DSGVO für Unternehmer: Datenschutz richtig umsetzen

## Warum die DSGVO jedes Unternehmen betrifft Die Datenschutz-Grundverordnung gilt seit Mai 2018 und betrifft ausnahmslos jedes Unternehmen, das personenbezogene Daten verarbeitet — und das bedeutet in der Praxis: jedes Unternehmen. Sobald Sie eine E-Mail-Adresse speichern, eine Kundenliste führen, Mitarbeiterdaten verwalten, eine Website mit Kontaktformular betreiben oder auch nur IP-Adressen in Server-Logs erfassen, verarbeiten Sie personenbezogene Daten im Sinne der DSGVO. Verstösse können mit Bußgeldern bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes geahndet werden — wobei Aufsichtsbehörden bei kleinen Unternehmen in der Regel mit Verwarnungen und niedrigen Bußgeldern beginnen, aber bei wiederholten oder vorsätzlichen Verstössen deutlich eskalieren. Die DSGVO ist kein reines Formalitätenwerk, sondern schützt ein grundlegendes Recht natürlicher Personen: das Recht auf informationelle Selbstbestimmung. Jeder Mensch soll wissen, welche Daten über ihn gespeichert werden, zu welchem Zweck, und soll die Kontrolle darüber behalten. Für Sie als Unternehmer bedeutet das: Sie müssen transparent kommunizieren, sparsam mit Daten umgehen und technisch-organisatorische Maßnahmen ergreifen, um die Daten Ihrer Kunden und Mitarbeiter zu schützen. ## Die Grundprinzipien Die DSGVO basiert auf sechs Grundprinzipien, die jede Datenverarbeitung erfüllen muss. Rechtmäßigkeit bedeutet, dass Sie für jede Verarbeitung eine Rechtsgrundlage benötigen — entweder eine Einwilligung des Betroffenen, die Erfüllung eines Vertrags, eine rechtliche Verpflichtung, ein berechtigtes Interesse, den Schutz lebenswichtiger Interessen oder die Wahrnehmung einer öffentlichen Aufgabe. Zweckbindung bedeutet, dass Sie Daten nur für den Zweck verwenden dürfen, für den sie erhoben wurden — eine E-Mail-Adresse, die jemand für eine Bestellung angegeben hat, dürfen Sie nicht ohne Weiteres für Marketing-Newsletter nutzen. Datenminimierung verlangt, dass Sie nur die Daten erheben, die Sie tatsächlich für den definierten Zweck benötigen — nicht auf Vorrat, nicht "weil man es vielleicht irgendwann braucht". Richtigkeit bedeutet die Pflicht, Daten aktüll zu halten und falsche Daten zu berichtigen. Speicherbegrenzung bedeutet, dass Daten gelöscht werden müssen, sobald der Zweck entfällt. Und Integrität und Vertraulichkeit verpflichtet Sie zu angemessenen technischen und organisatorischen Schutzmaßnahmen. ## Pflichten für Ihr Unternehmen Die Datenschutzerklärung auf Ihrer Website ist die sichtbarste Pflicht: Sie müssen Besucher transparent darüber informieren, welche Daten Sie erheben (Analytics, Cookies, Kontaktformulare), zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange Sie die Daten speichern, und welche Rechte die Betroffenen haben. Diese Erklärung muss von jeder Seite Ihrer Website mit maximal zwei Klicks erreichbar sein und in verständlicher Sprache verfasst sein. Ein Verzeichnis von Verarbeitungstätigkeiten müssen Sie führen, sobald die Datenverarbeitung nicht nur gelegentlich erfolgt — was bei jedem laufenden Geschäftsbetrieb der Fall ist. Dieses Verzeichnis dokumentiert intern alle Kategorien personenbezogener Daten, die Sie verarbeiten, den jeweiligen Zweck, die Rechtsgrundlage, Empfänger der Daten, Löschfristen und die ergriffenen Schutzmaßnahmen. Es muss nicht veröffentlicht werden, aber auf Anfrage der Aufsichtsbehörde vorgelegt werden können. ## Auftragsverarbeitung und Drittanbieter Sobald Sie externe Dienstleister einsetzen, die in Ihrem Auftrag personenbezogene Daten verarbeiten — und das betrifft nahezu jeden Cloud-Dienst, jedes Newsletter-Tool, jeden Hosting-Anbieter — benötigen Sie einen Auftragsverarbeitungsvertrag (AV-Vertrag) mit diesem Dienstleister. Dieser Vertrag regelt, was der Dienstleister mit den Daten tun darf, welche Sicherheitsmaßnahmen er ergreifen muss und welche Rechte Sie als Verantwortlicher haben. Die meisten gängigen SaaS-Anbieter (Mailchimp, Google, Microsoft, Slack, Hubspot) bieten standardmäßige AV-Verträge zum Download an, die Sie nur noch unterzeichnen müssen. Prüfen Sie bei jedem neuen Tool, das Sie einführen, ob ein AV-Vertrag vorliegt und ob der Anbieter seine Server in der EU oder in einem Drittland (insbesondere USA) betreibt — für Datentransfers in Drittländer gelten zusätzliche Anforderungen. ## Betroffenenrechte und Datenpannen Jede Person, deren Daten Sie verarbeiten, hat umfangreiche Rechte: Auskunft (welche Daten speichern Sie über mich?), Berichtigung (falsche Daten korrigieren), Löschung (Recht auf Vergessenwerden), Einschränkung der Verarbeitung, Datenübertragbarkeit (Daten in maschinenlesbarem Format erhalten) und Widerspruch gegen die Verarbeitung. Sie müssen auf solche Anfragen innerhalb eines Monats reagieren — richten Sie einen internen Prozess ein, der sicherstellt, dass Anfragen rechtzeitig bearbeitet werden. Bei einer Datenpanne (unbefugter Zugriff auf personenbezogene Daten, versehentliche Veröffentlichung, Verlust eines unverschlüsselten Laptops) müssen Sie di