DSGVO kompakt in zehn Punkten
– Sind Sie im Bilde, was die EU-DSGVO betrifft? Wissen Sie, welche Maßnahmen zu ergreifen sind, damit personenbezogene Daten im Marketing, im Vertrieb und im Personalwesen richtig verarbeitet und verwendet werden? (Anm.: Der Blogpost erschien erstmalig am 1.3.2018 auf Smarkeding.)
Das Sammeln von personenbezogenen Daten …
… ist einem genauen Regelwerk unterworfen.
6. Die Betroffenenrechte werden gestärkt!
Für uns User, Nutzer, Konsumenten und Arbeitnehmer ist die DSGVO erstmal ein Schritt in die richtige Richtung: Wir können erfahren, wer welche Daten von uns gespeichert hat – und mehr als bisher entscheiden, was damit passieren soll. Es ist zumindest ein Versuch, den großen Datensammlern zu verdeutlichen, dass die Menschen selbst über ihre Daten verfügen können.
- Recht auf Auskunft
- Recht auf Berichtigung
- Recht auf Löschung
- Recht auf Einschränkung der Verarbeitung
- Recht auf Datenübertragbarkeit
- Mitteilungspflicht des Verantwortlichen an alle Empfänger
- Recht auf Widerspruch
- Regelungen betreffend automatisierte Generierung von Einzelentscheidungen einschließlich des sogenannten "Profiling"
Generell gilt, dass der Verantwortliche geeignete Maßnahmen treffen muss, um der betroffenen Person alle Informationen und alle Mitteilungen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln, und das alles in angemessener Frist (längstens ein Monat). Genauere Ausführungen dazu auf der Website der WKO.
7. Pflichten für Verantwortliche und Auftragsverarbeiter
Das positive vorab: die DSGVO kennt keine Pflicht zur Registrierung bei der Datenschutzbehörde mehr, die DVR-Nummer ist bald hinfällig. Die Verarbeitung personenbezogener Daten muss stattdessen sehr umfangreich und genau dokumentiert werden. Das dient auch dazu, im Bedarfsfall die Betroffenenrechte (s.o.) schnell und umfassend wahren zu können. Und wie schon im DSG 2000 ist auch der Auftragsverarbeiter (die Werbeagentur, der Webhost) verpflichtet, diesen Informationspflichten nachzukommen. Das sind grob die Pflichten:
- Verzeichnis der Verarbeitungstätigkeiten
- Auftragsdatenverarbeitungsverträge (bei Outsourcing)Meldung von Datenschutzverletzung
- Datenschutz-Folgenabschätzung
- Vorherige Konsultation der Aufsichtsbehörde (bei vorhersehbar hohem Risiko der Datenverarbeitung)
- Verpflichtender Datenschutzbeauftragter (bei gewissen Voraussetzungen)
8. Was muss ein Verzeichnis der Verarbeitungstätigkeiten enthalten?
Neben den Grundangaben zum Unternehmen (des Verantwortlichen) müssen die Bezeichnung der Verarbeitungstätigkeit (z.B. Newsletterversand), Datenkategorien (etwa Kundenstammdaten und Nutzungsverhalten), die betroffene Person (also Kunden, Interessenten, Websitebesucher usw.), Zwecke (Adressierung der Ansprache, Nachweis wirksamer Einwilligung), Rechtsgrundlage, Datenquelle, Information der Betroffenen, Empfänger, Löschung, Schutzmaßnahmen (technische und organisatorische Maßnahmen) genannt und ausgeführt werden.
9. Was bedeutet die DSGVO für das Marketing?
Um Daten gesetzeskonform laut DSGVO verarbeiten zu können, steht Marketingabteilungen und Werbeagenturen noch viel Arbeit bevor. Wir im Marketing sind kreativ und finden immer Wege, unsere Kunden bestmöglich zu erreichen. Dass die Rechte von Betroffenen gestärkt werden, kann – neben verschiedenen Einschränkungen oder erhöhtem Aufwand – aber auch neue Chancen eröffnen. Und zwar, indem wir den Kunden unserer Produkte und Dienstleistungen, den Nutzern unserer Websites und Apps auf Augenhöhe gegenübertreten.
- Der Außenauftritt ist entsprechend anzupassen (Website, Datenschutz-Erklärung).
- "Profiling" wird schwieriger. Das betrifft in erster Linie Google, Facebook, Amazon usw., hat dadurch aber Auswirkungen auf Maßnahmen wie Retargeting, Machine Learning oder Zielgruppenrecherche.
- Das Sammeln – und auch der Zukauf – von personenbezogenen Daten ist weiterhin möglich, die Daten können aber nicht mehr so ohne weiteres für alle anderen Zwecke verarbeitet oder verkauft werden. Beispiel: das Gewinnspiel mittels Postkarte, Coupon oder der beliebten "Autosammelbox".
- Eine Weiterverarbeitung von Daten zu einem anderen Zweck (z.B. für die Zusendung des Newsletters) ist nur zulässig, wenn es mit dem ursprünglichen Zweck vereinbar, oder eine Einwilligung des Betroffenen vorhanden ist.
- Biometrische Daten wie Fingerabdruck, Stimme, Iris oder Gesichtsstruktur unterliegen einem besonderen Schutz. Die Identifikation von Personen, etwa für die Entsperrung elektronischer Geräte mittels Fingerprintsensor oder Gesichtsscan, aber auch die Kommunikation mit Geräten wie Amazon Echo oder Google Home ist daher neu zu bewerten.
- Gesundheitsdaten sind ebenfalls als sehr sensibel einzustufen. Die Frage, was mit Daten passiert, die mittels Fitnesstracker, Smartwatches und Gesundheitsapps ermittelt – und verarbeitet – werden, ist besonders spannend. Wie gehen Versicherungen, Krankenkassen und Arbeitgeber mit solchen Daten um?
10. Was sind die wichtigsten Schritte?
Wenn nicht schon geschehen, ist zuerst ein Datenschutz-Projektleiter festzulegen. Der wird die nächsten Wochen sehr viel zu tun haben, unter anderem:
- Daten aufspüren, kategorisieren, Zweck der Verarbeitung festlegen
- Verarbeitungsvorgänge definieren
- Verzeichnis der Verarbeitungsvorgänge anlegen
- Außenauftritt überarbeiten
- Verträge aktualisieren (z.B. Dienstvertrag)
- Informationspflichten vorbereiten (siehe "Betroffenenrechte")
- Mitarbeiter schulen
Für alle, die genauere Informationen benötigen, hat die WKO alle wichtigen Begriffe, Grundsätze und Regeln zusammengestellt. Und in diesem Quiz der DGQ kannst du dein Wissen testen.
Wie weit bist du bereits mit den Vorbereitungen auf die DSGVO? Gibt es noch weitere Fragen dazu? Welche Meinung hast du zum Umgang mit Daten in der EU? Ich freu mich auf deinen Kommentar!
Fotos: stock.adobe.com / Dada Lin, Pixabay (2)