Neue EU-Grundverordnung: Was bedeutet Datenschutz für Autohäuser?

Wie wichtig der Datenschutz ist, wird einem derzeit durch den Skandal um Facebook wieder einmal vor Augen geführt. Ab dem 25.05.2018 gilt die neue EU-Datenschutzgrundverordnung (nachfolgend DSGVO). Auf Grund der großen Verunsicherung in der Praxis wollen wir nachfolgend nochmals auf die wichtigsten Änderungen und Vorschriften, die ein Kfz-Betrieb im Hinblick auf Kundendaten, aber auch speziell im Hinblick auf Mitarbeiterdaten beachten muss, eingehen. Dreh- und Angelpunkt: personenbezogene Daten Die DSGVO definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Das sind vor allem folgende: - allgemeine Personendaten (Name, Geburtsdatum und Alter, Geburtsort, Anschrift, E-Mail-Adresse, Telefonnummer usw.) - Kennnummern (Sozialversicherungsnummer, Steueridentifikationsnummer, Nummer bei der Krankenversicherung, Personalausweisnummer, Matrikelnummer usw.) - Bankdaten (Kontonummern, Kreditinformationen, Kontostände usw.) - Online-Daten (IP-Adresse, Standortdaten usw.) - physische Merkmale (Geschlecht, Haut-, Haar- und Augenfarbe, Statur, Kleidergröße usw.) - Besitzmerkmale (Fahrzeug- und Immobilieneigentum, Grundbucheintragungen, Kfz-Kennzeichen, Zulassungsdaten usw.) - Kundendaten (Bestellungen, Adressdaten, Kontodaten usw.) Werturteile (Schul- und Arbeitszeugnisse usw.) Grundsätze für die Verarbeitung personenbezogener Daten: - Rechtsmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz - Zweckbindung - Datenminimierung - Richtigkeit - Integrität und Vertraulichkeit - Speicherbegrenzung - Rechenschaftspflicht Wen betrifft die DSGVO? Die neue EU-DSGVO gilt für alle Unternehmen, die in der EU ansässig sind. Das bedeutet, die Größe des Unternehmens, sei es ein Ein-Mann-Betrieb oder ein weltweit agierender Konzern, ist irrelevant, der Datenschutz gilt für alle! Eine Erleichterung gibt es für kleinere Betriebe hinsichtlich des Datenschutzbeauftragten. Erst Unternehmen, in denen zehn oder mehr Personen ständig mit der Bearbeitung personenbezogener Daten mittels EDV beschäftigt sind, müssen einen Datenschutzbeauftragten bestellen. Hierbei sind also insbesondere die Beschäftigten heranzuziehen, die z. B. ständig mit dem Dealer Management System arbeiten, den Lohn der Mitarbeiter erstellen oder täglich in anderer Weise Kundendaten verarbeiten. Dabei ist zu berücksichtigen, dass es dem Unternehmer freigestellt ist, ob er einen externen oder einen internen Datenschutzbeauftragen bestellt. Beachten Sie nur, wenn Sie einen internen Datenschutzbeauftragten bestellen, dass dieser Mitarbeiter einen besonderen Kündigungsschutz genießt. Zudem muss der eigene Mitarbeiter natürlich auch die entsprechenden Kenntnisse aufweisen. Eine reine 'pro Forma'-Bestellung eines Mitarbeiters erfüllt die gesetzlichen Voraussetzungen nicht. Wichtig: Verarbeitungsverzeichnis Jeder Kfz-Betrieb ist verpflichtet, ein Verzeichnis über alle Verarbeitungstätigkeiten von personenbezogenen Daten zu führen. In diesem Verzeichnis müssen insbesondere die Verarbeitungstätigkeit und der Verantwortliche aufgenommen werden. Bitte beachten Sie nochmals, dass diese Verpflichtung für ALLE Unternehmen, unabhängig von der Mitarbeiteranzahl gilt! Bedenken Sie, dass die Aufsichtsbehörden Einsicht in die Verzeichnisse verlangen können. Nachfolgend stellen wir ein Musterverzeichnis anhand des Beispiels einer beim Steuerberater ausgelagerten Lohnbuchhaltung dar: 1. Beschreibung der Verarbeitungstätigkeit: Lohnabrechnung über Steuerberater 2. Angaben zum Verantwortlichen/Ansprechpartner: Herr/Frau Mustermann, Tel., E-Mail-Adresse 3. Angaben zum Vertreter des Verantwortlichen: Herr/Frau Mustermann, Tel., E-Mail-Adresse 4. Datum der Einführung: 02.01.2018 5. Beschreibung der Zwecke der Verarbeitung: Auszahlung Löhne/Gehälter, Abfuhr Lohnsteuer, Sozialabgaben 6. Kategorie der Betroffenen Personen: Mitarbeiter, Beschäftigte 7. Kategorie von personenbezogenen Daten: Name, Geburtsdatum, Adresse, Bankdaten, Kennnummern (Sozialversicherungsnummer, Steueridentifikationsnummer, Nummer bei der Krankenversicherung) 8. Kategorie von Empfängern der Daten: Steuerberater 9. Löschfristen: zehn Jahre (gesetzliche Aufbewahrungsfristen 10. Technische oder organisatorische Maßnahmen bezüglich der Löschung: Internes IT-Sicherheitskonzept In dieser Art sollte ein Verarbeitungsverzeichnis für jede Verarbeitungstätigkeit mit personenbezogenen Daten erstellt werden. Und nochmals, das ist eine Pflicht für jeden Unternehmer. Ein allgemeines Muster finden Sie auch auf der Homepage des Bayerischen Landesamts für Datenschutz unter der Rubrik 'Aktuelles' (www.lda.bayern.de). Information des Mitarbeiters über die Übermittlung von personenbezogenen Daten Wie das obige Beispiel zeigt, ist zu beachten, dass nicht nur Kundendaten verarbeitet, beziehungsweise verwendet werden, sondern ebenfalls auch Mitarbeiterdaten. In dem obigen Beispiel (Lohnbuchhaltung durch einen Steuerberater) werden personenbezogene Daten von Mitarbeitern an einen Dritten, den Steuerberater zur Verarbeitung übermittelt. Aber auch, wenn die Lohnbuchhaltung im eigenen Haus durchgeführt wird, werden Mitarbeiterdaten an Dritte, z. B. das Finanzamt, an die Bank des Beschäftigten, an die Krankenkasse, an die gesetzliche Renten- und Arbeitslosenversicherung oder an einen Versicherungsträger im Rahmen einer betrieblichen Altersversorgung übermittelt. Somit sollte ein Personalstammdatenblatt (mit den persönlichen Angaben des jeweiligen Mitarbeiters) für jeden Mitarbeiter geführt werden. In diesem sollte unter anderem aufgezeigt werden, an wen diese personenbezogenen Daten übermittelt werden und welche Rechte dem Mitarbeiter (Auskunftsrecht, Recht auf Berichtigung, Beschwerderecht) zustehen. Sie sollten nur mit solchen Auftragsverar beitern zusammenarbeiten, die geeignete technische und organisatorische Maßnahmen zur Einhaltung des Datenschutzes gewährleisten und entsprechende Kontrollrechte einräumen. Für Betriebe, die derzeit schon ein Augenmerk auf den Datenschutz gelegt haben, ändert sich inhaltlich nicht so viel, eins ist aber klar, die Dokumentationspflichten sind weitaus umfassender als bisher. Kurzfassung 1. Am 25.05.2018 tritt die neue EU-Datenschutzgrundverordnung (EU-DSGVO) in Kraft. Diese gilt für jedes Unternehmen - unabhängig von der Unternehmensgröße.2. Erstellen Sie unbedingt ein Verzeichnis, in dem die Verarbeitungstätigkeit von personenbezogenen Daten genau protokolliert wird.3. Die Bußgeldtatbestände wurden empfindlich angehoben, so liegt die Obergrenze nun bei 20 Millionen Euro oder bis zu vier Prozent des Jahresumsatzes. Kommentar Bereiten Sie Ihr Unternehmen bald auf die DSGVO vor, denn es gibt kein Unternehmen, das davon verschont bleibt! Beachten Sie vor allem auch die Rechenschaftspflicht und die Meldepflicht bei Datenschutzverstößen. Zukünftig müssen Sie auf Nachfragen der Aufsichtsbehörden jederzeit Nachweis erbringen können, dass bei der Verarbeitung von personenbezogenen Daten die Anforderungen und Datenschutzgrundsätze der DSGVO eingehalten wurden. In der Praxis führt das zu einer Beweislastumkehr, sodass nicht mehr die Behörde dem Unternehmer ein Fehlverhalten nachweisen muss, sondern dieser beweisen muss, dass er sich regelkonform verhält. Zudem müssen zukünftig alle Datenschutzpannen innerhalb von 72 Stunden nach Kenntnis bei der Aufsichtsbehörde gemeldet werden und die Betroffenen sind zu benachrichtigen. Eins bleibt auf jeden Fall festzuhalten, auch in diesem Bereich nimmt die Dokumentationspflicht und somit der Verwaltungsaufwand weiter zu.Horst Neubacher Wirtschaftsprüfer, Steuerberater www.raw-partner.de

Suchbegriff

Neue EU-Grundverordnung: Was bedeutet Datenschutz für Autohäuser?

Datum:

ARTIKEL TEILEN MIT

ZURÜCK ZUR HOMEPAGE

WEITERLESEN

NEWSLETTER