{"id":8795,"date":"2018-04-23T14:29:33","date_gmt":"2018-04-23T12:29:33","guid":{"rendered":"https:\/\/winheller.com\/blog\/?p=8795"},"modified":"2023-05-30T16:34:19","modified_gmt":"2023-05-30T14:34:19","slug":"datenschutzgrundverordnung-wichtigste-massnahmen-npos","status":"publish","type":"post","link":"https:\/\/winheller.com\/blog\/datenschutzgrundverordnung-wichtigste-massnahmen-npos\/","title":{"rendered":"Countdown zur Datenschutzgrundverordnung: Die wichtigsten last minute Ma\u00dfnahmen f\u00fcr NPOs"},"content":{"rendered":"

Der 25.05.2018 r\u00fcckt immer n\u00e4her \u2013 und damit der Stichtag, an dem \u00f6ffentliche und nicht \u00f6ffentliche Einrichtungen sowie auch Nonprofit-Organisationen die Anforderungen der Europ\u00e4ischen Datenschutzgrundverordnung (DSGVO) bedingungslos erf\u00fcllen m\u00fcssen. Die zweij\u00e4hrige Umsetzungsfrist ist dann n\u00e4mlich abgelaufen. Gleichzeitig tritt das neue Bundesdatenschutzgesetz in Kraft, das einige Aspekte des Datenschutzes erg\u00e4nzend regeln wird, wie den Besch\u00e4ftigtendatenschutz<\/strong><\/a> oder auch die Bestellpflicht f\u00fcr einen betrieblichen Datenschutzbeauftragten.<\/p>\n

Erweitertes Haftungsrisiko f\u00fcr verantwortliche Stellen<\/h3>\n

Den meisten NPOs d\u00fcrften sp\u00e4testens die in der Grundverordnung geregelten Bu\u00dfgelder Schwei\u00dfperlen auf die Stirn treiben. Denn dort, wo das alte Bundesdatenschutzgesetz noch maximale Bu\u00dfgelder in H\u00f6he von 50.000 bzw. 300.000 Euro vorgesehen hat, werden f\u00fcr Verst\u00f6\u00dfe k\u00fcnftig Millionenbetr\u00e4ge f\u00e4llig. Ob und inwieweit Aufsichtsbeh\u00f6rden solch drastische Sanktionen verh\u00e4ngen werden, bleibt abzuwarten.<\/p>\n

Nicht anlassbezogene Pr\u00fcfungen durch die Aufsichtsbeh\u00f6rden sind zwar grunds\u00e4tzlich nicht zu erwarten. Sp\u00e4testens durch Beschwerden von Betroffenen jedoch m\u00fcssen die Landesdatenschutzbeauftragten von Gesetzes wegen t\u00e4tig werden. Nicht nur Bu\u00dfgelder m\u00fcssen die Konsequenz sein. Auch Vor-Ort-Kontrollen bis hin zur erzwungenen Abschaltung von datenverarbeitenden IT-Systemen k\u00f6nnen weitreichende Folgen f\u00fcr die sogenannten verantwortlichen Stellen haben.<\/p>\n

Umfangreiche Ma\u00dfnahmen zur Umsetzung erforderlich<\/h3>\n

Wer bereits fr\u00fch angefangen hat, die Anforderungen der neuen Gesetzeslage umzusetzen, wird wissen, wie gro\u00df der Aufwand ist, alle f\u00fcr die Datenverarbeitung relevanten Systeme, Prozesse und letztlich auch Dokumente analysieren, \u00fcberdenken, anpassen oder ersetzen zu m\u00fcssen. Und keineswegs gesichert ist, ob man mit den Ergebnissen tats\u00e4chlich ab dem 25.05.2018 datenschutzrechtlich compliant ist, bieten doch viele Regelungen der DSGVO erheblichen Interpretationsspielraum. Nichtsdestotrotz arbeiten betriebliche Datenschutzbeauftragte und IT-Verantwortliche mit Hochdruck an L\u00f6sungen, um der Erf\u00fcllung der rechtlichen Anforderungen zumindest so nah wie m\u00f6glich zu kommen.<\/p>\n

K\u00fchlen Kopf bewahren<\/h3>\n

Was aber, wenn das Thema in Ihrer Nonprofit-Organisation<\/strong><\/a> viel zu sp\u00e4t oder noch gar nicht angegangen wurde oder schlussendlich eingesehen werden muss, dass trotz aller Bem\u00fchungen die Ergebnisse der Umsetzung schlicht nicht ausreichen? Verfallen Sie nicht in Panik. Mit strategischen \u00dcberlegungen und vern\u00fcnftigem Augenma\u00df kann man selbst in den wenigen verbleibenden Wochen noch etwas bewirken. Dabei gilt es, blo\u00df nicht zu versuchen, alle identifizierten Brandherde gleichzeitig zu l\u00f6schen.<\/p>\n

Wichtigste Ma\u00dfnahmen zur Ad-hoc-Umsetzung<\/h3>\n

L\u00f6schen Sie vielmehr z\u00fcgig die Feuer, die auch f\u00fcr Au\u00dfenstehende als erstes bemerkt werden k\u00f6nnen, oder welche die Kernpflichten betreffen:<\/p>\n

    \n
  1. Bestellung eines betriebl. Datenschutzbeauftragten<\/em>
    \nSoweit Ihre Organisation zehn Personen oder mehr mit der nicht nur gelegentlichen Verarbeitung von personenbezogenen Daten besch\u00e4ftigt, ben\u00f6tigen Sie einen Datenschutzbeauftragten. Auch eine externe Person kann diese Funktion \u00fcbernehmen. Gleiches gilt, wenn in Ihrer Organisation weniger als zehn Personen sensible Informationen wie beispielsweise Gesundheitsdaten oder Informationen \u00fcber die ethnische Herkunft, politische, religi\u00f6se oder weltanschauliche Meinungen oder Bekenntnisse verarbeiten.<\/li>\n
  2. Datenschutzerkl\u00e4rung der Website<\/em>
    \nSoweit Ihre Organisation eine Website (oder auch eine App) anbietet, ben\u00f6tigen Sie eine Datenschutzerkl\u00e4rung nach dem Telemediengesetz. Diese ist nunmehr nach den Vorschriften der DSGVO f\u00fcr die Betroffenen deutlich transparenter zu gestalten. Sie sieht beispielsweise erweiterte Informationspflichten vor hinsichtlich der Zwecke und Rechtsgrundlagen der Datenverarbeitung, aber auch hinsichtlich der Betroffenenrechte, wie etwa das Widerspruchsrecht, das Auskunftsrecht oder das Recht auf L\u00f6schung oder Einschr\u00e4nkung der Verarbeitung.<\/li>\n
  3. Sicherstellung der Rechtsgrundlage f\u00fcr die Verarbeitung von Mitgliederdaten oder der Spendenwerbung
    \n<\/em>Dringend sollten Sie Ihr \u201eKerngesch\u00e4ft\u201c absichern: Wie k\u00f6nnen Sie die Verarbeitung von Mitgliederdaten weiterhin rechtssicher vornehmen? Wie ist k\u00fcnftig die Spendenwerbung zu handhaben? Eher in den selteneren F\u00e4llen ben\u00f6tigen Sie eine Einwilligung der Betroffenen. Oft gilt: Informieren Sie die Betroffenen schon bei Erhebung der Daten \u00fcber die geplante Nutzung und \u00fcber die Rechte als Betroffene in transparenter Art und Weise. Dann kann bereits im Rahmen der Durchf\u00fchrung des Rechtsverh\u00e4ltnisses mit dem Betroffenen eine Nutzung der Daten in erforderlicher Weise oder gest\u00fctzt auf Ihre berechtigten Interessen zul\u00e4ssig sein.<\/li>\n
  4. Dokumentation der Verarbeitungsvorg\u00e4nge<\/em>
    \nDeutlich gestiegen ist der Umfang der Dokumentationspflichten, die Organisationen erf\u00fcllen m\u00fcssen, um ihrer Rechenschaftspflicht f\u00fcr ein ordnungsgem\u00e4\u00dfes Datenschutzkonzept nachzukommen. Das Kerndokument ist dabei das Verzeichnis \u00fcber die Datenverarbeitungsvorg\u00e4nge in der Organisation, worunter gleicherma\u00dfen analoge wie systemgebundene, administrative wie operative T\u00e4tigkeiten der Datenverarbeitung fallen. Listen Sie die eingesetzten IT-Systeme sowie die Prozesse der Verwaltung auf und benennen Sie die Kategorien und Zwecke der Datenverarbeitung wie auch die davon Betroffenen. Bilden Sie lieber etwas gro\u00dfz\u00fcgigere \u201eVerarbeitungspakete\u201c, um den Aufwand zu minimieren, ein vollst\u00e4ndiges Dokument zu schaffen. Im Nachhinein kann man die Verarbeitungsvorg\u00e4nge immer noch enger erfassen.<\/li>\n<\/ol>\n

    Auch wenn nur wenig Zeit bleibt, bis die DSGVO volle Geltung entfaltet \u2013 Sie haben noch die M\u00f6glichkeit, das datenschutzrechtliche Haftungsrisiko<\/strong><\/a> Ihrer Organisation deutlich zu mindern. Mit einer strukturierten Herangehensweise k\u00f6nnen grundlegende Pflichten der DSGVO auch kurzfristig umgesetzt werden. Gerne sind Ihnen unsere Experten f\u00fcr Datenschutzrecht dabei behilflich.<\/p>\n

    \u00dcbrigens: Auf den Websites der Landesdatenschutzbeauftragten finden Sie mittlerweile zahlreiche Handreichungen und Musterdokumente.<\/p>\n

    Weiterlesen:
    \n    Datenschutzgrundverordnung \u2013 h\u00f6chste Zeit zu handeln!<\/strong><\/a>
    \n    Erstellung eines Datenschutzkonzepts f\u00fcr Ihre Nonprofit-Organisation<\/strong><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

    Der 25.05.2018 r\u00fcckt immer n\u00e4her \u2013 und damit der Stichtag, an dem \u00f6ffentliche und nicht \u00f6ffentliche Einrichtungen sowie auch Nonprofit-Organisationen die Anforderungen der Europ\u00e4ischen Datenschutzgrundverordnung (DSGVO) bedingungslos erf\u00fcllen m\u00fcssen. Die zweij\u00e4hrige Umsetzungsfrist ist dann n\u00e4mlich abgelaufen. Gleichzeitig tritt das neue Bundesdatenschutzgesetz […]<\/p>\n","protected":false},"author":3,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"footnotes":""},"categories":[41],"tags":[2285],"class_list":["post-8795","post","type-post","status-publish","format-standard","hentry","category-datenschutz","tag-datenschutzerklaerung"],"acf":[],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/posts\/8795","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/comments?post=8795"}],"version-history":[{"count":16,"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/posts\/8795\/revisions"}],"predecessor-version":[{"id":9448,"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/posts\/8795\/revisions\/9448"}],"wp:attachment":[{"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/media?parent=8795"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/categories?post=8795"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/winheller.com\/blog\/wp-json\/wp\/v2\/tags?post=8795"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}