Datenschutz Grundverordnung

Europäisch: GDPR – General Data Protection Regulation – klingt irgendwie netter.

Vom Sportverein bis zum Großkonzern herrscht angesichts der anstehenden Änderung der gesetzlichen Anforderungen derzeit vor allem eins: Verunsicherung.

Die übliche Internet – Gelassenheit fehlt, zu frisch noch die Erinnerung an die Abmahnwelle schmieriger Anwaltskanzleien deren Geschäftsmodell auf fehlenden Telefonnummern im Impressum argloser Bürger des #neuland fußte.

Die DSGVO bringt nun sogar Bußgelder in Millionenhöhe mit – und sorgt mit der Keule statt Verständnis für die notwendige Aufmerksamkeit in der Tagespresse und auch bei uns.

Somit leben wir in einer goldenen Zeit für Datenschutzexperten, Berater, Professoren und Unternehmensberatungen die sich auf den Verleih externer Datenschutzbeauftragter spezialisiert haben.

Was ist dran – an der Aufregung?

Level 1 – Formelle Maßnahmen zum Stichtag (25.05.2018)

Ähnlich der 2001 erweiterten und strafbewehrten Impressumspflicht ist die größte Angriffsfläche für Abmahner auch im Falle der DSGVO die Website der Unternehmen.

Um auch ab Mai 2018 ruhig schlafen zu können, sollte man sich als Website-Betreiber zumindest der im Kapitel 3 Artikel 12 und nachfolgend der DSGVO beschriebenen Anforderungen an die „Datenschutzhinweise“ angenommen und diese soweit zutreffend umgesetzt haben (sehr wohl ein „Consulting Satz“).

Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen (…) die sich auf die Verarbeitung beziehen, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; dies gilt insbesondere für Informationen, die sich speziell an Kinder richten.
Die Übermittlung der Informationen erfolgt schriftlich oder in anderer Form, gegebenenfalls auch elektronisch. Falls von der betroffenen Person verlangt, kann die Information mündlich erteilt werden, sofern die Identität der betroffenen Person in anderer Form nachgewiesen wurde.
(Quelle: http://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679&from=DE)

Ein formeller Akt in Textform, in dem das Unternehmen beschreibt zu welchem Zweck und in welchem Umfang es personenbezogene Daten erhebt, speichert und verarbeitet. Beispiele und Vorlagen liefert das Netz.

Eine sehr detaillierte und offenbar auf das Angebot des Anbieters zugeschnittene Datenschutzerklärung kann man sich hier anschauen.

Mit Copy & Paste ist es zukünftig nicht mehr getan – man sollte sich also schon mit seinen Systemen, Serverkomponenten, verlinkten Fremdangeboten und Formularen beschäftigen um ein vollständiges, transparentes Bild gemäß der DSGVO abzuliefern.

Level 2 – Architektur zur rechtskonformen Datenverarbeitung

Die grundsätzlichen Überlegungen die der Gesetzgeber mit der DSGVO anregt sind ja nicht verkehrt:

1. Zustimmung zur Datenspeicherung

Das Unternehmen ist verpflichtet zu protokollieren wie die Person der Speicherung und Nutzung seiner Daten zugestimmt hat.

2. Recht auf Widerspruch

Die betroffene Person hat das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung sie betreffender personenbezogener Daten (…) Widerspruch einzulegen.

3. Recht auf Auskunft

Die betroffene Person hat das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden.

4. Recht auf Vergessenwerden (Löschung)

Die betroffene Person hat das Recht, von dem Verantwortlichen zu verlangen, dass sie betreffende personenbezogene Daten unverzüglich gelöscht werden – sofern dieses Begehren nicht anderen egsetzlichen Bestimmungen zuwiderläuft (Aufbewahrungsfristen u.ä.)

5. Recht auf Datenübertragbarkeit

Die betroffene Person hat das Recht, die sie betreffenden personenbezogenen Daten, die sie einem Verantwortlichen bereitgestellt hat, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.

CRM – Prozessgestaltung um die Kundendaten

Diese gesammelten Anforderungen werden durch gut implementierte CRM-Systeme bereits vorgegeben und umgesetzt.

E-Mail Anmeldungen via Double Opt-In zur Protokollierung der eindeutigen Zustimmung, Buchungsvorgänge mit Pflicht-Checkbox zur Kenntnisnahme der Datenschutzbestimmungen sind keine Neuheiten.

Abmelde-Links im Footer von E-Mails und Support-Adressen zur schnellen De-Registrierung kennen unsere CRM-Anwender als Pflichtbestandteil Ihrer Anwendungen.

Portale die es den Kunden ermöglichen, sich einzuloggen und Ihre Stamm-  und Bewegungsdaten zu überprüfen, ggf. zu korrigieren bringen CRM-Systeme als Standard-Modul mit und ermöglichen einen selbstbestimmten Umgang der Kunden mit ihren Daten.

Auch die Übertragbarkeit wird an dieser Stelle gewährleistet, ob als CSV oder XML Export – offene Formate helfen dabei, die eigenen Daten nicht nur zu erhalten sondern auch tatsächlich weiter verwenden zu können.

Reden ist schon gut, sollen Taten folgen, stehen wir Ihnen selbstverständlich zur Verfügung.

https://jakota.de/competence/process-design.html