Legal Guide #7: Datenschutzrecht – 10 To Do's für Gründer*innen

Schon in der Anfangsphase eines Gründungsprojekts stellen sich einige wichtige rechtliche Fragen. In unserer "Legal Guide" Blogserie widmen wir uns rechtlichen Grundlagen für Start-ups und klären die wichtigsten Rechtsfragen, die vielen Gründer*innen auf dem Herzen liegen. Dafür haben wir uns fachliche Unterstützung von den Rechtsanwälten und Rechtsanwältinnen von Aulinger Rechtsanwälte Notare geholt, die euch in unseren Legal Guides einen kompakten Überblick über Rechtsthemen für Gründer*innen geben. Unser Legal Guide #7 behandelt das Thema Datenschutzrecht. Als Gründer*in jonglierst du mit vielen Aufgaben: Produktentwicklung, Finanzierung, Teamaufbau – und dann auch noch Datenschutz? Klingt nicht gerade spannend, ist aber entscheidend. Denn Datenschutz ist nicht nur eine rechtliche Pflicht, sondern auch ein Vertrauensfaktor für Kund*innen, Investor*innen und Partner*innen. Ein durchdachtes Datenschutzkonzept erspart dir nicht nur Bußgelder, sondern ist ein echtes Asset im Wettbewerb. Daher zeigen wir dir in unserem Legal Guide #7 10 To Do’s rund um das Thema Datenschutz, die du als Gründer*in beachten solltest.

1. Verstehe die Grundlagen der DSGVO

Bevor du Datenschutz umsetzt, solltest du wissen, worum es geht. Die DSGVO (Datenschutz-Grundverordnung) enthält Vorschriften zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Zu den personenbezogenen Daten zählen alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. z.B. Name, E-Mail- und IP-Adressen sowie Standortdaten. Die DSGVO gilt für alle Unternehmen mit Sitz in der EU und auch für Unternehmen außerhalb der EU, sobald sie Waren und Dienstleistungen innerhalb der EU anbieten und dabei personenbezogene Daten von Personen innerhalb der EU verarbeiten. Die wichtigsten Adressaten der DSGVO sind folgende: „Verantwortlicher" (in der Regel dein Start-up), „Auftragsverarbeiter" (z.B. externe Dienstleister) und „betroffene Personen" (deine Nutzer*innen, Kund*innen etc.).

Nach kurzer Internetrecherche findet man eine Vielzahl hilfreicher und frei verfügbarer Informationen, mit denen du deine Kenntnisse im Datenschutzrecht vertiefen kannst, z.B. mit praxisnahen Leitfäden der Industrie- und Handelskammern und der Datenschutzbehörden. Es gibt auch viele gute Angebote speziell für Start-ups!

2. Kläre interne Verantwortlichkeiten

Datenschutz ist Chefsache – zumindest am Anfang. Spätestens mit dem Wachstum deines Unternehmens solltest du aber klar regeln, wer sich um datenschutzrechtliche Themen kümmert. Vielleicht bist du sogar verpflichtet, einen Datenschutzbeauftragten zu benennen. Diese Pflicht trifft dich u.a. dann, wenn in deinem Unternehmen mindestens 20 Mitarbeitende regelmäßig personenbezogene Daten verarbeiten. Auch unabhängig von der Mitarbeiterzahl kann eine Bennenungspflicht bestehen – etwa dann, wenn die Kerntätigkeit deines Unternehmens die Verarbeitung personenbezogener Daten ist, die aufgrund Art, Umfang und/oder Zweck eine umfangreiche regelmäßige und systematische Beobachtung personenbezogener Daten erforderlich machen.

Ein externer Datenschutzbeauftragter kann eine gute und kostengünstige Lösung für dein Start-up sein. Wichtig: Die Benennung muss dokumentiert und an die Aufsichtsbehörde gemeldet werden.

3. Führe eine Bestandsaufnahme durch

Zu Beginn deiner Tätigkeit solltest du eine Bestandsaufnahme machen. An welchen Stellen werden in deinem Unternehmen personenbezogene Daten wie und zu welchem Zweck verarbeitet?

Zentraler Bestandteil einer erfolgreichen Bestandsaufnahme ist das sogenannte Verzeichnis der Verarbeitungstätigkeiten. Ein solches Verzeichnis muss fast jeder Datenverantwortliche führen (Art. 30 DSGVO). In diesem Verzeichnis listest du u.a. auf, welche Daten du wofür verarbeitest, wie lange du sie speicherst, und wer Zugriff auf die Daten hat. Klingt aufwändig, ist aber die Basis für jedes gute Datenschutzkonzept.

Wichtig ist, dass du dieses Verzeichnis auch später regelmäßig aktualisierst.

4. Plane Datenschutz von Anfang an ein

Um Datenschutz solltest du dich nicht nachträglich kümmern, sondern ihn direkt in deine Arbeitsprozesse und Produkte einbauen. Das nennt man „Datenschutz durch Technikgestaltung" oder auch „Privacy by Design". Dahinter steckt der Gedanke, dass der Datenschutz bei Datenverarbeitungsvorgängen am besten eingehalten wird, wenn er bei deren Erarbeitung bereits technisch integriert ist.

Daneben solltest du von Anfang an sicherstellen, dass standardmäßig nur so viele Daten erhoben werden, wie unbedingt nötig. Dies nennt man „Datenschutz durch datenschutzfreundliche Voreinstellungen“ oder auch „Privacy by Default". Dazu ein Beispiel: Wenn deine Website ein Kontaktformular enthält, dann sollten nur solche Dateneingabefelder als Pflichtfelder gekennzeichnet werden, die du für die Kontaktaufnahme tatsächlich benötigst. Also kein Geburtsdatum, wenn du nur die E-Mail-Adresse für den Kontakt brauchst. So vermeidest du unnötige Risiken und beachtest den datenschutzrechtlichen Grundsatz der Datenminimierung.

5. Setze technische und organisatorische Maßnahmen um

Datenschutz ist auch IT-Sicherheit – dein Unternehmen braucht angemessene Schutzmaßnahmen. Nach Art. 32 DSGVO musst du technische und organisatorische Maßnahmen (TOM) umsetzen, um die Sicherheit der Verarbeitung personenbezogener Daten zu gewährleisten. Dazu gehören z.B. sichere Passwörter, Verschlüsselungen, Firewalls, Backup-Konzepte und Zugriffsbeschränkungen. Was genau angemessen ist, hängt von deinem Unternehmen ab – insbesondere von der Art der Daten, die du verarbeitest und dem Risiko bei einem möglichen Datenverlust.  

Wichtig: Die Maßnahmen müssen in deinem Verzeichnis der Verarbeitungstätigkeiten dokumentiert sein.

6. Gestalte deine Website rechtskonform

Deine Website ist oft deine Visitenkarte: für Kund*innen, Investor*innen und die Konkurrenz. Wenn schon deine Website nicht DSGVO-konform gestaltet sein sollte, drängt sich leicht der Verdacht auf, dass dein Unternehmen es auch sonst nicht so eng mit dem Datenschutz sieht. Aus diesem Grund solltest du dich u.a. mit den folgenden Themen befassen:

Datenschutzerklärung: Transparenz ist ein zentrales Prinzip der DSGVO. Du musst die betroffenen Personen darüber informieren, welche Daten du erhebst, warum du dies tust und mit welchen Mitteln. Zu diesem Zweck muss deine Website über eine leicht verständliche und einfach zu erreichende Datenschutzerklärung verfügen.

Impressum: Daneben benötigt deine Website auch ein Impressum. Sobald du für dein Unternehmen eine Internetpräsenz erstellst, bist du nach § 5 Digitale-Dienste-Gesetz (DDG) und ggf. § 18 Medienstaatsvertrag (MStV) verpflichtet, ein Impressum anzugeben. Beachte dabei, dass Datenschutzerklärung und Impressum getrennt voneinander aufgeführt werden sollten. Es ist nicht ausreichend, die Datenschutzerklärung ins Impressum zu integrieren.

Consent-Tool: Cookies sind kleine Textdateien, die beim Besuch von Websites auf dem lokalen Rechner der Nutzer*innen gespeichert werden können und mit deren Hilfe personenbezogene Daten der User erhoben werden. Technisch notwendige Cookies, die dafür sorgen, dass deine Website ordnungsgemäß funktioniert, sind einwilligungsfrei zulässig. Nicht notwendige Cookies darfst du hingegen nur einsetzen, wenn deine Nutzer*innen ihre Einwilligung erteilen. In diesem Fall benötigt die Website ein sogenanntes Consent-Tool, um Einwilligungen datenschutzkonform einzuholen und zu dokumentieren.

7. Schließe Verträge mit Auftragsverarbeitern ab

Wenn du Tools oder Services von Dritten nutzt, die in deinem Auftrag personenbezogene Daten verarbeiten (z.B. Cloud-Lösungen, Newsletter-Tools oder Buchhaltungsdienste), musst du mit diesen einen Auftragsverarbeitungsvertrag (AVV) abschließen. Mit diesem stellst du sicher, dass der Dienstleister als dein Auftragsverarbeiter die Umsetzung datenschutzrechtlicher Anforderungen gewährleistet. Ohne diesen Vertrag handelt sowohl dein Unternehmen als auch der Dienstleister nicht DSGVO-konform.

Viele Dienstleister stellen inzwischen Musterverträge zur Verfügung, die du einfach digital abschließen kannst. Wir empfehlen dir, stets kritisch zu prüfen, welche vertragliche Verpflichtungen der AVV enthält. Wenn dir eine Regelung komisch vorkommt, solltest du vor Abschluss des Vertrages einen Datenschutzexperten bzw. deinen Datenschutzbeauftragten kontaktieren.

8. Stelle Betroffenenrechte sicher

Betroffene Personen haben Rechte: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung u.a. Wirf dazu am besten einen Blick in Kapitel 3 DSGVO (Art. 12 – 23 DSGVO). Du musst Prozesse etablieren, wie du mit solchen Anfragen umgehst und sie fristgerecht beantwortest (i.d.R. innerhalb eines Monats).

Ein einfaches Beispiel: Wenn eine Kundin Auskunft verlangt, musst du mitteilen, welche Daten du über sie gespeichert hast, zu welchem Zweck, wie lange und an wen du sie weitergegeben hast. Richte dafür am besten eine zentrale Anlaufstelle ein, die du auch in deiner Datenschutzerklärung benennst.

9. Bereite dich auf Datenschutzverletzungen vor

Ein verlorener Laptop, ein gehacktes E-Mail-Konto oder eine falsch adressierte E-Mail – Datenpannen passieren. In diesen Fällen musst du wissen, was zu tun ist: interne Dokumentation, ggf. Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden und Benachrichtigung der Betroffenen. Dabei gilt, dass Datenpannen nicht immer gemeldet werden müssen, aber die Bewertung, ob eine Meldung erforderlich ist, muss nachvollziehbar dokumentiert sein. Wir empfehlen dir daher, frühzeitig einen Notfallplan mit klaren Verantwortlichkeiten zu erstellen.

10. Schaffe Awareness und bleib am Ball

Damit Datenschutz im Arbeitsalltag gelebt wird, braucht es Sensibilisierung im Team. Alle Mitarbeitenden sollten verstehen, warum Datenschutz wichtig ist und wie sie ihn konkret im Alltag umsetzen. Du solltest daher regelmäßige Schulungen durchführen. Sofern dein Unternehmen über keinen Datenschutzbeauftragten verfügt, sind auch externe Schulungslösungen, z.B. E-Learnings, denkbar. 

Schließlich bleibt festzuhalten: Datenschutz ist kein einmaliges Projekt, sondern ein laufender Prozess – besonders für Start-ups, die schnell wachsen. Wenn du die Grundlagen richtig aufsetzt, vermeidest du spätere Probleme.