Erstberatungsbrief: Datenschutz im Unternehmen

Kurzbeschreibung

Dieser Musterbrief wendet sich direkt an den Mandanten und unterstützt den steuerlichen Berater für den Fall der Erstberatung oder bei einem Mandantenwechsel. Er zeigt Beratungspotenzial bei der Umsetzung der Anforderungen durch die EU-Datenschutz-Grundverordnung im Unternehmen auf.

Hinweis: Weitergabe der Mandanteninformationen

Die Weitergabe der Mandanteninformationen, z. B. per E-Mail oder als Brief, an Ihre Mandanten ist zulässig, die Weitergabe an Dritte außerhalb Ihrer Mandantschaft ist hingegen nicht zulässig. Ebenso zulässig ist die Veröffentlichung, z. B. als HTML-Dokument oder als PDF-Datei, im geschützten Bereich des Internetauftritts Ihrer Kanzlei. Aus urheberrechtlichen Gründen ist eine Veröffentlichung z. B. in sozialen Netzwerken oder auf Internet-Homepages im öffentlich zugänglichen Bereich nicht gestattet.

Anschreiben

• Dokument in Textverarbeitung übernehmen

	[Briefkopf Kanzlei]
Frau/Herr …
	[Datum]
Unser Termin/unser Telefonat am/vom …

Sehr geehrte Frau …, sehr geehrter Herr …,

verpflichtend gilt die EU-Datenschutz-Grundverordnung seit dem 25.5.2018. Seit diesem Datum ist deren Einhaltung durch die EU-Datenschutzaufsichtsbehörden und die Gerichte überprüfbar. Sollten zu diesem Stichtag Ihre Prozesse nicht unternehmensspezifisch angepasst worden sein, und sollten in diesem Zusammenhang die Vorgaben der EU-Datenschutz-Grundverordnung nicht oder nicht in ausreichendem Maß umgesetzt worden sein, können empfindliche Sanktionen und Bußgelder verhängt werden! Denn von den Regelungsinhalten sind nicht nur wir als Steuerberatungskanzlei betroffen, sondern auch Sie als unternehmerisch tätiger Mandant. Es entstehen neue Transparenzpflichten, deren Einhaltung im Rahmen von Kontrollen der zuständigen Aufsichtsbehörde gegenüber nachgewiesen werden muss.

Daher möchte ich/möchten wir Ihnen die wichtigsten Regelungsinhalte darstellen.

In Ergänzung zur EU-Datenschutz-Grundverordnung stellt das Bundesdatenschutzgesetz, das am 5.7.2017 in Kraft getreten ist, eine Konkretisierung bestimmter Inhalte dar. Es enthält eine Reihe sog. Öffnungsklauseln, die eine nationale Spezifizierung einzelner Vorschriften ermöglichen. Die dort zu findenden Sonderregelungen betreffen insbesondere den Datenschutz in Beschäftigungsverhältnissen und all jene Fälle, in denen eine Pflicht zur Benennung eines Datenschutzbeauftragten besteht.

Wie aktuell und brisant das Thema Datenschutz ist, zeigt das gegen ein Telekommunikationsunternehmen festgesetzte Bußgeld in Höhe von 9,55 Mio. EUR, das vom Bundesdatenschutzbeauftragten verhängt wurde.

Der Telekommunikationsdienstleister habe keine hinreichenden Maßnahmen ergriffen, um Unberechtigten den Zugriff auf Kundendaten bei der telefonischen Kundenbetreuung zu verwehren, teilte der Bundesdatenschutzbeauftragte mit. Der Bundesbehörde zufolge hat der Dienstleister damit gegen die EU-Datenschutz-Grundverordnung verstoßen. Anrufer hätten bei der Kundenbetreuung des Unternehmens allein schon durch Angabe des Namens und Geburtsdatums eines Kunden "weitreichende Informationen zu weiteren personenbezogenen Kundendaten" erhalten können, hieß es. In Konsequenz hat der Dienstleister inzwischen einen verbesserten Authentifizierungsprozess eingeführt. Eine Geldbuße sei jedoch geboten gewesen, laut Aussage des Bundesdatenschutzbeauftragten, da der Verstoß ein "Risiko für den gesamten Kundenbestand" dargestellt habe.

Zudem hat sich mittlerweile herausgestellt, dass eine ganze "Abmahnindustrie" entstanden ist, die es sich einzig und alleine zur Aufgabe gemacht hat, Verstöße insbesondere im Bereich der Webseiten und Internetauftritte von Unternehmen aufzudecken und diese Verstöße mit empfindlichen Geldbußen zu ahnden. Daher sollte insbesondere Ihrer Website ein besonderes Augenmerk gelten, denn sie stellt für die abmahnenden Rechtsanwaltskanzleien einen "öffentlich zugänglichen Raum" dar.

Was muss hinsichtlich der Datenschutzerklärung beachtet werden?

Die EU-DSGVO schreibt nicht nur vor, worüber in der Datenschutzerklärung informiert werden muss, sondern auch, wie das geschehen muss: Sie muss präzise, transparent, verständlich und leicht zugänglich in einer klaren und einfachen Sprache ausgestaltet werden. Juristische Fachbegriffe sollen vermieden werden. Der Text muss auf Deutsch und je nach Kundenkreis auch in weiteren Sprachen verfasst sein.

Ist die EU-Datenschutz-Grundverordnung für Deutschland bindend?

Da es sich im Rahmen der EU-Datenschutz-Grundverordnung (DSGVO) um eine europäische Verordnung handelt, ist sie direkt in allen EU-Mitgliedstaaten umzusetzen. Das bedeutet, es bedarf keines "Umsetzungsgesetzes" in nationales Recht. Allerdings besteht auf nationaler Ebene an einigen Stellen der Verordnung die Möglichkeit, die Regelungen individuell zu konkretisieren oder zu ergänzen. Z. B. gibt es eine Öffnungsklausel, die es den einzelnen Mitgliedstaaten ermöglicht, eigene Inhalte in der Verordnung niederzulegen, z. B. hinsichtlich der Verarbeitung personenbezogener Daten. Allerdings dürfen diese auf nationaler Ebene eingebrachten Ergänzungen keine Verschärfu...