EU-DSGVO Checkliste mit den wichtigsten Infos zur EU-Datenschutzgrundverordnung
Gastbeitrag von Jens Jacobsen
Stichtag ist der 25. Mai 2018: Die neue EU-Datenschutzgrundverordnung (DSGVO) wird wirksam.
Die neue EU-Datenschutzgrundverordnung ist bereits zum 25.05.2016 in allen Mitgliederstaaten der Europäischen Union (EU) in Kraft getreten, und die Tage der Übergangsfrist sind gezählt. Wollen Unternehmen nicht Gefahr laufen, mit einem Bußgeld bestraft zu werden, sollten sie u.a. mit der EU-DSGVO Checkliste überprüfen, ob sämtliche ihrer Prozesse rechtskonform sind und sie gegebenenfalls anpassen.
Wir erläutern die wichtigsten Änderungen und Auswirkungen auf die Bereiche Lead Management und E-Mail-Datenschutz. Außerdem erfahren Sie in unserer EU-DSGVO Checkliste 
, welche Schritte Sie bereits jetzt umsetzen können und sollten.
Hier ein Überblick über die wichtigsten Fragen, die wir für Sie in unserer Lead Management und E-Mail-Marketing DSGVO Checkliste rund um die neue EU-Datenschutzgrundverordnung beantworten.
EU-DSGVO Checkliste - Das ändert sich konkret für Unternehmen
Die EU-Datenschutzgrundverordnung (EU-DSGVO) reformiert und vereinheitlicht die Prozesse, die mit der Erhebung und Verarbeitung personenbezogener Daten zusammenhängen und löst das bisherige, nationale Datenschutzrecht ab. Im ersten Teil unserer EU-DSGVO Checkliste verschaffen wir Ihnen einen Überblick über die grundsätzlichen Änderungen.
1. Einwilligung für Verarbeitung und Nutzung personenbezogener Daten
Die Datenverarbeitung ist grundsätzlich verboten - außer, es greift ein Erlaubnistatbestand wie die Einwilligung der betroffenen Person. Doch auch in Bezug auf Einwilligungen gibt es wesentliche Änderungen.
Tipp: Formulieren Sie im Online-Formular eine Einwilligungserklärung mit dem Hinweis auf das Widerrufsrecht und verbinden Sie diese mit einer nicht vorab angeklickten Checkbox.
2. Dokumentations- und Meldepflicht bei Datenschutzverletzungen
Um die Einhaltung der Datenschutzgrundsätze nachweisen zu können, müssen Unternehmen künftig umfassende Dokumentationen mit den Inhalten des Verzeichnisses aus Artikel 30 DSGVO führen. Im Falle von Datenschutzverletzungen ist die zuständige Behörde binnen 72 Stunden nach Bekanntwerden zu unterrichten.Tipp: Da es sehr aufwendig ist, ein Verfahrensverzeichnis anzufertigen, sollten Sie keine Zeit verlieren. Hier
gibt es Hinweise und Mustervorlagen der Arbeitsgruppe der deutschen Aufsichtsbehörden. 3. Privacy by Design und Privacy by Default
Es gelten die Grundsätze der Datensicherheit und Datensparsamkeit. Im Rahmen der Privacy by Default sind alle Voreinstellungen so vorzunehmen, dass möglichst wenige - und nur für den jeweiligen Zweck erforderliche - personenbezogene Daten verarbeitet werden.Tipp: Achten Sie darauf, im Rahmen der Lead-Generierung auch zu überprüfen, ob und welche Informationen wieder aus dem Profil gelöscht werden können.
4. Extraterritorialität und Marktortprinzip
Die DSGVO gilt auch für jene Unternehmen, die nicht innerhalb der EU niedergelassen sind - sofern diese Daten von EU-Bürgern verarbeiten. Desweiteren gilt das Marktortprinzip: Die DSGVO findet auch Anwendung, wenn sich ein Angebot an den nationalen Markt innerhalb der EU richtet.5. EU-DSGVO: Recht auf Vergessenwerden oder Löschung
"Betroffene" haben künftig das Recht, ihre Daten auch im Internet löschen zu lassen. Als Unternehmen müssen Sie dafür Sorge tragen, dass dieses Verlangen umgesetzt wird und zum Beispiel andere Unternehmen, die von Ihnen Adressen erhalten haben, von einem Löschungsbegehren zu informieren.Tipp: Richten Sie Prozesse und Zuständigkeiten ein, um den Wünschen der Betroffenen unverzüglich entsprechen zu können.
6. Auftragsdatenverarbeitung wird zur Auftragsverarbeitung in der neuen EU-DSGVO
Jegliche Art von externer Verarbeitung personenbezogener Daten im Auftrag eines Unternehmens fällt künftig unter die neue "Auftragsverarbeitung". Anbieter von Cloud-Diensten müssen außerdem garantieren, dass geeignete technische und organisatorische Maßnahmen vorliegen, um den Anforderungen des Datenschutzes und der Datensicherheit zu entsprechen. Dieser Nachweis kann auch über Zertifikate wie etwa die Norm ISO/IEC 27001 erbracht werden.
Tipp: Greifen Sie ausschließlich auf zertifizierte Anbieter zurück. Ein erstes Muster für einen Auftragsverarbeitungsvertrag gibt es hier
. 7. Sanktionen
Bei Verstößen gegen den Datenschutz drohen empfindliche Geldstrafen sowie Schadensersatzforderungen betroffener Personen.
Auswirkungen der EU-DSGVO auf E-Mail-Datenschutz und Lead Management
Viele der grundsätzlichen Neuerungen der DSGVO wirken sich auf Lead Management und E-Mail-Marketing aus. Im zweiten Teil unserer EU-DSGVO Checkliste erklären wir daher, mit welchen Änderungen unsere Kunden und Partner im Zusammenhang mit der Email-Marketing 
- und Lead-Management-Software
Evalanche rechnen müssen.1. Nutzung personenbezogener Daten für Marketingzwecke
Die DSGVO vereinfacht die Nutzung personenbezogener Daten im Marketingbereich deutlich. Künftig stehen kommerzielle Interessen im Fokus. Laut DSGVO gelten spezifische Erwägungsgründe. Das Versenden von Werbe-E-Mails wird jedoch auch mit der neuen DSGVO weiterhin die Werbe-Einwilligung des Empfängers benötigen.To-do: Für Ihr E-Mail-Marketing und Ihren Lead Management-Prozess bedeutet das, dass Sie in jedem Fall eine ausdrückliche Einwilligung des Betroffenen einholen müssen. Bei der Datenabfrage entlang Ihrer Nurturing-Strecke müssen Sie die Grundsätze der Transparenz, Zweckbindung, Datensparsamkeit und der begrenzten Speicherung beachten.
2. Widerrufsrecht der Betroffenen im Rahmen der neuen EU-DSGVO
Der Hinweis auf das jederzeitige Widerrufsrecht in Bezug auf die Nutzung persönlicher Daten muss sich in dem Online-Formular befinden, mit dem die Einwilligung eingeholt wird.To-do: E-Mail-Marketing: Neben dem Hinweis auf das Widerrufsrecht in der Einwilligungserklärung muss in jeder einzelnen E-Mail eine Abmeldemöglichkeit integriert sein.
3. Verzeichnis von Verarbeitungstätigkeiten
Die DSGVO sieht vor, dass künftig anstelle des Datenschutzbeauftragten der Verantwortliche selbst - also die Unternehmensführung -, ein Verzeichnis über alle Verarbeitungstätigkeiten zu führen hat.To-do: Legen Sie bereits jetzt die Zuständigkeiten für Ihr E-Mail-Marketing und Ihr Lead Management fest und beginnen Sie damit, das Verfahrensverzeichnis zu erstellen.
4. Einwilligung mittels Checkbox und Opt-in-Verfahren im Rahmen der neuen EU-Datenschutzgrundverordnung
Auch im E-Mail-Marketing basiert die Verarbeitung personenbezogener Daten zu Werbezwecken weiterhin auf der Einwilligung des Betroffenen. Wichtig ist hierbei, dass die Freiwilligkeit und Nachvollziehbarkeit der Einwilligung gegeben sein müssen und dass Sie zum Nachweis verpflichtet sind.To-do: Ergänzen Sie bereits jetzt Ihre Online-Formulare um eine entsprechende Checkbox mit Einwilligungserklärung und wiederholen Sie diese Einwilligungserklärung in den Datenschutzinformationen auf der Seite "Datenschutz". Da die Einwilligung nachweisbar sein muss, protokollieren Sie jeden Schritt des Double-Opt-in-Prozesses.
5. Das Recht auf Datenübertragung nach EU-DSGVO
Die DSGVO erlaubt die Speicherung personenbezogener Daten in strukturierter, maschinenlesbarer Form und wahrt damit das Recht des Betroffenen, diese Daten auf ein anderes Unternehmen zu übertragen.To-do: Prüfen Sie, ob Ihr System den Datenexport in üblichen Formaten oder per Schnittstelle ermöglicht.
6. Anlegen von Nutzerprofilen und Tracking im Lead Management auf BAsis der EU-DSGVO 2018
Nach neuem Recht ist auch "Pseudonymisierung" eine Datenverarbeitung, so dass auch pseudonymisierte Nutzerprofile zukünftig nur auf der Grundlage einer Einwilligung des Betroffenen zulässig sein können. Personalisiertes Tracking des Nutzerverhaltens soll zukünftig durch eine neue E-Privacy-Verordnung geregelt werden. Bisher liegt dazu lediglich ein Entwurf vor, der stark umstritten ist, aber ebenfalls zum 25.05.2018 in Kraft treten soll.To-do: Wer beim Einhalten der EU-DSGVO ganz sichergehen will, holt zukünftig sowohl für das Anlegen und Führen von Nutzerprofilen als auch für das Tracking die Einwilligung seiner Nutzer ein.
