Ist mein Unternehmen DSGVO-konform?
Welche Punkte sind nach dem Stichtag 25. Mai 2018 zu beachten? Wie können Sie als Website-Verantwortlicher das Projekt DSGVO so weiterführen, dass Sie auf der sicheren Seite sind?
Natürlich müssen wir nicht alle DSGVO-Experten werden, aber alle, die ein Geschäft betreiben, das auch online Kunden zieht, dürfen die Datenschutz-Regeln nicht einfach ignorieren – zumal sich einige Rechtsanwalts-Kanzleien auf die Abmahnspur eingestellt haben, wie Heise und e-Recht24 berichteten:
Zwar ist der Stichtag 25. Mai schon vorbei, aber DSGVO-Konformität ist kein Projekt, das einen Endpunkt hat: DSGVO ist ein fortlaufendes Projekt, das parallel zu Ihrem Geschäft läuft.
Kleiner Exkurs: Falls Sie jemand abmahnt, behalten Sie erst einmal die Ruhe. Machen Sie Ihre Website DSGVO-konform, aber lassen Sie sich nicht drängen, irgendwelche Abmahnrechnungen zu bezahlen. So lange Sie die Nerven behalten, wird auch nichts passieren. Wenn Sie unsicher sind, nehmen Sie sich einen Anwalt. Aber auf keinen Fall sollten Sie etwas bezahlen! Diese Abzock-Kanzleien drohen nur, scheuen aber das Licht des Gerichts, weil sie da vermutlich keine Chance haben.
Grün = vertrauenswürdige Seite
Zurück zur DSGVO: Einige Schritte sind zu beachten. Sie haben Ihre Website SSL-verschlüsselt. Die Datenschutzerklärung ist auf den ersten Blick und Klick zu finden. Ihre Kontaktformulare und E-Mail-Newsletter sind DSGVO-konform eingerichtet. Beim Besuch Ihrer Website wird der Besucher informiert, dass die Website Cookies verwendet.
Super! Nun geht es weiter:
1. Prüfen Sie die DSGVO-Konformität
Einige Punkte sollten Sie überprüfen:
Datenzuordnung
Wie werden die Daten in Ihrer Organisation verarbeitet? Dokumentieren Sie den Verarbeitungsprozess, um zu demonstrieren, dass alle Daten DSGVO-konform behandelt werden.
Sie erstellen eine Excel-Datei, in der die einzelnen Punkte, an denen personenbezogene Daten erfasst werden, dargestellt sind. In der Überschriftenzeile schreiben Sie die Fragen auf, die es zu beantworten gilt, und dann jeweils in einer Zeile darunter die Antwort.
Beispiel:
- Was ist die Quelle? -> Kontaktformular
- Welche Daten werden erfasst? -> Name, Vorname, eMail, Telefonnummer
- Grund? -> Kontaktaufnahme, Terminabsprache, …
- Erfassung? -> WordPress Datenbank
- Löschung? -> Nach Projektende, Standardmäßig nach 30 Tagen, …
- usw.
Selbst den Datenfluss zu dokumentieren, hilft Ihnen herauszufinden, an welchen Stellen Probleme mit der DSGVO entstehen könnten.
Datenschutzerklärung DSE
Prüfen Sie Ihre Datenschutzerklärung und machen Sie gegebenenfalls ein Update. Die Datenschutzerklärung ist die erste Stelle, an der Anwender nachschauen, ob ihre Daten bei Ihnen sicher sind. Sie müssen bekanntmachen, warum Sie die Daten erfassen, wer Zugriff darauf hat, in welchen Abständen sie gelöscht werden, wie Anwender sich beschweren können, wenn sie mit der Erfassung nicht einverstanden sind, ob ihre Daten zu automatischen Anzeigen genutzt werden und welches Recht die Anwender auf Löschen haben. Die betroffenen Personen können jederzeit Informationen über die erfassten Daten verlangen.
WICHTIG! Alle Informationen müssen konkret, einfach und in klarer Sprache übermittelt werden.
Denken Sie daran, dass die erfassten Personen sich einverstanden erklären sollen, neben Informationen auch Angebote von Ihnen zu erhalten. Wenn Sie gelegentlich über Last-Minute-Angebote oder Workshops, eBooks etc. per eMail informieren, sollte das von Beginn an in der DSE stehen.
Training
Haben Ihre Mitarbeiterinnen und Mitarbeiter verstanden, worum es bei der DSGVO geht? Sind sie sensibilisiert und in die Grundlagen der Datenschutzverordnung eingewiesen? Wissen sie, wie wichtig die sind und welche Schritte sie beachten sollten?
2. Die weiteren Schritte zur DSGVO-Konformität
Installieren Sie regelmäßige Überprüfungen: Systematische Audits der Datenverarbeitungsprozesse und Datensicherheitskontrollen.
Marktbeobachtung
Weil die DSGVO wirklich Neuland für alle ist und selbst Datenschutzberater noch keinen wirklichen Plan haben, welche Folgen sie haben könnte, sollten Sie beobachten, was die anderen machen. Checken Sie die Mitbewerber, was sie ändern, und lernen Sie von den Besten.
Datenschutzverstöße
Installieren Sie Verfahren, die interne und externe Datenschutzverletzungen aufdecken, erfassen und untersuchen. Das sollte einfach und leicht verständlich passieren: Schwere der Verletzung, Anzahl der Datensätze, Typen personenbezogener Daten etc.
WICHTIG! Wenn die personenbezogenen Daten nicht anonymisiert oder verschlüsselt sind, müssen Sie eine Datenschutzverletzung innerhalb von 72 Stunden der zuständigen Datenschutzbehörde melden!
Prozessverfolgung
Wie oben erwähnt, handelt es sich bei der DSGVO-Konformität nicht um ein einmaliges, abgeschlossenes Projekt. Sie müssen kontinuierlich überprüfen, ob Ihre Verfahren alle Rechte der Personen berücksichtigen, wie Sie Daten löschen oder in ein gebräuchliches elektronisches Format übertragen können.
3. Website-Anpassung
Haben Sie Ihre Formulare angepasst und Cookie-Zustimmung implementiert? Wenn ja, sollten damit 80 % der Anforderungen erfüllt sein.
Opt-in-Formulare
Sind wirklich alle Formulare auf der Website auf Opt-In umgestellt? Das bedeutet, jemand muss sich aktiv eintragen und zustimmen, dass er einen Newsletter, eine Information, eine Mail, einen Brief, ein eBook oder was auch immer erhalten möchte.
Cookie-Zustimmung
Die Besucher Ihrer Website müssen über Cookies informiert werden, bevor andere als die unbedingt notwendigen Cookies gesetzt werden. Sicher brauchen Sie funktionale Cookies, damit die Website überhaupt läuft, aber Sie müssen darüber informieren und um Zustimmung bitten, dass auch Cookies eingesetzt werden, die Besuche erfassen und die Daten ader Besucher uswerten.
4. Weitere DSGVO-Aspekte
Einige weitere Aspekte werden hier der Vollständigkeit halber kurz erwähnt:
- Datenübertragung und Weitergabe
- Datenschutz-Folgeabschätzung
- Berechtigtes Interesse an Datenerfassung
- Datenschutz-Verantwortlicher im Unternehmen
- Datenschutz für Kinder unter 16
5. Überwachung und Überprüfung
Das Gesetz erfasst die Transparenz der Daten und ihre Verarbeitung. Jede Organisation – auch gemeinnützige Organisationen und öffentliche Institutionen – müssen genau darlegen, welche Daten sie wie, warum und wie lange erfassen.
Außerdem sollten Sie nur die Daten erfassen, die für den Service, den Sie anbieten, notwendig sind und nachweisen, dass die Daten nicht weitergegeben werden. Die Daten müssen geschützt sein, so dass sie nicht gestohlen werden können. Sie müssen auf dem neuesten Stand sein und gelöscht werden, wenn sie nicht mehr benötigt werden.
Ausblick
Die allgemeine Datenschutzverordnung lässt viel Raum für Verbesserungen, wenn es um den Schutz von Personen geht. Aus diesem Grund wird die künftige Datenschutz-Verordnung vor allem bei Big Data für noch mehr Transparenz sorgen und das Auftreten und den Zweck von Analysen beleuchten. Dies sollte ein Grund genug für Sie sein, Ihre Datenerfassung regelmäßig zu überwachen und zu prüfen.
Es gibt mehrere Ebenen der DSGVO-Einhaltung, und Sie sollten anhand der Faktoren, die hier aufgeführt sind, und vieler weiterer Falktoren entscheiden, welche auf Ihr Business passt. Die hier aufgeführten Schritte sind jedoch ein guter Anfang, um Sie in die richtige Richtung zur Einhaltung der DSGVO zu bringen. Natürlich müssen wir alle als Unternehmen auf dem Markt wettbewerbsfähig bleiben, folglich wird es einige Kompromisse geben.
Das könnte Sie auch interessieren
- Machen Sie Ihre Website DSGVO-tauglich!
- Achtung: Die ersten DSGVO-Abmahnungen sind da
- DSGVO: Die Abmahn-Maschinerie ist angelaufen