Interview: "'Wir haben eine Website mit einer Datenschutzerklärung.' – Fall abgeschlossen"

Matthias, bitte stell dich kurz vor und erkläre uns, was du machst.

Ich bin Matthias Herrlinger von der Connexo GmbH und wir beraten und bieten umfänglichen Support für Unternehmen im Datenschutz. 

Als gewöhnliche Privatperson hat man immer im Kopf, Datenschutz bezieht sich darauf, dass man überwacht, ob Unternehmen, besonders im Onlinebereich, Unfug mit unseren Daten treiben.

Stimmt, aber es besteht auch für das Unternehmen ein erhebliches Interesse, in den Datenschutz zu investieren. Es geht weniger um die Zweckentfremdung der Daten. Vielmehr geht es darum, dass die Daten von außen nicht an- und abgegriffen werden könnten. Wenn Daten zu nicht berechtigten Dritten gelangt, liegt ein Datenschutzverstoß vor, der zu hohen Bußgeldern führen kann.

Also ist der Datenschutz für mich als Unternehmer nicht nur ein notwendiges Übel, sondern ein erstrebenswerter Schutz?

Genau. Nehmen wir als Beispiel die Datensicherung: Jedes Unternehmen führt regelmäßig Datensicherungen, im Volksmund ein Backup, durch. Gehen die Daten verloren, weil eine Festplatte beschädigt wird, dann können sie so wiederhergestellt werden. Hier ist Beratung sicherlich von Vorteil, da solch ein Datenverlust bei schlechter Vorbeugung schon mal den Ruin eines Unternehmens bedeuten kann.
Gehen wir mal nicht von Kundendaten aus, sondern von intern wichtigen Daten, z. B. Bewerbungen von Beschäftigten: Bewerberdaten müssen besonders geschützt werden, da sie sehr sensibel sind. Eine Bewerberin weist eine Behinderung auf? Solche Daten sind höchst sensible Gesundheitsdaten und gerade in Italien im Vergleich zu anderen Ländern vom Gesetz besonders geschützt.

Siehst du in der Unternehmenslandschaft einen breiten Konsens bezüglich der Wichtigkeit von Datenschutz oder besteht Nachholbedarf?

Ob Deutschland oder in Südtirol: Es besteht Nachholbedarf. Die Gesetze zum Thema sind sehr umfangreich. Gefährliches Halbwissen in den Betrieben führt dazu, dass Datenschutz unzureichend behandelt wird.

Womit wimmeln Unternehmen dich ab, die nach einem Beratungstermin trotzdem entscheiden, nicht auf externe Datenschutzbeauftragte zu setzen?

Oft bekomme ich die Antwort: „Wir haben eine Website mit einer Datenschutzerklärung.“ – Fall abgeschlossen. Das ist aber nur ein kleiner Teil davon: Kunden-, Mitarbeiter- oder Interessentendaten werden dabei nicht in Betracht gezogen.

Wer wird denn bei Problemen mit dem Datenschutz im Unternehmen überhaupt zur Rechenschaft gezogen? Datenschutzbeauftragte? Das Unternehmen? Beide?

Zu Beginn eines Datenschutzkonzeptes wird eine verantwortliche Person festgelegt. Diese Rolle fällt in der Regel jemand in der Geschäftsleitung zu. Verantwortliche haben die Aufgabe, dafür zu sorgen, dass das Unternehmen datenschutzrechtlich in Ordnung ist – und sollte es nicht so sein, dann sind sie alleinig als Person belangbar. Dabei ist es unerheblich, ob es daneben noch einen Anwalt oder interne oder externe Datenschutzbeauftragte gibt.

Also würden etwaige Bußgelder auf die Verantwortlichen als Person zurückfallen und nicht auf das Unternehmen?

Ja, das kann man so sagen. Es gibt dazu allerdings unterschiedliche Gerichtsurteile.

Welche Rolle spielen dann die Datenschutzbeauftragten?

Datenschutzbeauftragte setzen sich mit den Daten des Unternehmens und alles, was diesbezüglich anfällt, auseinander. Woher kommen die Daten? Wo werden sie gespeichert? In der Cloud oder einem lokalen Server? Werden die Daten auch über Datenträger verteilt? Und wie kann ich sie datenschutzkonform verwahren? Sind alle Informationen beisammen, sollten sie ein Verfahrensverzeichnis erstellen – das ist DIE Grundlage für die Arbeit – und als Empfehlung an die verantwortliche Person weitergeben.

Welche Voraussetzungen müssen Datenschutzbeauftragte mitbringen?

Sie dürfen nicht zur Geschäftsleitung gehören und nicht in der internen IT-Abteilung beschäftigt sein. Denn sie sollen nicht voreingenommen entscheiden. Es gibt einen risikobasiertem Ansatz im Datenschutz: Ich muss mir überlegen, wo es hinsichtlich des Verlustes oder der ungewollten Weitergabe, z. B. aufgrund eines Lecks, von Daten Probleme im System geben könnte. Arbeiten die Beauftragten in der IT, könnte es zu einem Interessenkonflikt kommen.

Hast du Fallbeispiele, um die Arbeit greifbarer zu machen?

Jedes Unternehmen hat einen Server in Betrieb, der von außen angreifbar ist. Es gibt viele Gründe, wie ein Server beschädigt und damit die Daten zerstört werden können. Eine Überlastung oder einen klassischen Hackerangriff inklusive Erpressung zum Beispiel. Abhilfe schafft hier eine unterbrechungsfreie Stromversorgung (USV). Bei einer Überspannung entstehen keine Schäden, da der Server immer mit Strom versorgt wird. Zusätzlichen Schutz bietet auch eine Firewall vor Angriffen von außen. Benötigt das Unternehmen solche Vorkehrungen, liegt es an den Datenschutzbeauftragten, diese in einem Audit zu bestimmen und in einem Verfahrensverzeichnis aufzunehmen und es dem Datenschutzverantwortlichen vorzulegen, der abwiegt, ob die Empfehlungen umgesetzt werden.

Nun bin ich Datenschutzverantwortlicher eines Unternehmens. Mein Datenschutzbeauftragter hat seine Arbeit nicht gut gemacht und es kommt zur Anzeige. Obwohl mich keine direkte Schuld trifft, werde trotzdem ich belangt?

Genau. Datenschutzbeauftragte sind dazu da, die Situation rund um den Datenschutz zu evaluieren, ein jährliches, internes Audit durchzuführen und Empfehlungen abzugeben. Ob diese Empfehlungen in die Tat umgesetzt werden, hängt letztlich am Datenschutzverantwortlichen. Daher ist der Datenschutzverantwortliche belangbar. Falls die Mängel auf die Datenschutzbeauftragten zurückfallen, muss dann intern entschieden werden, was passiert.

Datenschutzbeauftragte werden oft intern bestimmt, können aber auch extern dazu geholt werden. Unter welchen Umständen empfiehlt sich eher das eine als das andere?

Es ist natürlich möglich, einen Datenschutzbeauftragten intern anzustellen. Aber stellt es sich oft als wirtschaftlicher heraus, eine externe Person zu bestimmen, so wie ich es bin. 

Warum wäre das wirtschaftlicher?

Interne Datenschutzbeauftragte müssen sich diese umfangreiche Materie erst aneignen. Sie müssen Schulungen besuchen und für die Ausübung der Rolle freigestellt werden, um weisungsfrei arbeiten zu können. Das heißt, sie müssen in dieser Funktion neutral arbeiten und dürfen sich nicht als Angestellte des Unternehmens betrachten. Außerdem muss im Fall eines Ausscheidens des aktuellen Datenschutzbeauftragten die neue Person noch einmal die Schulung besuchen und sich einarbeiten. In größeren Betrieben, in denen das Geld nicht fehlt, ist ein interner Vollzeit-Datenschutzbeauftragter durchaus üblich und zuweilen aufgrund der Datenmenge auch notwendig. In kleineren bis mittelständigen Unternehmen bieten sich externe Beauftragte an.

Als Webagentur ist neben dem internen Datenschutz auch der Datenschutz unserer Kunden wichtig. Weisen wir Kunden darauf hin, dass etwas nicht datenschutzkonform ist und dies geändert werden müsste, dann kommt oft die Antwort: „Lass‘ sein, das kontrolliert ohnehin niemand.“ – kläre uns auf: Wer kontrolliert das überhaupt?

Jedes Land hat seine eigene Datenschutzbehörde, in Italien ist der Garante per la protezione dei dati personali zuständig.

Und die kommen ins Haus und kontrollieren den Datenschutz?

Genau. Es gibt eine ansatzlose Überprüfung: Da kommt die Behörde – natürlich angekündigt – vorbei und kontrolliert, ob z. B. der Newsletter datenschutzkonform verwaltet wird. Dann gibt es eine Verdachtsprüfung. Da muss ein Verdacht von Dritten vorliegen, die vermuten, dass in einem Unternehmen der Datenschutz nicht passt und dies der Behörde meldet. So kommt es meistens zu Kontrollen.

Die fiktive Muster GmbH hält nicht viel von Datenschutz und hat gerade einmal einen Datenschutzbeauftragten bestimmt – weil man das halt so macht. Ansonsten ist Datenschutz kein sonderlich großes Thema. Welche Daten könnten der Muster GmbH bei einer ansatzlosen Kontrolle zum Verhängnis werden?

Es gibt z. B. Mitarbeiter-, Interessenten- und Kundendaten. Diese Daten könnten versehentlich an Dritte weitergegeben worden sein: Manchmal passiert es, dass eine E-Mail an mehrere Empfänger geschickt wird, die Empfänger aber im CC stehen statt in der Blindkopie (=BCC). Jetzt können alle Empfänger nachlesen, wer sonst noch diese E-Mail erhalten hat. Sind da personenbezogene Adressen dabei, z. B. maxmustermann_at_mustergmbh.com, dann handelt es sich dabei um einen Datenschutzverstoß. Aber es gibt unzählige Dinge, die einfach passieren können und gleichzeitig einen Verstoß darstellen.

In unserem Vorgespräch hast du gesagt, dass ich Kundendaten in dem Moment löschen muss, sobald ein Kunde nicht mehr Kunde ist. In Italien gibt es aber das Gesetz, dass ich gewisse Daten bis zu zehn Jahre verwahren muss. Wo wird hier die Grenze gezogen?

Es gibt zum einen Gesetze, dass Buchhaltungsbelege aufbewahrt werden müssen, um bei Kontrollen nachweisen zu können, dass richtig abgerechnet wurde. Diese Daten darf man nicht löschen. Zum anderen gibt es Daten etwa im Customer-Relation-Management-System (CRM); diese Daten müssen gelöscht oder anonymisiert werden, falls der Kunde nicht mehr Kunde ist, da die Zweckbindung nicht mehr vorliegt – die Customer Relation besteht nicht mehr.

Jetzt hat unsere Muster GmbH so ziemlich alles falsch gemacht, was man im Datenschutz falsch machen könnte. Mit welchen Strafen muss sie rechnen?

Das ist schwierig zu beantworten. Als Basis dient in erster Linie ein Bußgeldkatalog, bei dem unterschiedliche Vergehen jeweils mit einem Betrag X geahndet werden. Es kann aber auch sein, dass Prüfer feststellen, dass es sich nur um eine Nachlässigkeit handelt. Eigentlich passt alles: Die Belegschaft wurde geschult, die entsprechenden Rollen wurden ordnungsgemäß verteilt, aber durch eine Nachlässigkeit liegt ein kleiner Verstoß vor. In diesem Fall kann die Muster GmbH mit einer Verwarnung davonkommen. Die Kontrollbehörde verfasst dazu einen Bericht, wo sie den Mangel beschreibt. Dieser Mangel muss innerhalb vier Wochen behoben werden und darf nicht wiederholt werden. Der Bericht der Behörde muss von der Muster GmbH dann mindestens sechs Jahre aufbewahrt und dem internen Datenschutzkonzept beigelegt werden. Besser wäre sicherlich, wenn der Datenschutzbeauftragte in seinem jährlichen Bericht an den Datenschutzverantwortlichen diese Mängel feststellt und deren Beseitigung einleitet.

Wir haben das Thema nur ein wenig angekratzt und dennoch habe ich mittlerweile das Gefühl, dass es nicht sehr ratsam für ein Unternehmen ist, einfach irgendjemand als Datenschutzbeauftragten abzustellen.

An die Fähigkeiten der Datenschutzbeauftragten werden hohe Ansprüche gestellt – diese Rolle setzt eine hohe Qualifikation voraus. Da reicht nicht nur ein Crashkurs, sondern er muss auf Augenhöhe mit der IT arbeiten können. Sie müssen sich mit Netzwerken, Datensicherungskonzepten, Server, verschlüsseltem Abspeichern und vielem mehr auskennen. Das Rechtliche dahinter ist nur die halbe Miete.

Nun ist das Gesetz – besonders in Italien – eine sehr dynamische Angelegenheit. Gesetze ändern sich ständig. Wir haben mit der Datenschutzgrundverordnung (DSGVO) einen EU-weiten rechtlichen Rahmen bezüglich Datenschutzes, von dem die Staaten dann ihre jeweiligen Gesetze ableiten müssen.

Es sind ergänzende Gesetze: Grundsätzlich gilt die DSGVO für alle. Jedes Land hat aber das Recht, über eine Ausstiegsklausel ergänzende Gesetze zu verabschieden. Ein Beispiel: In Großbritannien wurde schon vor dem Brexit die Videoüberwachung wesentlich laxer behandelt als in anderen Ländern; in Deutschland etwa gibt es sehr strenge Auflagen bei der Videoüberwachung im öffentlichen Bereich, während in London an jeder Straßenecke eine Kamera hängt. Diese ergänzenden Gesetze dürfen sich halt nicht mit der DSGVO beißen. Aber manchmal sind gewisse Normen – auch innerhalb der DSGVO – überholt und müssen angepasst werden. Und gerade heutzutage ändert sich mit dem stetigen technologischen Fortschritt ständig etwas. Daher müssen sich Datenschutzbeauftragte ständig mit der Materie auseinandersetzen und sich weiterbilden.

Kommen wir nun zu Datenschutz aus der Perspektive von Privatpersonen. Der gemeine Italiener kennt ein Problem besonders: Telemarketing von den unterschiedlichen Telefonanbietern, die gerne zu Unzeiten anrufen. Woher bekommen diese die Daten? Ist das überhaupt legal?

Das ist eine schwierige Frage. Tatsächlich könnte dies im Rahmen einer vertraglichen Vereinbarung so einmal aktiv bestätigt worden sein. Und wenn das Unternehmen, bei dem diese Vereinbarung eingegangen wurde, einen Vertrag mit einem anderen Unternehmen zum Datenaustausch bei vorliegender Bestätigung hat, dann kann es die Daten weitergeben. Mit diesen Daten kann sogar gehandelt werden.

Gut, ich habe den Vertrag einfach überflogen und meine Unterschrift daruntergesetzt. Wäre es aber nicht angebracht, dass man bei der Weitergabe von so persönlichen Daten wie der Telefonnummer explizit danach gefragt wird?

Es bedarf wirklich einer aktiven Einwilligung. Meistens musst du dafür ein Feld ankreuzen – also es wird schon explizit danach gefragt. Die Weitergabe der Daten darf nicht einfach im Fließtext eingefügt werden.