Und wie Sie es bändigen
Den 25. Mai 2018 behalten viele Unternehmer und Geschäftsleute in unangenehmer Erinnerung. So gut die DSGVO gemeint war, so holprig verlief ihre Einführung. Die Medien berichteten zu spät und zu wenig. Die Behörden informierten zu spät und zu wenig, und die großen IT-Konzerne setzten die Vorgaben zu spät und zu wenig um. Kein Wunder, dass am Stichtag viele, besonders kleine Selbstständige und mittelständische Firmen, kopflos und verängstigt reagierten.
Sie löschten Blogs, sperrten Websites und nahmen Online-Angebote „vorübergehend“ vom Netz. Das waren Panikreaktionen.
Viele dieser Reaktionen haben sich als übereilt herausgestellt, aber hinterher ist man immer schlauer. Andere sind auf die Nase gefallen, weil ihre Maßnahmen nicht weit genug gingen, ausgerechnet die großen IT-Konzerne.
Heute hat das Schreckgespenst einen Teil seines Schreckens verloren, und Sie können vielleicht sogar mit einem kurzen Lachen zurückblicken. Inzwischen wissen Unternehmen, wie sie mit der DSGVO umgehen und ihre Bedingungen erfüllen. Hatten Sie noch nicht die Zeit und die Nerven, sich dem Schreckgespenst DSGVO zu stellen? Dann kommen Sie mit auf einen Rundgang durch das Spukschloss.
In der Ahnenhalle: Datenschutz damals
Rund um die Berichterstattung kursierten Horrorgeschichten, die amüsant klangen, aber mit der Wirklichkeit wenig zu tun hatten. Haben Sie auch gehört, dass Fotografen und Journalisten wegen der DSGVO arbeitslos würden? Sie dürften aus Datenschutzgründen nichts und niemanden mehr fotografieren, müssten stets um Erlaubnis bitten und erklären, wozu sie die Bilder nutzen. Wer dabei an das Recht am eigenen Bild denkt, liegt richtig. Fotografische Wilderei war schon vor der DSGVO verboten. Der Gesetzgeber hat hier nur ein i-Tüpfelchen im Gesetzestext ergänzt.
Ein anderes Beispiel: Was haben Sie vor der DSGVO mit Ihren Kundendaten gemacht, also mit Adressen, Namen und vielleicht Rechnungsinformationen? Vermutlich haben Sie nicht nach Luthers Vorbild alles in Großbuchstaben ausgedruckt und an die nächste Kirchentür genagelt. Schon vor der DSGVO setzten alle voraus, dass Unternehmen gewissenhaft mit sensiblen Kundendaten umgehen. Sie sollten diese wichtigen Daten verschlüsselt und weggeschlossen aufbewahren, nicht jedem zugänglich machen und nur hervorholen, wenn sie sie für ein Geschäft brauchten.
Genau das fordert die DSGVO. Dass die Paragraphen, die halb Europa in Schockstarre versetzten, überhaupt nötig wurden, verdanken wir einigen weniger gewissenhaften Leuten.
Gleiches gilt für die Verträge Ihrer Mitarbeiter und Partner. Auch die gehören nicht an die Kirchentür, vor wie nach der DSGVO.
Im Speisesaal: Heute im Menü, Datenschutz hausgemacht
Sie fragen sich jetzt bestimmt, was sich dann geändert hat. Für all das Tohuwabohu muss es ja einen Grund gegeben haben.
Den gibt es. Die DSGVO verwandelt den wuchernden Datendschungel in einen gepflegten, ordentlichen Forst.
Vor der DSGVO durften Unternehmen so gut wie alle denkbaren Daten über so gut wie jede Person sammeln. Nachfragen mussten sie nicht, um Erlaubnis baten sie höchstens aus Höflichkeit. Davon lebte ein ganzer Geschäftszweig.
Die vier großen Pflichten: Auskunft, Korrektur, Löschung und Widerspruch
Diese vier Rechte sind die Pfeiler der DSGVO. Wenn Sie sie verstehen, beachten und umsetzen, haben Sie nichts zu befürchten.
Zuerst stellt sich die Frage, wen das betrifft. Leicht glauben Sie, die DSGVO gelte nur für Kunden. Das stimmt nicht. Gemeint sind alle: Zulieferer, Geschäftspartner, Ihre eigenen Angestellten und Endkunden. Sogar Daten, die nebenbei anfallen, müssen Sie beachten. Jede betroffene Person, über die in Ihrem Unternehmen Daten anfallen, hat Ihnen gegenüber die vier Rechte der DSGVO.
Wie erheben Sie versehentlich Daten von Dritten? Das kann Ihnen im Einzelfall nur Ihr Datenschutzbeauftragter sagen. Nehmen wir an, Sie verleihen Foto- und Videokameras. Ihre Kunden mieten Videoausrüstung für Hochzeiten oder die Abschlussfeier der Schule. Jedes Foto und jede Sekunde Film enthält Gesichter sowie Orts- und Zeitangaben, bei modernen Kameras eventuell exakte GPS-Koordinaten. Das sind personenbezogene Daten, über die sich Menschen identifizieren lassen. Kommt die Ausrüstung mit nicht gelöschtem Speicher zu Ihnen zurück, erhalten Sie Daten von Dritten und müssen sich für diese Daten verantworten.
Damit zu den vier Säulen:
Das Recht auf Auskunft
Die DSGVO macht Sie gegenüber den Betroffenen auskunftspflichtig. Welche Daten erheben Sie und warum? Wie speichern Sie sie? Was haben Sie aktuell über eine Person gespeichert?
Solange Sie mit offenen Karten spielen, kann dabei nichts schiefgehen. Je nach Größe Ihres Unternehmens bedeutet das allerdings erheblichen Mehraufwand für Ihre Kundenbetreuung. Halten Sie deshalb alle Daten zu einem Kunden an einer Stelle, damit Sie Auskunftsanfragen schnell beantworten.
Das Recht auf Korrektur
Hier wird es kniffliger. Jede Person darf verlangen, dass Sie die über sie gespeicherten Daten korrigieren. Das liegt auch in Ihrem Interesse, denn eine Rechnung an eine veraltete Adresse hilft niemandem.
Die meisten gängigen Kundenportale bieten dafür passende Möglichkeiten. Wahrscheinlich haben Sie in Ihrem Unternehmen hier schon unbewusst vorgesorgt. In Rentsoft pflegen Sie die Daten zentral in der Kundenverwaltung und können Ihren Kunden einen Zugang zum Kundenportal geben.
Recht auf Löschung und Widerspruch
Dieser Teil der DSGVO ist der schwierigste und dürfte manches Geschäftsmodell ruiniert haben. Jede Person darf verlangen, dass Sie ohne Wenn und Aber alle gespeicherten Daten löschen oder die Erhebung einstellen. Die Möglichkeit zum Widerspruch müssen Sie außerdem dauerhaft gut sichtbar anbieten.
Die einzige Einschränkung: Daten, die Sie für die Geschäftsbeziehung brauchen, sind von der Löschung ausgenommen.
Hier sind vielen Selbstständigen und Mittelständlern die Hände gebunden. Die wenigsten können sich eine eigene IT-Abteilung leisten und sind auf die Sorgfalt ihrer Softwareanbieter angewiesen. Achten Sie deshalb bei der Wahl Ihrer Software darauf, dass sie DSGVO-konform arbeitet.
Im Studierzimmer: Und dann noch der ganze Rest
Die DSGVO ist leider nicht das einzige Gesetz, mit dem Sie sich als engagierter Unternehmer herumschlagen. Dazu kommen Versicherungen, Steuern, eventuelle Meldegesetze und Auskunftspflichten sowie alles, was Ihre Auftraggeber und Kunden in die Verträge geschrieben haben. Wer auf öffentliche Aufträge schielt, „freut“ sich über einige unangenehme Klauseln.
Geschäfts- und Rechnungsdaten müssen Sie für das Finanzamt bis zu 10 Jahre aufbewahren, für den Fall der Fälle. Vermieten Sie im medizinischen Bereich, gelten unter Umständen ähnliche Fristen für Wartungsnachweise und Nutzungsregister.
Dieses Feld ist zu weitläufig, um es hier zu erkunden. Wenden Sie sich dafür an Ihre Rechtsberatung.
Im Salon: Fazit oder das Leben im Spukschloss
Haben Sie sich an das Heulen und Kettenrasseln gewöhnt, ist so ein Spukschloss eine Immobilie mit Zukunft. Auch das Schreckgespenst DSGVO verliert nach einigen Nächten seinen Biss.
Darauf kommt es an:
- Verfallen Sie nicht in Panik und vermeiden Sie Kurzschlussaktionen.
- Bestimmen Sie einen Datenschutzbeauftragten, der sich in die Feinheiten Ihres Unternehmens einarbeitet.
- Beachten Sie die vier Säulen.
- Suchen Sie technische Lösungen, die alles bieten, was Sie brauchen.
Rentsoft läuft in der Cloud. Ihre Daten liegen auf Servern von Hetzner in Deutschland. Rentsoft arbeitet DSGVO-konform, überträgt die Daten SSL- bzw. TLS-verschlüsselt und sichert sie in jedem Tarif automatisch. Weit und breit ist keine Kirchentür zu sehen. So sparen Sie sich eigene Server mit eigener Verschlüsselung und Absicherung. Nutzen Sie Rentsoft, denken Sie daran, den Dienst in Ihrer Datenschutzerklärung zu nennen.