{"id":4387,"date":"2017-11-28T09:05:11","date_gmt":"2017-11-28T08:05:11","guid":{"rendered":"https:\/\/sage.prag\/de-de\/blog\/?p=4111"},"modified":"2026-01-22T16:06:12","modified_gmt":"2026-01-22T15:06:12","slug":"startups-aufpassen-neues-datenschutzrecht-dsgvo-ab-25-5","status":"publish","type":"post","link":"https:\/\/www.sage.com\/de-de\/blog\/startups-aufpassen-neues-datenschutzrecht-dsgvo-ab-25-5\/","title":{"rendered":"Startups aufpassen: Neues Datenschutzrecht (DSGVO) ab 25.5.2018"},"content":{"rendered":"
\n\t
\n\t\t
\n\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t\tRecht, Steuern und Finanzen<\/a>\t\t\t\t\t\t<\/div>\n\t\t\t\t\n\t\t\t\t
\n\t\t\t\t\t

\n\t\t\t\t\t\tStartups aufpassen: Neues Datenschutzrecht (DSGVO) ab 25.5.2018\t\t\t\t\t<\/h1>\n\t\t\t\t<\/div>\n\n\t\t\t\t\t\t\t\t\t

\n\t\t\t\t\t\t\t\t\t\t\t<\/p>\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t<\/div>\n\n\t\t\t\t\t<\/div>\n\t\t\t\t\t

\n\t\t\t
\n\t\t\t\t\"Startups\t\t\t<\/figure>\n\t\t<\/div>\n\t\t\t\t<\/div>\n\t<\/div>\n\t\t
\n\t\t
\n\t\t\tver\u00f6ffentlicht am
\n\t
\n\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\t\t\n\t\t
\n\t\t\t\n\t\t\t\t\"Kerstin\t\t\t\tKerstin Ge\u00dfner<\/span>\n\t\t\t<\/a>\n\n\t\t\t\t\t<\/div>\n\n\t\t\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t<\/div>\n<\/div>\n\n\n\n\n\n

Aktuelle Trends in der Gr\u00fcnderszene sind Big Data oder K\u00fcnstlicher Intelligenz (KI). Letztere etwa zur Effizienzsteigerung im Finanzwesen unter Nutzung von Datenquellen wie Rechnungen, Konten usw. Au\u00dferdem dringt der KI-Trend auch schon in den Medizinsektor vor. So werden innovative Informatikprozesse, beispielsweise zur Vermeidung von Fehldiagnosen, anhand von durchaus sensiblen Patientendaten genutzt. Aber auch Dating-Agenturen oder Event-Projekte sind datenhungrig. Kurz: Die momentane Goldgr\u00e4berstimmung im Start-up-Sektor wird wesentlich von der industriellen Revolution 4.0 getragen, wobei auch Marketing 4.0 und die Digitalisierung vielf\u00e4ltiger Lebensbereiche Motoren der Entwicklung sind. Das neue Datenschutzrecht DSGVO muss daher dringend auf die Priorit\u00e4tenliste von Startups!<\/p>\n\n\n\n

<\/p>\n\n\n\n

Datenschutz: Neue DSGVO-Verordnung wird gern verdr\u00e4ngt<\/h2>\n\n\n\n

Werden also Bits und Bytes zu Gl\u00fccksfaktoren, weil selbst Kreativ-Schmieden oder Einzelh\u00e4ndler mit der tollen Gesch\u00e4ftsidee nicht mehr die Erleichterung missen m\u00f6chten, die Ihnen PC, Tablet und die digitalen Vernetzungsm\u00f6glichkeiten bringen? Alles klar, einerseits. Aber kein noch so k\u00fchl kalkulierender Entrepreneur m\u00f6chte, dass ihm selbst \u201eBig Brother\u201d unentwegt datentechnisch \u00fcber die Schulter blickt. Da k\u00f6nnte man glatt schon mal Verst\u00e4ndnis f\u00fcr die Anforderungen der seit 25. Mai 2018 verbindlichen EU-Datenschutzgrundverordnung (DSGVO)<\/strong> aufbringen. Ja \u2013 w\u00fcrde die Vorbereitung darauf nicht kalten Schwei\u00df auf die Stirn bringen wie eine angek\u00fcndigte Steuerpr\u00fcfung. Vorausgesetzt nat\u00fcrlich, man hat die Grundverordnung \u00fcberhaupt auf dem Schirm. Sich in geeigneter Weise darum zu k\u00fcmmern wird allerdings h\u00f6chste Zeit, denn bei Nichtbeachtung k\u00f6nnen Bu\u00dfgelder bis zu 20 Millionen Euro oder 4 % vom Umsatz drohen \u2013 die h\u00f6here Summe ist jeweils ausschlaggebend.<\/p>\n\n\n\n

Hilfe durch Projektteam und Check-Liste<\/h2>\n\n\n\n

Mit unserem 8-Punkte-Plan wird es jedem Startup gelingen, die Datenschutz-Grundverordnung in den Griff zu bekommen:<\/p>\n\n\n\n

1. Awareness schaffen und Umsetzungsprojekt starten<\/strong>
Zu diesem Zweck sollte die Gesch\u00e4ftsleitung die erforderlichen personellen und finanziellen Ressourcen bereitstellen. Dabei bietet es sich f\u00fcr schon etwas gr\u00f6\u00dfere Start-ups an, ein Projektteam zusammenzustellen, denn die relevanten Umsetzungen m\u00fcssen an verschiedenen Stellen im Unternehmen erfolgen \u2013 von HR, \u00fcber Legal, IT und Marketing bis hin zu Finance. Kleinere Betriebe von vielleicht nur zwei oder drei Personen sollten regelm\u00e4\u00dfig einen festen Termin zwecks Lagebesprechung in Sachen Datenschutz einrichten. Zus\u00e4tzlich l\u00e4sst sich die n\u00f6tige Expertise von au\u00dfen f\u00fcr solche Termine einholen, etwa durch Berater bzw. externen Datenschutzbeauftragten. Denn es gilt: Hat ein Startup mehr als 9 Mitarbeiter und nutzt die Verarbeitung personenbezogener Daten in seinem Gesch\u00e4ftsmodell, muss ein betrieblicher Datenschutzbeauftragter gestellt werden. Dies kann entweder ein entsprechend geschulter und zertifizierter Mitarbeiter sein oder aber ein externer Dienstleister. Startups mit weniger als 9 Angestellten sollten unbedingt pr\u00fcfen, ob die T\u00e4tigkeit Ihres Unternehmens mit der Verarbeitung personenbezogener Daten zusammenh\u00e4ngt. Wenn nicht, entf\u00e4llt die Pflicht eines betrieblichen Datenschutzbeauftragten. Falls doch, ist der Schwellenwert \u201e9 Mitarbeiter\u201c hinf\u00e4llig und ein betrieblicher Datenschutzbeauftragter muss gestellt werden.<\/p>\n\n\n\n

\n\t
\n\t\t
\n\t\t\t
\n\t\t\t\t\t\t\t\t

Checkliste EU DSGVO<\/h2>\n\n\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t

Auch kleine Unternehmen und Startups sind verpflichtet, die DSGVO-Anforderungen umzusetzen, sonst drohen empfindliche Strafen. Das gilt auch, wenn Sie Ihre Anwendungen auslagern oder in der Cloud nutzen. Denn allein Sie sind als datenerhebende Stelle f\u00fcr die Einhaltung der Bestimmungen verantwortlich. Unsere Checkliste zeigt Ihnen Schritt f\u00fcr Schritt, was Sie beachten und tun m\u00fcssen, damit Sie hinsichtlich der europ\u00e4ischen Datenschutzrichtlinien bestens vorbereitet sind.<\/p>\n\t\t\t\t\t<\/div>\n\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\tCheckliste laden<\/a>\n\t\t\t\t\t\t\t<\/div>\n\n\t\t\t\t\t<\/div>\n\n\t\t\t\t\t\"E-Book\t\t\t<\/div>\n<\/div>\n\n\n\n

2. Bestandsaufnahme und Verfahrensverzeichnis<\/strong>
Im n\u00e4chsten Schritt geht es um Feststellung s\u00e4mtlicher Datenverarbeitungsvorg\u00e4nge im Unternehmen. Sozusagen \u201eInventur\u201d: In welchen Systemen werden personenbezogene Daten wozu gespeichert, bzw. verarbeitet. Hierzu geh\u00f6re ggf. auch die Analyse von externen Dienstleistern (Stichwort: Auftragsdatenverarbeitung \u2013 \u201eADV\u201d). Beispiele k\u00f6nnen Cloud- und Hostinganbieter sein, Call-Center, ausgelagerte Lohnbuchhaltung usw. Zwecks Bestandsaufnahme l\u00e4sst sich (falls schon vorhanden) das sogenannte Verfahrensverzeichnis heranziehen, das obligatorisch einzurichten ist. Falls noch nicht geschehen, ist jetzt der Zeitpunkt, es unbedingt anzulegen, da das Verfahrensverzeichnis nach Artikel 30 DSGVO strikt vorgeschrieben und stets auf dem neuesten Stand zu halten ist.<\/p>\n\n\n\n

3. Feststellen der Rechtm\u00e4\u00dfigkeit der Datenverarbeitungsvorg\u00e4nge<\/strong>
Inwieweit liegen prinzipiell jeweils die erforderlichen Erlaubnisse vor, die sich entweder in Bezug auf genau umschriebene Vorg\u00e4nge aus gesetzlichen Grundlagen ergeben oder die auf Einwilligung der Betroffenen beruhen. Zu \u00fcberpr\u00fcfen ist ferner das Vorhandensein einer Dokumentation rechtswirksam erfolgter Zustimmungen, da die Einwilligungen gegen\u00fcber der Aufsichtsbeh\u00f6rde ggf. nachzuweisen sind. Dies gilt insbesondere f\u00fcr personenbezogene Daten zum Newsletter-Versand.<\/p>\n\n\n\n

4. Anlegen einer Datenschutz-Folgeabsch\u00e4tzung (DSFA)<\/strong>
F\u00fcr besonders risikobehaftete Datenverarbeitungen muss mittels einer Risikoanalyse festgestellt werden, ob eine sogenannte Datenschutzfolgeeinsch\u00e4tzung (Art. 35 DS-GVO) durchzuf\u00fchren ist. Als risikobehaftet kann eine Erhebung etwa dann gelten, wenn eine systematische und umfassende Bewertung pers\u00f6nlicher Aspekte (Profiling) durchgef\u00fchrt wird, woraus sich Einstufungen f\u00fcr Folgeprozesse wie Kreditvergaben und dergleichen ergeben. F\u00fcr die Inhalte der DSFA gibt es fest gelegte Formate, was enthalten zu sein hat. Im Zweifelsfalls kann man sich mit der Aufsichtsbeh\u00f6rde zur Klassifizierung in Verbindung setzen.<\/p>\n\n\n\n

Wichtige Kernprozeduren plus Personelles<\/h2>\n\n\n\n

5. Vertr\u00e4ge, Texte f\u00fcr Einwilligungen und Erkl\u00e4rungen aktualisieren<\/strong>
S\u00e4mtliche Dokumente mit datenschutzrechtlicher Relevanz m\u00fcssen auf die Anforderungen gem\u00e4\u00df EU-Grundverordnung \u00fcberpr\u00fcft und falls erforderlich angepasst werden. Dazu geh\u00f6ren Vertr\u00e4ge, Datenschutzerkl\u00e4rungen sowie die bereits unter Punkt 3 auf Vorhandensein gecheckten Einwilligungserkl\u00e4rungen. Bei n\u00e4herer Betrachtung gilt: Sie sollen fallbezogen, informativ und unmissverst\u00e4ndlich sein. Auch darf hier die Widerrufsbelehrung nicht fehlen. Manche Einwilligung wird vor diesem Hintergrund neu einzuholen sein. Eine besondere Inventur bedarf die Vertragsgestaltung und der Datenaustausch mit Auftragsdatenverarbeitern. Ebenso ist zu \u00fcberpr\u00fcfen, wie sich die Datenschutzsituation mit Partnerfirmen, vor allem solchen in Drittstaaten au\u00dferhalb der EU darstellt.<\/p>\n\n\n\n

6. Datenschutzbeauftragter, Fortbildung, Trainings<\/strong>
Auch die Bestellung eines Datenschutzbeauftragten \u2013 intern oder extern \u2013 geh\u00f6rt zu den Kernerfordernissen. Die Diskussion dar\u00fcber, dass in Betrieben unter 10 Mitarbeitern ein solcher nicht in jedem Fall vorgeschrieben ist, kann im Grunde als m\u00fc\u00dfig betrachtet werden. Schon ein Kleinunternehmen, das einfach mit PC sowie beruflich genutztem Smartphone ausgestattet ist, E-Mail-Verkehr und vielleicht noch eine kleine Kundendatenbank unterh\u00e4lt, betreibt relevante Datenverarbeitung und f\u00e4llt somit under die Anforderungen der DSGVO. Mit dem Datenschutzbeauftragten, der angestellt oder auch extern bestellt sein kann, befindet man sich in der Regel schon ein ganzes St\u00fcck auf der sicheren Seite. Jedenfalls dann, wenn er die erforderliche Qualifikation (etwa ISO-Zertifikate und Pr\u00fcfungen) aufweist und unabh\u00e4ngig ist. Ein Datenschutzbeauftragter muss nach dem Bundesdatenschutzgesetz zuverl\u00e4ssig sein und \u00fcber die erforderliche Fachkunde verf\u00fcgen. Die Zuverl\u00e4ssigkeit liegt beispielsweise nicht vor, wenn der betriebliche Datenschutzbeauftragte aufgrund seiner \u00fcbrigen T\u00e4tigkeit in Interessenkonflikte gelangen w\u00fcrde. Dies w\u00e4re etwa der Fall, wenn der Datenschutzbeauftragte sich gleichzeitig um die IT oder das Personal k\u00fcmmert, da er sich so quasi selbst \u00fcberwachen w\u00fcrde. F\u00fcr die Bestellung eines eigenen Arbeitnehmers spricht unter Umst\u00e4nden dessen Kenntnis des Unternehmens. Auf der anderen Seite m\u00fcsste ein Interner mit nicht unerheblichen Aufwand in Datenschutzfragen aus- und fortgebildet werden. Soll daher ein externer Datenschutzbeauftragter bestellt werden, so muss auch bei dessen Auswahl genau auf Zertifikationen und Pr\u00fcfungen geachtet werden. Hierzu gibt es ein Verzeichnis vom Berufsverband der Datenschutzbeauftragten Deutschlands e.V. Hier k\u00f6nnen sich Startups einen qualifizierten externen Datensch\u00fctzer an die Seite holen. Zudem wird hier ersichtlich, welchen Hintergrund ein Experte oder Beauftragter idealerweise haben sollte.<\/p>\n\n\n\n

Geh\u00f6rt dazu: \u201eHei\u00dfer Draht\u201d, Ausstattung und Orga<\/h2>\n\n\n\n

7. Betroffenenrechte und Meldeauflagen<\/strong>
Achtung: Die sogenannten Betroffenenrechte werden im Zuge von Artikel 12 \u2013 23 DSGVO deutlich gest\u00e4rkt. Die Geltendmachung von Anspr\u00fcchen auf Auskunft, Berichtigung, L\u00f6schung und \u201aVergessenwerden\u2019 , Einschr\u00e4nkung der Datenverarbeitung, Widerspruch und sonstige Beschwerden m\u00fcssen zwingend beachtet werden. Gleichsam als hei\u00dfer Draht l\u00e4sst sich hierzu ein Zentrales Beschwerdemanagement einrichten. Sicherzustellen ist, dass die Meldung von Datenschutzpannen gegen\u00fcber den Aufsichtsbeh\u00f6rden pflichtgem\u00e4\u00df innerhalb von 72 Stunden m\u00f6glich ist. Diese Frist gilt auch dann, wenn etwa seitens des Unternehmens der Beschwerde-Sachverhalt noch nicht endg\u00fcltig gekl\u00e4rt erscheint<\/p>\n\n\n\n

8. IT-Technik und Organisationsstruktur
<\/strong>Zu pr\u00fcfen ist, ob Rechnerkapazit\u00e4ten und Software-Ausstattung den neuen Datenschutzanforderungen auch unter Belastung gerecht werden. Dies gilt besonders im Hinblick auf Security-Ausstattung, da f\u00fcr die Compliance ein hohes Ma\u00df an Datensicherheit erforderlich ist. Organisatorisch geh\u00f6ren zur Datenschutzkultur im Unternehmen obendrein klare und sichere Regelungen von Zugriffsrechten auf Kundendaten. Au\u00dferdem sind vorsorglich L\u00f6schkonzepte zu erstellen.<\/p>\n\n\n\n

Und noch einmal: F\u00fcr die Bestandsaufnahme im Betrieb ist es hilfreich, wenn F\u00fchrungskr\u00e4fte und teils auch Mitarbeiter sich \u00fcber die einschl\u00e4gigen Bestimmungen umfangreich informieren.<\/p>\n\n\n\n

\n\t
\n\t\t
\n\t\t\t
\n\t\t\t\t\t\t\t\t

DSGVO Leitfaden<\/h2>\n\n\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t

In allen Branchen arbeiten Firmen mit personenbezogenen Daten. Diese Daten geh\u00f6ren Kunden, Lieferanten, Subunternehmen sowie Besch\u00e4ftigten und m\u00fcssen im Rahmen der Europ\u00e4ischen Datenschutzgrundverordnung effektiv gesch\u00fctzt werden.<\/p>\n\t\t\t\t\t<\/div>\n\t\t\t\t\n\t\t\t\t\t\t\t\t\t\t\t\t\t\tLeitfaden laden<\/a>\n\t\t\t\t\t\t\t<\/div>\n\n\t\t\t\t\t<\/div>\n\n\t\t\t\t\t\"Projektmanagement\"\t\t\t<\/div>\n<\/div>\n\n\n

\n\t
\n\t\t
\n\t\t\t
\n\t\t\t\t\t\t\t\t

2026: Alle neuen Gesetze immer im Blick<\/h2>\n\n\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\t

<\/p>\n

Bleiben Sie informiert – mit unserem Newsletter<\/strong> 1x im Monat<\/p>\n

<\/p>\n

<\/p>\n