DSGVO-Compliance und kleine Unternehmen

Nein, sind sie nicht. Die DSGVO gilt immer dann, wenn ein Unternehmen personenbezogene Daten von einer Person erfasst, die sich in der EU befindet. Das gilt, egal ob Sie allein arbeiten oder Büros auf sechs Kontinenten haben.

Sie müssen zwar keine schriftliche Aufzeichnung Ihrer Datenverarbeitungsaktivitäten führen, wenn Sie weniger als 250 Mitarbeitende haben, außer wenn:

• Ihre Datenverarbeitungsaktivitäten die Rechte und Freiheiten von Personen beeinträchtigen könnten

• Sie verarbeiten Daten, die unter Artikel 9 der DSGVO fallen. Das sind Daten, die Folgendes über eine Person offenlegen:
  • ethnische Herkunft oder ethnische Zugehörigkeit
  • politische, religiöse oder weltanschauliche Überzeugungen
  • Gewerkschaftszugehörigkeit
  • Genetische oder biometrische Daten oder Daten zur Gesundheit oder Sexualität der Person

• Sie personenbezogene Daten verarbeiten, die unter Artikel 10 fallen, also Daten zu Straftaten und Verurteilungen

• Sie verarbeiten personenbezogene Daten regelmäßig

Viele kleine Unternehmen und Einzelunternehmer fallen nicht unter die ersten drei Ausnahmen.

Aber was ist mit dem vierten Punkt? Die Belgian Privacy Commission (belgische Datenschutzkommission) hat darauf hingewiesen, dass nicht jede Datenverarbeitung als „regulär“ gilt, auch wenn Sie diese möglicherweise täglich durchführen. Nach dieser Auslegung müssen Sie zum Beispiel keine Aufzeichnungen über personenbezogene Daten führen, die Sie für Bestellungen oder die Kommunikation mit Kundinnen und Kunden verwenden. Ein Positionspapier der Article 29 Working Party – dem Vorgänger des Europäischen Datenschutzausschusses – scheint jedoch darauf hinzudeuten, dass Sie „regelmäßig“ wörtlich auslegen sollten. Und der Europäische Datenschutzausschuss stimmt zu. Weil die Lage so unklar ist, ist es eine gute Idee, Aufzeichnungen zu führen, auch wenn Sie glauben, dass Sie ausgenommen sind. Vorsicht ist besser als Nachsicht.

Ja. Die DSGVO gilt für US-Unternehmen, wenn sie:

• Geschäfte in der EU machen

• Sie machen keine Geschäfte in der EU, erfassen oder verfolgen aber personenbezogene Daten von Personen, die sich physisch in der EU befinden (dazu gehören auch Personen, die in der EU reisen, dort aber normalerweise nicht leben). Das geschieht vielleicht, ohne dass Sie es überhaupt bemerken. Wenn z. B. die Cookies Ihrer Website verwendet werden können, eine Person identifizieren können, zählen sie als personenbezogene Daten im Rahmen der DSGVO.

Wenn Sie weiterhin Geschäfte in der EU machen wollen, müssen Sie die DSGVO einhalten. Oder Sie riskieren ein hohes Bußgeld. Wenn Sie nicht in der EU geschäftlich tätig sind, haben Sie zwei Möglichkeiten:

• Halten Sie sich trotzdem an die DSGVO

• Beschränken Sie den Zugriff auf Ihre Website, damit keine personenbezogenen Daten von Personen in der EU erfasst werden können

Als die DSGVO erstmals in Kraft trat, schalteten viele US-Websites EU-Nutzende aus, um nicht gegen die DSGVO zu verstoßen. So waren beispielsweise seit August 2018 mehr als 1.1 US-Newswebsites in der EU nicht zugänglich. Einige Verlage haben sich entschieden, sich dauerhaft aus der EU zurückzuziehen. Charles Arms, Sprecher von Lee Enterprises, sagte: „Der Internetverkehr auf unseren lokalen Nachrichtenseiten aus der EU und dem EWR ist de minimis, und wir sind der Meinung, dass eine Sperrung dieses Datenverkehrs im besten Interesse unserer lokalen Medienkundschaft ist.“ Allerdings haben viele US-Websites inzwischen ohne Probleme wieder den Betrieb in der EU aufgenommen. Und auch Ihre Website für kleine Unternehmen kann in der EU verfügbar sein, ohne dass es zu Problemen kommt. Damit kommen wir zum nächsten Punkt.

Ihr kleines Unternehmen auf den Weg zur DSGVO-Konformität zu bringen, ist nicht so schwierig, wie Sie vielleicht denken. Hier ist eine Checkliste zur DSGVO-Konformität, mit der Sie starten können.

1. Welche personenbezogenen Daten erfassen Sie?

Sie sollten wissen, welche personenbezogenen Daten Sie erfassen und ob davon Daten sensibel sind, also unter die Kategorien in Artikel 9 und 10 der DSGVO fallen. Stellen Sie sich auch diese Fragen:

• Woher stammen die Informationen?

• Warum erfassen Sie sie?

• Was machen Sie damit?

Sie müssen diese Fragen beantworten können, wenn Sie dazu aufgefordert werden.

2. Haben Sie eine Einwilligung?

Sofern keine rechtmäßige Grundlage für die Verwendung personenbezogener Daten vorliegt, müssen Betroffene zustimmen. Diese muss:

• freiwillig erteilt sein

• konkret sein

• informiert sein

• eindeutig sein

Sie müssen einen schriftlichen Nachweis der Einwilligung aufbewahren. Außerdem muss der Widerruf der Einwilligung schnell und einfach möglich sein. DSGVO-konforme CRM-Software können hier helfen. Insbesondere kann sie:

• die Namen von Personen sowie die personenbezogenen Daten, die Sie über sie gespeichert haben, schriftlich festhalten

• ihre Einwilligung protokollieren und dabei genau angeben, wozu Sie die Nutzung ihrer Daten genehmigt haben (beispielsweise zum Erhalt Ihres monatlichen Newsletters)

• sie ermöglicht den Nutzern, ihre Einwilligung auf einfache Weise zu widerrufen, sollten sie ihre Meinung ändern (beispielsweise durch Ein-Klick-Skripte zum „Abmelden“).

3. Sind die Daten sicher?

Ihr Unternehmen ist für die personenbezogenen Daten verantwortlich, die Sie erfassen. Und Sie riskieren eine Geldstrafe, wenn diese in falsche Hände geraten. So,

• verwenden Sie Verschlüsselungssoftware, wenn Sie personenbezogene Daten online speichern oder übertragen

• sichern Sie Ihr Netzwerk. Nachlässige Mitarbeitende sind die häufigste Ursache für Datenschutzverletzungen, daher ist eine solide IT-Richtlinie unverzichtbar. Sie sollten außerdem in Sicherheitssoftware investieren, einschließlich einer Firewall

• Erstellen Sie DSGVO-konforme Hinweise zu Cookies und Datenschutzrichtlinien. Diese Beispiele für Cookievorlagen und Vorlagenbeispiele für Datenschutzrichtlinien, hilfreich sein können. Sie können sich auch Microsofts Trust Center ansehen, um mehr über die bewährten Methoden der DSGVO zu erfahren.

• Überprüfen Sie Ihre Lieferanten auf DSGVO-Compliance

4. Was ist bei einem schwerwiegenden Verstoß?

Sie müssen schwerwiegende Verstöße innerhalb von 72 Stunden an die Aufsichtsbehörde melden, sonst riskieren Sie eine Geldstrafe. Stellen Sie sicher, dass Meldeverfahren vorhanden sind. Und, noch wichtiger: Schulen Sie Ihre Mitarbeitenden darin,

• sich bewusst zu sein

• zu verstehen, was ein schwerwiegender Verstoß ist

• Warnsignale zu erkennen

Welche Auswirkungen hatte die DSGVO bisher auf kleine Unternehmen?

Es führt kein Weg daran vorbei. Die Einhaltung der DSGVO ist zeitaufwendig und teuer. Im Vorfeld des 25. Mai 2018 haben kleine Unternehmen in Großbritannien pro Unternehmen rund 600 Stunden mit der Vorbereitung auf die DSGVO verbracht. Ganz zu schweigen von den finanziellen Kosten. Weltweit haben kleine und mittelständische Unternehmen 1,3 Millionen USD für die DSGVO-Konformität ausgegeben. Ebenso kann die Nichteinhaltung Ihrer Gewinnmarge einen schmerzhaften Dämpfer verpassen. Im allerersten DSGVO-Fall wurde ein deutsches soziales Netzwerk zu einer Geldstrafe von 20.000 Euro (etwa 22.600 USD) verurteilt, weil es die personenbezogenen Daten der Nutzenden nach einem Hackerdiebstahl von 330.000 E-Mail-Adressen und Passwörtern nicht ausreichend geschützt hatte. Auch wenn Sie es vielleicht als Belastung sehen, hatte die DSGVO-Konformität auch positive Auswirkungen auf kleine Unternehmen. Dies sind die Gründe: Verbraucherinnen und Verbraucher haben ihre Privatsphäre noch nie so ernst genommen. Und sie erwarten von Unternehmen, mit denen sie ihre Daten teilen, dass diese genauso denken. In einer aktuellen Studie gaben 69 % der US-Verbraucherinnen und -Verbraucher sogar an, dass sie sich ein Gesetz ähnlich der DSGVO auch in den USA wünschen. Noch wichtiger: Eine Studie des CMO Council hat ergeben, dass Mitglieder, die auf die DSGVO vorbereitet waren, mehr Interaktion, mehr Loyalität und ein größeres Vertrauen von Verbrauchern verzeichnen konnten. Offensichtlich ist die DSGVO mehr als nur eine Reihe von Regeln, die Sie befolgen müssen, um keine Geldstrafe zu riskieren. Niemand findet es gut, wenn private Informationen ohne Zustimmung verwendet werden. Oder wenn sie an einem Ort gespeichert werden, an dem Kriminelle Zugriff darauf bekommen könnten. Wenn Sie also Schritte unternehmen, um die DSGVO-Konformität zu erreichen, können Sie Ihr kleines Unternehmen als eines positionieren, dem die privaten Daten seiner Kundschaft wirklich wichtig sind. Dies könnte Ihnen den Vorsprung vor Ihrem Wettbewerb verschaffen.