Sieben Jahre nach Inkrafttreten der Datenschutz-Grundverordnung haben viele rumänische Unternehmen immer noch Schwierigkeiten bei der Umsetzung. Die nationale Aufsichtsbehörde (ANSPDCP) hat die Kontrollen und Sanktionen verschärft. Immer mehr Unternehmen – vom E-Commerce über das Gesundheitswesen bis hin zum produzierenden Gewerbe – werden wegen Datenschutzverstößen untersucht und sanktioniert.
Die meisten Verstöße sind auf das Fehlen eines kohärenten und professionellen Ansatzes bei der Verarbeitung personenbezogener Daten zurückzuführen. Sie führen nicht nur zu hohen Bußgeldern, sondern schädigen auch den Ruf und das Vertrauen der Kunden und Mitarbeiter der betroffenen Unternehmen.
Die folgenden zehn Fehler werden besonders häufig begangen:
1. Sammlung von Daten ohne klaren Zweck oder im Übermaß
In vielen Unternehmen wird weiterhin Daten ohne klaren Zweck oder im Übermaß gesammelt. Dabei werden der Zweck, die Rechtsgrundlage sowie die tatsächliche Notwendigkeit der Verarbeitung nicht oder nur unzureichend dokumentiert. Dieser intuitive Ansatz, der nicht durch eine rechtliche Analyse gestützt wird, wird aus Sicht der Datenschutzgrundverordnung als eines der größten Risiken identifiziert.
2. Unvollständige oder vage Informationen für die betroffenen Personen
Allgemeine Mitteilungen wie „wir verarbeiten Daten gemäß der DSGVO“ sind nicht ausreichend. Die Informationen für die betroffenen Personen müssen präzise, klar und auf die jeweilige Situation zugeschnitten sein. Andernfalls besteht die Gefahr, dass die gesamte Verarbeitung als intransparent und damit rechtswidrig angesehen wird.
3. Ungültige Einholung der Einwilligung
Die Einwilligung ist nach wie vor eine der in der Praxis am häufigsten missverstandenen Rechtsgrundlagen für die Datenverarbeitung. Die Einholung der Einwilligung durch Ankreuzen eines Kästchens, die fehlende Trennung der Zwecke oder der fehlende Nachweis, dass die Einwilligung in Kenntnis der Sachlage und ohne Zwang erteilt wurde, sind häufige Fehler, die dazu führen können, dass die Verarbeitung unrechtmäßig ist und dem für die Verarbeitung Verantwortlichen hohe Geldbußen auferlegt werden.
4. Mangelnde Schulung der Mitarbeiter
Mitarbeiter, die personenbezogene Daten verarbeiten – sei es im Vertrieb, in der Personalabteilung oder im Kundendienst – müssen ihre Verantwortung für den Datenschutz verstehen. Sie müssen wissen, was personenbezogene Daten sind, wie sie sicher zu handhaben sind, wie Sicherheitsvorfälle vermieden werden können usw. Eine unzureichende Schulung führt häufig zu Fehlern, die schwerwiegende rechtliche Folgen für den Arbeitgeber haben können.
5. Missachtung der Rechte der betroffenen Personen
Es gibt Fälle, in denen betroffene Personen den Zugang zu ihren Daten, deren Berichtigung, Löschung oder Einschränkung der Verarbeitung beantragen und Unternehmen entweder zu spät oder nicht vollständig antworten. Die DSGVO schreibt strenge Fristen und ein klares Verfahren für die Bearbeitung solcher Anträge vor. Die Nichteinhaltung der Rechte der betroffenen Personen ist eines der am häufigsten verfolgten Themen bei den Untersuchungen der Datenschutzaufsichtsbehörden.
6. Daten unbegrenzt aufbewahren
Ein weiterer häufiger Fehler ist das Fehlen klarer Fristen für die Datenaufbewahrung. Ohne interne Richtlinien laufen Unternehmen Gefahr, personenbezogene Daten länger als gesetzlich zulässig aufzubewahren. In der Praxis ist es üblich, dass Unternehmen Lebensläufe, Kopien von Dokumenten, Kundendaten oder Daten von nicht mehr aktiven Mitarbeitern jahrelang aufbewahren, ohne dass es dafür einen konkreten rechtlichen Grund gibt. Diese Praxis verstößt gegen den Grundsatz der begrenzten Aufbewahrung und wird bei Untersuchungen sehr häufig geahndet.
7. Unzureichende oder fehlende Sicherheitsmaßnahmen
Ohne geeignete technische und organisatorische Maßnahmen – wie z.B. komplexe Passwörter, Verschlüsselung, regelmäßige Datensicherung oder Zugriffskontrolle – erhöht sich das Risiko von Sicherheitsvorfällen erheblich. Kommt es zu einer Sicherheitsverletzung, prüft die Behörde, ob der Betreiber ausreichende Maßnahmen zum Schutz der Daten getroffen hat. Ist dies nicht der Fall, werden die Strafen erhöht.
8. Fehlende Dokumentation der Verarbeitungsprozesse
Die Bestimmungen der Datenschutz-Grundverordnung verlangen eine klare Aufzeichnung aller Verarbeitungstätigkeiten. In der Praxis verfügen nur sehr wenige Unternehmen über ein vollständiges, aktuelles und regelmäßig überprüftes Verarbeitungsverzeichnis. Das Fehlen einer solchen Dokumentation ist oft der erste Hinweis auf eine Nichteinhaltung bei einer Inspektion.
9. Ignorieren der Risiken im Zusammenhang mit Dienstleistern, die Daten im Auftrag des Unternehmens verarbeiten
Die Zusammenarbeit mit Dritten, die personenbezogene Daten verarbeiten – z. B. E-Mail-Marketing-Plattformen, Buchhaltungs- oder HR-Unternehmen, Sicherheitsunternehmen usw. – bringt eine ständige Verantwortung für das Unternehmen mit sich. Ein häufiger Fehler ist die Annahme, dass die Verantwortung für den Datenschutz allein bei diesen Dienstleistern liegt.
Das Fehlen einer Verarbeitungsvereinbarung oder die Wahl von Dienstleistern ohne angemessene Sicherheitsvorkehrungen stellt ein erhebliches Risiko für das Unternehmen dar, das letztendlich verantwortlich bleibt.
10. Fehlen einer internen Datenschutzstrategie
Der vielleicht schwerwiegendste Fehler ist das Fehlen einer kohärenten Vision für den unternehmensweiten Datenschutz. Ohne klare interne Richtlinien, operative Verfahren, festgelegte Verantwortlichkeiten und regelmäßige Überprüfungen ist die Gefahr groß, dass sich kleine Fehler summieren und zu schwerwiegenden Konsequenzen führen.
Fazit:
Vor dem Hintergrund zunehmender Kontrollen und steigender Bußgelder müssen Unternehmen in Rumänien – unabhängig von der Branche – den Schutz personenbezogener Daten als wesentliches Element der Unternehmensführung behandeln.
Jeder der oben beschriebenen Fehler kann schwerwiegende Folgen für das Unternehmen haben, nicht nur in finanzieller Hinsicht, sondern auch in Bezug auf den guten Ruf des Unternehmens.
Für weitere Informationen oder ein auf Ihr Unternehmen zugeschnittenes Angebot:
- Umfassendes Datenschutz-Audit
- Bedarfsgerechtes DSGVO-Komplettpaket inkl. Dokumentenaktualisierung
- Praxisnahe Schulung Ihrer Mitarbeiter zum Datenschutz
Kontaktieren Sie uns gerne – wir beraten Sie individuell und lösungsorientiert.
Oana Somesan, Avocat (Rechtsanwältin RO)
Spezialisiert auf Datenschutzrecht
Akkreditierter Datenschutzbeauftragter (DSB)
Tel: +40 728 105118
Tel: +40 744 790863
Email: info@anwaltskanzlei-somesan.ro
www.anwaltskanzlei-somesan.ro
