Wann braucht ein kleines Unternehmen Datenschutzhinweise?
Auch kleine Unternehmen verarbeiten personenbezogene Daten. Erfahren Sie, wann Datenschutzhinweise erforderlich sind und welche typischen Fälle oft übersehen werden.
Wann braucht ein kleines Unternehmen Datenschutzhinweise?
Viele kleine Unternehmen verbinden Datenschutz vor allem mit der Datenschutzerklärung auf ihrer Website. Das greift zu kurz. Datenschutzhinweise können auch außerhalb einer Website erforderlich sein – beispielsweise gegenüber Kunden, Bewerbern, Beschäftigten oder Geschäftspartnern.
Die Größe eines Unternehmens ist dabei nicht der entscheidende Punkt. Maßgeblich ist, ob personenbezogene Daten verarbeitet werden.
Was sind personenbezogene Daten?
Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu zählen nicht nur Name und Adresse, sondern beispielsweise auch Telefonnummern, E-Mail-Adressen, Bankverbindungen, Bewerbungsunterlagen oder individuelle Kundendaten.
Sobald ein Unternehmen solche Daten erhebt, speichert oder auf andere Weise verarbeitet, greifen datenschutzrechtliche Pflichten.
Wann müssen betroffene Personen informiert werden?
Die Datenschutz-Grundverordnung unterscheidet zwei Grundfälle:
- Artikel 13 DSGVO: Die Daten werden direkt bei der betroffenen Person erhoben.
- Artikel 14 DSGVO: Die Daten stammen aus einer anderen Quelle.
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit weist darauf hin, dass diese Informationspflichten sowohl für Unternehmen als auch für öffentliche Stellen gelten.
Typische Fälle in kleinen Unternehmen
Datenschutzhinweise können insbesondere erforderlich sein für: SituationTypische betroffene PersonenKontaktformular auf der WebsiteInteressententelefonische oder schriftliche Anfragepotenzielle KundenAngebot und AuftragKunden und AnsprechpartnerBewerbungsverfahrenBewerberPersonalverwaltungBeschäftigteNewsletterEmpfängerVideoüberwachungBesucher und KundenLieferantenverwaltungAnsprechpartner bei Geschäftspartnern
Eine einzige allgemeine Datenschutzerklärung reicht nicht zwangsläufig für sämtliche Verarbeitungssituationen aus. Bewerberdaten werden beispielsweise zu anderen Zwecken verarbeitet als Kundendaten.
Welche Angaben gehören in Datenschutzhinweise?
Die erforderlichen Inhalte hängen vom konkreten Vorgang ab. Regelmäßig relevant sind unter anderem:
- Identität und Kontaktdaten des Verantwortlichen;
- Kontaktdaten des Datenschutzbeauftragten, sofern einer benannt ist;
- Zwecke der Verarbeitung;
- Rechtsgrundlage;
- Empfänger oder Kategorien von Empfängern;
- Speicherdauer oder Kriterien für deren Festlegung;
- Rechte der betroffenen Personen;
- Beschwerderecht bei einer Aufsichtsbehörde;
- gegebenenfalls Informationen zu Drittlandübermittlungen.
Datenschutzhinweise sollten nicht lediglich aus juristischen Standardformulierungen bestehen. Sie müssen zum tatsächlichen Ablauf im Unternehmen passen.
Häufiger Fehler: Vorlage kopieren, Prozesse nicht prüfen
Ein verbreiteter Fehler ist die ungeprüfte Übernahme einer fremden Datenschutzerklärung. Enthält die Vorlage Dienste, Programme oder Verarbeitungsvorgänge, die im eigenen Unternehmen gar nicht genutzt werden, ist sie unzutreffend. Fehlen tatsächlich eingesetzte Dienste, bleibt sie unvollständig.
Datenschutzhinweise sollten daher Ergebnis einer kurzen Bestandsaufnahme sein:
- Welche Daten werden erhoben?
- Zu welchem Zweck?
- Auf welcher Grundlage?
- Wer erhält Zugriff?
- Wann werden die Daten gelöscht?
Fazit
Auch kleine Unternehmen benötigen regelmäßig Datenschutzhinweise. Entscheidend ist nicht die Zahl der Beschäftigten, sondern die tatsächliche Verarbeitung personenbezogener Daten.
Ihre Datenschutzhinweise sollen zu Ihren tatsächlichen Abläufen passen?
DeinRechtsanwalt.com unterstützt kleine und mittlere Unternehmen bei der Erstellung verständlicher und praxisgerechter Datenschutzhinweise. Melden Sie sich.
Über den Autor
Rechtsanwalt Christoph Kehr berät Unternehmen praxisnah und digital. Zu seinen Tätigkeitsfeldern zählen insbesondere das außergerichtliche Forderungsmanagement und die datenschutzrechtliche Beratung kleiner und mittlerer Unternehmen.
Hinweis: Dieser Beitrag bietet einen allgemeinen Überblick und ersetzt keine rechtliche Beratung im Einzelfall. Die rechtliche Bewertung kann insbesondere von den vertraglichen Vereinbarungen und den konkreten Umständen abhängen.