Datenschutz für Unternehmensberatungen

Da sie personenbezogene Daten verarbeiten, müssen Unternehmensberatungen beim Datenschutz nach Art. 5  Abs. 2 DSGVO garantieren, dass sie die Grundsätze zur Verarbeitung personenbezogener Daten aus Art. 5 Abs. 1 DSGVO einhalten. Dazu müssen sie alle Datenverarbeitungsprozesse dokumentieren sowie ein Verzeichnis führen, das sämtliche Verarbeitungstätigkeiten mit Zweck und den Kategorien der Empfänger der Daten enthält. 

Unternehmensberatungen können im Datenschutz sowohl als Verantwortliche im Sinne des Art. 4  Nr. 7 DSGVO als auch als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO tätig werden. Ein Auftragsverarbeitungsvertrag  muss nach Art. 28  Abs. 3 DSGVO mit dem Auftragsverarbeiter abgeschlossen werden, da die Datenverarbeitung durch den Beauftragten grundsätzlich auf einer Rechtsgrundlage, wie zum Beispiel einem Vertrag, beruhen muss. Wenn Unternehmensberatungen bei der Beratung ihrer Klienten also in deren Auftrag Daten verarbeiten, müssen sie mit diesen einen Auftragsverarbeitungsvertrag abschließen. Falls Sie als Unternehmensberater zum Beispiel auch externe Cloud-Dienstleister, interne Shared-Service-Stellen oder Ähnliches für Ihre Dienste beauftragen, müssen Sie als Verantwortlicher auch mit diesen einen AV-Vertrag abschließen

Nach Art. 30  Abs. 1 DSGVO hat der Verantwortliche ein Verzeichnis aller Verarbeitungstätigkeiten  zu führen, die seiner Zuständigkeit unterliegen. In schriftlicher oder elektronischer Form dient es als Nachweis für die Einhaltung der DSGVO für Beratungsunternehmen. Die bisherigen DVR-Meldungen (Meldungen im Datenverarbeitungsregister) nach § 38 BDSG-alt wurden dadurch abgelöst. Ein VVT müssen Unternehmensberatungen sowohl für Verantwortliche (Art. 30 Abs. 1 DSGVO) als auch für Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO) erstellen. 

Das VVT für Verantwortliche muss nach der DSGVO für Beratungsunternehmen jeweils Namen und Kontaktdaten des Verantwortlichen enthalten sowie die Datenverarbeitungszwecke und Detailangaben zu den einzelnen Zwecken. Auch eine allgemeine Beschreibung der technisch-organisatorischen Datensicherheitsmaßnahmen wird gefordert. 

Das VVT für den Auftragsverarbeiter muss ebenfalls Namen und Kontaktdaten des Auftragsverarbeiters enthalten. Zusätzlich sind hier Namen und Kontaktdaten des Verantwortlichen sowie Angaben zur Auftragsdatenverarbeitung wie Kategorien der Verarbeitung und ggf. die Übermittlung der Daten an Drittländer zu machen. Auch die Beschreibung der technisch-organisatorischen Datensicherheitsmaßnahmen darf am Ende nicht fehlen. 

Zwischen Unternehmen und Unternehmensberatern ist in der Regel Vertraulichkeit vereinbart – etwa per Vertrag oder durch die AGB. Diese ist nur zu gewährleisten, indem personenbezogene Daten bei der Übertragung durch digitale Kanäle verschlüsselt werden, sodass sie nicht von einem unberechtigten Empfänger geöffnet oder gelesen werden können. Nach Art. 32  Abs. 1 a DSGVO ist eine Verschlüsselung zwischen Auftragsverarbeitern und Verantwortlichen erforderlich. Eine gängige und effektive Methode für einen korrekten Datenschutz in Unternehmensberatungen stellt hier beispielsweise das „KeyPair“-Verfahren dar. Bei diesem werden Daten vom Versender mit dem „Public Key“ des Empfängers verschlüsselt. Entschlüsseln kann die Daten nur der Empfänger mit dem passenden „Privat Key“. So sind sie vor dem Zugriff Dritter geschützt.

Da Unternehmensberatungen beim Datenschutz auch als Verantwortlicher im Sinne von Art. 4  Nr. 7 DSGVO tätig werden, treffen sie nach Art. 13, 14 DSGVO bestimmte Transparenz- und Informationspflichten. Dazu gehören das Recht auf Auskunft über die Zwecke und Verarbeitung der Daten, das Recht zur Berichtigung und Löschung der personenbezogenen Daten sowie die Informationen über den Widerspruch und die Datenübertragbarkeit. Diese Informationen sollten Unternehmensberatungen den Betroffenen unverzüglich geben können. 

Aufgrund der Häufigkeit und Vielfalt der Übertragung vertraulicher Daten besteht die wohl wichtigste Schutzmaßnahme für Unternehmensberatungen in Sachen Datenschutz in der Verschlüsselung von Daten bei der Übertragung nach Art. 32  Abs. 1 a DSGVO. Wenn die Vertraulichkeit in den AGB eines Beratungsunternehmens garantiert wird, muss auch eine Verschlüsselung stattfinden, damit keine Abmahnung aufgrund einer Vertragsverletzung droht. Des Weiteren bieten die Dokumentation aller Verarbeitungsprozesse sowie das Führen eines VVT und das Abschließen von AV-Verträgen Schutz vor Abmahnungen. Zudem müssen Unternehmensberatungen nach Art. 37  Abs. 1 b DSGVO und §38  I BDSG-neu einen Datenschutzbeauftragten bestellen, da sie bei der Beratung von Unternehmen geschäftsmäßig Daten verarbeiten. Ein Datenschutzbeauftragter kann Ihnen auch helfen, sich zusätzlich vor Abmahnungen auf Basis der DSGVO zu schützen.