So klappt das Okay für die Datenverarbeitung

Seit dem 25. Mai gelten höhere Anforderungen an den Datenschutz. Bei Verstößen drohen hohe Bußgelder. Unternehmer müssen die Neuregelungen umsetzen, die unionsweit für alle Staaten bindend sind. Eine der wichtigsten Vorschriften, nicht erst seit der EU-Datenschutz-Grundverordnung (DSGVO) und dem neuen Bundesdatenschutzgesetz (BDSG): Für die Datenverarbeitung benötigen Unternehmen die Erlaubnis ihrer Mitarbeiter und Kunden. Trotz langer Vorbereitungszeit haben noch nicht alle Genehmigungen eingeholt. Vor allem kleine Betriebe tun sich mit der Umsetzung schwer. Hier deshalb wichtige Tipps: Freiwilligkeit ist Voraussetzung Die Verarbeitung von personenbezogenen Daten ist nur zulässig, wenn sie etwa für die Begründung, Durchführung und Beendigung des Beschäftigungsverhältnisses erforderlich ist. Oder zur Ausübung oder Erfüllung eines Gesetzes, eines Tarifvertrags oder einer Betriebsvereinbarung. Mit anderen Worten: Wenn es keine gesetzliche Grundlage oder vertragliche Notwendigkeit für die Datenverarbeitung gibt, muss man jede betroffene Person vorher um Erlaubnis fragen. Es geht dabei zum Beispiel um Adressen, E-Mail-Adressen, Ausweisnummern oder IP-Adressen. Grundsätzlich sollen so wenige Informationen wie möglich gesammelt werden - es dürfen nur jene Daten erhoben werden, die tatsächlich gebraucht werden. Auch unter der DSGVO und dem neuen BDSG ist für die rechtmäßige Verarbeitung personenbezogener Daten eine Legitimationsgrundlage erforderlich. Gemeint ist eine Einwilligung des Betroffenen, damit dessen Arbeit- oder Auftraggeber im Zweifel einen Nachweis hat. Die Willensbekundung von Mitarbeitern und Kunden muss freiwillig und ohne Zwang erfolgen. Eine Einwilligung gilt zum Beispiel dann nicht als freiwillig abgegeben, wenn dem Betroffenen ein Nachteil droht, wenn er sich weigert. Neu ist, dass Unternehmen die Zusammenarbeit mit Kunden und Mitarbeitern nicht davon abhängig machen dürfen, dass eine Person in die Verarbeitung ihrer Daten, die für die Erfüllung eines Vertrages oder der gesetzlichen Vorschriften nicht erforderlich sind, einwilligt. Ein Beispiel für dieses Kopplungsverbot: Ein Unternehmen bietet Leistungen nur gegen Daten weiter an oder verlangt nur bei einer Erlaubnis zu deren Verarbeitung dafür kein Geld. Die Einwilligungserklärung sollte deshalb gesondert vom Vertragsangebot und dem AGB-Hinweis dargestellt und hervorgehoben werden. Inhaltlich muss Klarheit herrschen Das Ersuchen um eine Einwilligung zu Datenverarbeitung muss in verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache erfolgen. Das geht schon bei der Überschrift los, die eindeutig auf den Inhalt verweisen sollte. Dafür empfehlen sich beispielsweise: - Einwilligungserklärung Datenschutz - Datenschutzrechtliche Einwilligungserklärung - Datenschutzrechtliche Einwilligungsklausel - Einwilligungserklärung nach dem Bundesdatenschutzgesetz Mit den Vorschriften zur Formulierung will der Gesetzgeber sicherstellen, dass die Einwilligungserklärung von den anderen Sachverhalten klar zu unterscheiden ist, falls ein Vertragstext oder Ähnliches folgen. Deshalb müssen auch die reinen Informationen über Datenverarbeitung auf der Grundlage von Gesetz beziehungsweise Vertrag auf der einen Seite und die freiwillige datenschutzrechtliche Einwilligungserklärung auf der anderen Seite textlich getrennt dargestellt werden. Wenn besonders sensible Arten personenbezogener Daten (zu politischer Meinung, religiöser Überzeugung, Gesundheit oder Sexualität) verarbeitet werden, muss sich die Einwilligung ausdrücklich auf diese Daten beziehen. Ihren Mitarbeitern und Kunden müssen Unternehmen erklären, für welche Zwecke sie die Daten brauchen, wie lange und in welchem Umfang sie gespeichert werden sollen. Unbestimmte Blanko-Einwilligungen sind unwirksam. Für eine Zweckänderung braucht es eine erneute Erlaubnis sowie Datenerhebung. Formulierungsbeispiele für eine Einwilligungserklärung sind: - "Mit meiner Unterschrift willige ich ein, dass " - "Ich erteile meine Einwilligung, dass ..." - "Ich bin damit einverstanden, dass ..." Weiter muss es sich um eine bewusste Erklärung der betreffenden Person selbst handeln (Opt-in). Schon von der verantwortlichen Stelle im Sinne einer Zustimmung vorangekreuzte Einwilligungstexte oder nur mit einer Streich-/Abwahl-Möglichkeit versehene "vorgegebene Zustimmungen" (Opt-out) genügen nicht. Zur Form macht die DSGVO zwar keine Vorgaben. Theoretisch könnten Mitarbeiter und Kunden ihr Einverständnis also auch mündlich oder durch Nicken geben. Aus praktischen Gründen ist aber eine schriftliche Bestätigung ratsam. Denn die Beweislast liegt beim Unternehmen, das die Daten verarbeitet und Zeugen bräuchte, wenn etwa ein Spediteur auf einer Messe die Visitenkarte eines Frachtführers annimmt und ihn im Gespräch um ein Angebot für einen Transport bittet. Gut nachweisbare Optionen sind der elektronische Weg per E-Mail oder außerhalb des Internets die Schriftform auf Papier. Bei der Schriftform ist man auf der sicheren Seite, wenn im Formular für die datenschutzrechtliche Einwilligung ein gesondertes Unterschriftenfeld vorgesehen ist, wo die betroffene Person signieren kann. Im Internet empfehlen Datenschutzexperten das sogenannte Double-Opt-in-Verfahren, bei dem der Nutzer beispielsweise zuerst aktiv ein Kontrollkästchen anklicken und in einem zweiten Schritt noch einmal bewusst bestätigen muss - zum Beispiel durch einen E-Mail-Link. Hinweis auf Widerruf ist Pflicht Die betroffene Person hat wie bisher auch künftig das Recht, ihre Einwilligung jederzeit zu widerrufen. Darauf müssen Unternehmen ihre Mitarbeiter und Kunden ausdrücklich und offensichtlich vor deren Einwilligung hinweisen - und zwar ebenfalls in einfacher und verständlicher Sprache. Es empfiehlt sich, diesen Passus - ebenso wie andere wichtige Hinweise zum Datenschutzrecht - hervorzuheben. Der bayerischen Landesbeauftragte für den Datenschutz erklärt hierzu: "Die Information der betroffenen Personen muss hinreichend klar über die geplante Verarbeitung unterrichten und umfasst auch die Belehrung über das Recht, eine erteilte Einwilligung jederzeit zu widerrufen." Der Widerruf der Einwilligung muss für die betroffene Person so einfach wie die Erteilung der Einwilligung sein. Mit dem Geltungsbeginn des neuen Datenschutzrechts werden die nach bisherigem Datenschutzrecht wirksamen Einwilligungen laut dem bayerischen Landesbeauftragten für den Datenschutz nicht "automatisch" unwirksam. Voraussetzung sei aber, dass die "Art der bereits erteilten Einwilligung" den Bedingungen der DSGVO entspricht. Andernfalls muss das Unternehmen seine Mitarbeiter und Kunden erneut um Erlaubnis fragen. Unternehmen, die bereits in der Vergangenheit für die Datenverarbeitung die Einwilligungen nach dem früheren BDSG eingeholt haben, sollten die entsprechenden Formulare auf die Vereinbarkeit mit den Vorgaben des neuen Datenschutzrechts überprüfen. Verstoßen die Willensbekundungen gegen das Gebot der Freiwilligkeit oder gegen das neu verankerte Kopplungsverbot, sind sie unwirksam und müssen erneut eingeholt werden. Weiterhin sollten sie für eine sachgerechte Dokumentation Sorge tragen. Wer gegen das neue Datenschutzrecht verstößt, muss zwar mit einem Bußgeld bis zu 20 Millionen Euro oder bis zu vier Prozent des weltweit erzielten Umsatzes im vorangegangenen Geschäftsjahr rechnen. Die Höhe richtet sich allerdings stets nach den wirtschaftlichen Verhältnissen der Unternehmen sowie nach der Schwere des Falls und den Anstrengungen, die zuvor unternommen worden sind. Mehr finden Sie dazu im Dossier "Wirtschaftsrecht" www.verkehrsrundschau.de/dossiers Abmahn-Gefahr Datenschutzerklärung im Web schnellstmöglich aktualisieren Nach dem Inkrafttreten der DSGVO sollten alle Transport- und Logistikunternehmen möglichst schnell die Datenschutzerklärung auf ihrer Internetseite aktualisieren. Darauf wies der Bundesverband Güterkraftverkehr Logistik und Entsorgung (BGL) hin."Über Ihre Homepage signalisieren Sie bereits nach außen, ob Sie sich mit dem Thema auseinandergesetzt haben", hieß es in einem Rundschreiben an die Mitglieder. Viele Abmahnkanzleien hätten sich schon jetzt mit automatisierten Scanprogrammen ausgerüstet und würden im Internet nach Websites suchen, die noch keine Datenschutzerklärungen hinterlegt haben. ag

Elektromobilität: Hamburg will Ladepunkte auf 10.000 erhöhen

Bürokratieentlastung: Bundesrat stimmt neuer Verordnung zu

Automobilzulieferer: Bosch will weitere Stellen streichen

A7 wird zeitweise gesperrt

Schwerpunktkontrollen: Viele Verstöße von Lkw und Bussen

Alle Schlagzeilen

So klappt das Okay für die Datenverarbeitung

HASHTAG

#Wirtschaftsrecht

Urteil: Klage einer aufgelösten GmbH ist zulässig

Neue EU-Datenschutzregeln gelten ab sofort

Urteil: Keine Doppelentschädigung für Käufer von neuem Lkw mit Mängeln

MEISTGELESEN

Emons Spedition siedelt sich am c-Port an

Duvenbeck übernimmt Sander Logistics

Who is Who Logistik: Themen und Trends für 2025

STELLENANGEBOTE

Schichtleiter (w/m/d) Logistik - Warenausgang

Koordinator (m/w/d) Intralogistik mit Teamleitungsfunktion

Leiter (w/m/d) Logistik Teilbereich Warenausgang

Area HR Business Partner

Head of Logistics (w/m/d) mit fundierter Erfahrung im internationalen Versand

WEITERLESEN

NEWSLETTER