Last-Minute-Tipps für die DSGVO

Der Countdown läuft unerbittlich. In wenigen Wochen, am 25. Mai, tritt die Datenschutz-Grundverordnung (DSGVO) in Kraft. Von diesem Tag an muss jedes Unternehmen beweisen können, dass es mit personenbezogenen Daten seiner Kunden und Mitarbeiter sorgsam umgeht. Es muss transparent sein, wo die Daten liegen, zu welchem Zweck sie verwendet werden und wer sie wann und wo mit welchen Rechten verarbeitet und nutzt.

So weit die Theorie. Die Praxis sieht anders aus. «Wir bei IDC rechnen damit, dass 30 Prozent der Unternehmen zum Stichtag nicht DSGVO-konform sein werden. Das ist in der Tat sehr bedenklich», sagt Laura Hopp, Consultant bei IDC. «Organisationen müssen ihre Bemühungen verstärken, um es noch rechtzeitig zu schaffen. Noch bestehende Compliance-Lücken müssen unbedingt geschlossen werden.» Sie empfiehlt Unternehmen, erneut alle bereits durchgeführten Massnahmen zu überprüfen. Sie sollten Mitarbeiter noch einmal umfassend schulen und auf die Neuerungen vorbereiten. «Die Kommunikation der Änderungen durch die DSGVO ist enorm wichtig», so Hopp.

Auch Daniela Gaub, Leiterin Recht beim Bundesverband Deutscher Inkasso-Unternehmen e. V. (BDIU), stellt in ihren Seminaren zur DSGVO fest, dass viele Firmen bislang nicht genügend vorbereitet sind. Sie berät nicht nur Inkasso-Unternehmen, sondern auch Stadtwerke und andere Firmen, die bei säumigen Zahlern Forderungs- oder Debitoren-Management betreiben. «Grössere Firmen sind meist besser vorbereitet als die mittleren und kleinen Unternehmen. Sie haben mehr Manpower, müssen aber auch mehr Prozesse berücksichtigen und damit auch mehr Daten verarbeiten. Kleine Firmen haben oft keinen Datenschutzbeauftragten und wissen teilweise nicht, wo sie ansetzen sollen.»

Für ein Unternehmen – auch mit Niederlassungen in mehreren EU-Mitgliedstaaten – ist formell nur die Aufsichtsbehörde am Hauptsitz des Unternehmens zuständig («federführende Aufsichtsbehörde»). Für die Allianz AG mit Sitz in München ist das zum Beispiel das Bayerische Landesamt für Datenschutzaufsicht.

«In Deutschland gibt es wegen des föderalen Prinzips 16 Behörden, welche die Einhaltung der DSGVO prüfen, zudem die Bundesdatenschutzbeauftragte. Daher ist, zumindest zunächst noch, weiterhin mit regionalen Unterschieden bei der Bewertung von Datenschutzverstössen und bei Sanktionen zu rechnen. Es gibt hierzulande aktuell noch keine übergeordnete behördliche Instanz, die vermittelt oder für Kohärenz sorgt», erklärt Daniela Gaub vom BDIU. Das heisst: Unter den Behörden herrscht grosser Abstimmungsbedarf. Auf europäischer Ebene sieht die DSGVO hingegen bereits ein Kohärenz­verfahren vor. Bei Differenzen zwischen EU-Ländern ist der Europäische Datenschutzausschuss zuständig.