DSGVO im Unternehmen umsetzen: Praxis-Anleitung

## Was die DSGVO für Ihr Unternehmen konkret bedeutet Die Datenschutz-Grundverordnung ist seit Mai 2018 geltendes Recht und betrifft ausnahmslos jedes Unternehmen, das personenbezogene Daten verarbeitet. Dabei spielt es keine Rolle, ob Sie ein Einzelunternehmer mit einer kleinen Kundendatenbank sind oder einen mittelständischen Betrieb mit mehreren hundert Mitarbeitern führen. Die Verordnung verlangt, dass Sie nachweisen können, wie Sie mit personenbezogenen Daten umgehen, welche Schutzmaßnahmen Sie ergriffen haben und auf welcher Rechtsgrundlage die jeweilige Verarbeitung erfolgt. Wer diese Anforderungen ignoriert, riskiert empfindliche Bußgelder von bis zu zwanzig Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes. Die praktische Umsetzung beginnt nicht mit Technik, sondern mit Verständnis. Sie müssen zunächst erfassen, welche Daten in Ihrem Unternehmen überhaupt fließen. Dazu gehören offensichtliche Bereiche wie Kundendaten und Personalakten, aber auch weniger beachtete Felder wie IP-Adressen auf Ihrer Website, Bewerbungsunterlagen, Lieferantenkontakte oder die Videoüberwachung auf dem Firmengelände. Erst wenn Sie einen vollständigen Überblick haben, können Sie die weiteren Schritte sinnvoll planen. ## Das Verarbeitungsverzeichnis als Fundament Das Verzeichnis der Verarbeitungstätigkeiten ist das zentrale Dokument Ihrer DSGVO-Compliance. Artikel 30 der Verordnung schreibt vor, dass Sie für jede Verarbeitungstätigkeit bestimmte Informationen dokumentieren müssen. Dazu zählen der Zweck der Verarbeitung, die Kategorien betroffener Personen und Daten, die Empfänger, an die Daten weitergegeben werden, geplante Löschfristen sowie eine allgemeine Beschreibung der technischen und organisatorischen Schutzmaßnahmen. In der Praxis empfiehlt es sich, dieses Verzeichnis nicht als einmalige Pflichtübung zu betrachten, sondern als lebendiges Dokument. Beginnen Sie damit, jeden Geschäftsprozess zu identifizieren, in dem personenbezogene Daten eine Rolle spielen. Für eine typische GmbH mit zwanzig Mitarbeitern kommen schnell dreißig bis fünfzig einzelne Verarbeitungstätigkeiten zusammen. Die Lohnbuchhaltung verarbeitet Mitarbeiterdaten, das CRM-System speichert Kundenkontakte, die Website setzt Cookies, der Newsletter-Dienst verwaltet E-Mail-Adressen, und die Zeiterfassung protokolliert Arbeitszeiten. Für jede dieser Tätigkeiten dokumentieren Sie die Rechtsgrundlage. In den meisten Fällen stützen Sie sich auf die Vertragserfüllung nach Artikel 6 Absatz 1 Buchstabe b, auf berechtigte Interessen nach Buchstabe f oder auf eine ausdrückliche Einwilligung nach Buchstabe a. Die Rechtsgrundlage bestimmt auch, welche Informationspflichten Sie gegenüber den Betroffenen haben und unter welchen Umständen die Verarbeitung beendet werden muss. ## Technische und organisatorische Maßnahmen Die DSGVO verlangt in Artikel 32, dass Sie ein dem Risiko angemessenes Schutzniveau gewährleisten. Welche Maßnahmen konkret erforderlich sind, hängt von der Art der verarbeiteten Daten ab. Gesundheitsdaten oder Finanzdaten erfordern strengere Schutzmaßnahmen als allgemeine Geschäftskontakte. Zu den technischen Maßnahmen gehört zunächst die Verschlüsselung. E-Mails mit personenbezogenen Daten sollten transportverschlüsselt versendet werden. Festplatten und mobile Datenträger sollten vollverschlüsselt sein, damit bei Verlust eines Laptops kein meldepflichtiger Vorfall entsteht. Datenbanken mit sensiblen Informationen sollten zusätzlich auf Feldebene verschlüsselt werden, wenn dies technisch verhältnismäßig ist. Das Berechtigungskonzept ist eine weitere zentrale Maßnahme. Nicht jeder Mitarbeiter benötigt Zugriff auf alle Daten. Implementieren Sie das Prinzip der minimalen Rechte, bei dem jeder Nutzer nur auf diejenigen Daten zugreifen kann, die er für seine tägliche Arbeit tatsächlich benötigt. Regelmäßige Überprüfungen der Zugriffsrechte, mindestens halbjährlich, stellen sicher, dass ehemalige Mitarbeiter oder Abteilungswechsler keinen unnötigen Zugang mehr haben. Backup-Strategien müssen ebenfalls datenschutzkonform gestaltet werden. Bedenken Sie, dass ein Löschungsanspruch auch bedeutet, dass Daten aus Backups entfernt werden müssen, sobald die Aufbewahrungsfrist abgelaufen ist. Dokumentieren Sie daher Ihre Backup-Zyklen und Löschroutinen sorgfältig. ## Mitarbeiter als entscheidender Faktor Die beste technische Infrastruktur nützt wenig, wenn Ihre Mitarbeiter nicht wissen, wie sie damit umgehen sollen. Datenschutzschulungen sind keine einmalige Veranstaltung, sondern ein fortlaufender Prozess. Neue Mitarbeiter sollten bereits in der ersten Arbeitswoche eine Grundschulung erhalten, die ihnen die wichtigsten Prinzipien vermittelt. Dazu gehört das Verständnis, was personenbezogene Daten überhaupt sind, warum Datenschutz wichtig ist und welche konkreten Verhaltensregeln im Arbeitsalltag gelten. Darüber hinaus empfehlen sich jährliche Auffrischungsschulungen, die aktuelle Entwicklungen aufgreifen. Phishing-Angriffe werden immer raffinierter, u