Datenschutz für Unternehmensberatungen

Da sie personenbezogene Daten verarbeiten, müssen Unternehmensberatungen beim Datenschutz nach Art. 5  Abs. 2 DSGVO garantieren, dass sie die Grundsätze zur Verarbeitung personenbezogener Daten aus Art. 5 Abs. 1 DSGVO einhalten. Dazu müssen sie alle Datenverarbeitungsprozesse dokumentieren sowie ein Verzeichnis führen, das u. a. sämtliche Verarbeitungstätigkeiten mit Zweck und den Kategorien der Empfänger der Daten, Name und Kontaktdaten des Verantwortlichen, vorgesehene Löschfristen und eine Beschreibung der technischen und organisatorischen Maßnahmen enthält. Mehr dazu finden Sie in Art. 30 DSGVO.

Unternehmensberater können datenschutzrechtlich sowohl als Verantwortliche im Sinne des Art. 4  Nr. 7 DSGVO als auch als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO tätig werden. Liegt eine Auftragsverarbeitung vor, ist die Datenweitergabe gegenüber anderen Konstellationen der Datenweitergabe privilegiert. Das bedeutet, dass der Verantwortliche die Datenweitergabe an den Auftragsverarbeiter auf dieselbe Rechtsgrundlage stützen kann, auf welcher er die Verarbeitung stützt. Unternehmensberatungen, die bei der Beratung ihrer Klienten in deren Auftrag personenbezogene Daten verarbeiten, müssen mit diesen einen Auftragsverarbeitungsvertrag abschließen, wenn diese die Mittel und Zwecke der Verarbeitung der Daten bestimmen. Beauftragen sie als Unternehmensberater zum Beispiel auch externe Cloud-Dienstleister, interne Shared-Service-Stellen oder Ähnliches für Ihre Dienste, müssen Sie selbst als Verantwortlicher auch mit diesen einen AV-Vertrag abschließen. Besteht die Kernleistung der Beratertätigkeit hingegen nicht in der Verarbeitung personenbezogener Daten, wie z.B bei der Beratung des Managements zu Strategieentscheidungen, ist ein Auftragsverarbeitungsvertrag nicht erforderlich.

Nach Art. 30  Abs. 1 DSGVO hat der Verantwortliche ein Verzeichnis aller Verarbeitungstätigkeiten  zu führen, die seiner Zuständigkeit unterliegen. In schriftlicher oder elektronischer Form dient es als einer der Nachweise für die Einhaltung der DSGVO für Beratungsunternehmen. Die bisherigen DVR-Meldungen (Meldungen im Datenverarbeitungsregister) nach § 38 BDSG-alt wurden dadurch abgelöst.

Zwischen Unternehmen und Unternehmensberatern ist in der Regel vertraglich Vertraulichkeit vereinbart. Diese ist nur zu gewährleisten, indem personenbezogene Daten bei der Übertragung durch digitale Kanäle verschlüsselt werden, sodass sie nicht von einem unberechtigten Empfänger geöffnet oder gelesen werden können. Nach Art. 32  Abs. 1 lit. a DSGVO ist eine Verschlüsselung zwischen Auftragsverarbeitern und Verantwortlichen erforderlich. Eine gängige und effektive Methode für einen korrekten Datenschutz in Unternehmensberatungen stellt hier beispielsweise das KeyPair- bzw. Public-Key-Verfahren dar. Bei diesem werden Daten vom Versender mit dem „Public Key“ des Empfängers verschlüsselt. Entschlüsseln kann die Daten nur der Empfänger mit dem passenden „Privat Key“. So sind sie vor dem Zugriff Dritter geschützt.

Da Unternehmensberatungen beim Datenschutz auch als Verantwortlicher im Sinne von Art. 4  Nr. 7 DSGVO tätig werden, sind sie nach Art. 13, 14 DSGVO dazu verpflichtet, die Betroffenen umfassend über die Verarbeitung der personenbezogenen Daten zu informieren und auf bestimmte dem Betroffenen zustehende Rechte hinzuweisen. Dazu gehören das Recht auf Auskunft über die Zwecke und Verarbeitung der Daten, das Recht zur Berichtigung und Löschung der personenbezogenen Daten sowie die Informationen über den Widerspruch und die Datenübertragbarkeit. Für diese Informationen unterliegen Unternehmensberatungen aktiven Informationspflichten nach Art. 13 ff DSGVO.

Aufgrund der Häufigkeit und Vielfalt der Übertragung vertraulicher Daten besteht die wohl wichtigste Schutzmaßnahme für Unternehmensberatungen in Sachen Datenschutz in der Verschlüsselung von Daten bei der Übertragung nach Art. 32  Abs. 1 lit. a DSGVO. Wenn die Vertraulichkeit in den AGB eines Beratungsunternehmens garantiert wird, muss auch eine Verschlüsselung stattfinden, damit keine Abmahnung aufgrund einer Vertragsverletzung droht. Des Weiteren bieten die Dokumentation aller Verarbeitungsprozesse durch das Führen eines VVT und ggfs. das Abschließen von AV-Verträgen Schutz vor Abmahnungen.