EU-DSGVO: Checkliste mit den wichtigsten Infos zur EU-Datenschutzgrundverordnung

Wollen Unternehmen nicht Gefahr laufen, mit einem Bußgeld bestraft zu werden, sollten sie u.a. mit der EU-DSGVO Checkliste überprüfen, ob sämtliche ihrer Prozesse rechtskonform sind und sie gegebenenfalls anpassen.

Wir erläutern die wichtigsten Änderungen und Auswirkungen auf die Bereiche Lead Management und E-Mail-Datenschutz. Außerdem erfahren Sie in unserer EU-DSGVO Checkliste"    , welche Schritte Sie bereits jetzt umsetzen können und sollten.

Hier ein Überblick über die wichtigsten Fragen, die wir für Sie in unserer Lead Management und E-Mail-Marketing DSGVO Checkliste rund um die neue EU-Datenschutzgrundverordnung beantworten.

EU-DSGVO Checkliste - Das Ändert sich Konkret für Unternehmen

Die EU-Datenschutzgrundverordnung (EU-DSGVO) reformiert und vereinheitlicht die Prozesse, die mit der Erhebung und Verarbeitung personenbezogener Daten zusammenhängen und löst das bisherige, nationale Datenschutzrecht ab. Im ersten Teil unserer EU-DSGVO Checkliste verschaffen wir Ihnen einen Überblick über die grundsätzlichen Änderungen.

1. Einwilligung für Verarbeitung und Nutzung personenbezogener Daten

Die Datenverarbeitung ist grundsätzlich verboten - außer, es greift ein Erlaubnistatbestand wie die Einwilligung der betroffenen Person. Doch auch in Bezug auf Einwilligungen gibt es wesentliche Änderungen.

Tipp: Formulieren Sie im Online-Formular eine Einwilligungserklärung mit dem Hinweis auf das Widerrufsrecht und verbinden Sie diese mit einer nicht vorab angeklickten Checkbox.

2. Dokumentations- und Meldepflicht bei Datenschutzverletzungen

Um die Einhaltung der Datenschutzgrundsätze nachweisen zu können, müssen Unternehmen künftig umfassende Dokumentationen mit den Inhalten des Verzeichnisses aus Artikel 30 DSGVO führen. Im Falle von Datenschutzverletzungen ist die zuständige Behörde binnen 72 Stunden nach Bekanntwerden zu unterrichten.

Tipp: Da es sehr aufwendig ist, ein Verfahrensverzeichnis anzufertigen, sollten Sie keine Zeit verlieren. Hier   gibt es Hinweise und Mustervorlagen der Arbeitsgruppe der deutschen Aufsichtsbehörden.

3. Privacy by Design und Privacy by Default

Es gelten die Grundsätze der Datensicherheit und Datensparsamkeit. Im Rahmen der Privacy by Default sind alle Voreinstellungen so vorzunehmen, dass möglichst wenige - und nur für den jeweiligen Zweck erforderliche - personenbezogene Daten verarbeitet werden.

Tipp: Achten Sie darauf, im Rahmen der Lead-Generierung auch zu überprüfen, ob und welche Informationen wieder aus dem Profil gelöscht werden können.

4. Extraterritorialität und Marktortprinzip

Die DSGVO gilt auch für jene Unternehmen, die nicht innerhalb der EU niedergelassen sind - sofern diese Daten von EU-Bürgern verarbeiten. Desweiteren gilt das Marktortprinzip: Die DSGVO findet auch Anwendung, wenn sich ein Angebot an den nationalen Markt innerhalb der EU richtet.

5. EU-DSGVO: Recht auf Vergessenwerden oder Löschung

"Betroffene" haben künftig das Recht, ihre Daten auch im Internet löschen zu lassen. Als Unternehmen müssen Sie dafür Sorge tragen, dass dieses Verlangen umgesetzt wird und zum Beispiel andere Unternehmen, die von Ihnen Adressen erhalten haben, von einem Löschungsbegehren zu informieren.

Tipp: Richten Sie Prozesse und Zuständigkeiten ein, um den Wünschen der Betroffenen unverzüglich entsprechen zu können.

6. Auftragsdatenverarbeitung wird zur Auftragsverarbeitung in der neuen EU-DSGVO

Jegliche Art von externer Verarbeitung personenbezogener Daten im Auftrag eines Unternehmens fällt künftig unter die neue "Auftragsverarbeitung". Anbieter von Cloud-Diensten müssen außerdem garantieren, dass geeignete technische und organisatorische Maßnahmen vorliegen, um den Anforderungen des Datenschutzes und der Datensicherheit zu entsprechen. Dieser Nachweis kann auch über Zertifikate wie etwa die Norm ISO/IEC 27001 erbracht werden.

Tipp: Greifen Sie ausschließlich auf zertifizierte Anbieter zurück. Ein erstes Muster für einen Auftragsverarbeitungsvertrag gibt es hier   .

7. Sanktionen

Bei Verstößen gegen den Datenschutz drohen empfindliche Geldstrafen sowie Schadensersatzforderungen betroffener Personen.

Auswirkungen der EU-DSGVO auf E-Mail-Datenschutz und Lead Management

Viele der grundsätzlichen Neuerungen der DSGVO wirken sich auf Lead Management und E-Mail-Marketing aus. Im zweiten Teil unserer EU-DSGVO Checkliste erklären wir daher, mit welchen Änderungen unsere Kunden und Partner im Zusammenhang mit der Email-Marketing    - und Lead-Management-Software    Evalanche rechnen müssen.

1. Nutzung personenbezogener Daten für Marketingzwecke

Die DSGVO vereinfacht die Nutzung personenbezogener Daten im Marketingbereich deutlich. Künftig stehen kommerzielle Interessen im Fokus. Laut DSGVO gelten spezifische Erwägungsgründe. Das Versenden von Werbe-E-Mails wird jedoch auch mit der neuen DSGVO weiterhin die Werbe-Einwilligung des Empfängers benötigen.

To-do: Für Ihr E-Mail-Marketing und Ihren Lead Management-Prozess bedeutet das, dass Sie in jedem Fall eine ausdrückliche Einwilligung des Betroffenen einholen müssen. Bei der Datenabfrage entlang Ihrer Nurturing-Strecke müssen Sie die Grundsätze der Transparenz, Zweckbindung, Datensparsamkeit und der begrenzten Speicherung beachten.

2. Widerrufsrecht der Betroffenen im Rahmen der neuen EU-DSGVO

Der Hinweis auf das jederzeitige Widerrufsrecht in Bezug auf die Nutzung persönlicher Daten muss sich in dem Online-Formular befinden, mit dem die Einwilligung eingeholt wird.

To-do: E-Mail-Marketing: Neben dem Hinweis auf das Widerrufsrecht in der Einwilligungserklärung muss in jeder einzelnen E-Mail eine Abmeldemöglichkeit integriert sein.

3. Verzeichnis von Verarbeitungstätigkeiten

Die DSGVO sieht vor, dass künftig anstelle des Datenschutzbeauftragten der Verantwortliche selbst - also die Unternehmensführung -, ein Verzeichnis über alle Verarbeitungstätigkeiten zu führen hat.

To-do: Legen Sie bereits jetzt die Zuständigkeiten für Ihr E-Mail-Marketing und Ihr Lead Management fest und beginnen Sie damit, das Verfahrensverzeichnis zu erstellen.

4. Einwilligung mittels Checkbox und Opt-in-Verfahren im Rahmen der neuen EU-Datenschutzgrundverordnung

Auch im E-Mail-Marketing basiert die Verarbeitung personenbezogener Daten zu Werbezwecken weiterhin auf der Einwilligung des Betroffenen. Wichtig ist hierbei, dass die Freiwilligkeit und Nachvollziehbarkeit der Einwilligung gegeben sein müssen und dass Sie zum Nachweis verpflichtet sind.

To-do: Ergänzen Sie bereits jetzt Ihre Online-Formulare um eine entsprechende Checkbox mit Einwilligungserklärung und wiederholen Sie diese Einwilligungserklärung in den Datenschutzinformationen auf der Seite "Datenschutz". Da die Einwilligung nachweisbar sein muss, protokollieren Sie jeden Schritt des Double-Opt-in-Prozesses.

5. Das Recht auf Datenübertragung nach EU-DSGVO

Die DSGVO erlaubt die Speicherung personenbezogener Daten in strukturierter, maschinenlesbarer Form und wahrt damit das Recht des Betroffenen, diese Daten auf ein anderes Unternehmen zu übertragen.

To-do: Prüfen Sie, ob Ihr System den Datenexport in üblichen Formaten oder per Schnittstelle ermöglicht.

6. Anlegen von Nutzerprofilen und Tracking im Lead Management auf BAsis der EU-DSGVO 2018

Nach neuem Recht ist auch "Pseudonymisierung" eine Datenverarbeitung, so dass auch pseudonymisierte Nutzerprofile zukünftig nur auf der Grundlage einer Einwilligung des Betroffenen zulässig sein können. Personalisiertes Tracking des Nutzerverhaltens soll zukünftig durch eine neue E-Privacy-Verordnung geregelt werden. Bisher liegt dazu lediglich ein Entwurf vor, der stark umstritten ist, aber ebenfalls zum 25.05.2018 in Kraft treten soll.

To-do: Wer beim Einhalten der EU-DSGVO ganz sichergehen will, holt zukünftig sowohl für das Anlegen und Führen von Nutzerprofilen als auch für das Tracking die Einwilligung seiner Nutzer ein.

Aktuell: EU-Datenschutzregeln für die USA auf dem Prüfstand

In die USA können Daten aus Europa bislang auf Grundlage von EU-Standardvertragsklauseln oder im Rahmen des neuen EU-US-Privacy-Shields    übermittelt werden. Grundsätzlich braucht es beim Datenaustausch zwischen der EU und Drittstaaten solche zusätzlichen Garantien, dass personenbezogene Daten dort im vergleichbaren Maße geschützt sind wie in der EU selbst. Erst kürzlich fand die erste jährliche Überprüfung des EU-US-Privacy-Shields mit einem positiven Ergebnis seitens der EU-Kommission statt (vgl. Pressemitteilung der EU-Kommission vom 18.10.2017   ) - der Prüfbericht der EU-Datenschutzbehörden steht jedoch noch aus. Aktuell unterzieht der Europäische Gerichtshof (EuGH) die EU-Standardvertragsklauseln einer höchstrichterlichen Kontrolle. Der EuGH überprüft, ob bei der Datenweitergabe auf Basis der Standardvertragsklauseln die Grundrechte europäischer Bürger in den USA gewahrt sind. Die Europäische Union hat schon wegen der wirtschaftlichen Bedeutung ein großes Interesse daran, den Datenaustausch mit den USA rechtskonform zu gestalten. Daher muss man damit rechnen, dass es bei Bedarf zu zügigen Anpassungen oder Neuregelungen kommt. Es lohnt also, diese Entwicklung im Blick zu behalten.