A. Einleitung
Rz. 1
Seit dem Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) werden auch vielen kleinen und mittelständischen Anwaltskanzleien immer häufiger datenschutzrechtliche Mandate angetragen. Neben grundsätzlichen Fragstellungen zur "richtigen" Aufstellung des Unternehmens in puncto Datenschutz (sog. Datenschutz-Compliance, dazu B.) sehen sich Unternehmen immer öfter Ansprüchen auf Datenherausgabe nach Art. 15 DSGVO ausgesetzt (dazu C.). Solche Anfragen werden häufig von ehemaligen Arbeitnehmern gestellt, um sich entweder für arbeitsrechtliche Verfahren zu "bewaffnen" oder in der Hoffnung auf fehlerhafte oder verzögerte Auskunftserteilung, die dann als Anlass für immaterielle Schadensersatzansprüche dient. Zuletzt sollte auch der Kontakt mit Datenschutzbehörden gut vorbereitet werden, z.B. im Fall einer Anfrage aufgrund einer Beschwerde (dazu D.).
Allen Szenarien ist gemein, dass unzureichender Datenschutz oder eine verzögerte Reaktion auf Verlangen seitens Betroffener und Behörden empfindliche Sanktionen nach sich ziehen kann. Das geht einher mit potenziellen anwaltlichen Haftungsrisiken, weshalb eine zügige Reaktion auf datenschutzrechtliche Mandatsanfragen in den meisten Fällen geboten ist.
Allen Einzelerläuterungen in den folgenden Abschnitten sei ein genereller Hinweis zur anwaltlichen Beratung im Bereich des Datenschutzrechts vorangestellt. Als Informationsquellen dürfen die Websites der deutschen Datenschutzkonferenz (https://www.datenschutzkonferenz-online.de) und des Europäischen Datenschutzausschusses (https://edpb.europa.eu/edpb_de, teilweise nur englischsprachige Informationen verfügbar) nicht unterschätzt werden. Sie enthalten viele nützliche Hinweise, Checklisten und Guidelines, die gerade den Kollegen wertvolle Hilfe geben, die ohne viel Vorwissen beraten wollen. Die dortigen Verlautbarungen stellen zwar kein bindendes Recht dar, sondern "nur" die Rechtsansicht der Behörden. Da es sich hierbei aber um dieselben Behörden handelt, die auf Beschwerden oder sonstige Hinweise reagieren und im Zweifel aufsichtliche Verfahren oder Bußgeldverfahren einleiten, muss stets bewusst sein, dass ein Abweichen gefährlich sein und eine entsprechende Reaktion der Behörde nach sich ziehen kann, die letztlich je nach Qualität der Maßnahme im verwaltungsrechtlichen Eilrechtsschutz- oder Klageverfahren bzw. im gerichtlichen Bußgeldverfahren angegriffen werden muss.
B. Datenschutz-Compliance im Unternehmen
I. Muster: Antwort auf Mandatsanfrage bezüglich der Datenschutz-Compliance
Rz. 2
Muster 14.1: Antwort auf Mandatsanfrage bezüglich Datenschutz-Compliance
Muster 14.1: Antwort auf Mandatsanfrage bezüglich Datenschutz-Compliance
_________________________ (Adresse)
Sehr geehrte/r Herr/Frau _________________________,
vielen Dank für Ihre Anfrage. Gerne unterstützen wir Sie dabei, die aktuelle Datenschutz-Compliance der _________________________ GmbH zu bewerten und beraten Sie – wenn nötig – mit Blick auf die Schritte, die zur Erreichung eines Standards erforderlich sind, die aus der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG) für Ihr Unternehmen resultieren.
Im Folgenden möchten wir in aller Kürze das übliche Vorgehen erläutern und darstellen, welcher organisatorische Aufwand daraus resultiert, da ein solches Beratungsmandat nur im Dialog funktionieren kann.
| 1. |
Bestandsaufnahme: Zunächst ist es erforderlich, im Rahmen einer Bestandsaufnahme festzustellen, ob und in welchem Umfang datenschutzrechtlich relevante Dokumentation und welche Verträge bei Ihnen vorhanden sind. Diese Analyse ist für die Einschätzung des weiteren Beratungsumfangs wichtig. Wir werden den Ist-Zustand mit dem Soll-Zustand vergleichen und eine Liste von Tätigkeiten erstellen, die umgesetzt werden müssen. Im Rahmen der Bestandsaufnahme ist Ihre und die Mitwirkung Ihrer Beschäftigten elementar und eine engmaschige Abstimmung nötig. |
| 2. |
Verarbeitungsverzeichnis und Liste der Datenempfänger: Im Rahmen der Bestandsaufnahme wird sich gezeigt haben, an welche Empfänger (etwa Software-Anbieter) personenbezogene Daten, z.B. von Kunden, Lieferanten oder Mitarbeitern, übermittelt werden und ob es sich hierbei aus Sicht des Datenschutzes um Verantwortliche oder Auftragsverarbeiter handelt. Diese Informationen sind wichtig, wenn für Ihr Unternehmen die gesetzliche Verpflichtung besteht, diese in einem Verarbeitungsverzeichnis niederzulegen, das (themenbezogen) einen Überblick über alle Verarbeitungstätigkeiten bietet. |
| 3. |
Erstellung von Datenschutzerklärungen: Da alle Verarbeitungen personenbezogener Daten transparent gegenüber den Betroffenen offengelegt und beschrieben werden müssen, ist die Erstellung von Datenschutzerklärungen wichtig. Sofern bereits Datenschutzerklärungen existieren, sind diese nach Erstellung des Verarbeitungsverzeichnisses auf Richtigkeit und Aktualität zu prüfen. Regelmäßig müssen Datenschutzerklärungen für Bewerber/innen, Beschäftigte, Kunden, Lieferanten und, wenn vorhanden, die Website und Social Media-Auftritte vorgehalten werden. |
| 4. |
Datenschutzkonformität der Website: Es empfiehlt sich auch, die Unternehmenswebsite als "digita... |