Frist: 25. Mai 2018
Spätestens am 25. Mai 2018 müssen wir, Sie und alle anderen, die in der EU tätig sind, nach diesen Gesetzen leben. Die Gesetze haben Konsequenzen für Unternehmen innerhalb und außerhalb der EU — sobald sie mit EU-Bürgern zu tun haben. Bevor wir auf die Konsequenzen eingehen, wollen wir uns kurz mit den Gründen befassen, die hinter der DSGVO stehen.
Warum DSGVO?
Warum hat die EU überhaupt erst mit der DSGVO begonnen? Eigentlich hatten sie vier sehr gute Gründe:
- den Schutz von Personen verbessern.
- den Export von personenbezogenen Daten auf Server außerhalb der EU, wo wenig oder kein Schutz vorhanden ist, regeln.
- Bürgern wieder die Kontrolle über ihre eigenen Daten zurückgeben, anstatt alles Facebook und Google zu überlassen.
- Und ob Sie es glauben oder nicht — um es einfacher zu machen, ein internationales Unternehmen zu sein, indem sie innerhalb der EU ein einheitliches Regelwerk schaffen.
Vier sehr edle Gründe.
"Persönliche Informationen" — was ist das?
Der Zweck der DSGVO ist edel, aber was genau sind diese "persönlichen Informationen"? In Bezug auf die DSGVO sind "persönliche Informationen" alles, was mit einer Person in Verbindung gebracht werden kann. Wenn Sie nicht alle Ihre Daten anonymisiert haben — und das ist kaum machbar — sprechen wir von vielen Daten. Natürlich sind darunter sehr sensible Daten über Gesundheit, Politik und Sex. Aber auch normale CRM-Daten — sowie Namen, Adressen und persönliche Interessen. Selbst eine einfache Anmeldung für einen Newsletter. All dies sind persönliche Daten! Und alles, was Sie in Bezug auf Ihre Mitarbeiter haben — die aktuellen, ehemaligen und die potenziell neuen Mitarbeiter. Es sind alles persönliche Daten!
Persönliche Daten — na und?
Wenn es sich um personenbezogene Daten dreht, müssen diese als solche behandelt werden. Und wenn Sie mit persönlichen Daten umgehen, haben Sie eine Reihe von Verpflichtungen. Sie müssen:
- sicherstellen, dass Sie die Daten, die Sie haben, sammeln dürfen (und dass Sie sie für nichts anderes verwenden).
- die Daten vor dem Zugriff von Personen ohne Berechtigung schützen.
- die Daten vernichten, wenn Sie keinen rechtmäßigen Grund mehr haben, diese zu behalten.
- jeder Person innerhalb von 30 Tagen eine Liste mit allen Informationen, die Sie haben, geben und alles löschen, wenn die Berechtigung widerrufen wird.
- die Behörden innerhalb von 72 Stunden nach einem Datenleck informieren.
Alarmierende Konsequenzen
Ich werde nicht auf die Geldstrafe von Millionen von Euro eingehen. Sie haben wahrscheinlich schon genug gehört, um zu verstehen, dass die EU es ernst meint und diejenigen bestrafen will, die die neuen Regeln einfach ignorieren. Wir sind jedoch der Ansicht, dass die Geldstrafe in Höhe von Millionen von Euro für Unternehmen gedacht ist, die hauptgeschäftlich mit personenbezogenen Daten umgehen — nicht für normale Unternehmen. Aber wenn die Behörden Sie völlig unvorbereitet treffen oder Sie die Regeln absichtlich ignorieren, werden Sie wahrscheinlich auch ein unangenehmes Geschenk erhalten. Hinzu kommt der Schaden, der Ihrem Unternehmen zugefügt wird, wenn öffentlich bekannt wird, dass Sie zu den Bösen gehören.
Unser bester Rat
Unser bester Rat — und diesen bekommen Sie kostenlos: Ignorieren Sie die DSGVO nicht! Möglicherweise können oder wollen Sie bis zum 25. Mai 2018 die Regeln nicht 100% einhalten. Aber ignorieren Sie sie trotzdem nicht. Legen Sie jetzt los. Machen Sie Ihre Analyse, machen Sie Ihre Pläne und dokumentieren Sie, was Sie tun. Wir können nicht garantieren, dass Sie damit in trockenen Tüchern sind. Aber alles, was wir hören, deutet darauf hin, dass das Belegen Ihres guten Willens und die Bereitschaft zur Einhaltung der Vorschriften Ihnen helfen werden, mit den Behörden in gutem Kontakt zu bleiben.
10% IT — 90% Organisation
Die Verpflichtungen im Zusammenhang mit personenbezogenen Daten sind anspruchsvoll. Viele Unternehmen überlassen diese Herausforderung der IT. Aus unserer Sicht sind 90% der Aufgabe organisatorisch. Ihre Prozesse verstehen, entscheiden und dokumentieren, wie jeder von Ihnen persönliche Daten verwenden sollte. Nur dann - die restlichen 10% - drehen sich darum, auch Ihre IT-Systeme darauf vorzubereiten.
Sie verwenden bereits das Next® Enterprise-Archiv?
Wenn Sie Next® bereits zum Speichern und Bearbeiten personenbezogener Daten verwenden — HR-Dokumente, Gehaltsabrechnungen, Verträge und E-Mails, um nur einige zu nennen — müssen Sie sicherstellen, dass die Konfiguration Ihres Next® Ihre DSGVO-Einhaltung unterstützt. Wenden Sie sich hierfür an Ihr örtliches Nextway Büro und fragen Sie nach einer Begutachtung.
Ist Next® DSGVO konform?
Es gibt keine Softwarezertifizierung für die Einhaltung der DSGVO. Wenn Ihnen jemand etwas anders erzählt — lügt er! Bei der Compliance dreht es sich mehr um Prozesse als um Software. Aber natürlich muss die Software so konzipiert sein, dass sie Sie bei Ihren Compliance-Bemühungen unterstützen kann — und das ist Next®. Wir haben sogar einige Last-Minute-Features hinzugefügt, um auf der sicheren Seite zu sein.
Was ist mit dem Rest?
Die Kontrolle über die persönlichen Daten in Ihren Geschäftssystemen zu gewinnen ist eine Herausforderung. Sicherzustellen, dass Ihr Next® Enterprise-Archiv konform eingerichtet und verwendet wird, ist keine leichte Aufgabe. Aber was ist mit dem Rest? Unserer Erfahrung nach sind die schlimmsten Täter gemeinsame Netzlaufwerke und das Firmen-E-Mail-System.
Netzlaufwerke und E-Mail-Systeme sind die schlimmsten
Persönliche Daten in Ihren Mailboxen
Niemand — fast niemand — hat die volle Kontrolle darüber, welche persönlichen Daten auf ihren freigegebenen Netzlaufwerken und in ihrem Unternehmens-E-Mail-System gespeichert sind. Persönliche Daten in Bezug auf Interessenten, Kunden und Lieferanten. Und vor allem persönliche Daten von Mitarbeitern. Wenn Sie einer der Wenigen sind, gratuliere ich Ihnen, dass Sie zu den Auserwählten gehören. Wenn Sie nicht dazu gehören, ermutige ich Sie, einen Blick auf unsere Lösungen zu werfen — Next® E-Mails und Next® Enterprise Archive. Sie werden nicht alles für Sie in Ordnung bringen, aber es wird den Prozess weniger schmerzhaft machen.
Das Ende der manuellen Prozesse
Die EU-Datenschutzverordnung kann das Ende manueller Prozesse bei der Verarbeitung personenbezogener Daten bedeuten. Denken Sie an den Prozess der Sammlung und Auswertung von Bewerbungen für eine offene Stelle in Ihrem Unternehmen. Der Großteil dieses Prozesses ist wahrscheinlich manuell. Natürlich unterstützt von IT-Anwendungen wie Word, Excel, Outlook und Sharepoint. Aber solange Sie nicht mit einem geeigneten Prozess-Tool arbeiten, können Sie kaum garantieren, dass nach Abschluss des Auswahlprozesses keine Bewerbung und kein Lebenslauf im Unternehmen vorhanden ist. Und vergessen Sie nicht - die Bewerber haben ein Recht darauf vergessen zu werden. Natürlich sind wir voreingenommen, aber wir glauben, dass mehr Organisationen nach Lösungen wie unserem Next® Processes Ausschau halten werden. Für Bewerbungen und viele andere Prozesse.
PS. Wenn Sie Next® bereits verwenden, benötigen Sie eine unterzeichnete Datenverarbeitungsvereinbarung von uns.
Diese können Sie baldigst von hier runterladen.
