Die 10 wichtigsten Maßnahmen zur DSGVO: Das müssen Sie jetzt tun!

Der Datenschutz sichert das Grundrecht auf „informationelle Selbstbestimmung“ (Art. 2 Abs. 1 i.V.m. Art. 1 Abs. 1 Grundgesetz, BVerfGE 65, 1 – Volkszählung). Geschützt sind danach sog. „personenbezogene Daten“. Das sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Beispiele sind: Name, Telefonnummer, E-Mail-Adresse, IP-Adresse, IBAN. In allen Anwaltskanzleien werden ständig eine Vielzahl von personenbezogenen – teils besonders sensiblen – Daten verarbeitet. Neben der Verschwiegenheitspflicht gilt es daher, auch geltendes Datenschutzrecht zu beachten, um die Daten Ihrer Mandanten, Dienstleister, Partner und Mitarbeiter zu schützen.

Ab 25. Mai 2018 gilt auch in Deutschland die Datenschutzgrundverordnung (DSGVO) der Europäischen Union. Durch das neue EU-Recht werden unmittelbar das bisherige Bundesdatenschutzgesetz (BDSG a.F.) und die EU-Datenschutzrichtlinie (Richtlinie 95/46/EG), auf der das BDSG basiert, abgelöst. Zeitgleich tritt ein dazu gehöriges neues Bundesdatenschutzgesetz (BDSG n.F.) in Kraft, das die DSGVO zum Teil modifiziert und konkretisiert.

Ziel der DSGVO ist zunächst ein weitestgehend einheitliches Datenschutzrecht innerhalb der EU. Darin sollen vor allem die Rechte und Kontrollmöglichkeiten derjenigen gestärkt werden, deren Daten verarbeitet werden.

Checkliste zur Umsetzung der neuen Rechtsgrundlage

Die DSGVO schafft neue Rechtsgrundlagen für die Datenverarbeitung und intensiviert die Pflichten der betroffenen Unternehmen. Sie müssen im Hinblick auf Ihre eigene rechtliche, betriebliche und technisch-organisatorische Struktur eine Vielzahl von Vorgaben beachten, um etwa Transparenz, Kontrolle und Sicherheit der gesammelten Nutzerdaten vor unbefugten Zugriffen Dritter zu gewährleisten. Hier eine Checkliste der zehn wichtigsten Maßnahmen zur Umsetzung der DSGVO in Ihrer Kanzlei:

Handeln Sie so schnell, wie möglich – bis zum 25. Mai haben Sie nicht mehr viel Zeit. Für die verspätete Umsetzung der DSGVO drohen hohe Bußgelder, wettbewerbsrechtliche Abmahnungen sowie höhere Schadensersatzklagen der betroffenen Personen, deren Daten Sie speichern.

Sammeln Sie alle Informationen dazu, wer wie welche Daten in Ihrer Kanzlei verarbeitet. Erstellen Sie hierzu in einer Excel-Tabelle ein DSGVO-konformes Verzeichnis der Verarbeitungstätigkeiten.

Listen Sie auf, wer für Sie weisungsgebundene Daten verarbeitet (Auftragsverarbeiter). Prüfen Sie, ob diese Dienstleister alle gesetzlichen Anforderungen erfüllen und lassen Sie sich dies vertraglich zusichern. Überprüfen Sie Ihre zugrundeliegenden Verträge. Stimmen Sie ihre Verzeichnisse der Verarbeitungstätigkeiten aufeinander ab. Etablieren Sie ein internes System, das eine regelmäßige Überwachung Ihrer Auftragsverarbeiter gewährleistet.

Prüfen Sie, ob Sie einen Datenschutzbeauftragten benennen müssen. In der Regel ist das erst der Fall, wenn in Ihrer Kanzlei mehr als neun Personen am Rechner sitzen und potenziell Zugriff auf personenbezogene Daten haben. Im Hinblick auf kleinere Kanzleien herrscht derzeit noch Rechtsunsicherheit, ob Sie einen Datenschutzbeauftragten benötigen.

Etablieren Sie ein System, um auf die Rechtewahrnehmung Betroffener, insbesondere auf Auskunfts- und Löschungsbegehren, reagieren zu können.

Stellen Sie sicher, dass Sie bei Erhebung von personenbezogenen Daten den Betroffenen die gesetzlich vorgeschriebenen Informationspflichten mitteilen – etwa auf einem Infoblatt oder verständlich in einer Datenschutzerklärung. Um Ihre Datenschutzerklärung anzupassen, können Sie als ersten Orientierungspunkt auch den WBS-Datenschutzerklärungs-Generator.

Prüfen Sie, ob Sie Ihre Daten rechtssicher verarbeiten. Sind die bei Ihnen gespeicherten Daten Dritter bzw. Ihrer Mitarbeiter vom Gesetz so gedeckt? Oder brauchen Sie hierfür eine Einwilligung? Wenn ja, erfüllt die Einwilligung auch die Bedingungen der DSGVO? Stellen Sie sicher, dass all Ihre Daten auch zukünftig rechtssicher verarbeitet werden.

Etablieren Sie ein System, um bei Ihnen gespeicherte Daten zu schützen – sowohl durch interne Abläufe als auch durch Sicherheitsmaßnahmen. Wenn es doch einmal zu einem Datenleck kommen sollte, müssen Sie vorbereitet sein und dies schnell den Betroffenen und der Aufsichtsbehörde melden können. Empfehlenswert ist es, alle Maßnahmen in einer Richtlinie für Datenschutz und Datensicherheit Prüfen Sie schriftlich, ob Sie eine Datenschutz-Folgenabschätzung durchführen müssen.

Schulen Sie Ihre Mitarbeiter regelmäßig. Ihnen müssen sowohl die Bedeutung als auch die Grundlagen des Datenschutzes bewusst sein. Zudem müssen Sie Ihr individuelles Datenschutzkonzept kennen und anwenden können.