraltete Inhalte, etwa Verweise auf das Privacy Shield oder das TMG.
    • Fehlende Dienste: Ein Plugin lädt Schriftarten oder Karten von Drittservern, die Erklärung schweigt dazu. Dass das teuer werden kann, zeigt das Google-Fonts-Urteil des LG München I.
    • Die pauschale Berufung auf „berechtigte Interessen“ für alles.
    • Juristische Bleiwüsten ohne Gliederung.

    Generator oder individuell?

    Datenschutz-Generatoren sind ein brauchbarer Ausgangspunkt, ersetzen aber nicht die Prüfung, welche Daten die Website tatsächlich verarbeitet. Lassen Sie im ersten Schritt technisch prüfen, welche Verbindungen beim Seitenaufruf aufgebaut und welche Cookies gesetzt werden, und gleichen Sie dies mit der Erklärung ab.

    Nach jedem neuen Plugin, jedem neuen Tool und jedem Relaunch gehört die Datenschutzerklärung auf den Prüfstand. Wir überarbeiten sie mit Ihnen auf Grundlage der tatsächlichen Datenverarbeitung Ihrer Website. Kontakt aufnehmen oder online einen Termin buchen.

  • Datenschutz-Folgenabschätzung: Wann ist eine DSFA Pflicht?

    Die Datenschutz-Folgenabschätzung (DSFA) gehört zu den Instrumenten der DSGVO, die in kleinen und mittleren Unternehmen oft unbekannt sind oder gefürchtet werden. Dabei ist sie im Kern ein strukturiertes Nachdenken über Risiken, bevor eine neue Datenverarbeitung startet. Art. 35 DSGVO verlangt sie nur in bestimmten Fällen. Welche das sind und wie eine DSFA abläuft, erläutern wir im Folgenden.

    Wann ist eine DSFA erforderlich?

    Eine DSFA ist durchzuführen, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Art. 35 Abs. 3 DSGVO nennt drei Regelbeispiele:

    • systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, die als Grundlage für Entscheidungen mit Rechtswirkung dient,
    • umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten, etwa Gesundheitsdaten, oder von Daten über strafrechtliche Verurteilungen,
    • systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

    Die „Muss-Liste“ der Aufsichtsbehörden

    Die deutschen Aufsichtsbehörden haben zusätzlich eine Liste von Verarbeitungsvorgängen veröffentlicht, für die stets eine DSFA durchzuführen ist. Dazu zählen beispielsweise umfangreiche Verarbeitungen von Standortdaten, die Zusammenführung von Daten aus verschiedenen Quellen, die umfassende Überwachung von Beschäftigten oder der Einsatz bestimmter neuer Technologien zur Interaktion mit Betroffenen. Prüfen Sie diese Liste bei jeder neuen Verarbeitung.

    Als Faustregel helfen zudem die Kriterien des Europäischen Datenschutzausschusses, etwa Bewertung und Scoring, systematische Überwachung, sensible Daten, große Datenmengen, schutzbedürftige Personen wie Beschäftigte oder Kinder und innovative Technologien. Treffen mindestens zwei dieser Kriterien zu, ist in der Regel eine DSFA angezeigt.

    Typische Fälle in der Praxis

    • umfangreiche Videoüberwachung von Geschäftsräumen,
    • GPS-Ortung von Dienstfahrzeugen oder Leistungskontrollen von Beschäftigten,
    • Patientenverwaltung in größeren Praxen oder Pflegediensten,
    • Kundenbindungsprogramme mit umfassendem Profiling,
    • neue Software, die große Mengen Beschäftigtendaten automatisiert auswertet.

    Ablauf einer DSFA

    1. Die geplante Verarbeitung und ihre Zwecke werden beschrieben, einschließlich der berechtigten Interessen.
    2. Es folgt die Bewertung von Notwendigkeit und Verhältnismäßigkeit: Geht es auch mit weniger Daten?
    3. Dann werden die Risiken bewertet: Welche Schäden drohen den Betroffenen, wie wahrscheinlich und wie schwer sind sie?
    4. Festgelegt werden die Abhilfemaßnahmen, also technische und organisatorische Maßnahmen, die das Risiko reduzieren.
    5. Am Ende stehen Ergebnis und Dokumentation, unter Einbindung des Datenschutzbeauftragten, sofern benannt.

    Bleibt trotz aller Maßnahmen ein hohes Risiko bestehen, muss vor Beginn der Verarbeitung die Aufsichtsbehörde konsultiert werden (Art. 36 DSGVO). Das kommt in der Praxis selten vor.

    Folge für den Datenschutzbeauftragten

    Wichtig für kleinere Unternehmen: Wer Verarbeitungen durchführt, die einer DSFA unterliegen, muss nach § 38 Abs. 1 Satz 2 BDSG unabhängig von der Mitarbeiterzahl einen Datenschutzbeauftragten benennen. Mehr dazu in unserem Beitrag „Datenschutzbeauftragter: Wann ist er Pflicht?“.

    Prüfen Sie bei jedem neuen Projekt mit Personenbezug kurz, ob eine DSFA nötig ist, und halten Sie auch das Ergebnis dieser Vorprüfung fest. Bei der Einschätzung und der Durchführung unterstützen wir Sie. Sprechen Sie uns an oder buchen Sie einen Termin.

  • Videoüberwachung im Laden oder in der Praxis: Was ist erlaubt?

    Ladendiebstahl, Vandalismus, Einbrüche: Viele Inhaberinnen und Inhaber kleiner Geschäfte, Praxen oder Werkstätten überlegen, eine Kamera zu installieren. Die Technik ist günstig und schnell montiert. Rechtlich ist Videoüberwachung aber ein sensibles Thema, denn sie erfasst Kunden, Patienten, Passanten und Beschäftigte. Im Folgenden geht es um Kameras im Kundenbereich. Zur Überwachung von Beschäftigten haben wir anlässlich eines Millionenbußgeldes bereits einen eigenen Beitrag veröffentlicht.

    Die Rechtsgrundlage

    Für private Unternehmen richtet sich die Videoüberwachung öffentlich zugänglicher Räume nach Art. 6 Abs. 1 lit. f DSGVO, also nach einer Interessenabwägung. Die Sondervorschrift des § 4 BDSG ist nach Rechtsprechung des Bundesverwaltungsgerichts für private Stellen insoweit nicht anwendbar, die Abwägung folgt aber ähnlichen Grundsätzen. Zulässig ist eine Überwachung, wenn

    • ein berechtigtes Interesse besteht, etwa der Schutz vor Diebstahl oder Sachbeschädigung,
    • die Kamera zur Erreichung dieses Zwecks geeignet und erforderlich ist, es also kein milderes, gleich wirksames Mittel gibt,
    • die Interessen der gefilmten Personen nicht überwiegen.

    Das berechtigte Interesse sollte möglichst konkret belegt werden, zum Beispiel durch frühere Diebstähle oder Einbrüche, Anzeigen oder eine besondere Gefährdungslage. Pauschale Befürchtungen reichen in der Regel nicht.

    Wo Kameras tabu sind

    • Umkleidekabinen, Toiletten und Behandlungsräume,
    • Sitz- und Aufenthaltsbereiche in Gastronomie und Wartezimmern, in denen sich Menschen länger aufhalten,
    • öffentlicher Straßenraum und Nachbargrundstücke,
    • Pausen- und Sozialräume der Beschäftigten.

    Hinweisschilder sind Pflicht

    Die Überwachung muss erkennbar sein, bevor Personen den überwachten Bereich betreten. Die Aufsichtsbehörden empfehlen ein zweistufiges Informationsmodell: Ein gut sichtbares Schild nennt mit Kamerasymbol Name und Kontaktdaten des Verantwortlichen, Zweck und Rechtsgrundlage, Speicherdauer, die Kontaktdaten des Datenschutzbeauftragten (falls vorhanden) und den Ort, an dem die vollständigen Informationen nach Art. 13 DSGVO erhältlich sind. Das kann ein Aushang an der Kasse oder die Website sein.

    Speicherdauer

    Aufnahmen sind zu löschen, sobald sie nicht mehr erforderlich sind. Ob ein Vorfall vorliegt, lässt sich in der Regel innerhalb weniger Tage feststellen. Viele Aufsichtsbehörden halten daher eine Speicherdauer von etwa 72 Stunden für den Regelfall angemessen. Längere Fristen bedürfen einer besonderen Begründung, etwa bei Betrieben, die über das Wochenende geschlossen sind. Halten Sie die Frist auch in Ihrem Löschkonzept fest.

    Technik und Organisation

    • Bildausschnitt auf das Notwendige begrenzen, Privatzonen ausblenden.
    • Keine Tonaufnahmen, denn das Mitschneiden des nicht öffentlich gesprochenen Wortes kann strafbar sein.
    • Zugriff nur für wenige berechtigte Personen, mit Protokollierung.
    • Cloud-Kameras sorgfältig auswählen; bei externer Speicherung ist ein Auftragsverarbeitungsvertrag nötig.
    • Eintrag ins Verzeichnis von Verarbeitungstätigkeiten; bei umfangreicher Überwachung kann eine Datenschutz-Folgenabschätzung erforderlich sein.

    Und die Attrappe?

    Eine Kamera-Attrappe verarbeitet keine Daten und fällt daher nicht unter die DSGVO. Sie kann aber zivilrechtlich problematisch sein, wenn sie bei Nachbarn oder Beschäftigten einen erheblichen Überwachungsdruck erzeugt.

    Kamerawinkel, Speicherdauer und Zugriffsrechte sollten vor der Montage feststehen und dokumentiert sein. Wenn Sie eine Videoüberwachung planen oder Post von der Aufsichtsbehörde bekommen haben, beraten wir Sie gern. Kontaktformular · Termin buchen

  • TOMs nach Art. 32 DSGVO: Praxisleitfaden für KMU

    „Technische und organisatorische Maßnahmen“, kurz TOMs, klingt nach IT-Abteilung und Sicherheitszertifikat. Tatsächlich betrifft Art. 32 DSGVO jedes Unternehmen, vom Handwerksbetrieb bis zum Mittelständler. Die Vorschrift verlangt, die Sicherheit personenbezogener Daten durch Maßnahmen zu gewährleisten, die dem Risiko angemessen sind. Nicht jedes Unternehmen braucht deshalb ein Hochsicherheitsrechenzentrum, wohl aber ein durchdachtes Sicherheitskonzept.

    Der risikobasierte Ansatz

    Art. 32 Abs. 1 DSGVO nennt als Kriterien den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere des Risikos für die Betroffenen. Eine Arztpraxis mit Gesundheitsdaten muss also höhere Anforderungen erfüllen als ein Blumenladen mit einer Kundenkartei. Ausdrücklich genannt werden unter anderem Pseudonymisierung und Verschlüsselung, die Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die rasche Wiederherstellbarkeit nach einem Zwischenfall sowie ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen.

    Technische Maßnahmen: Die Basics

    • individuelle Benutzerkonten, starke Passwörter und Zwei-Faktor-Authentifizierung für E-Mail und Fernzugriffe,
    • ein Berechtigungskonzept, nach dem jeder nur die Daten sieht, die er für seine Arbeit benötigt,
    • regelmäßige Updates von Betriebssystemen, Programmen und Firewalls,
    • Verschlüsselung von Laptops, Smartphones und mobilen Datenträgern, die Website nur über HTTPS,
    • regelmäßige Backups, getrennt vom Produktivsystem, mit getesteter Wiederherstellung,
    • Virenschutz und Filter für E-Mail-Anhänge.

    Organisatorische Maßnahmen

    • Verpflichtung aller Beschäftigten auf Vertraulichkeit,
    • Schulung und Sensibilisierung, insbesondere zu Phishing-E-Mails,
    • klare Regeln für Homeoffice, private Geräte und die Weitergabe von Daten,
    • Zutrittskontrolle zu Büro- und Serverräumen,
    • Clean-Desk-Regel und datenschutzgerechte Aktenvernichtung,
    • ein Notfallplan für Datenpannen und IT-Ausfälle.

    Gerade für mobiles Arbeiten lohnt ein Blick in unsere Homeoffice-Checkliste. Und für den Ernstfall sollte jeder wissen, wie eine Datenpanne binnen 72 Stunden gemeldet wird.

    Dokumentation: Das TOM-Konzept

    Die Maßnahmen sollten schriftlich dokumentiert werden. Das TOM-Dokument dient mehreren Zwecken: Es ist Teil der Rechenschaftspflicht, wird im Verzeichnis von Verarbeitungstätigkeiten referenziert und ist Anlage zu Auftragsverarbeitungsverträgen, wenn Sie selbst als Dienstleister tätig sind. Gliedern Sie es nach Schutzzielen und beschreiben Sie konkret, was umgesetzt ist. Das Dokument soll die gelebte Praxis abbilden, keine Wunschliste.

    Regelmäßig überprüfen

    Der Stand der Technik entwickelt sich weiter. Was vor drei Jahren ausreichend war, kann heute veraltet sein. Planen Sie mindestens eine jährliche Überprüfung ein und passen Sie die Maßnahmen bei neuen Systemen oder Vorfällen an. Dass unzureichende Sicherheitsmaßnahmen zu empfindlichen Bußgeldern führen können, zeigt etwa das Verfahren gegen einen Telekommunikationsanbieter, über das wir im Beitrag zum Urteil des LG Bonn berichtet haben.

    Viele wirksame Maßnahmen wie Zwei-Faktor-Authentifizierung, Updates, Backups und Schulungen lassen sich mit überschaubarem Aufwand umsetzen. Wenn Sie Ihre TOMs dokumentieren oder überprüfen lassen möchten, helfen wir Ihnen. Kontakt oder Online-Termin.

  • Newsletter rechtssicher versenden: Double-Opt-in und Einwilligung

    E-Mail-Newsletter gehören für viele kleine und mittlere Unternehmen zu den wirksamsten Marketinginstrumenten. Rechtlich bewegen sie sich allerdings an der Schnittstelle von Datenschutz- und Wettbewerbsrecht. Wer ohne wirksame Einwilligung Werbe-E-Mails verschickt, riskiert Abmahnungen von Wettbewerbern, Unterlassungsansprüche der Empfänger und Maßnahmen der Datenschutzaufsicht. Mit den richtigen Prozessen lässt sich das Risiko jedoch gut beherrschen.

    Grundsatz: Werbung per E-Mail nur mit Einwilligung

    Nach § 7 Abs. 2 UWG ist Werbung per elektronischer Post ohne vorherige ausdrückliche Einwilligung des Adressaten grundsätzlich eine unzumutbare Belästigung. Datenschutzrechtlich wird die Verarbeitung der E-Mail-Adresse für den Newsletter in der Regel ebenfalls auf eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO gestützt. Die Einwilligung muss freiwillig, informiert und eindeutig sein; ein vorangekreuztes Kästchen genügt nicht. Das hat der BGH zuletzt im Zusammenhang mit Cookies noch einmal deutlich gemacht, wie wir im Beitrag zum Urteil „Cookie-Einwilligung II“ erläutert haben.

    Das Double-Opt-in-Verfahren

    Wer sich für einen Newsletter anmeldet, könnte eine fremde E-Mail-Adresse eintragen. Im Streitfall muss der Versender aber beweisen, dass gerade der Inhaber der Adresse eingewilligt hat. Deshalb hat sich das Double-Opt-in-Verfahren als Standard etabliert:

    1. Der Nutzer trägt seine E-Mail-Adresse in ein Formular ein und bestätigt die Einwilligungserklärung.
    2. Er erhält eine Bestätigungs-E-Mail mit einem Link, die keine werblichen Inhalte enthält.
    3. Erst nach Klick auf den Link wird die Adresse in den Verteiler aufgenommen.

    Speichern Sie Zeitpunkt der Anmeldung, Zeitpunkt der Bestätigung, IP-Adresse und den Wortlaut der Einwilligung. Nur so können Sie die Einwilligung nach Art. 7 Abs. 1 DSGVO nachweisen.

    Was gehört ins Anmeldeformular?

    • Pflichtfeld nur für die E-Mail-Adresse, weitere Angaben wie der Name freiwillig (Datenminimierung),
    • klare Beschreibung der Inhalte und der Versandhäufigkeit,
    • Hinweis auf das jederzeitige Widerrufsrecht,
    • Link auf die Datenschutzerklärung,
    • Hinweis auf Tracking, falls Öffnungs- und Klickraten personenbezogen ausgewertet werden.

    Ausnahme für Bestandskunden

    § 7 Abs. 3 UWG erlaubt E-Mail-Werbung ohne Einwilligung, wenn der Unternehmer die Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden erhalten hat, sie für Direktwerbung für eigene ähnliche Waren oder Dienstleistungen verwendet, der Kunde nicht widersprochen hat und bei der Erhebung sowie bei jeder Verwendung klar auf die Widerspruchsmöglichkeit hingewiesen wird. Alle Voraussetzungen müssen gleichzeitig vorliegen. Die Ausnahme ist eng und eignet sich nicht für allgemeine Newsletter an alle Kontakte.

    Newsletter-Dienstleister

    Viele Unternehmen nutzen externe Versanddienste. Mit diesen ist ein Auftragsverarbeitungsvertrag zu schließen. Sitzt der Anbieter in den USA, ist die Übermittlung gesondert abzusichern. Seit Juni 2021 stehen dafür die neuen Standardvertragsklauseln zur Verfügung, deren Einsatz aber eine Bewertung im Einzelfall voraussetzt. Anbieter mit Sitz und Servern in der EU sind häufig die einfachere Lösung.

    Abmeldung und Löschung

    Jeder Newsletter muss einen gut sichtbaren Abmeldelink enthalten. Abmeldungen sind unverzüglich umzusetzen. Die Adresse darf danach nur noch insoweit gespeichert werden, wie es für den Nachweis der früheren Einwilligung oder für eine Sperrliste erforderlich ist.

    Haben Sie eine Abmahnung wegen Werbe-E-Mails erhalten, oder soll Ihr Newsletter-Setup vorab geprüft werden? Schreiben Sie uns über das Kontaktformular oder buchen Sie einen Termin.

  • Löschkonzept erstellen: Wann Daten gelöscht werden müssen

    Speicherplatz ist billig, deshalb bewahren viele Unternehmen Daten einfach auf. Kundendaten aus dem Jahr 2010, Bewerbungen von vor drei Jahren, alte E-Mail-Postfächer ausgeschiedener Mitarbeiter: In fast jedem Betrieb finden sich Datenbestände, die längst hätten gelöscht werden müssen. Die DSGVO verlangt jedoch, dass personenbezogene Daten nur so lange gespeichert werden, wie es für die Zwecke erforderlich ist (Grundsatz der Speicherbegrenzung, Art. 5 Abs. 1 lit. e DSGVO). Ein Löschkonzept hilft, diesen Grundsatz systematisch umzusetzen.

    Warum ein Löschkonzept?

    Ein Löschkonzept beschreibt, welche Daten wann und wie gelöscht werden. Es ist nicht ausdrücklich im Gesetz genannt, ergibt sich aber aus der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO), aus dem Recht auf Löschung (Art. 17 DSGVO) und aus der Pflicht, im Verzeichnis von Verarbeitungstätigkeiten Löschfristen anzugeben. Weniger Daten bedeuten zudem weniger Risiko: Bei einer Datenpanne oder einem Auskunftsersuchen ist der Aufwand umso geringer, je schlanker die Datenbestände sind.

    Schritt 1: Datenkategorien bilden

    Ausgangspunkt ist Ihr Verzeichnis von Verarbeitungstätigkeiten. Fassen Sie Daten zu Kategorien mit gleicher Speicherdauer zusammen, etwa: Bewerbungsunterlagen, Personalakten, Rechnungen und Buchungsbelege, Geschäftsbriefe, Angebote ohne Auftrag, Newsletter-Abonnenten, Videoaufzeichnungen, Protokolldaten der Website.

    Schritt 2: Fristen bestimmen

    Für jede Kategorie ist zu klären, wie lange sie benötigt wird. Maßgeblich sind vor allem gesetzliche Aufbewahrungspflichten. Nach § 147 AO und § 257 HGB sind etwa Buchungsbelege und Handelsbücher zehn Jahre, empfangene und abgesandte Handels- und Geschäftsbriefe sechs Jahre aufzubewahren. Hinzu kommen Verjährungsfristen für mögliche Ansprüche, die eine längere Speicherung rechtfertigen können, wenn sie konkret begründet sind. Achten Sie auch auf den Fristbeginn, häufig der Schluss des Kalenderjahres, in dem das Dokument entstanden ist.

    Schritt 3: Zuständigkeiten und Routinen

    Legen Sie fest, wer für die Löschung welcher Daten verantwortlich ist und wann sie erfolgt, zum Beispiel einmal jährlich im ersten Quartal. Wo möglich, sollten Löschungen automatisiert werden. Viele Programme bieten Funktionen zur automatischen Löschung oder Archivierung. Wo Daten nach Ablauf der Frist nicht sofort gelöscht werden können, etwa wegen laufender Aufbewahrungspflichten für einzelne Bestandteile, ist eine Sperrung bzw. Einschränkung der Verarbeitung vorzusehen.

    Schritt 4: Wie wird gelöscht?

    Löschen bedeutet, dass die Daten nicht mehr oder nur mit unverhältnismäßigem Aufwand wiederhergestellt werden können. Das bloße Verschieben in den Papierkorb genügt nicht. Für Papierakten bietet sich eine zertifizierte Aktenvernichtung an. Der Dienstleister ist dann in der Regel Auftragsverarbeiter, mit dem ein Vertrag nach Art. 28 DSGVO zu schließen ist. Auch Backups müssen berücksichtigt werden: Hier genügt es in der Regel, wenn sie nach einem festgelegten Zyklus überschrieben werden und gelöschte Daten bei einer Wiederherstellung nicht reaktiviert werden.

    Schritt 5: Dokumentieren

    Halten Sie das Konzept schriftlich fest und protokollieren Sie die durchgeführten Löschläufe. So können Sie gegenüber Aufsichtsbehörden und Betroffenen belegen, dass Sie den Grundsatz der Speicherbegrenzung umsetzen.

    In vielen kleinen Unternehmen genügt eine Tabelle mit Datenkategorie, Frist, Fristbeginn, Verantwortlichem und Löschmethode, sofern sie mit einem festen jährlichen Löschtermin auch gelebt wird. Bei der Einführung und bei Fragen zu Aufbewahrungsfristen unterstützen wir Sie: Nachricht senden oder Termin online buchen.

  • Auftragsverarbeitungsvertrag (AVV): Wann nötig, was rein muss

    Kaum ein Unternehmen verarbeitet seine Daten heute ausschließlich selbst. Hosting, Cloud-Speicher, E-Mail-Marketing, Fernwartung der IT oder die externe Lohnabrechnung: Überall dort, wo ein Dienstleister im Auftrag mit personenbezogenen Daten arbeitet, verlangt die DSGVO einen Vertrag zur Auftragsverarbeitung. Fehlt er, liegt ein Verstoß vor, den Aufsichtsbehörden sowohl beim Auftraggeber als auch beim Dienstleister ahnden können.

    Was ist Auftragsverarbeitung?

    Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen (Art. 4 Nr. 8 DSGVO). Er entscheidet nicht selbst über Zwecke und wesentliche Mittel der Verarbeitung. Typische Beispiele sind Rechenzentren, Software-as-a-Service-Anbieter, Newsletter-Dienste, Aktenvernichter, Callcenter oder IT-Dienstleister mit Zugriff auf Kundendaten.

    Keine Auftragsverarbeitung: Typische Abgrenzungen

    Nicht jede Zusammenarbeit mit Dritten ist Auftragsverarbeitung. Berufsgeheimnisträger wie Rechtsanwälte, Steuerberater bei der fachlichen Beratung oder Wirtschaftsprüfer handeln regelmäßig eigenverantwortlich. Auch Banken, Post- und Paketdienste oder Inkassounternehmen, die Forderungen übernehmen, sind in der Regel eigene Verantwortliche. Entscheiden zwei Unternehmen gemeinsam über Zwecke und Mittel, kann eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO mit eigenen Vertragspflichten vorliegen.

    Pflichtinhalte nach Art. 28 Abs. 3 DSGVO

    • Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen,
    • Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen,
    • Verpflichtung der eingesetzten Personen zur Vertraulichkeit,
    • angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO,
    • Regelungen zum Einsatz von Unterauftragsverarbeitern,
    • Unterstützung bei Betroffenenrechten und bei Datenpannen,
    • Löschung oder Rückgabe der Daten nach Ende des Auftrags,
    • Nachweis- und Kontrollrechte des Verantwortlichen.

    Auf diese Punkte sollten Sie achten

    Lassen Sie sich eine Liste der Unterauftragsverarbeiter geben und vereinbaren Sie ein Informations- und Widerspruchsrecht bei Änderungen. Setzt der Dienstleister Server oder Subunternehmer außerhalb der EU ein, braucht es eine tragfähige Übermittlungsgrundlage; seit dem Schrems-II-Urteil reicht das Privacy Shield hierfür nicht mehr aus. Für Datenpannen sollten kurze Meldefristen vereinbart werden, denn Ihre eigene 72-Stunden-Frist beginnt mit Kenntnis. Einzelheiten in unserem Leitfaden zur Datenpanne.

    Standardverträge großer Anbieter

    Große Plattformen bieten ihre Auftragsverarbeitungsverträge meist nur als nicht verhandelbare Standardbedingungen an, häufig online im Kundenkonto. Das ist zulässig, entbindet aber nicht von der Prüfung, ob die Inhalte den Anforderungen genügen. Speichern Sie die jeweils akzeptierte Fassung ab; ein Link auf die aktuelle Version des Anbieters genügt für Ihre Dokumentation nicht.

    Organisation im Unternehmen

    Führen Sie eine Übersicht aller Auftragsverarbeiter mit Vertragsstatus. Diese Liste lässt sich unmittelbar mit Ihrem Verzeichnis von Verarbeitungstätigkeiten verknüpfen, in dem die Empfänger ohnehin anzugeben sind. Ob ein Vertrag erforderlich ist, sollte vor der Einführung neuer Software geprüft werden, nicht erst danach.

    Mit einer Übersicht der Dienstleister, geprüften Standardverträgen und einem Blick auf Unterauftragnehmer und Drittlandbezüge ist das Thema gut zu beherrschen. Wir entwerfen Auftragsverarbeitungsverträge und prüfen die Verträge Ihrer Dienstleister. Schreiben Sie uns oder buchen Sie direkt einen Termin.

  • Verzeichnis von Verarbeitungstätigkeiten erstellen: Anleitung

    Fragt eine Aufsichtsbehörde nach dem Stand des Datenschutzes, ist eines der ersten Dokumente, das sie sehen möchte, das Verzeichnis von Verarbeitungstätigkeiten (VVT). Es ist das Herzstück der Datenschutzdokumentation und zugleich ein wertvolles Arbeitsinstrument: Wer weiß, welche Daten wo und wozu verarbeitet werden, kann Auskunftsersuchen beantworten, Löschfristen umsetzen und Risiken erkennen. Dennoch fehlt das Verzeichnis in vielen kleinen und mittleren Unternehmen oder ist veraltet.

    Wer muss ein Verzeichnis führen?

    Art. 30 DSGVO verpflichtet grundsätzlich jeden Verantwortlichen und jeden Auftragsverarbeiter. Die Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern in Art. 30 Abs. 5 DSGVO greift in der Praxis kaum: Sie gilt nicht, wenn die Verarbeitung ein Risiko für die Betroffenen birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien betrifft. Da nahezu jedes Unternehmen regelmäßig Lohnabrechnungen erstellt oder Kundendaten pflegt, erfolgt die Verarbeitung „nicht nur gelegentlich“. Im Ergebnis braucht damit fast jedes Unternehmen ein Verzeichnis, und zwar unabhängig davon, ob ein Datenschutzbeauftragter benannt werden muss.

    Was ist eine „Verarbeitungstätigkeit“?

    Eine Verarbeitungstätigkeit ist ein zusammenhängender Geschäftsprozess mit einem bestimmten Zweck, nicht jedes einzelne IT-System. Typische Einträge sind etwa: Lohn- und Gehaltsabrechnung, Bewerbermanagement, Kundenverwaltung, Rechnungsstellung, Newsletter-Versand, Website-Betrieb, Videoüberwachung, Zeiterfassung. Ein kleiner Handwerksbetrieb kommt oft mit 10 bis 20 Einträgen aus.

    Pflichtangaben nach Art. 30 Abs. 1 DSGVO

    • Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des Datenschutzbeauftragten,
    • die Zwecke der Verarbeitung,
    • die Kategorien betroffener Personen (z. B. Kunden, Beschäftigte, Bewerber) und der personenbezogenen Daten,
    • die Kategorien von Empfängern, einschließlich Empfängern in Drittländern,
    • gegebenenfalls Übermittlungen in Drittländer und die dafür vorgesehenen Garantien,
    • wenn möglich die vorgesehenen Löschfristen,
    • wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.

    Gerade die Angaben zu Drittlandübermittlungen sollten nach dem Schrems-II-Urteil des EuGH überprüft werden: Wer bisher „USA – Privacy Shield“ eingetragen hat, muss die Grundlage neu bewerten.

    In fünf Schritten zum Verzeichnis

    1. Gehen Sie Abteilung für Abteilung durch und fragen Sie: Mit welchen personenbezogenen Daten arbeiten Sie, und wozu?
    2. Erfassen Sie alle Dienstleister, also Steuerberater, Lohnbüro, IT-Dienstleister, Cloud-Anbieter und Newsletter-Tool. Alle Empfänger gehören ins Verzeichnis.
    3. Ordnen Sie die Rechtsgrundlage nach Art. 6 DSGVO zu. Das ist nicht ausdrücklich gefordert, erleichtert aber die Erfüllung der Informationspflichten.
    4. Legen Sie Löschfristen fest und orientieren Sie sich dabei an gesetzlichen Aufbewahrungspflichten, etwa aus Handels- und Steuerrecht.
    5. Verweisen Sie für die technischen und organisatorischen Maßnahmen auf ein zentrales TOM-Dokument.

    Typische Fehler

    • Das Verzeichnis wird einmal erstellt und nie aktualisiert.
    • Statt Prozessen werden nur Softwareprodukte aufgelistet.
    • Löschfristen fehlen vollständig oder lauten pauschal „gesetzliche Fristen“.
    • Auftragsverarbeiter werden nicht genannt, Verträge nach Art. 28 DSGVO fehlen.

    Form und Vorlage

    Das Verzeichnis ist schriftlich zu führen, wobei die elektronische Form genügt (Art. 30 Abs. 3 DSGVO). Eine Tabelle reicht für kleine Unternehmen völlig aus. Die Aufsichtsbehörden der Länder stellen Muster zur Verfügung, die sich gut als Ausgangspunkt eignen. Auf Anfrage ist das Verzeichnis der Aufsichtsbehörde zur Verfügung zu stellen.

    Planen Sie einen festen Termin im Jahr ein, um das Verzeichnis zu aktualisieren, und passen Sie es bei jeder neuen Software und jedem neuen Dienstleister an. Beim Erstellen oder Überprüfen helfen wir Ihnen gern: per Kontaktformular oder über einen Online-Termin.

  • Auskunftsersuchen nach Art. 15 DSGVO richtig beantworten

    „Bitte teilen Sie mir mit, welche Daten Sie über mich gespeichert haben.“ Solche Schreiben erreichen Unternehmen immer häufiger: von Kunden, von Bewerbern und besonders oft von ehemaligen Beschäftigten im Zusammenhang mit einem Kündigungsstreit. Das Auskunftsrecht nach Art. 15 DSGVO ist eines der wichtigsten Betroffenenrechte. Wer es ignoriert oder unvollständig erfüllt, riskiert Beschwerden bei der Aufsichtsbehörde, Bußgelder und Klagen. Der folgende Ablauf hat sich in der Praxis bewährt.

    Schritt 1: Anfrage erkennen und Frist notieren

    Ein Auskunftsersuchen ist an keine Form gebunden. Es kann per E-Mail, Brief, Telefon oder über soziale Medien eingehen und muss das Wort „DSGVO“ nicht enthalten. Beschäftigte am Empfang, im Kundenservice und in der Personalabteilung sollten solche Anfragen erkennen und sofort weiterleiten. Die Auskunft ist unverzüglich, spätestens innerhalb eines Monats zu erteilen (Art. 12 Abs. 3 DSGVO). Nur bei komplexen oder zahlreichen Anfragen kann die Frist um zwei weitere Monate verlängert werden. Das muss der betroffenen Person innerhalb des ersten Monats mitgeteilt und begründet werden.

    Schritt 2: Identität prüfen

    Sie dürfen Auskünfte nur an die berechtigte Person erteilen. Bestehen begründete Zweifel an der Identität, können Sie zusätzliche Informationen anfordern. Die Anforderungen müssen aber verhältnismäßig sein: Wer mit einem Kunden ohnehin über eine bekannte E-Mail-Adresse kommuniziert, kann in der Regel keine Ausweiskopie verlangen.

    Schritt 3: Daten zusammentragen

    Durchsuchen Sie alle relevanten Systeme: CRM, Buchhaltung, E-Mail-Postfächer, Personalakte, Ticketsysteme, Newsletter-Tool, Papierakten und Backups. Hier zahlt sich ein gepflegtes Verzeichnis von Verarbeitungstätigkeiten aus, denn es zeigt, wo welche Daten verarbeitet werden.

    Schritt 4: Inhalt der Auskunft

    Die Auskunft umfasst zunächst die Bestätigung, ob überhaupt Daten verarbeitet werden. Falls ja, sind nach Art. 15 Abs. 1 DSGVO insbesondere mitzuteilen:

    • die Verarbeitungszwecke und die Kategorien der Daten,
    • die Empfänger oder Kategorien von Empfängern, insbesondere in Drittländern,
    • die geplante Speicherdauer oder die Kriterien für ihre Festlegung,
    • die Rechte auf Berichtigung, Löschung, Einschränkung und Widerspruch sowie das Beschwerderecht bei einer Aufsichtsbehörde,
    • die Herkunft der Daten, wenn sie nicht bei der Person selbst erhoben wurden,
    • gegebenenfalls das Bestehen automatisierter Entscheidungsfindung einschließlich Profiling.

    Zusätzlich ist nach Art. 15 Abs. 3 DSGVO eine Kopie der Daten zur Verfügung zu stellen. Wie weit dieser Anspruch reicht, ist in der Rechtsprechung noch umstritten. Wer die Kopie gerichtlich durchsetzen will, muss jedenfalls einen hinreichend bestimmten Antrag stellen; pauschale Forderungen nach „allen E-Mails“ können daran scheitern.

    Schritt 5: Rechte Dritter beachten

    Die Kopie darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen (Art. 15 Abs. 4 DSGVO). Namen von Kollegen, Geschäftsgeheimnisse oder Daten anderer Kunden sind daher gegebenenfalls zu schwärzen. Eine vollständige Verweigerung der Auskunft lässt sich damit aber in der Regel nicht begründen.

    Schritt 6: Sicher übermitteln und dokumentieren

    Die erste Kopie ist unentgeltlich. Übermitteln Sie die Auskunft auf sicherem Weg, etwa verschlüsselt oder per Post. Eine versehentliche Übermittlung an die falsche Person wäre selbst eine Datenpanne; was dann zu tun ist, beschreibt unser Leitfaden zur 72-Stunden-Meldung. Dokumentieren Sie Eingang, Bearbeitung und Versand der Auskunft.

    Was droht bei Fehlern?

    Eine verspätete oder unvollständige Auskunft kann zu Beschwerden bei der Aufsichtsbehörde und zu Bußgeldern führen. Zudem können Betroffene ihren Anspruch gerichtlich durchsetzen. Wie Gerichte den Streitwert solcher Verfahren bemessen, haben wir im Beitrag zum Streitwert eines Auskunftsanspruchs beschrieben.

    Gerade im Arbeitsrechtsstreit lohnt sich eine sorgfältige Prüfung, bevor die Auskunft das Haus verlässt. Liegt Ihnen ein Ersuchen vor und läuft die Frist bereits, unterstützen wir Sie bei der Beantwortung. Nehmen Sie Kontakt auf oder buchen Sie kurzfristig einen Termin.

  • Homeoffice und Datenschutz: Checkliste für Arbeitgeber

    Innerhalb weniger Tage haben zahlreiche Unternehmen ihre Beschäftigten wegen der Corona-Pandemie ins Homeoffice geschickt. Was organisatorisch oft improvisiert werden musste, wirft datenschutzrechtliche Fragen auf: Darf auf dem privaten Laptop gearbeitet werden? Wie sind Akten zu Hause aufzubewahren? Und wer haftet, wenn etwas schiefgeht? Klar ist: Die DSGVO gilt auch am Küchentisch. Verantwortlich bleibt der Arbeitgeber. Unsere Checkliste hilft, die wichtigsten Punkte zügig umzusetzen.

    Verantwortung bleibt beim Unternehmen

    Auch wenn Beschäftigte von zu Hause aus arbeiten, bleibt das Unternehmen Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Es muss nach Art. 32 DSGVO ein dem Risiko angemessenes Schutzniveau sicherstellen. Das bedeutet nicht, dass jedes Homeoffice wie ein Rechenzentrum ausgestattet sein muss. Es bedeutet aber, dass klare Regeln und geeignete technische Mittel vorhanden sein müssen.

    Technik: Dienstgeräte und sichere Verbindungen

    • Dienstgeräte sind privaten Rechnern vorzuziehen, die sich kaum kontrollieren lassen. Ist die Nutzung privater Geräte unvermeidbar, sollten zumindest Virenschutz, aktuelle Updates und ein separates Benutzerkonto vorausgesetzt werden.
    • Festplatten von Laptops und mobile Datenträger sollten verschlüsselt sein.
    • Der Zugriff auf Unternehmenssysteme sollte über eine gesicherte Verbindung (VPN) erfolgen.
    • Starke Passwörter und eine automatische Bildschirmsperre nach kurzer Inaktivität gehören zur Grundausstattung.
    • Dateien gehören auf die vom Unternehmen freigegebenen Systeme, nicht in private Cloud-Speicher.

    Organisation: Klare Regeln für zu Hause

    Wichtig ist eine kurze, verständliche Homeoffice-Richtlinie. Sie sollte unter anderem festlegen, dass Familienmitglieder und Mitbewohner keinen Einblick in Unterlagen und Bildschirm erhalten, dass Telefonate mit vertraulichem Inhalt nicht in Hörweite Dritter geführt werden und dass Papierunterlagen verschlossen aufbewahrt und nicht im Hausmüll, sondern datenschutzgerecht entsorgt werden. Auch smarte Lautsprecher, die mithören können, sollten während vertraulicher Gespräche ausgeschaltet sein.

    Lassen Sie sich die Kenntnisnahme der Regeln bestätigen. Das dient der Sensibilisierung und hilft, gegenüber einer Aufsichtsbehörde die Erfüllung der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nachzuweisen.

    Kommunikation und Videokonferenzen

    Mit dem Homeoffice steigt der Bedarf an Messenger- und Videokonferenzdiensten. Hier sollten nur Dienste eingesetzt werden, die das Unternehmen geprüft und freigegeben hat. Mit dem Anbieter ist in der Regel ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO abzuschließen. Achten Sie auch darauf, wo der Anbieter Daten verarbeitet, und ob Übermittlungen in Drittländer stattfinden.

    Was tun, wenn doch etwas passiert?

    Geht ein Laptop verloren oder werden Unterlagen versehentlich an Dritte weitergegeben, müssen Beschäftigte wissen, wen sie sofort informieren. Die Uhr für die Meldung an die Aufsichtsbehörde läuft auch im Homeoffice. Wie Sie dann vorgehen, beschreiben wir ausführlich in unserem Leitfaden „Datenpanne melden: So reagieren Sie richtig in 72 Stunden“.

    Beschäftigtendaten und Kontrolle

    Homeoffice ist kein Anlass für eine lückenlose Überwachung. Die Verarbeitung von Beschäftigtendaten richtet sich nach § 26 BDSG und muss für das Beschäftigungsverhältnis erforderlich sein. Eine permanente Kontrolle von Tastatureingaben oder Bildschirminhalten ist regelmäßig unzulässig. Besteht ein Betriebsrat, ist dieser bei technischen Einrichtungen, die zur Leistungs- oder Verhaltenskontrolle geeignet sind, zu beteiligen.

    Eine pragmatische Lösung lässt sich später in Ruhe weiterentwickeln, etwa über eine Betriebsvereinbarung. Für Ihre Homeoffice-Richtlinie oder die Prüfung Ihrer bestehenden Regelung stehen wir Ihnen zur Verfügung: Kontakt aufnehmen oder Termin buchen.

  • Datenpanne melden: So reagieren Sie richtig in 72 Stunden

    Eine E-Mail mit Kundendaten geht an den falschen Verteiler, ein Firmenlaptop wird im Zug gestohlen oder ein Trojaner verschlüsselt den Server: Datenpannen passieren auch in gut organisierten Unternehmen. Dann muss schnell und richtig reagiert werden. Die DSGVO sieht in Art. 33 eine Meldepflicht gegenüber der Aufsichtsbehörde innerhalb von 72 Stunden vor, in bestimmten Fällen nach Art. 34 zusätzlich eine Benachrichtigung der betroffenen Personen.

    Was ist eine „Verletzung des Schutzes personenbezogener Daten“?

    Art. 4 Nr. 12 DSGVO versteht darunter jede Verletzung der Sicherheit, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von bzw. zum unbefugten Zugang zu personenbezogenen Daten führt. Erfasst sind also nicht nur Hackerangriffe, sondern auch alltägliche Fehler: der offene E-Mail-Verteiler, der verlorene USB-Stick, der Brief an die falsche Adresse oder die versehentlich gelöschte Kundendatenbank ohne Backup.

    Wann muss gemeldet werden?

    Grundsätzlich ist jede Datenpanne der zuständigen Aufsichtsbehörde zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen. Diese Ausnahme ist eng. Ein Risiko liegt etwa nahe, wenn Gesundheits-, Bank- oder Zugangsdaten betroffen sind, wenn viele Personen betroffen sind oder wenn die Daten in die Hände unbekannter Dritter gelangt sein können. Kein Risiko besteht dagegen häufig, wenn ein ordnungsgemäß verschlüsseltes Gerät verloren geht.

    Besteht voraussichtlich ein hohes Risiko, müssen zusätzlich die Betroffenen unverzüglich und in klarer, einfacher Sprache informiert werden (Art. 34 DSGVO). Sie sollen sich schützen können, etwa indem sie Passwörter ändern oder eine Kreditkarte sperren lassen.

    Die 72-Stunden-Frist

    Die Frist beginnt, sobald dem Verantwortlichen die Verletzung bekannt wird, nicht erst, wenn alle Details geklärt sind. Wochenenden und Feiertage werden nicht ausgeklammert. Liegen noch nicht alle Informationen vor, darf die Meldung schrittweise erfolgen: Melden Sie zunächst, was Sie wissen, und reichen Sie weitere Angaben nach. Eine verspätete Meldung ist zu begründen.

    Notfallplan in fünf Schritten

    1. Schaden eindämmen: betroffene Systeme vom Netz nehmen, Zugänge sperren, Empfänger einer Fehlversendung um Löschung bitten.
    2. Geschäftsleitung und, falls vorhanden, den Datenschutzbeauftragten sofort einbinden.
    3. Das Risiko einschätzen: Welche Daten, wie viele Personen, welche möglichen Folgen?
    4. Die Aufsichtsbehörde informieren (die meisten Länderbehörden bieten Online-Formulare an) und gegebenenfalls die Betroffenen benachrichtigen.
    5. Den Vorfall intern dokumentieren. Das verlangt Art. 33 Abs. 5 DSGVO für jede Datenpanne, auch wenn keine Meldung erfolgt.

    Was gehört in die Meldung?

    Mindestens anzugeben sind: die Art der Verletzung, soweit möglich die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen.

    Vorsorge ist die beste Reaktion

    Unternehmen, die vorab Zuständigkeiten festlegen, eine Checkliste bereithalten und ihre Mitarbeitenden sensibilisieren, verlieren im Ernstfall keine wertvolle Zeit. Ebenso wichtig sind angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dass Aufsichtsbehörden Sicherheitsmängel ahnden, zeigt etwa das Bußgeld gegen einen Social-Media-Anbieter wegen unzureichender Datensicherheit. Wer einen Datenschutzbeauftragten hat, sollte ihn eng einbinden. Ob eine Benennungspflicht besteht, erläutern wir in unserem Beitrag zur 20-Personen-Regel. Verschweigen ist im Übrigen die schlechteste aller Optionen: Eine unterlassene Meldung kann selbst ein Bußgeld nach sich ziehen.

    Wenn bei Ihnen eine Datenpanne eingetreten ist, zählt jede Stunde. Wir helfen kurzfristig bei Bewertung und Meldung und erstellen auf Wunsch auch einen Notfallplan für die Zukunft. Schreiben Sie uns oder vereinbaren Sie online einen Termin.

  • Datenschutzbeauftragter: Wann ist er Pflicht? Die 20-Personen-Regel

    Kaum eine Frage erreicht uns aus kleinen und mittleren Unternehmen so häufig wie diese: „Brauchen wir eigentlich einen Datenschutzbeauftragten?“ Zum Jahreswechsel hat sich die Antwort für viele Betriebe geändert. Mit dem Zweiten Datenschutz-Anpassungs- und Umsetzungsgesetz EU wurde die Schwelle in § 38 Abs. 1 BDSG angehoben: Seit dem 26. November 2019 ist ein Datenschutzbeauftragter nach deutschem Recht erst dann zwingend zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Zuvor lag die Grenze bei zehn Personen.

    Was auf den ersten Blick nach einer großen Entlastung klingt, hat jedoch einige Haken. Wir zeigen, wie Sie die Pflicht für Ihr Unternehmen richtig prüfen.

    Zwei Rechtsgrundlagen: DSGVO und BDSG

    Die Benennungspflicht ergibt sich aus zwei Quellen. Art. 37 DSGVO verlangt einen Datenschutzbeauftragten unabhängig von der Mitarbeiterzahl, wenn die Kerntätigkeit des Unternehmens in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen besteht oder in der umfangreichen Verarbeitung besonderer Kategorien von Daten, etwa Gesundheitsdaten. Zusätzlich hat der deutsche Gesetzgeber in § 38 BDSG eigene Tatbestände geschaffen. Neben der 20-Personen-Grenze gilt dort: Wer Verarbeitungen vornimmt, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, oder wer personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung, anonymisierten Übermittlung oder für Markt- und Meinungsforschung verarbeitet, muss unabhängig von der Personenzahl einen Datenschutzbeauftragten benennen.

    Wer zählt zu den 20 Personen?

    Entscheidend ist nicht die Zahl der Arbeitsverträge, sondern wie viele Personen „ständig“ mit der automatisierten Verarbeitung personenbezogener Daten betraut sind. Dazu gehören in der Praxis nahezu alle Beschäftigten, die regelmäßig am Computer mit Kunden-, Lieferanten- oder Beschäftigtendaten arbeiten, also Vertrieb, Buchhaltung, Personalabteilung, Kundenservice und Geschäftsführung. Teilzeitkräfte, Auszubildende und freie Mitarbeiter zählen grundsätzlich als volle Köpfe mit, wenn sie diese Tätigkeit regelmäßig ausüben. Wer lediglich gelegentlich einen Lieferschein scannt, wird dagegen eher nicht erfasst.

    Unser Tipp: Erstellen Sie eine einfache Liste aller Personen mit Zugriff auf IT-Systeme, in denen personenbezogene Daten gespeichert sind, und dokumentieren Sie die Prüfung. So können Sie gegenüber einer Aufsichtsbehörde später nachvollziehbar darlegen, warum Sie die Pflicht verneint haben.

    Keine Pflicht heißt nicht: keine Pflichten

    Der wohl größte Irrtum: Wer unter der Schwelle bleibt, muss sich nicht um Datenschutz kümmern. Das ist falsch. Sämtliche Pflichten der DSGVO gelten unabhängig davon, ob ein Datenschutzbeauftragter benannt ist. Dazu zählen insbesondere

    • die Informationspflichten nach Art. 13 und 14 DSGVO (Datenschutzhinweise),
    • das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO,
    • technische und organisatorische Maßnahmen nach Art. 32 DSGVO,
    • Verträge zur Auftragsverarbeitung mit Dienstleistern nach Art. 28 DSGVO,
    • die Bearbeitung von Betroffenenanfragen, etwa Auskunftsersuchen nach Art. 15 DSGVO,
    • die Meldung von Datenschutzverletzungen nach Art. 33 DSGVO.

    Die Verantwortung trägt in kleinen Unternehmen dann unmittelbar die Geschäftsleitung. Gerade deshalb kann es sinnvoll sein, freiwillig einen internen oder externen Datenschutzbeauftragten zu benennen oder sich zumindest regelmäßig beraten zu lassen. Wie wichtig die Unabhängigkeit dieser Funktion ist, zeigt auch die Diskussion um die Unabhängigkeit der Datenschutzaufsicht, über die wir bereits früher berichtet haben.

    Intern oder extern?

    Besteht eine Pflicht, haben Unternehmen die Wahl. Ein interner Datenschutzbeauftragter kennt die Abläufe, braucht aber die erforderliche Fachkunde, ausreichend Zeit und darf nicht in einen Interessenkonflikt geraten. Geschäftsführer, IT-Leiter oder Personalleiter scheiden deshalb regelmäßig aus. Zudem genießt ein interner Datenschutzbeauftragter nach § 38 Abs. 2 i.V.m. § 6 Abs. 4 BDSG einen besonderen Kündigungsschutz. Ein externer Datenschutzbeauftragter bringt Erfahrung aus vielen Unternehmen mit und lässt sich vertraglich flexibler einbinden. Welche Lösung passt, hängt von Größe, Branche und Datenvolumen ab.

    Was ist nach der Benennung zu tun?

    Die Kontaktdaten des Datenschutzbeauftragten müssen veröffentlicht, etwa in der Datenschutzerklärung der Website, und der zuständigen Aufsichtsbehörde mitgeteilt werden (Art. 37 Abs. 7 DSGVO). Außerdem ist der Datenschutzbeauftragte frühzeitig in alle Fragen einzubinden, die den Schutz personenbezogener Daten betreffen, und mit den nötigen Ressourcen auszustatten. Die inhaltlichen Pflichten der DSGVO bleiben davon unberührt; sie gelten mit und ohne Datenschutzbeauftragten.

    Ob Ihr Betrieb einen Datenschutzbeauftragten benennen muss, prüfen wir gern gemeinsam mit Ihnen. Schreiben Sie uns über das Kontaktformular oder vereinbaren Sie direkt einen Online-Termin.