Kleine Unternehmen stehen oft vor der Herausforderung, ihre Unternehmensziele trotz begrenzter Ressourcen erreichen zu müssen. Dabei wird der Datenschutz leider häufig zur Nebensache – ein Fehler, der schwerwiegende Konsequenzen nach sich ziehen kann. Verstöße gegen die Datenschutz-Grundverordnung (DS-GVO) können nicht nur hohe Bußgelder zur Folge haben, sondern obendrein auch den guten Ruf des Unternehmens erheblich schädigen.
Ein Beispiel aus der Praxis verdeutlicht die Relevanz: Der Landesbeauftragte für Datenschutz und Informationsfreiheit Baden-Württemberg (LfDI BW) wurde durch eine anonyme Beschwerde darauf hingewiesen, dass eine PDF-Datei einer Bewerbung im Internet auffindbar war.
Ursache war, dass ein IT-Mitarbeiter des betroffenen Unternehmens Bewerbungen zur Virenprüfung auf die Website eines kostenlosen Prüftools hochgeladen hatte, wodurch die Daten in der kostenlosen Tarifstufe in zwei Webseiten öffentlich zugänglich wurden (dass die Inhalte in der kostenlosen Tarifstufe durch das Hochladen öffentlich zugänglich werden würden, war laut Datenschutzbehörde in den Produktbeschreibungen aufgeführt).
Die zuständige Aufsichtsbehörde hat gegenüber dem Unternehmen deutlich gemacht, dass es sich um eine ernstere Angelegenheit handelt und aufgrund der Schwere des Vorfalls eine Verwarnung ausgesprochen (siehe Tätigkeitsbericht Datenschutz 2024 des LfDI BW).
Das Unternehmen hat daraufhin im Anschluss eine Datenpanne gemeldet, die betroffenen Personen benachrichtigt, und war gehalten, sich um die Löschung (insbesondere auch nach Art. 17 Abs. (2) DS-GVO) auch bei den Drittanbietern (z. B. vorgenannte Webseiten, gängige Suchmaschinen, Webseiten-Cache-Dienste oder Internet-Archivdienste) zu kümmern.
Eine einfache Datenschutz-Schulung des Beschäftigten und der Einsatz von sicheren Tools hätten das Problem von vornherein vermeiden können.
Die Datenschutz-Grundverordnung (DS-GVO) legt klare Anforderungen für den Umgang mit personenbezogenen Daten fest – unabhängig von der Unternehmensgröße. Auch kleine Unternehmen müssen sicherstellen, dass Daten nur im notwendigen Umfang erhoben und verarbeitet werden (Datenminimierung), Sicherheitsmaßnahmen wie Verschlüsselung und regelmäßige Updates implementiert sind und die Rechte der Betroffenen gewahrt bleiben.