Die Datenschutzregeln treffen vor allem Direktvermarkter mit eigener Homepage. Aber auch alle anderen Betriebe müssen künftig mehr dokumentieren. Wir zeigen, wie Sie sich absichern.
Ab dem 25. Mai greift die neue Datenschutz-Grundverordnung. Jeder, der regelmäßig sogenannte personenbezogene Daten z.B. von Kunden, Mitarbeitern, Lieferanten oder Pächtern speichert, muss dies künftig in Verzeichnissen dokumentieren. Zudem sollten Betriebe mit eigener Homepage diese überarbeiten. Viele Regeln gelten schon länger, einige Dokumentationspflichten kommen jetzt erst hinzu.
Wer die Datenschutzregeln missachtet, dem drohen kostenpflichtige Abmahnungen oder sogar hohe Bußgelder. Welche fünf Schritte daher jetzt besonders wichtig sind, haben wir für Sie zusammengefasst:
1. Erklärungen bearbeiten:
Als Erstes sollten Direktvermarkter, Anbieter von Unterkünften sowie andere Betriebe mit eigener Homepage dort ihre Datenschutzerklärungen überarbeiten: Die neue Verordnung fordert mehr und detailliertere Infos zu erhobenen Daten und deren Verwendung als bisher. Sonst drohen Abmahnungen von Kanzleien, die im Internet begangene Verstöße schnell finden (siehe Kasten S. 46).Klären Sie – mit Ihrem Webdesigner, falls Sie einen haben – in welchem Ausmaß Ihre Homepage Daten erhebt. Gibt es z.B. Verknüpfungen zu Facebook oder einen Web-Shop? Nutzen Sie Analysedienste oder Cookies? Werden die Nutzer „getrackt“? Die Datenschutzerklärung muss alle Vorgänge erklären, sodass sie vielfach die Länge mehrerer DIN A4-Seiten umfassen wird. Für eine App ist eine eigene Erklärung nötig.
Unter www.topagrar.com/daten finden Sie Muster und Hinweise zur Erstellung. Am besten, Sie passen die Mustererklärung zusammen mit einem Rechtsanwalt an Ihre Website an.
Wichtig: Die Erklärung muss von jeder Ihrer Seiten mit einem Klick erreichbar sein. Für das Impressum reichen zwei Klicks. Ist Ihr Impressum über einen Klick zu erreichen, können Sie die Datenschutzerklärung auch dort gut sichtbar aufführen. Besser aber, Sie richten eine eigene Seite dafür ein.
Passen Sie ebenso die Datenschutzerklärungen auf Bestellformularen an und haken Sie bei Ihrer Bank nach, ob die Infos, die Kunden bei Kartenzahlung im Hofladen auf den Bons nachlesen können, den aktuellen Regeln entsprechen.
2. Opt-In-Verfahren einrichten:
Erfragen Sie z.B. von Kunden Daten, die Sie gar nicht benötigen, um den Kauf abzuwickeln, sollten Sie sich deren Einwilligung sichern (s. Übersicht S. 46). Möchten Sie von Neukunden bei Barverkauf im Laden beispielsweise die Adresse wissen, um Werbung zuzuschicken, sollten Sie sich eine Einwilligung dafür unterschreiben lassen. Damit sind Sie auf der sicheren Seite, auch wenn das Versenden von Werbung an Bestandskunden in der Regel als berechtigtes Interesse gewertet wird und damit auch ohne Einwilligung erlaubt sein dürfte.Können sich Besucher Ihrer Homepage für den Bezug von elektronischen Newslettern oder Werbe-E-Mails eintragen, sollten Sie das sogenannte Double-Opt-In-Verfahren einrichten. Mehrere Gerichte bestätigten: Nur dieses Verfahren ist geeignet, eine Einwilligung nachzuweisen, was für die Zusendung von Werbe-E-Mails an potenzielle Kunden nötig ist. Dabei trägt der Besucher seine Kontaktdaten ein, um den Newsletter oder Werbematerial zu bekommen. Anschließend erhält er eine E-Mail mit einem Link, den er anklicken muss, um die Bestellung zu bestätigen. Diese Bestätigungs-E-Mail sollten Sie als Nachweis der Einwilligung speichern. Die Mail muss zudem aufklären, dass die Einwilligung jederzeit widerrufen und damit die Werbung wieder abbestellt werden kann. Das wiederum muss bei jeder elektronisch versendeten Info mit einem Klick möglich sein. Zudem darf auch bei Newslettern und Werbe-E-Mails eine Datenschutzerklärung nicht fehlen.
Muster für diese Erklärung sowie für die Einwilligungen finden Sie unter www.topagrar.com/daten
3. Vereinbarungen abschließen:
Geben Sie personenbezogene Daten an andere weiter, müssen Sie über eine „Auftragsvereinbarung“ sicherstellen, dass diese entsprechend der Datenschutzregeln damit umgehen. Das ist z.B. nötig, wenn Sie mit einem Webdesigner oder Lettershop zusammenarbeiten, der für Sie Werbung verschickt oder Sie Daten in einer Cloud oder auf einem fremden Server speichern. Vielfach werden die Dienstleister bereits Vordrucke oder Muster dafür haben. Ein Weiteres finden Sie unter www.topagrar.com/datenAber: Geben Sie dem Steuerberater z.B. für Lohnabrechnungen Mitarbeiterdaten, müssen Sie nach Auffassung der Datenschutzbehörden mit diesem keine Auftragsvereinbarung treffen. Gleiches gilt für Ihren Rechtsanwalt.
Übermitteln Sie Daten per E-Mail, sollten Sie diese verschlüsseln.
4. Verzeichnisse erstellen:
Hantieren Sie regelmäßig mit persönlichen Daten, z.B. weil Sie Rechnungen für Lieferanten oder Abnehmer schreiben oder Lohnabrechnungen machen, müssen Sie Verzeichnisse über Ihre „Verarbeitungstätigkeiten“ führen, also über diejenigen Tätigkeiten, bei denen Sie personenbezogene Daten verarbeiten. Das wird fast jeden Betrieb betreffen.Dafür haben die Datenschutzbehörden eine dreiseitige Tabelle herausgegeben, die je Tätigkeit einzeln auszufüllen ist. Sie fragt neben Kontaktdaten des Betriebes unter anderem nach Zweck der Datenverarbeitung (z.B. Lohn- oder Finanzbuchhaltung, Arbeitszeiterfassung, Erfüllung eines Vertrags, Werbung), welche Personen betroffen sind (z.B. Lieferanten, Interessenten, Kunden), um welche Kategorie von Daten es geht (Adressdaten, Bankverbindung etc.), an wen Sie die Daten weiterleiten (z.B. Finanzamt, Steuerberater) und wann Sie sie löschen (i.d.R. wenn der Datenverarbeitungszweck wegfällt).
Es dürfte normalerweise ausreichen, wenn Sie die Verzeichnisse nach bestem Wissen und Gewissen ausfüllen und aktuell halten bzw. weitere erstellen, wenn Verarbeitungstätigkeiten dazukommen. Die Tabelle samt Ausfüllhinweisen gibt es unter www.topagrar.com/daten. Bauernverbände wie der Westfälisch-Lippische Bauernverband, der Bauern- und Winzerverband Rheinland-Nassau und der Rheinische Landwirtschafts-Verband haben angekündigt, ihren Mitgliedern Hilfestellung zu leisten.
Die Verzeichnisse können Sie sowohl nutzen, um z.B. Kunden zu informieren, die fragen, was mit ihren Daten geschieht – wozu sie jederzeit das Recht haben – als auch als Nachweis bei möglichen Kontrollen (s. Kasten unten).
5. Beauftragten bestimmen?
Betriebe mit zehn oder mehr Personen, die ständig personenbezogene Daten z.B. zur Erstellung von Rechnungen verarbeiten, müssen einen Datenschutzbeauftragten bestimmen und den Behörden melden.Das trifft vor allem große Direktvermarkter mit vielen Mitarbeitern im Vertrieb. Während die meisten anderen Landwirte keinen Datenschutzbeauftragten benötigen werden. Ist dies doch der Fall, darf dieser nicht der Betriebsleiter oder ein Mitarbeiter sein, der die Daten verarbeitet. Sie könnten entweder einen anderen Mitarbeiter oder einen Dienstleister z.B. vom TÜV oder einer Anwaltskanzlei beauftragen. Der Beauftragte muss sich mit Datenschutzrecht auskennen und den Betriebsleiter bei Einhaltung der Datenschutzregeln helfen. Mehrtägige Fortbildungen zum Datenschutzbeauftragten bieten z.B. die Industrie- und Handelskammern an.
Kontakt:
johanna.garbert@topagrar.com
