Neue EU-Datenschutzregeln: Unvorbereiteten Unternehmen drohen hohe Geldstrafen

Fast die Hälfte der Unternehmen in Deutschland ist noch nicht auf die EU-Datenschutz-Grundverordnung (DSGVO) vorbereitet; dies ergab eine repräsentative Umfrage im Auftrag des IT-Branchenverbandes Bitkom. Und eines von zehn Unternehmen hat noch nicht einmal etwas von dem neuen EU-Datenschutzrecht gehört. Man möchte ihnen zurufen: „Es betrifft genau euch! Jetzt ist die Zeit, sich vorbereiten!“

Denn die Zeit drängt. Der Stichtag für die Umsetzung der geforderten Maßnahmen ist der 25. Mai 2018. Auf den ersten Blick scheint das ausreichend Zeit zu sein, doch die Hürden für die Einhaltung des EU-Datenschutzes sind hoch. Die neuen Regeln erhöhen die Anforderungen an die Unternehmen deutlich. Im Prinzip sollten Sie jetzt dringend alle Prozesse und Vorkehrungen im Rahmen des Bundesdatenschutzgesetzes auf den Prüfstand stellen.

Neuer EU-Datenschutz greift: Geldbußen von 20 Millionen Euro möglich

Das größte Risiko bei Verzögerungen: Verstöße gegen den Datenschutz ziehen jetzt empfindliche Sanktionen nach sich. Unternehmen, die am Stichtag die DSGVO nicht einhalten, können von Behörden zu einer Geldbuße von 20 Millionen Euro oder in Höhe von maximal 4 Prozent des weltweit erzielten Jahresumsatzes verurteilt werden — je nachdem, welcher Betrag der höhere ist.

Unternehmen müssen jetzt handeln, um rechtzeitig zum Stichtag alle notwendigen Maßnahmen vorweisen zu können und kein übergroßes rechtliches Risiko einzugehen. Ihnen bleiben noch gut eineinhalb Jahre Zeit, zahlreiche, aufwändige Vorbereitungen zu treffen:

• Es gibt eine Dokumentationspflicht. Sie müssen genau belegen, warum Sie persönliche Daten verarbeiten, auf welche Weise Sie dies tun und wie Ihre Sicherheitsmaßnahmen aussehen.
• Ihre Kunden haben ein Recht auf transparente Informationen. Sie müssen sie deshalb auf verständliche Weise darüber informieren, wie die Daten verarbeitet und verwendet werden.
• Ihre Kunden haben zudem das Recht, ihre Daten bei Bedarf zu einem anderen Anbieter mitzunehmen.
• Die Datenschutz-Grundverordnung regelt auch, wann nicht mehr benötigte Daten zu löschen sind.
• Adressen dürfen nicht mehr ohne weiteres für Werbezwecke weitergegeben werden, hierfür ist in Zukunft eine ausdrückliche Genehmigung erforderlich.
• Datenschutzverletzungen sollten kurz nach dem Auftreten sowohl der EU als auch den betroffenen Personen gemeldet werden.
• Weitere Anforderungen des Gesetzgebers werden folgen.

EU-Datenschutz einhalten — Handeln Sie jetzt

Nach dem neuen EU-Recht ist der Datenschutzbeauftragte persönlich haftend, was einfache Pro-Forma-Lösungen ausschließen soll. Für viele Aufgaben im Datenschutz können aber wie gewohnt Dienstleister beauftragt werden.

Insgesamt handelt es sich also um spürbare Änderungen, die nicht nebenbei umgesetzt werden können. Unternehmen sollten umgehend damit beginnen, eine Bilanz all ihrer Datenschutzmaßnahmen aufzumachen und mit dem Soll-Zustand der Datenschutz-Grundverordnung zu vergleichen. Informieren Sie sich genau, welche Anforderungen auf Sie zukommen, und planen Sie eine Anpassung der Prozesse schon jetzt. Denn erfahrungsgemäß funktioniert das nicht von heute auf morgen. Analysieren Sie Ihre bestehenden Systeme möglichst genau und kalkulieren Sie Übergangsfristen sowie Abstimmungsaufwand ein. Und vor allem: Nehmen Sie die DSGVO nicht auf die leichte Schulter. Auch wenn im Alltagsgeschäft wenig Zeit und Nerv für EU-Regelungen bleibt — Datenschutz ist ein zunehmend geschäftskritisches Thema, sowohl finanzieller als auch ideologischer Natur. Dienstleister können Sie sehr wohl unterstützen — die Verantwortung abnehmen kann Ihnen leider niemand.