DSGVO für kleine Betriebe, die realistische Fassung

Dieser Beitrag erklärt Begriffe und übliche Abläufe. Er ist keine Rechtsberatung. Für verbindliche Aussagen zu Ihrem Fall fragen Sie bitte eine Anwältin oder einen Anwalt.

Datenschutz wird in kleinen Betrieben oft entweder überschätzt oder ignoriert. Beides kostet unnötig: das eine Nerven, das andere im Zweifel Geld.

Der Kern in drei Sätzen

Personenbezogene Daten sind alle Angaben, über die sich eine Person bestimmen lässt. Wer solche Daten verarbeitet, braucht dafür eine Rechtsgrundlage, darf nur so viel verarbeiten, wie für den Zweck nötig ist, und muss darlegen können, dass er sich daran hält.

Der dritte Punkt ist der, der Arbeit macht: Es reicht nicht, sich korrekt zu verhalten. Man muss es zeigen können.

Was fast jeder Betrieb braucht

• Verzeichnis von Verarbeitungstätigkeiten. Eine Liste, welche Daten wozu verarbeitet werden, wie lange sie bleiben und wer sie bekommt. Für kleine Betriebe eine überschaubare Tabelle, aber sie muss existieren.
• Datenschutzerklärung, die zur tatsächlichen Website passt. Eine Erklärung, die Dienste nennt, die nicht laufen, ist genauso falsch wie eine, die vorhandene verschweigt.
• Auftragsverarbeitungsverträge mit allen Dienstleistern, die in Ihrem Auftrag mit personenbezogenen Daten umgehen: Hoster, Newsletter-Anbieter, Terminbuchung, oft auch die IT-Betreuung.
• Ein Weg für Betroffenenanfragen. Wer Auskunft oder Löschung verlangt, hat Anspruch auf eine Antwort in klarer Frist. Es sollte vorher feststehen, wer das bearbeitet.
• Löschkonzept. Daten dürfen nicht unbegrenzt bleiben. Aufbewahrungspflichten aus anderen Gesetzen gehen vor, beides muss zusammenpassen.

Auftragsverarbeitung, kurz erklärt

Wenn ein Dienstleister Daten nach Ihren Weisungen verarbeitet, bleiben Sie verantwortlich. Er ist Auftragsverarbeiter, und dafür braucht es einen Vertrag mit festgelegtem Inhalt: Zweck, Dauer, Art der Daten, technische Maßnahmen, Umgang mit Unterauftragnehmern.

Nicht jeder Dienstleister ist Auftragsverarbeiter. Eine Steuerberatung etwa verarbeitet nach eigenen gesetzlichen Pflichten und ist eigenständig verantwortlich.

Einwilligung ist nicht der Normalfall

Ein verbreitetes Missverständnis: Für alles brauche es eine Einwilligung. Tatsächlich ist sie nur eine von mehreren Rechtsgrundlagen, und die unpraktischste, weil sie freiwillig sein muss und jederzeit widerrufen werden kann.

Für die Abwicklung eines Vertrags braucht es keine Einwilligung. Für nicht notwendige Cookies und Tracking hingegen schon, und zwar vorher.

Wo die Fehler stecken

• Der Cookie-Banner setzt Cookies, bevor geklickt wurde. Häufig, weil ein Skript nicht wirklich blockiert ist.
• "Ablehnen" ist versteckt. Ablehnen muss genauso einfach sein wie zustimmen.
• Die Erklärung ist eine Vorlage geblieben. Platzhalter oder Dienste, die gar nicht eingesetzt werden.
• Zugriffe sind nicht begrenzt. Alle Mitarbeitenden sehen alles, weil es einfacher ist.
• Altdaten bleiben liegen. Bewerbungen von 2019, Datensätze aus einem eingestellten System.
• Kein Verzeichnis. Der häufigste Befund überhaupt.

Sinnvolle Reihenfolge

1. Verzeichnis anlegen, Sie brauchen ohnehin den Überblick.
2. Verträge mit Dienstleistern zusammentragen, fehlende nachfordern.
3. Datenschutzerklärung mit der Realität abgleichen.
4. Cookie-Banner technisch prüfen: Passiert wirklich nichts vor der Zustimmung?
5. Löschfristen festlegen und Altdaten aufräumen.
6. Zuständigkeit für Anfragen benennen.

Das ist an einem gut vorbereiteten Tag machbar und deckt den Großteil dessen ab, was in der Praxis auffällt.