Bitte nicht auf die leichte Schulter nehmen!
Am 14.4.2016 hat das Europäische Parlament die Datenschutz-Grundverordnung (DSGVO) beschlossen. Damit wurden die Verarbeitung personenbezogener Daten, die Rechte der Betroffenen und die Pflichten der Verantwortlichen EU-weit vereinheitlicht.
Spätestens ab 25.5.2018 müssen die Nationalstaaten die lokalen Gesetze angepasst und die Bestimmungen der DSGVO umgesetzt haben und wir alle die neuen Regelungen einhalten, denn. Aber was bedeutet das für uns? Wie können, müssen wir uns darauf vorbereiten? Was muss man tun, um die Haftung und neuen Strafen zu vermeiden?Diese DSGVO gilt für jedes Unternehmen, das in irgendeiner Weise personenbezogene Daten verarbeitet (z.B. eine Kundendatei führt, Rechnungen ausstellt, Lieferantendaten speichert). Die Finanz- und Versicherungsbranche ist aber besonders „betroffen“, weil wir besonders sensible Daten (Gesundheit, Finanzierung, Steuer, etc.) im Zuge unserer beruflichen Tätigkeit „in die Hände bekommen“, speichern (müssen), weiterleiten (an Versicherer), usw.
Spätestens mit 25.5.18 müssen Sie die Sicherheit der Daten garantieren. Sollte etwas passieren, drohen existenzgefährdende Strafen bis zu 20 Mio. Euro oder 4 % des weltweiten Konzern-Umsatzes!
Daher müssen Sie in den nächsten Monaten die Zeit nutzen und im gesamten Firmen-Bereich die verwendete Hard- und Software kritisch hinterfragen, organisatorische Entscheidungen treffen (wer darf was)? Brauche ich einen Datenschutz-Beauftragten?), um den sicheren Umgang mit den Daten Ihrer Kunden, Partner, etc. zu garantieren.
Denn: Die Gefahren lauern überall. Vorige Woche wurde etwa ein Hacker-Angriff auf die deutsche Telekom bekannt. Davor waren etwa der Flughafen Wien und die Nationalbank Ziele einer großangelegten Hacker-Attacke.
Dazu kann man beinahe wöchentlich mitverfolgen, wie sich über scheinbar harmlose Spam-Mails Schadsoftware verbreitet, die den PC verschlüsselt und das Unternehmen erst wieder Zugriff bekommt, wenn es der Erpressung nachgibt und Lösegeld überweist.
Da der IVVA persönliche Kontakte zu einem der führenden Datenschutz-Experten Österreichs hat, werden wir in den nächsten Monaten dieses Thema regelmäßig verfolgen und darüber berichten, ob die Politiker eine praxisnahe Umsetzung in Österreich schafft, die sowohl für kleine, mittlere als auch Groß-Unternehmen schaffbar und leistbar ist.
Hier geht es um viele Fragen, von denen ich hier nur ein paar „in den Raum stelle“, damit Sie sehen, auf wie viele Bereiche Ihrer täglichen Arbeit die DSGVO Auswirkungen haben wird.
- Welche personenbezogenen Daten fallen an, welche Datenanwendung(en) machen Sie?
- Fällt jede Datenanwendung unter die Datenschutz-Verordnung oder nicht? Und wie kann ich die Haftung von mir weg bekommen?
- Liegen die nötigen Einwilligungen vor?
- Welche sensiblen Daten kommen vor? Wie werden die gespeichert, be-/verarbeitet?
- Wie erfüllen Sie die Informationspflichten und Betroffenenrechte nach DSGVO?
- Besteht für Ihre Datenverarbeitung Dokumentationspflicht?
- Welche Hard- und Software verwenden Sie und welche Datensicherheitsmaßnahmen haben Sie gesetzt? Wie bekommt man Windows-Systeme und Office-Pakete sicher?
- Macht es einen Unterschied, ob Sie eigene Software für die Datenanwendung verwende oder jene vom Versicherer, von der Wertpapierfirma, von der Bank?
- Sicherheitsrisiko USB-Stick! Datenfriedhöfe in FAX, Scanner und Multifunktionsdrucker (speichern tausende Dokumente): Wie können sie die sichere Entsorgung ohne Datendiebstahl garantieren?)
- Sind Cloud-Lösungen erlaubt? Dürfen Daten z.B. auf Ipads der Mitarbeiter (und damit eine Sicherung in der Cloud) gespeichert werden? Verschlüsseln Sie Ihre Daten?
- Arbeiten Sie alleine? Haben Sie Mitarbeiter (spezielle Pflichten aus Arbeitnehmerdatenschutz!!!)? Arbeiten Sie in einer Büro-Gemeinschaft oder einem Pool? Wer darf was tun, welche Daten sehen, bearbeiten?
- Wie schaut die Haftung für die Datensicherheit im Verhältnis zwischen Versicherung / Wertpapierfirma auf der einen Seite und dem Berater/Vermittler auf der anderen Seite aus?
- Nutzen Sie Dienstleister, sogenannte Auftragsverarbeiter? Haben Sie die erforderliche Zuverlässigkeit geprüft? Sind die Pflichten schriftlich vereinbart?
- Wie machen Sie die Datenschutz-Folgenabschätzung laut DSGVO?
- Wer ist die Aufsichtsbehörde, was müssen Sie ihr mitteilen?
- Brauchen Sie einen Datenschutzbeauftragten?
- Wie gehen Sie mit Kunden um, die ihr Recht auf Auskunft bzw. Löschen geltend machen („Recht auf Vergessen“)? Oder: Wie können Sie das Löschbegehren eines ehemaligen Mitarbeiters erfüllen und trotzdem in einem künftigen Prozess gegen einen Kunden die korrekte Beratung durch eben diesen Mitarbeiter beweisen?
- Und und und…
Das ist nur ein Auszug an Fragen, auf die man stößt, wenn man ein bisschen in die DSGVO hinein schnuppert. Viele weitere werden aufpoppen und werden Sie in Ihrem Unternehmen in den nächsten Monaten stellen und beantworten müssen, um sich auf dieses neue Datenschutzrecht vorzubereiten.
Wir werden versuchen, Sie in den nächsten Monaten mit Informationen und Tipps bei diesem Weg ein Stück weit zu begleiten.
Ihr IVVA Team