Die Risiken
1. Nicht- oder Scheinbestellung
Die Nicht- oder Scheinbestellung eines DSBs wird gem. §43 BDSG mit einem Bußgeld von bis zu 25.000 Euro geahndet. Eine Scheinbestellung liegt dann vor, wenn der bestellte DSB nicht über die notwendige Fachkunde verfügt oder ein Interessenkonflikt vorliegt (er z.B. der DV-Leiter ist)
2. Fahrlässiger Verstoß gegen §43 II BDSG
Bereits ein fahrlässiger Verstoß gegen §43 II BDSG (z.B. wer unbefugt personenbezogene Daten, die nicht allgemein zugänglich sind, erhebt oder verarbeitet) wird mit einer Geldbuße bis zu 250.000 Euro geahndet.
3. Vorsätzlicher Verstoß gegen §43 II BDSG mit Bereicherungsabsicht
Erfolgt ein Verstoß gegen §43 II BDSG vorsätzlich und mit einer Bereicherungsabsicht oder der Absicht einen anderen zu schädigen, so droht zusätzlich zum Bußgeld (bis zu 250.000 Euro) gem. §44 BDSG eine Freiheitsstrafe von bis zu zwei Jahren.
Die vorgenannten Risiken treffen unmittelbar und persönlich den Geschäftsführer durch die Haftung aus §43 GmbHG. Vor dieser persönlichen Haftung wird ihn seine D&O-Police (Directors and Officers-Versicherung) nicht bewahren, denn ein Gesetzesverstoß gilt als grob fahrlässig. In diesem Fall fällt es dem Geschäftsführer sehr schwer den geforderten Nachweis dafür zu erbringen, dass er in seinen Entscheidungen stets die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters praktiziert hat.
Warum haben so wenige Firmen ein gesetzeskonformes Verhalten?
Sehr viele kleine und mittelständige Unternehmen haben eine Fülle von gesetzlichen Auflagen zu erfüllen. Hierzu gehört auch der Datenschutz. Die Umsetzung des Bundesdatenschutzgesetzes erfolgt durch die Bundesländer. Allerdings statten viele Länder die Aufsichtsbehörde mit sehr wenig Personal aus, so dass der Umsetzungsdruck durch die mehr als seltenen Kontrollen fast nicht existent ist. Kommt es aber zu einer Kontrolle kann es zu einem bösen Erwachen mit den oben dargestellten Risiken führen.
Was ist zu tun? - Ihr Weg zum professionellen Datenschutz!
Um das anspruchsvolle Thema Datenschutz im Unternehmen gesetzeskonform umzusetzen und die Risiken aus potentiellen Gesetzesverstößen zu vermeiden, ist die richtige Vorgehensweise entscheidend.
Die folgenden Punkte zeigen beispielhaft diesen Weg auf:
- Der erste Schritt ist eine Aufwandsanalyse durch einen externen Berater. Ziel der Aufwandsanalyse ist es, den individuellen und häufig sehr unterschiedlichen Bedarf und Aufwand für den Bereich Datenschutz des Unternehmens zu ermitteln und zu dokumentieren.
- Der nächste Schritt ist die Entscheidung: Wird diese Aufgabe ein externer oder ein interner Datenschutzbeauftragte umsetzen?
- Anschließend erfolgt die schriftliche Bestellung des internen oder externen Datenschutzbeauftragten (DSB).
- Der letzte Schritt ist die Umsetzung und Abarbeitung der priorisierten Aufgabenliste durch den bestellten DSB, die aus der Aufwandsanalyse vorliegt.
Diese Vorgehensweise hat sich bewährt, da sie sowohl für Unternehmen geeignet ist, die einen eigenen DSB schon bestellt haben, als auch für die, die sich mit dem Thema erst jetzt notgedrungen beschäftigen.
Man kann allen Verantwortliche nur raten: "Handeln Sie jetzt, bevor die Aufsichtsbehörde Ihnen vorschreibt, wie Sie den Datenschutz in Ihrem Unternehmen umzusetzen haben!" (Karl-Uwe Lüllemann/mf)
1. Ist ein Datenschutzbeauftragter (DSB) -intern oder extern - schriftlich bestellt?
2. Hat der DSB eine Ausbildung erhalten und hat somit die notwendige Fachkunde erworben?
3. Muss sich der DSB in seiner Nebentätigkeit als DSB in seiner Haupttätigkeit (z.B. als IT-Leiter) selbst kontrollieren?
4. Wenn personenbezogene Daten erhoben werden, erfolgt dies immer auf Grundlage eines Gesetztes oder der schriftlichen freien Einwilligung des Betroffenen?
5. Haben Sie ein Verfahrensverzeichnis erstellt?
6. Haben Sie dies Ihrem DSB oder der zuständigen Aufsichtsbehörde übergeben?
Bewertung: Wenn eine der ersten drei Fragen mit "nein" beantwortet wurde, dann wird die Aufsichtsbehörde bei einer Kontrolle ein Bußgeld von bis zu 25.000 Euro verhängen. Wird die vierte bis sechste Frage mit "nein" beantwortet so droht ein Bußgeld bis zu 250.000 Euro.
Wer muss einen Datenschutzbeauftragten bestellen?
Das Bundesdatenschutzgesetz gilt gem. §1 Abs. 2 Nr. 3 BDSG für alle nicht öffentlichen Stellen hierunter fallen juristische Personen (AGs, GmbHs, Vereine etc), Personengesellschaften (GBRs etc.), aber auch
nicht rechtsfähige Vereinigungen (Gewerkschaften etc.) sowie natürliche Personen (Ärzte, Architekten, Rechtsanwälte etc.), soweit sie personenbezogene Daten unter Einsatz von Datenverarbeitungsanlagen (d.h. automatisiert) verarbeiten, nutzen oder erheben. Solche Stellen haben nach §4f BDSG einen Beauftragten für den Datenschutz zu bestellen, wenn mind. 10 Personen mit der automatisierten Verarbeitung personenbezogener Daten ständig beschäftigt sind.
Was sind personenbezogene Daten?
Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse, also Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen oder die sich auf eine Person zurückführen lassen. Darunter fällt z.B. Ihr Name, Ihre Anschrift, Ihre Telefonnummer oder aber auch Ihre E-Mail-Adresse. Das Speichern von personenbezogenen Daten ist grundsätzlich verboten, es sei denn der Gesetzgeber sieht es ausdrücklich vor oder der Betroffene hat sein ausdrückliches Einverständnis erklärt.
Weitergehende Informationen zu diesem Thema finden Sie unter: www.dsba.de www.datenschutz.de www.bfd.bund.de
Uwe Lüllemann, zertifizierter Datenschutzbeauftragter, Systemhaus KRICK GmbH & Co KG. Weitere Informationen zum Thema und Kontakt: www.dsba.de, E-Mail: info@dsba.de
