LOGISTIK express Fachzeitschrift | 2018 Journal 2

LOGISTIK express 2/2018 | S34 DSGVO - Countdown bis Mai Am 25.05.2018 tritt die neue EU-Datenschutz-Verordnung (DSGVO) in Kraft. Sie regelt den Datenschutz in der Europäischen Union. Doch in wieweit ist auch die Logistikbranche betroffen? Was ändert sich im Vergleich zur Datenschutzrichtlinie? REDAKTION: Dunja Koelwel Datenschutzverstöße aufgedeckt haben und dann noch zögerlicher sanktionierten. Mit der EU-Datenschutz-Verordnung (DSGVO) soll Schluss sein mit diesen Zögerlichkeiten, denn die DSGVO regelt alle Belange komplett neu und für alle verbindlich. Künftig können die EU- Mitgliedsstaaten nicht mehr auf Grundlage der EU-Richtlinie von 1995 eigene Gesetze umsetzen, sondern die DSGVO gibt Regeln mit gleichem Inhalt für alle EU-Staaten konkret vor. Denn DSGVO ist kein Gesetz, sie ist eine Verordnung. Deshalb muss sie auch nicht in nationale Gesetze formuliert werden, sie tritt einfach in Kraft, und zwar am Freitag, den 25. Mai 2018. DUNJA KOELWEL Die neue EU-Datenschutz-Verordnung (DSGVO) ist ein Damoklesschwert, das jedes unvorbereitete Unternehmen an den Rand des Ruins führen kann, warnen Juristen. „Alles halb so wild“, meint hingegen ein süddeutscher Verlagsleiter, der lieber ungenannt bleiben will: „Beschwert sich jemand, entschuldigt man sich, zahlt womöglich und macht weiter wie bisher.“ Alles also nur Panikmache der berühmtberüchtigten Abmahnanwälten? Was bedeutet also die DSGVO für die Logistikbranche? Dass der Datenschutz in der Logistikbranche bislang eher stiefmütterlich behandelt wird, ist ein offenes Geheimnis. Das liegt zum einen daran, dass die Aufsichtsbehörden aufgrund personeller Probleme bislang nur sehr zögerlich Welche Neuerung durch die DSGVO schmerzen Logistiker am meisten? Die DSGVO regelt den Umgang mit personenbezogenen Daten. Als Daten per se bezeichnet man Einzelangaben oder Einzelinformationen zu diversen Vorgängen. Interessant wird es nun für die DSGVO erst, wenn diese eindeutig einer natürlichen Person zugeordnet werden können. Daher können sehr viele Informationen darunterfallen, beispielsweise Namen, Anschrift, E-Mail-Adresse, Steuernummer, Kontonummer oder aber auch das Kfz-Kennzeichen. Sobald ein Unternehmen solche Informationen besitzt – und das ist bei fast jedem Unternehmen der Fall – ist es von der DSGVO betroffen. In vielen Fällen erheben Logistiker aber keine personenbezogenen Daten selbst, sondern erhalten diese von ihrem Vertragspartner, ein klassischer Fall der Auftragsverarbeitung. Diese Daten dürfen dann nur anhand der konkreten Weisungen des Auftraggebers genutzt werden. Für Transportdienstleister, die beispielsweise Daten wie Name und Adresse zur Auslieferung der Ware erhalten haben, gilt dies jedoch nicht. Sie arbeiten nicht im Sinne der DSGVO als Auftragsverarbeiter. Das würde auch für Dropshipping gelten, jedoch nur,

solange ausschließlich solche Daten weitergegeben werden, die für die Lieferung der Waren zwingend erforderlich sind. Die wichtigsten Anforderungen im Überblick Der Logistiker Hermes hat in seinem „Supply Chain Blog“ die Top-Punkte, die ein Logistikunternehmen bis zum in Kraft treten der DS- GVO umsetzen sollten, zusammengefasst: Jeder, der personenbezogene Daten verarbeitet, muss künftig ein Datenschutz-Management-System besitzen. Dieses fordert, dass alle noch nicht geprüften und im Unternehmen vorhandenen Dokumente, IT-Richtlinien und Dienstleisterverträge, Prozessbeschreibungen, Mitarbeitervereinbarungen mit IT-Bezug, Einwilligungserklärungen, Datenschutzerklärungen und so fort überarbeitet oder sogar neu erstellt werden müssen. Denn die Aufsichtsbehörde kann dabei künftig jederzeit Einsicht in diese Dokumente verlangen. Das bedeutet laut Hermes-Blog, dass 1. ein vollständiges Verfahrensverzeichnis (zukünftig „Verarbeitungsverzeichnis“) unter Benennung aller IT-Systeme und Datenstandorte sowie ein Datenschutzkonzept vorliegt, 2. ein – bestenfalls schriftlicher – Vertrag nach den Anforderungen des neuen Art. 28 DSGVO mit jedem IT-Dienstleister geschlossen wird, der entweder personenbezogene Daten aus dem Unternehmen zur (theoretischen) Einsicht erhält (z.B. Cloudprovider) oder aber Zugriff auf die Systeme des Unternehmens hat (z.B. Wartungszugriff), 3. ein Datenschutzbeauftragter bestellt wird, wenn mindestens zehn Mitarbeiter im Unternehmen personenbezogenen Daten verarbeiten, also z.B. mit Microsoft Outlook arbeiten, 4. ein Verfahren zur Meldung von Datenschutzverstößen an die Behörden installiert wird, das technisch eine Meldung innerhalb von 72 Stunden nach Kenntnis gewährleistet, 5. jede neue Softwareinstallation fortan vor Inbetriebnahme vom Datenschutzbeauftragten daraufhin überprüft wird, ob Risiken für die Betroffenen bestehen (Datenschutz-Folgenabschätzung), 6. alle Datenschutzerklärungen (besonders online) überarbeitet werden, da sich die Informationspflichten erheblich verschärft haben (Art. 13 DSGVO) 7. ein IT-Sicherheitskonzept in überarbeiteter Form vorliegt, das die neuen Vorgaben wie Belastbarkeit der Systeme, Datenübertragbarkeit, Privacy by Design, Privacy by Default, Recht auf Vergessen oder Pseudonymisierung/Verschlüsselung beschreibt und Handlungsvorgaben beinhaltet. Schmerzhafte Sanktionen – ganz ohne Schwarzmalerei Die DSGVO ist keine Verordnung, die Unternehmen viel Luft zum Atmen lässt. Denn der Sanktionsrahmen und die Befugnisse der Aufsichtsbehörden wurden mit der DSGVO deutlich ausgeweitet. War der Bußgeldrahmen bislang bei maximal 300.000,- Euro, können ab Mai 2018 Bußgelder bis 20 Millionen Euro oder sogar bis zu vier Prozent des weltweiten Konzernumsatzes verhängt werden. Außerdem hat sich zudem die Beweislast geändert: Nach Art. 5 der neuen DSGVO unterliegt jedes Unternehmen fortan einer „Rechenschaftspflicht“, es muss die Einhaltung des Datenschutzes aktiv durch Vorlage von Dokumenten beweisen, während die Behörde sich zurücklehnen kann. Es ist daher zu erwarten, dass Aufsichtsbehörden ab 2018 deutlich aktiver werden und häufiger hohe Bußgelder festsetzen. Last-Minute-Aktionen Bis Mai ist nicht mehr viel Zeit. Wer sich also erst jetzt mit der DSGVO beschäftigt, sollte nach den Risiko-Prioritäten vorgehen. Das bedeutet, dass Unternehmen für sich entscheiden müssen, in welchen Bereichen für sie das größte Risiko eines Verstoßes liegt. Dies könnte beispielsweise die Dokumentation eines Datenschutzmanagementsystems sein – unterschieden in die einzelnen Inhalte wie Verfahrensverzeichnis, Sicherheitskonzept, Berechtigungskonzept, Löschungskonzept oder Meldekonzept. Und nicht zu vergessen: Bei Unternehmen mit mehr als zehn Personen mit Datenbezug muss ein Datenschutzbeauftragter benannt werden. (DK) Dunja Koelwel ist freie Journalistin und schreibt seit 20 Jahren zu den Themen Commerce, Payment und Logistik. Sie war lange Jahre lang Chefredakteurin des e-commerce Magazins und leitet seit 2017 die inhaltliche Gestaltung der Konferenzen der Neuen Mediengesellschaft Ulm.