Erfahrungen zum Datenschutz nach Einführung der DSGVO: Tücken und wichtige Schritte einer erfolgreichen Umsetzung

Mit 25. Mai 2018 ist die neue Datenschutz-Grundverordnung (DSGVO) bereits EU-weit in Kraft getreten. Der in der Vergangenheit (oftmals) nur stiefmütterlich nachgekom­menen Unternehmensaufgabe „Daten- bzw. Informationsschutz“, wurde – vor allem aufgrund der intensiven, medialen Berichterstattung – ordentlich Gehör verschafft. Die vielfach überzogene Befürchtung ausufernder Datenschutzanfragen und Behörden­kontrollen, hat sich jedoch bislang definitiv nicht erfüllt. Dass man bei der Umsetzung auch über das Ziel hinausschießen kann, zeigt hingegen so mancher Erfahrungsbericht.

Leidvolle Erfahrungen mahnen zu einem besonnen Vorgehen

Vielen Unternehmer:innen ist wohl der Austausch unterschiedlichster Auftragsverarbeitungsverträge, die dann vielfach auch gar nicht unterzeichnet wurden, noch in leidvoller Erinnerung geblieben. Auch hat sich die Anzahl der E-Mail-Adressen in einigen Newsletter­systemen merklich dezimiert, wenn die Adressaten um eine separate Bestätigung gebeten wurden, obwohl sie sich auch bislang schon jederzeit vom Erhalt hätten abmelden konnten. Die kürzlich angedachte Anonymisierung von Klingelschildern durch die Stadt Wien an den Wohnhauseingängen ist ebenfalls in diese Reihe zu stellen. Obwohl das berechtigte Interesse des Vermieters nach Anführung der Namen auf den Klingelschildern rechtlich stärker wiegt und es sich bei diesen auch um keine elektronischen Daten handelt, wurde aufgrund der Beschwerde eines einzelnen Mieters mit der Abnahme tausender Namensbezeichnungen begonnen.

Wesentliche Schritte einer erfolgreichen Datenschutzumsetzung

Auch wenn diese Eskapaden zu einem besonneneren Vorgehen ermahnen, sollte man als Unternehmen dem Thema jedoch keinesfalls den Rücken zukehren. Denn die korrekte Einhaltung der DSGVO wird auch weiterhin brandaktuell bleiben. Wichtig ist für KMUs vor allem die Umsetzung und Dokumentation einiger weniger Schritte, die dann bei einer etwaigen Kontrolle vorgelegt werden können. Dazu zählen insbesondere die Klärung der Datenschutzverantwortung im Unternehmen, die Erstellung und laufende Aktualisierung des Datenschutzverzeichnisses, die Informationspolitik und der Umgang mit den Betroffenen, die Gestaltung von Auftragsverarbeitungsverträgen sowie die Formulierung von Datenschutzstrategie und geeigneten technisch-organisatorischen Maßnahmen.