Berliner Wirtschaft 3/2017

NEUE UNTERNEHMEN & MÄRKTE

BERLINER WIRTSCHAFT 03/17

LINK ZUR GRÜNDERSZENE

Der ungekürzte Text ist zu

finden unter:

www.gruenderszene.de

Bedarf es einer Datenschutzerklärung?

Eine Pflicht zur Datenschutzerklärung

besteht nach der DS-GVO nicht. Aller-

dings besteht die Pflicht nach deutschem

Recht, das neben der Verordnung an-

wendbar bleibt. Bestehende Datenschutz-

erklärungen sollten angepasst werden.

Müssen Datenverarbeitungsverzeich-

nisse geführt werden?

Diemeisten Unternehmen sind verpflich-

tet, umfangreiche Verzeichnisse zur Da-

tenverarbeitung zu führen. Dies gilt für

Unternehmen ab 250 Mitarbeitern un-

eingeschränkt, sowie bei spezieller Da-

tenverarbeitung, beispielsweise Gesund-

heitsdaten, unabhängig von der Größe.

Auchwenn ein Start-up nochwenig Mit-

arbeiter hat, empfiehlt sich mit Blick auf

die Zukunft, alle Verarbeitungsvorgänge

schon jetzt aufzulisten. Dies erspart spä-

ter eine Menge Arbeit, wenn keiner mehr

einen Überblick über alle verwendeten

Systeme hat.

Muss ein Datenschutzbeauftragter

ernannt werden?

Ein Datenschutzbeauftragter muss insbe-

sondere ernannt werden, wenn dieVerar-

beitungsvorgänge eine umfangreiche und

regelmäßige systematische Überwachung

der Betroffenen erforderlichmachen oder

imUnternehmen beispielsweise Gesund-

heitsdaten umfangreich verarbeitet wer-

den. Der Datenschutzbeauftragte kann

ein Mitarbeiter oder ein externer Berater

sein. Mit einem externen Berater muss

ein Dienstleistungsvertrag geschlossen

werden.

Der Datenschutzbeauftrage muss

Fachwissen im Datenschutzrecht besit-

zen. Seine Aufgaben schließen die Bera-

tung des Unternehmens im Datenschutz,

die Überwachung der Einhaltung des Da-

tenschutzes und die Zusammenarbeit mit

der Aufsichtsbehörde ein. Bei Verstößen

drohen auch hier Geldbußen bis zu zehn

Mio. Euro oder zwei Prozent desweltwei-

ten Jahresumsatzes.

Was ist bei der Auftragsdatenverarbei-

tung zu beachten?

Auftragsverarbeitung bedeutet, dass bei-

spielsweise Daten durch einen Service-

Provider verarbeitet werden. Dies ist ins-

besondere beim Auslagern der Buchhal-

tung der Fall. Die DS-GVO schreibt vor,

dass der Verantwortliche und der Auf-

tragsverarbeiter einen Vertrag abschlie-

ßen, der spezielle Punkte regeln muss,

unter anderem dass die Verarbeitung nur

auf dokumentierte Weisung erfolgt, be-

stimmte Sicherheitsmaßnahmen einge-

halten und alle befugten Personen des

Auftragsverarbeiters zu Vertraulichkeit

verpflichtet werden. Bei einem Verstoß

können Geldbußen bis zu zehn Mio. Eu-

ro oder zwei Prozent des weltweiten Jah-

resumsatzes gegen denVerantwortlichen

und – das ist neu – auch gegen Auftrags-

verarbeiter verhängt werden. Bestehende

Service Provider-Verträge müssen nach-

verhandelt werden.

Fazit: Was ändert sich mit der DS-GVO?

•

Bei Verstößen drohen hohe Geldbußen.

•

Betroffene einer Datenverarbeitung

müssen umfassend informiert werden.

•

Die Rechte des Betroffenenwerden aus-

geweitet, zum Beispiel kann er die Über-

tragung der Daten an einen anderen Ver-

antwortlichen fordern.

•

Bei derVerarbeitung von Datenvon Kin-

dern (unter 16 Jahren) ist zusätzlich zur

Einwilligung des Kindes die Zustimmung

der Eltern nötig.

Wer Compliance-Risiken vermeiden

will, sollte jetzt anfangen, dieAnforderun-

gen der DS-GVO umzusetzen. Diese Risi-

ken können sich wertmindernd auswir-

ken oder sogar Dealbreaker sein.

‹

Ein Beitrag von Christina Schattauer, Rechts-

anwältin im Bereich IP und IT bei Squire Patton

Boggs (US) LLP

FOTO: XGETTY IMAGES/PETER CADE

Beim Umgang mit

personenbezogenen

Daten von EU-

Bürgern lauern teure

Stolperfallen