HINWEISGEBERSYSTEM – „Speak-Up“-Kultur für das Unternehmen!

Ein genauerer Blick auf die – zum Teil erweiterten – Pflichten für Unternehmen zeigt auf, worauf die Verantwortlichen in der Geschäftsleitung beim Vorbereiten und Umsetzen ihrer Datenschutzaktivitäten ihr Augenmerk legen müssen. Hier ein Auszug der relevantesten Regelungen:

Technischen und organisatorischen Rahmen schaffen

Unternehmen müssen ihre Wertschöpfungsprozesse analysieren und durch geeignete Tools und Systeme sicherstellen, dass sie das Verarbeiten personenbezogener Daten rechtskonform durchführen und dies jederzeit nachweisen können. Das Gesetz spricht hier zwar auch von einer „Verhältnismäßigkeit“, konkretisiert diese aber nicht. Die technischen und organisatorischen Maßnahmen umfassen bspw. datenschutzfreundliche Voreinstellungen (generell Opt-in statt Opt-out, keine Vorbefüllung nicht relevanter Felder etc.), weitestgehende Pseudonymisierung oder automatisch gesteuerte Löschprozeduren.

Gemeinsame Verantwortung, Vertreter-Verantwortung

Bei einer arbeitsteilig geplanten Verantwortung muss die Aufteilung im Vorfeld klar geregelt sein, „weiße Flecken“ sind unbedingt zu vermeiden. Nicht in er EU ansässige aber hier tätige Unternehmen müssen zwingend einen Vertreter benennen, der die Verantwortlichenrolle gegenüber den Behörden ausüben kann.

Auftragsverarbeiter vertraglich einbinden

Sobald bestimmte Verarbeitungsprozesse vom Verantwortlichen an einen Externen ausgelagert werden, wird dieser zum Auftragsverarbeiter. Dieser hat – genauso wie ein Verantwortlicher – aktiv dafür Sorge zu tragen, dass im Rahmen dieser Auftragsverarbeitung alle nötigen Maßnahmen getroffen werden um den Schutz der verarbeiteten personenbezogenen Daten sicherzustellen. Beide Seiten sind verpflichtet, einen ausreichend regelungsstarken Vertrag zu diesem Auftragsverhältnis abzuschließen.

Verarbeitungsverzeichnis führen

Wie schon beim BDSG sind Unternehmen verpflichtet, die Verarbeitungsprozesse und die beteiligten Systeme nachvollziehbar und aktuell zu dokumentieren und neue, potenziell problematische Verfahren im Vorfeld auf ihre Datenschutzkonformität zu prüfen. Die Ausnahmen bzgl. der in der DSGVO benannten Größenerleichterung für Unternehmen unter 250 Mitarbeitern sind zu prüfen und bei Interpretationsspielräumen lieber streng auszulegen.

Zusammenarbeit mit den Behörden

Grundsätzlich sind Unternehmen zur aktiven Zusammenarbeit mit den Behörden verpflichtet. Dies manifestiert sich u.a. durch eine proaktive Meldepflicht von Verstößen innerhalb von 72 Stunden, die vorgeschriebene Datenschutz-Folgenabschätzung bei bestimmten Fällen sowie die Pflicht zur vorherigen Konsultation in potenziellen Risikofällen oder in der Einhaltung der von den Behörden festgelegten Verhaltensregeln für eine ordnungsgemäße Anwendung der Verordnung.

Datenschutzbeauftragter

Viele Unternehmen brauchen einen, nur wenige haben bereits einen benannt oder bestellt: In der DSGVO sind die Erfordernis und die Aufgaben eines Datenschutzbeauftragten klar geregelt. Im Rahmen seiner Unterrichtungs- und Kontrollfunktion ist er der „Sparringspartner“ für die verantwortliche Geschäftsleitung. Zugleich ist er die zentrale Anlaufstelle für externe Interessenten wie bspw. Betroffene oder Behörden. Zwar legt die DSGVO eine zunächst stark erleichternd erscheinende Grenze von 250 Mitarbeitern fest, diese kann – und wird – allerdings über eine Öffnungsklausel durch nationale Regelungen gesenkt werden.

Erweiterung bzw. Konkretisierung zum Datenschutz

Die DSGVO ist als Grundlagen-Regelung zu verstehen, die nicht jede spezielle Verarbeitungssituation vollständig darstellen und klar regeln kann. Aus diesem Grund gehört es zu den Pflichten von Unternehmen, interpretationsbedürftige und besondere Datenschutzaktivitäten in internen Datenschutzvorschriften weiter zu konkretisieren und damit möglichst eindeutig und unstrittig zu definieren. Diese Vorschriften müssen rechtlich bindend sein und ihren Wirkungskreis klar darlegen.