Bestandsaufnahme nach einem Jahr Datenschutzgrundverordnung. Wir ziehen unser Resümee und geben Tipps.14 Monate DSGVO: Eine Bestandaufnahme aus dem Handwerk

Kein Grund zur Panik

Bei vielen Menschen haben die neuen Vorgaben der Datenschutz-Grundverordnung in Verbindung mit dem angepassten Bundesdatenschutzgesetz zu Kopfzerbrechen, Angstzuständen und – natürlich – zu ganz viel Bürokratie-Arbeit geführt.  Die gute Nachricht: Alle leben noch, niemand ist an der Erfüllung neuer umfangreichen Pflichten gestorben.

Was hatte es vor knapp einem Jahr im Mai 2018 durch dieses Schreckgespenst DSGVO nicht alles für Horrorszenarien gegeben?

• Die Namen der Bewohner dürften nicht mehr auf Klingelschildern stehen.
• Unseriöse Anwälte würden eine Abmahnwelle lostreten.
• Vereine könnten keine Fotos mehr im Internet zeigen.

Alles falsch, wie man heute weiß.

Verbesserungsbedarf im Regelwerk

„Nach meiner Erfahrung ist die EU- DSGVO angekommen. Nun gilt es, die praktische Umsetzung zu hinterfragen. Bekanntlich ist nichts so perfekt, dass man es nicht noch verbessern kann.“ lautet das Fazit unseres Rechtberaters Volker Süssmuth.

In erster Linie gilt dies für die Vorgaben der DSGVO und des Bundesdatenschutzes. Mit der momentan auf Europa- und Bundesebene durchgeführten Evaluation sollen Auswirkungen und Wirkungsweise der neuen Regelungen auf die Praxis überprüft und ggf. angepasst werden. Hierbei muss es gelingen, stärker Rücksicht auf die kleinen Unternehmen zu nehmen und entsprechend mit bürokratiearmen Erleichterungen nachzubessern.

Die Verdoppelung des Schwellenwertes zur Bestellpflicht eines Datenschutzbeauftragten von zehn auf 20 Personen  - wie ganz frisch vom Bundestag vor seiner Sommerpause durch das „Zweite Datenschutz-Anpassungs- und Umsetzungs-Gesetz am 27.06.2019 beschlossen (formal muss noch der Bundesrat zustimmen) – kann seitens Politik und Gesetzgeber nur ein kleiner erster Schritt sein - ebenso wie die mit diesem Änderungsgesetz erfolgte Ergänzung, mit der Einwilligungen im Rahmen von Beschäftigungsverhältnissen nun neben der strengen Schriftform auch elektronisch möglich sind.

Datensparsame und risikoarme Handwerksbetriebe, bei denen die Datenverarbeitung nicht die Kerntätigkeit der unternehmerischen Tätigkeit ist, sind insbesondere beim Erfüllen gesetzlicher Dokumentations- und Informationspflichten zu entlasten, so die politische Forderung der Handwerksorganisation.

Zwar ist die von vielen befürchtete „Abmahnwelle“ ausgeblieben. Allerdings resultiert dies in erster Linie daraus, dass auch in der Rechtsprechung umstritten ist, inwieweit tatsächlich datenschutzrechtliche Verstöße von Unternehmen Mitwerbern die Möglichkeit eröffnet, ein Verfahren wegen Wettbewerbsverstoßes auf der Grundlage des Gesetzes gegen den unlauteren Wettbewerbs zu führen, oder ob hier zugunsten des Verbraucherschutzes allein die Datenschutz-Aufsichtsbehörden tätig sein können. Daher begrüßt die Handwerksorganisation die Initiative des Bundesrates, in diesem Bereich künftig Rechtssicherheit dadurch zu erlangen, indem ein Ausschluss der Abmahnfähigkeit von Datenschutzverstößen in das noch für das Jahr 2019 geplante „Gesetz zur Stärkung des fairen Wettbewerbs“ integriert werden soll.

Gefahrenquellen erkennen und vermeiden

Darüber hinaus sollte man schauen, wo es im eigenen Betrieb noch Optimierungsbedarf gibt:

• Irrtum durch Fehl-Interpretation: Wenn ich keinen Datenschutzbeauftragen benötige, dann muss ich die Datenschutzgrundverordnung nicht umsetzen.
• Vorsicht bei Websites: Notwendig sind vor allem Datenschutzerklärung, SSL-Verschlüsselung und ausdrückliche Einwilligung bei Cookies.
• Achtung: Auch bei augenscheinlich pseudonymen Nutzungsprofilen kann ein Verarbeiten personenbezogener Daten vorliegen

Beispiel:  Ein Heizungsbauer betreibt ein Portal, an das die Heizungsanlagen, die bei den Kunden stehen, automatisiert ihre Seriennummer, Uhrzeit und Defekt melden. Gemäß Artikel 4 DSGVO ist Pseudonymisierung „die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden“ Dies bedeutet im oben genannten Beispiel, dass im Heizungsbaubetrieb auch durch die pseudonomisierten Daten personenbezogene Daten der Kunden verarbeitet werden, obwohl der Kundenname nicht auftaucht.

In jedem Fall gilt:

Wenn die wichtigsten Schritte zur datenschutzkonformen Umsetzung erfüllt sind, also erkennbar ist, dass „Hausaufgaben“ wie Informationspflichten gegenüber Kunden und die Dokumentation durch Verzeichnis der Verarbeitungstätigkeiten und sogar ein Datenschutz-Konzept für Krisenmanagement/Umgang bei Datenpannen vorliegen, so ist seitens der baden-württembergischen Aufsichtsbehörde des Landesbeauftragten für Datenschutz und Informationsfreiheit (LfDI) keine Sanktion zu erwarten, wie Maria Wilhelm, Referentin Stabstelle Europa im LfDI, in unserer Informationsveranstaltung am 04.07.2019 betonte. Außerdem könnten Betriebe bei datenschutzrechtlichen Fragestellungen bzw. Zweifeln jederzeit gern über das Beratungaangebot des LfDIKontakt aufnehmen.

Für viele Sachverhalte stellt außerdem die baden-württembergische Aufsichtsbehörde LfDI (Landesbeauftragter für Datenschutz und Informationsfreiheit Baden-Württemberg) verständliche und praxisorientierte Merkblätterauf der Homepage zur Verfügung,

Hilfreich sind außerdem die Unterlagen, die seitens des Zentralverbandes des Deutschen Handwerks/ZDH zur Information und vor allem als Muster zum praxisgerechten Einsatz auch für kleinere Handwerksbetriebe online zur Verfügung gestellt werden.

Informationen bei der Handwerkskammer Region Stuttgart