Der Leitfaden zur DSGVO-Compliance für Start-ups

Die Datenschutz-Grundverordnung (DSGVO) ist eine Reihe von Vorschriften für Unternehmen, die personenbezogene Daten von Personen im Europäischen Wirtschaftsraum (EWR) verarbeiten. Der EWR umfasst alle EU-Länder sowie Island, Liechtenstein und Norwegen. Die DSGVO trat am 25. Mai 2018 in Kraft.

Die DSGVO gilt als das strengste Datenschutzgesetz der Welt. Sie gibt Einzelpersonen mehr Kontrolle über ihre personenbezogenen Daten und legt strengere Regeln fest, die Unternehmen bei der Erhebung, Nutzung und dem Schutz dieser Daten einhalten müssen.

Wenn ein Unternehmen diese Regeln nicht befolgt, kann es mit Geldbußen oder anderen Sanktionen belegt werden. Die Höchststrafe beträgt entweder 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes des Unternehmens aus dem vorangegangenen Geschäftsjahr – je nachdem, welcher Betrag höher ist.

Pflichten nach der DSGVO

Bei der Erhebung und Verarbeitung personenbezogener Daten von Bürgern des EWR muss ein Unternehmen eine Reihe von Pflichten und Verantwortlichkeiten beachten:

1. Nehmen Sie sich vor der Einführung eines neuen Produkts oder einer neuen Dienstleistung Zeit, darüber nachzudenken, wie personenbezogene Daten von Bürgern des EWR erhoben, gespeichert und verwendet werden. Führen Sie gegebenenfalls eine Datenschutz-Folgenabschätzung durch, um potenzielle Risiken für den Schutz personenbezogener Daten zu ermitteln und zu mindern.
2. Implementieren Sie geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten, etwa Verschlüsselung und sichere Speicherung. Stellen Sie sicher, dass Ihre Systeme und Dienste mit den neuesten Sicherheitspatches und Updates auf dem aktuellen Stand gehalten werden.
3. Fragen Sie bei der Erhebung personenbezogener Daten nur nach den Informationen, die für den konkreten Verwendungszweck unbedingt erforderlich sind. So können Sie die Menge der erhobenen Daten minimieren und das Risiko von Datenschutzverletzungen verringern.
4. Informieren Sie Ihre Kunden transparent darüber, welche personenbezogenen Daten Sie erheben, warum Sie sie erheben und wie sie verwendet werden. Stellen Sie klare Informationen zum Datenschutz bereit und holen Sie vor der Erhebung personenbezogener Daten eine ausdrückliche Einwilligung ein, sofern keine andere Rechtsgrundlage für die Erhebung besteht.
5. Respektieren Sie das Recht Ihrer Kunden, der Verarbeitung ihrer personenbezogenen Daten zu widersprechen, und stellen Sie sicher, dass sie über dieses Recht informiert sind.
6. Benennen Sie einen Datenschutzbeauftragten, wenn 20 oder mehr Personen regelmäßig personenbezogene Daten verarbeiten, wenn das Unternehmen Verarbeitungsvorgänge durchführt, die eine Datenschutz-Folgenabschätzung erfordern, oder wenn es personenbezogene Daten zur Übermittlung, anonymisierten Übermittlung oder für Markt- und Meinungsforschung verarbeitet.
7. Wenn Sie personenbezogene Daten an Dritte außerhalb des EWR weitergeben, treffen Sie geeignete Schutzmaßnahmen, etwa die Standardvertragsklauseln des EWR oder das Privacy Shield.
8. Verwenden Sie beim Versenden von E-Mails das Double-Opt-in-Verfahren, um sicherzustellen, dass die Empfänger ihre Einwilligung zum Erhalt dieser E-Mails erteilt haben.
9. Halten Sie alle personenbezogenen Daten korrekt und aktuell und etablieren Sie Prozesse, um Daten bei Änderungen zu aktualisieren.
10. Ergreifen Sie bei einem Datenverlust oder einer Sicherheitsverletzung sofort Maßnahmen, um den Vorfall einzudämmen und weiteren Schaden zu verhindern. Erstellen Sie einen Plan für den Umgang mit solchen Vorfällen und für die Benachrichtigung von Kunden und zuständigen Behörden.
11. Benachrichtigen Sie im Fall von Datenschutzverletzungen so schnell wie möglich die Aufsichtsbehörde und Ihre Kunden.
12. Führen Sie Aufzeichnungen über alle Verarbeitungstätigkeiten, um die Einhaltung der Vorschriften im Falle einer Prüfung durch die Aufsichtsbehörde nachweisen zu können.

Die Liste enthält die wichtigsten Pflichten und Verantwortlichkeiten, die ein Unternehmen nach der DSGVO bei der Erhebung und Verarbeitung personenbezogener Daten von Bürgern des EWR beachten muss.

Es ist jedoch möglich, dass in bestimmten Fällen zusätzliche Anforderungen berücksichtigt werden müssen. Beispielsweise kann es spezielle Anforderungen für Unternehmen geben, die in bestimmten Branchen tätig sind oder bestimmte Arten personenbezogener Daten verarbeiten.

Es ist daher stets ratsam, den Rat eines Datenschutzexperten einzuholen oder die Aufsichtsbehörde zu kontaktieren, um sicherzustellen, dass alle geltenden Vorschriften eingehalten werden.

DSGVO für Unternehmen außerhalb des EWR

Zwar ist bekannt, dass im EWR ansässige Unternehmen die DSGVO einhalten müssen, doch nicht jedem ist bewusst, dass auch Länder außerhalb des EWR unter bestimmten Umständen die DSGVO einhalten müssen. Im Folgenden erläutern wir die verschiedenen Fälle, in denen Unternehmen außerhalb des EWR die DSGVO einhalten müssen.

Erhebung personenbezogener Daten im Europäischen Wirtschaftsraum

Wenn ein außerhalb des EWR ansässiges Unternehmen Waren oder Dienstleistungen für Personen im EWR anbietet oder deren Verhalten beobachtet, muss es bei der Erhebung, Nutzung und dem Schutz der personenbezogenen Daten von Personen im EWR die Anforderungen der DSGVO einhalten.

Wird festgestellt, dass ein außerhalb des EWR ansässiges Unternehmen gegen die DSGVO verstößt, verfügen die EU-Behörden über verschiedene Instrumente, um die Einhaltung der DSGVO durchzusetzen.

Wenn beispielsweise festgestellt wird, dass ein US-Unternehmen gegen die DSGVO verstößt, könnten die EU-Behörden je nach Art des Verstoßes und den Gesetzen des Bundesstaates, in dem das Unternehmen ansässig ist, die Vollstreckung eines Urteils gegen dieses Unternehmen vor einem US-Gericht beantragen.

Darüber hinaus können die EU-Behörden auch andere Mittel einsetzen, um ein Unternehmen außerhalb des Europäischen Wirtschaftsraums zur Einhaltung der DSGVO zu bewegen, etwa indem sie den Zugang des Unternehmens zum EU-Markt blockieren oder das Unternehmen öffentlich anprangern.

Es ist jedoch unwahrscheinlich, dass die EU unmittelbar Sanktionen gegen ein kleines Unternehmen verhängt, wenn es gegen die DSGVO verstößt. Dennoch kann es auch für kleine Unternehmen außerhalb des EWR vorteilhaft sein, die DSGVO einzuhalten. Denn die Einhaltung der DSGVO kann Start-ups bessere Geschäftsmöglichkeiten eröffnen, da sie mit anderen Unternehmen zusammenarbeiten können, die ebenfalls die DSGVO einhalten.

Neben dem Risiko von Geldbußen und anderen Sanktionen können Start-ups auch einen Reputationsschaden erleiden, wenn festgestellt wird, dass sie gegen die DSGVO verstoßen. Dies könnte es für sie schwieriger machen, im EWR Geschäfte zu tätigen, und sich auch international auf ihr Geschäft auswirken.

Unternehmen, die die DSGVO einhalten, können für Kunden und Partner attraktiver sein, da sie ihr Engagement für den Schutz personenbezogener Daten und die Achtung der Privatsphäre von Einzelpersonen zeigen.

Insgesamt stellt die DSGVO eine bedeutende Entwicklung für Start-ups dar, die personenbezogene Daten von Personen im EWR verarbeiten, und sie wird erhebliche Auswirkungen darauf haben, wie diese Start-ups solche Daten erheben, nutzen und schützen.

Start-ups außerhalb des EWR müssen ihre Pflichten nach der DSGVO besonders beachten und Maßnahmen ergreifen, um die Einhaltung sicherzustellen und so das Risiko von Geldbußen und anderen Sanktionen sowie von Reputationsschäden zu vermeiden.

Was ist, wenn Sie keine Daten im EWR erheben?

Es ist erwähnenswert, dass es auch dann ratsam sein kann, die DSGVO umzusetzen, wenn ein Start-up außerhalb des EWR derzeit weder Waren oder Dienstleistungen für Personen im EWR anbietet noch deren Verhalten beobachtet.

Dies liegt daran, dass die DSGVO ein globaler Standard für den Datenschutz ist und die Umsetzung der DSGVO einem Start-up dabei helfen kann, sich als seriöses und vertrauenswürdiges Unternehmen zu etablieren, das die Privatsphäre seiner Kunden und Partner schätzt.

Die DSGVO im Vereinigten Königreich (UK)

Nachdem das Vereinigte Königreich am 1. Januar 2021 die EU verlassen hatte, war die DSGVO im Land nicht mehr unmittelbar anwendbar. Die Regeln der DSGVO wurden jedoch als UK-GDPR direkt in das britische Recht übernommen. Daher gilt alles, was oben über die DSGVO besprochen wurde, auch für das Vereinigte Königreich.

So erstellen Sie ein DSGVO-konformes Anmeldeformular in der Maildroppa App

Maildroppa ist eine E-Mail-Marketing-App und ermöglicht es Ihnen, individuell angepasste Anmeldeformulare zu erstellen, über die Interessenten sich für regelmäßige Informationen oder Newsletter von Ihnen anmelden können.

Sie können frei festlegen, welche Informationen für die Registrierung erforderlich sind. Beispielsweise wären Vor- und Nachname, Geburtstag und Staatsangehörigkeit des Interessenten möglich. Dabei handelt es sich selbstverständlich um personenbezogene Daten.

Wenn Sie den Besuch Ihrer Website und das Ausfüllen Ihres Anmeldeformulars durch Europäer technisch nicht ausschließen, unterliegen Sie der DSGVO, selbst wenn Ihr Unternehmen außerhalb des Europäischen Wirtschaftsraums ansässig ist.

Maildroppa macht es Ihnen jedoch besonders einfach, die DSGVO einzuhalten. Sie können festlegen, ob Kunden, die sich für Ihre Liste anmelden möchten, die Vereinbarung zur Datenverarbeitung immer oder nie anzeigen und unterschreiben müssen, oder Sie können einstellen, dass nur Kunden aus der EU, dem Vereinigten Königreich und der Schweiz ihre Einwilligung in Ihrem DSGVO-Einwilligungsformular erteilen müssen.

Als Unternehmen müssen Sie Ihre Kunden über die Arten der von Ihnen erhobenen Daten, den Grund für die Erhebung und die Art ihrer Speicherung und Verarbeitung informieren. Da jedes Unternehmen anders ist, können sich die erhobenen Daten und ihre Verwendung unterscheiden. Für Sie als Unternehmer ist es wichtig, gegenüber Ihren Kunden transparent mit Ihren Datenpraktiken umzugehen und die DSGVO-Vorschriften einzuhalten.

Maildroppa versteht als Dienstanbieter diese Verantwortung – deshalb bieten wir eine Funktion zur Anpassung des DSGVO-Einwilligungsformulars an Ihre individuellen Anforderungen. Unsere App speichert außerdem den Wortlaut des DSGVO-Einwilligungsformulars, dem ein Abonnent zugestimmt hat, und liefert Ihnen so noch Jahre später einen Nachweis über die Vereinbarung.

Eine weitere Anforderung der DSGVO ist, dass Kunden sich per Double-Opt-in für Ihren Newsletter anmelden müssen. Dadurch wird sichergestellt, dass nur Kunden, die gemäß Ihrer DSGVO-Erklärung ausdrücklich dem Erhalt von Informationen von Ihnen zugestimmt haben, diese erhalten. Da Double-Opt-in bei Maildroppa standardmäßig aktiviert ist, sind keine zusätzlichen Maßnahmen erforderlich.

Zusammenfassung

Zusammenfassend lässt sich sagen, dass die DSGVO eine Reihe von Vorschriften ist, die für Unternehmen gelten, die personenbezogene Daten von Personen im EWR verarbeiten. Die DSGVO gibt Einzelpersonen mehr Kontrolle über ihre personenbezogenen Daten und legt strengere Regeln dafür fest, wie Unternehmen diese Daten erheben, nutzen und schützen dürfen.

Start-ups im EWR müssen Maßnahmen ergreifen, um die Einhaltung der DSGVO sicherzustellen und so das Risiko von Geldbußen und anderen Sanktionen sowie von Reputationsschäden zu vermeiden.

Start-ups außerhalb der EU müssen die Einhaltung der DSGVO ebenfalls sicherstellen, wenn sie Waren oder Dienstleistungen für Personen in der EU anbieten oder deren Verhalten beobachten. Zwar ist es unwahrscheinlich, dass die EU sofort Sanktionen gegen jedes kleine Unternehmen verhängt, das gegen die DSGVO verstößt, doch verfügen die EU-Behörden über verschiedene Instrumente, um die Einhaltung sicherzustellen.

Wenn ein Start-up sich als seriöses und vertrauenswürdiges Unternehmen etablieren möchte, das die Privatsphäre seiner Kunden und Partner schätzt, kann es vorteilhaft sein, die DSGVO umzusetzen, selbst wenn es nicht in der EU ansässig ist oder mit Personen innerhalb der EU interagiert. Abschließend ist es wichtig zu beachten, dass die DSGVO auch nach dem Austritt des Vereinigten Königreichs aus der EU dort in Form der UK-GDPR weiterhin gilt.