Neues Datenschutzrecht tritt in Kraft – jetzt handeln!
Worum geht es? Der Gesetzgeber bezweckt mit dem neuen Datenschutzrecht einen deutlich ausgeweiteten Schutz für personenbezogene Daten. Das sind solche Angaben, die sich auf eine Person beziehen, also z.B. der Name und die Anschrift, das Geburtsdatum, aber auch E-Mail-Adressen, IP-Adressen oder Personenfotos. Um den Schutz personenbezogener Daten zu verbessern, sieht das kommende Datenschutzrecht eine Reihe neuer bzw. erweiterter Pflichten vor und droht zugleich im Falle eines Pflichtverstoßes mit Bußgeldern von bis zu 20 Mio. EUR bzw. 4 Prozent des weltweiten Umsatzes. Welche Pflichten sind zu beachten? Unternehmen, die eine Internetpräsenz betreiben, müssen künftig eine deutlich erweiterte Datenschutzerklärung vorhalten. In der Erklärung ist darüber zu informieren, welche Daten beim Besuch der Internetseite erhoben werden (z.B. IP-Adressen) und was mit diesen Daten geschieht. Wer auf seiner Webpräsenz beispielsweise Google Maps oder eingebundene YouTube-Videos einsetzt, muss ausdrücklich erläutern, welche Besucherdaten an Google weitergeleitet werden. Wer es darauf anlegt, kann fehlerhafte Datenschutzerklärungen im Internet verhältnismäßig leicht identifizieren. Es ist sehr wahrscheinlich, dass mit dem neuen Datenschutzrecht auch eine Welle von Abmahnungen einsetzt, mit denen Verstöße gerade im Bereich der Datenschutzerklärung von Internetseiten kostenpflichtig gerügt werden. Mitarbeiter sensibilisieren Besondere Aufmerksamkeit sollten Unternehmen auch darauf verwenden, ihre Mitarbeiter sorgfältig zu datenschutzrechtlichen Fragen zu schulen. Denn eine Umsetzung des betrieblich vorgeschriebenen Datenschutzes kann nur gelingen, wenn alle Mitarbeiter mitziehen. Dies betrifft z.B. den Versand von E-Mails oder Newslettern, Auskünfte am Telefon, aber auch den Umgang mit USB-Sticks, Firmenlaptops oder Geschäftshandys. Pflicht zur Benennung eines Datenschutzbeauftragten Künftig müssen Unternehmen grundsätzlich einen Datenschutzbeauftragten benennen, wenn mindestens 10 Mitarbeiter regelmäßig mit der Verarbeitung von personenbezogenen Daten betraut sind. Auch geringfügig oder in Teilzeit beschäftigte Personen zählen dabei jeweils voll. Da schon der regelmäßige Empfang und Versand von E-Mails sowie die Auftragserfassung eine solche Datenverarbeitung umfassen, besteht bei den meisten Unternehmen mit mindestens 10 Mitarbeitern eine Pflicht zur Benennung eines Datenschutzbeauftragten. Dieses Amt kann von einem externen oder einem betriebsinternen Datenschutzbeauftragten ausgeübt werden. Geschäftsführer oder Leiter der IT-Abteilung scheiden hingegen aus, da ansonsten die Kontrollfunktion des Datenschutzbeauftragten nicht gewahrt wäre. Da der Datenschutzbeauftragte ein sehr weitgehendes Einsichtsrecht in die personenbezogenen Daten (und damit z.B. auch in Gehaltsabrechnungen) hat, scheidet in vielen Unternehmen auch die Benennung eines Mitarbeiters aus – zumal die Möglichkeiten, diesen Mitarbeiter zu kündigen, sehr stark eingeschränkt sind. Was ist zu tun? Wer empfindliche Bußgelder, teure Abmahnungen und Rechtsstreitigkeiten vermeiden will, sollte jetzt handeln und den Datenschutz im Betrieb zur Chefsache machen. Insbesondere ist die Datenschutzerklärung für die Homepage zu aktualisieren, die Mitarbeiter sind zu schulen, und ggf. ist ein interner oder externer Datenschutzbeauftragter zu benennen. Wer nicht alleine durch den Dschungel des Datenschutzrechts wandern will, sollte sich schnell anwaltlichen Rat holen.
