2019 - das Jahr der DSGVO-Kontrollen

Seit Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) der EU im Mai vergangenen Jahres gelten strengere Regeln für den Umgang mit personenbezogenen Daten. Die Beschwerden über Datenschutzverstöße bei den Länderbehörden sind sprunghaft gestiegen, ebenso wie die Zahl der gemeldeten Datenpannen. "Diese haben sich im Jahr 2018 mehr als verzehnfacht", sagt Stefan Brink, der baden-württembergische Landesbeauftragte für Datenschutz und Informationsfreiheit. Das neue, EU-weit geltende Datenschutzrecht verpflichtet Unternehmen, Datenpannen wie Hackerangriffe oder im Bahnabteil vergessene Notebooks binnen 72 Stunden bei der zuständigen Aufsichtsbehörde zu melden. Sind sensible Daten im Spiel, müssen auch die Betroffenen informiert werden. Viele Unternehmen hinken trotz der zweijährigen Übergangsfrist beim Datenschutz hinterher. "Jedes Dritte setzt weiter auf Lücke", kritisiert Brink. "Nachbesserungsbedarf sehen wir insbesondere im Bereich der IT-Sicherheit." Die Zahl der Beschwerden hat sich allein in Baden-Württemberg nach seiner Aussage gegenüber dem Jahr 2017 um 30 Prozent erhöht, die Anzahl der gemeldeten Datenpannen im Jahr 2018 mit 774 mehr als verzehnfacht. Jedem Hinweis gehen die Aufsichtsbehörden der Länder nach. Bundesweit verhängten sie seit Inkrafttreten der DSGVO in über 70 Fällen Bußgelder in Höhe von insgesamt rund 450.000 Euro. Bisher fielen die vereinzelten Strafen moderat aus. Meist liegen sie im Durchschnitt bei einigen hundert bis 2000 Euro. Nur bei groben Verstößen wurde es teurer. Ein Großteil der Bundesländer begnügte sich bisher mit Verwarnungen. Länder wollen strenger kontrollieren Doch das soll sich ändern. In Niedersachsen läuft die erste branchenübergreifende Prüfung bei 50 Unternehmen. Zwar liegen noch nicht alle Ergebnisse vor, doch wurden bereits Mängel beim technischen Datenschutz und der Datenschutz-Folgeabschätzung festgestellt. Auch Bayern kontrolliert verstärkt. "Wir prüfen, ob Betriebe die organisatorischen Voraussetzungen geschaffen haben, um ihren Rechenschaftspflichten nachzukommen zu können", sagt Thomas Kranig, Präsident des Bayerischen Landesamts für Datenschutzaufsicht. Er schaut sich die Dokumentation genauer an - Stichwort: Verzeichnis der Verarbeitungstätigkeiten. Brink kündigt 250 Kontrollen für dieses Jahr in Baden-Württemberg an. Im Fokus stehen unter anderem Videoüberwachungen, im Fahrzeug generierte Daten sowie das Überprüfen von Webseiten, ob diese Daten an Dritte weitergeben werden. Betreiber, die dies ohne das ausdrückliche Einverständnis des Kunden tun, verstoßen gegen DSGVO-Vorschriften. "Solche Verstöße werden sanktioniert und Bußgelder verhängt - unabhängig von der Unternehmensgröße", betont sein bayerischer Kollege Kranig. Auch hinsichtlich des Einsatzes von WhatsApp im beruflichen Umfeld hat er große Datenschutzbedenken. Wie gut die Transport- und Logistikunternehmen beim Datenschutz aufgestellt sind, hängt maßgeblich von ihrer Größe ab: "Ist ein Datenschutzbeauftragter im Haus, sind Speditionen meist vorbereitet und klären jetzt Detailfragen", berichtet Sue Ann Becker, Justiziarin beim Bundesverband Möbelspedition und Logistik (AMÖ). "Kleinere Betriebe haben aber nur schnell das in Ordnung gebracht, was man von außen sehen kann", sagt sie. Sie passten die Datenschutzerklärung auf der Homepage an und erstellten noch ein Verarbeitungsverzeichnis. "Diesen Grundstock halten sie wohl bis zur ersten Prüfung", vermutet sie. "Dann wird weiter nachgebessert." Manche Spediteure und Frachtführer wurden erst tätig, als sie Abmahnungen erhielten. Ein angeblicher Wettbewerber monierte fehlende oder fehlerhafte Datenschutzerklärungen auf den Internetseiten, forderte die Begleichung der Anwaltsgebühren und drohte mit einer Vertragsstrafe. Die Branchenverbände erstellten daraufhin ein Antwortschreiben, mit dem sich die Unternehmen erfolgreich gegen die rechtswidrigen Abmahnungen wehrten. Wichtig: Für Datenschutzverstöße sind allein die Aufsichtsbehörden zuständig. "Abmahnungen durch Wettbewerber sind nicht zulässig", erklärt Kranig. "Wer solche Schreiben bekommt, sollte widersprechen." Ergriffene Maßnahmen reichen oft nicht Thomas Spaeing, Vorstandsvorsitzender des Bundesverbands der Datenschutzbeauftragten, sieht die Gründe für das Datenschutzdesaster in vielen Unternehmen auch in dem Mangel an Fachleuten. "Damals war der Markt an Experten leergefegt", erinnert er sich. Die Betriebe suchten händeringend Datenschutzbeauftragte, weil die Expertise im Haus fehlte. Viele griffen auf Pauschalangebote von externen Dienstleistern zurück. Für eine überschaubare Gebühr war das lästige Thema vom Tisch. Doch oft ging die Rechnung nicht auf: "Mit dem Ausfüllen einer Checkliste und einer Datenschutzerklärung auf der Homepage ist es nicht getan", sagt Spaeing. Andere haben übers Ziel hinausgeschossen und sich von Kunden und Geschäftspartnern Einwilligungen zur Datenverarbeitung eingeholt. "In vielen Fällen ist das aber nicht nötig", weiß Spaeing. Unternehmen müssen personenbezogene Daten verarbeiten, um ihre Verträge erfüllen zu können. Für die Abwicklung eines Transportauftrags darf der Spediteur daher Namen, Adresse und Telefonnummer des Empfängers an seinen Frachtführer übermitteln, ohne eine Einwilligung einholen zu müssen. Nur wenn Daten verarbeitet oder weitergegeben werden, die nicht zur Vertragserfüllung nötig sind, ist eine Einwilligung erforderlich. Wer dabei einen Dienstleister mit der Datenverarbeitung betraut, benötigt dazu einen Vertrag über eine Auftragsverarbeitung. Wichtig ist es zudem, Mitarbeiter zu schulen, wie sie mit sensiblen Daten umgehen müssen. Es drohen Strafen in Millionenhöhe Das DSGVO-Strafmaß schreckt ab: bis zu maximal 20 Millionen Euro oder vier Prozent des weltweiten Umsatzes. Die Kontrolleure gehen jedoch mit Augenmaß vor und wer mit den Datenschützern kooperiert, muss keine horrenden Strafen fürchten. Bei sensiblen Themen wie der Videoüberwachung oder dem Schutz von Mitarbeiterdaten sollten Unternehmen besondere Sorgfalt walten lassen, denn hier sehen die Prüfer jetzt genauer hin. Spediteure, die ihr Betriebsgelände durch Kameras überwachen, müssen sicherstellen, dass sie keine öffentlich zugänglichen Bereiche filmen. Daten dürfen nur bis zu 48 Stunden gespeichert werden. Nur in Ausnahmefällen lassen sich diese Fristen verlängern. "Dient die Aufzeichnung als Beweis, dass die Ware beim Verladen noch heil war, dürfen die Daten so lange gespeichert werden, bis der Kunde die Ware abgenommen hat", sagt Brink. Beim Einsatz mehrerer Kameras seien je nach Standort unterschiedliche Speicher- und Löschfristen festzulegen. Transporteure, die ihre Lkw per GPS verfolgen und Telematik einsetzen, müssen eine Datenschutz-Folgeabschätzung erarbeiten. Werden Standortdaten von Fahrzeugen in Echtzeit erhoben, stellt sich immer die Frage des Beschäftigtendatenschutzes. "Eine Dauerüberwachung der Fahrer ist unzulässig, ebenso wie eine Verhaltens- oder Leistungskontrolle der Beschäftigten", warnt der Experte. Beispielsweise, um den Spritverbrauch zu kontrollieren. Das Erfassen der Geodaten ist hingegen zulässig. Spediteure müssen allerdings dokumentieren, wie sie diese Systeme datenschutzkonform einsetzen und welche Maßnahmen sie zum Schutz der Mitarbeiter ergreifen. Mehr zum Thema im Dossier Unternehmensführung www.verkehrsrundschau.de/dossiers In Kürze Am 25. Mai 2018 sind EU-weit strengere Datenschutz-Vorschriften in Kraft getreten. Die Umsetzung hapert allerdings. Auch in deutschen Transport- und Logistikunternehmen. Für viele könnte das bald richtig teuer werden. Denn die Aufsichtsbehörden wollen in diesem Jahr strenger prüfen und mit voller Härte bestrafen. Hinweise zu Datenschutz-Anforderungen bei Speditionen Transport- und Logistikverbände haben Fragen zur DSGVO gesammelt. Hier die wichtigsten Antworten der Datenschutzbehören aus den Ländern Bayern und Berlin:GPS-basierte GeräteDer Einsatz von Telematik- und Mautgeräten erfordert eine Datenschutz-Folgeabschätzung und setzt unabhängig von der Beschäftigtenzahl die Benennung eines Datenschutzbeauftragten voraus.VideoüberwachungWer sein Betriebsgelände per Video überwacht, muss die Besucher durch ein gut sichtbares Hinweisschild aufklären. Folgende Mindestinformationen sind Pflicht:- Umstand der Beobachtung (Piktogramm, Kamerasymbol)- Identität des für die Videoüberwachung Verantwortlichen (Name, Kontaktdaten)- Kontaktdaten des betrieblichen Datenschutzbeauftragten- Verarbeitungszwecke und Rechtsgrundlage in Schlagworten (z.B. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO)- Angabe des berechtigten Interesses (z.B. Schutz des Eigentums)- Dauer der Speicherung- Hinweis auf Zugang zu weiteren Pflichtinformationen (Recht auf Auskunft, Widerspruch, Beschwerde, Löschung der Aufnahmen, ggf. Empfänger der Daten).10-Personen-GrenzeEin Datenschutzbeauftragter ist nötig , wenn mindestens zehn Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Lkw-Fahrer zählen nicht dazu. sahQuelle: DSLV

DKV Mobility und MFG: Neue Partnerschaft für ultraschnelles Laden in Großbritannien

KEYOU bringt schweren Wasserstoff-Lkw auf den Markt

Transformation des Straßengüterverkehrs: Aiwangers Plan für eine grüne Logistikzukunft

Umstrittenes Personal für neue EU-Kommission

Neue Auto-Strafen in Italien wegen verschärfter Straßenverkehrsordnung

Alle Schlagzeilen

2019 - das Jahr der DSGVO-Kontrollen

HASHTAG

#Unternehmensführung

"Ich bin Unternehmer aus Leidenschaft"

Kostentreiber: Wer suchet, der findet

Neuer Mann, neuer Kurs

MEISTGELESEN

Emons Spedition siedelt sich am c-Port an

Bund und Länder fördern Brennstoffzellen-Lkw von Daimler Truck

Fiege baut Logistikzentrum bei Leipzig

STELLENANGEBOTE

Area HR Business Partner

Leiter (w/m/d) Logistik Teilbereich Warenausgang

Schichtleiter (w/m/d) Logistik - Warenausgang

Koordinator (m/w/d) Intralogistik mit Teamleitungsfunktion

Head of Logistics (w/m/d) mit fundierter Erfahrung im internationalen Versand

WEITERLESEN

NEWSLETTER