DSGVO für Unternehmen — vollständiger Leitfaden zum Schutz personenbezogener Daten gemäß der EU-Verordnung 2016/679
Praktischer DSGVO-Leitfaden für Unternehmen: Was ist die DSGVO, Verhältnis zum Gesetz Nr. 18/2018 Slg., 7 Verarbeitungsgrundsätze, Rechtsgrundlagen, Rechte der betroffenen Personen, Pflichten, Datenschutzbeauftragter (DPO), Meldung einer Verletzung binnen 72 Stunden, Sanktionen und slowakische Besonderheiten.
Was ist die DSGVO und warum betrifft sie auch Ihr Unternehmen
Die DSGVO (*Datenschutz-Grundverordnung*, im Englischen *General Data Protection Regulation*) ist die allgemeine Verordnung zum Schutz personenbezogener Daten, offiziell die Verordnung des Europäischen Parlaments und des Rates (EU) 2016/679. Sie ist das umfassendste Datenschutz-Regelwerk in der Geschichte der EU. Anders als eine Richtlinie, die in nationales Recht umgesetzt werden muss, ist eine Verordnung unmittelbar anwendbar — sie gilt in jedem Mitgliedstaat gleichermaßen. Sie ist seit dem 25. Mai 2018 in Kraft.
Viele Geschäftsführer sind überzeugt, dass die DSGVO ein Problem großer Konzerne und Technologieriesen ist. Das Gegenteil ist wahr. Die Verordnung gilt für jeden, der personenbezogene Daten im Zusammenhang mit seiner geschäftlichen Tätigkeit verarbeitet — von der Ein-Personen-GmbH über einen Online-Shop, ein Buchhaltungsbüro oder eine Arztpraxis bis hin zum Produktionsbetrieb. Wenn Sie eine Kundendatenbank führen, einen Newsletter versenden, ein Kamerasystem betreiben, die Anwesenheit erfassen oder Kontakte über ein Formular sammeln, verarbeiten Sie personenbezogene Daten und die DSGVO gilt für Sie.
Wenn Sie konkrete Dienstleistungen zur DSGVO-Einführung suchen statt Theorie, besuchen Sie die Seite DSGVO für Unternehmen — schlüsselfertig. Dieser Leitfaden ist pädagogisch aufgebaut und geht tief in die Rechtsvorschriften.
DSGVO versus Gesetz Nr. 18/2018 Slg. — wie sie zusammenpassen
Eine häufige Quelle der Verwirrung ist das Verhältnis zwischen der europäischen Verordnung und dem slowakischen Gesetz. Beide gelten gleichzeitig, erfüllen aber unterschiedliche Funktionen. Die Verordnung 2016/679 (DSGVO) ist das übergeordnete, unmittelbar anwendbare Instrument — sie definiert die Grundsätze, Rechtsgrundlagen, Rechte der betroffenen Personen, Pflichten und den Sanktionsrahmen. Es handelt sich nicht um eine Umsetzung; es gibt keine „slowakische Version der DSGVO”.
Das Gesetz Nr. 18/2018 Slg. über den Schutz personenbezogener Daten ergänzt die DSGVO dort, wo die Verordnung den Mitgliedstaaten Raum für eigene Regelungen lässt (sogenannte Öffnungsklauseln) — die Stellung der Aufsichtsbehörde, Besonderheiten der Geburtsnummer, die Altersgrenze für die Einwilligung eines Kindes oder journalistische Zwecke. Das Gesetz Nr. 18/2018 Slg. ersetzte das frühere Gesetz Nr. 122/2013 Slg. (das seinerseits das ältere Gesetz Nr. 428/2002 Slg. ersetzt hatte); beide sind nicht mehr in Kraft.
In der Praxis bedeutet das: Wenn Sie die Definition des Rechts auf Löschung oder die Frist zur Meldung einer Verletzung suchen, öffnen Sie die DSGVO. Wenn Sie klären, ob Sie eine Geburtsnummer verlangen dürfen oder ab welchem Alter die Einwilligung eines Teenagers gilt, öffnen Sie das Gesetz Nr. 18/2018 Slg.
Grundbegriffe — wer ist wer im Datenschutz
Um die DSGVO anwenden zu können, müssen Sie vier Rollen verstehen.
- Personenbezogene Daten — jede Information über eine identifizierte oder identifizierbare natürliche Person: Name, E-Mail, Telefon, IP-Adresse, Standortdaten, Foto. Besondere Kategorien (sensible Daten) gemäß Art. 9 DSGVO sind Daten zur Gesundheit, Biometrie, Genetik, Religion, politischen Überzeugung oder sexuellen Orientierung — mit strengerem Regime.
- Betroffene Person — der Mensch, dessen Daten verarbeitet werden: Ihr Kunde, Mitarbeiter, Lieferant, Website-Besucher.
- Verantwortlicher — derjenige, der Zwecke und Mittel der Verarbeitung bestimmt, typischerweise Ihr Unternehmen. Er trägt die Hauptverantwortung und haftet für Sanktionen.
- Auftragsverarbeiter — verarbeitet Daten im Auftrag des Verantwortlichen (externer Buchhalter, Lohnbuchhaltungsfirma, IT-Dienstleister, Mailing, Cloud). Das Verhältnis zu ihm muss durch einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geregelt sein.
Die sieben Grundsätze der Verarbeitung personenbezogener Daten (Art. 5 DSGVO)
Die gesamte DSGVO beruht auf sieben Grundsätzen gemäß Art. 5. Sie sind die Leitplanken, die Sie bei jeder Verarbeitung einhalten müssen. Bei ihrer Verletzung droht die höchste Kategorie von Bußgeldern.
- Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz — Sie verarbeiten Daten nur auf rechtmäßiger Grundlage, fair und so, dass die betroffene Person dies in verständlicher Weise erfahren kann.
- Zweckbindung — Sie erheben Daten für bestimmte, eindeutige und legitime Zwecke und verwenden sie nicht für unvereinbare andere Zwecke.
- Datenminimierung — Sie erheben nur die Daten, die für den Zweck wirklich erforderlich sind. Kein „auf Vorrat”.
- Richtigkeit — Sie halten Daten aktuell und berichtigen oder löschen unrichtige Daten unverzüglich.
- Speicherbegrenzung — Sie speichern Daten nur so lange wie notwendig, danach löschen oder anonymisieren Sie sie.
- Integrität und Vertraulichkeit — Sie schützen Daten angemessen vor unbefugtem Zugriff, Verlust oder Zerstörung.
- Rechenschaftspflicht (Accountability) — Die Einhaltung der vorstehenden sechs Grundsätze müssen Sie nachweisen können. Es reicht nicht, die Regeln einzuhalten; Sie müssen dafür Belege haben.
Genau der siebte Grundsatz — die Rechenschaftspflicht — macht die DSGVO zu einem System, in dem „wir haben nichts schriftlich, halten es aber ein” nicht standhält. Bei einer Kontrolle fordert die Behörde Nachweise.
Auf welcher Rechtsgrundlage dürfen Sie Daten verarbeiten (Art. 6 DSGVO)
Keine Verarbeitung ist „einfach so” zulässig. Jede muss auf einer der sechs Rechtsgrundlagen gemäß Art. 6 DSGVO beruhen:
- Einwilligung der betroffenen Person — freiwillige, spezifische, informierte und unmissverständliche Willensbekundung; muss widerrufbar und nachweisbar sein.
- Vertragserfüllung — wenn die Verarbeitung zum Abschluss oder zur Erfüllung eines Vertrags erforderlich ist (Lieferung einer Bestellung, Auszahlung des Lohns).
- Rechtliche Verpflichtung — wenn Ihnen ein anderes Gesetz die Verarbeitung vorschreibt (Buchhaltung, Steuern, Archivierung, BOZP (Arbeitssicherheit und Gesundheitsschutz) und arbeitsmedizinische Dokumentation).
- Lebenswichtige Interessen — Schutz von Leben und Gesundheit einer Person (selten, z. B. im Gesundheitswesen).
- Öffentliches Interesse oder Ausübung öffentlicher Gewalt — typisch für Behörden.
- Berechtigte Interessen — flexible Grundlage (Direktmarketing gegenüber bestehenden Kunden, Netzwerksicherheit, Forderungsbeitreibung); erfordert einen Verhältnismäßigkeitstest (Interessenabwägungstest).
Der häufigste Fehler von Unternehmen: Sie verlangen für alles eine Einwilligung. In Wirklichkeit ist die Einwilligung oft die schwächste und fragilste Grundlage (sie kann jederzeit widerrufen werden). Für die Auftragsabwicklung oder die Lohnbuchhaltung ist überhaupt keine Einwilligung erforderlich.
Rechte der betroffenen Person (Art. 15 – 22 DSGVO)
Die DSGVO verleiht Menschen starke und durchsetzbare Rechte. Das Unternehmen muss auf ihre Ausübung in der Regel innerhalb eines Monats reagieren (Art. 12 DSGVO).
| Recht | Artikel | Bedeutung |
|---|---|---|
| Auskunft | Art. 15 | Die Person kann fragen, ob und welche Daten Sie über sie verarbeiten, und eine Kopie erhalten. |
| Berichtigung | Art. 16 | Berichtigung unrichtiger und Vervollständigung unvollständiger Daten. |
| Löschung ("Vergessenwerden") | Art. 17 | Löschung von Daten, wenn sie nicht mehr erforderlich sind oder die Einwilligung widerrufen wurde. |
| Einschränkung der Verarbeitung | Art. 18 | Vorübergehendes „Einfrieren” der Verarbeitung in Streitfällen. |
| Datenübertragbarkeit | Art. 20 | Herausgabe der Daten in einem strukturierten, maschinenlesbaren Format. |
| Widerspruch | Art. 21 | Widerspruch gegen die Verarbeitung auf Basis berechtigter Interessen und für Marketingzwecke. |
| Automatisierte Entscheidungsfindung | Art. 22 | Recht, nicht ausschließlich einer automatisierten Entscheidung mit Rechtswirkung unterworfen zu sein. |
Praktische Konsequenz: Sie müssen einen funktionsfähigen Prozess haben, wie Sie Anfragen entgegennehmen, die Identität des Antragstellers überprüfen, Daten auffinden und fristgerecht antworten. Das Ignorieren von Anfragen ist ein häufiger Grund für Beschwerden bei der Behörde.
Pflichten des Unternehmens — Dokumentation, die Sie haben müssen
Neben den Grundsätzen und Rechten legt die DSGVO dem Unternehmen konkrete „dokumentarische” Pflichten auf. Genau diese überprüft die ÚOOÚ (Datenschutzbehörde der Slowakischen Republik) als erstes.
Informationspflicht (Art. 13 – 14 DSGVO)
Bei der Erhebung von Daten müssen Sie die betroffene Person verständlich informieren — wer Sie sind, zu welchem Zweck und auf welcher Grundlage Sie Daten verarbeiten, an wen Sie sie weitergeben, wie lange Sie sie speichern und welche Rechte sie hat. Dies erfolgt durch das Dokument Datenschutzrichtlinie. Art. 13 betrifft Daten, die direkt von der Person erhoben werden, Art. 14 Daten aus einer anderen Quelle.
Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO)
Art. 30 DSGVO verlangt das Führen eines internen Verzeichnisses der Verarbeitungstätigkeiten — eine Übersicht, welche Daten zu welchem Zweck, auf welcher Grundlage, wie lange und an wen Sie verarbeiten. Es gibt eine Ausnahme für Organisationen unter 250 Beschäftigten, diese gilt jedoch nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko für die Rechte der Personen darstellt oder besondere Kategorien von Daten umfasst — was für nahezu jedes reale Unternehmen gilt. In der Praxis benötigen Sie das Verzeichnis daher auch als kleines Unternehmen.
DSFA und Sicherheit (Art. 35 und Art. 32 DSGVO)
Wenn die Verarbeitung voraussichtlich ein hohes Risiko darstellt (umfangreiches Kamerasystem, Profiling, umfangreiche Verarbeitung sensibler Daten), müssen Sie gemäß Art. 35 DSGVO vorab eine Datenschutz-Folgenabschätzung (DSFA) durchführen. Zugleich verlangt Art. 32 DSGVO angemessene technische und organisatorische Maßnahmen — Verschlüsselung, Zugangsverwaltung, Datensicherung, Pseudonymisierung und Schulung der Mitarbeiter.
Datenschutzbeauftragter (DPO) — wann muss ein Unternehmen ihn haben (Art. 37 DSGVO)
Der Datenschutzbeauftragte (Data Protection Officer, DPO) ist ein interner oder externer Experte, der die DSGVO-Compliance überwacht, die Geschäftsleitung berät und Ansprechpartner für betroffene Personen und die Behörde ist. Gemäß Art. 37 DSGVO (und § 44 zákona č. 18/2018 Z. z.) ist seine Benennung in drei Fällen verpflichtend:
- Sie sind eine Behörde oder öffentliche Stelle;
- Ihre Kerntätigkeit besteht in der umfangreichen, regelmäßigen und systematischen Überwachung betroffener Personen (umfangreiches Verhaltensmonitoring, Profiling);
- Ihre Kerntätigkeit besteht in der umfangreichen Verarbeitung besonderer Kategorien von Daten gemäß Art. 9 (z. B. Gesundheitseinrichtungen).
Außerhalb dieser Fälle ist ein DPO nicht verpflichtend, viele Unternehmen benennen ihn jedoch freiwillig, da er den Nachweis der Rechenschaftspflicht erleichtert. Der DPO muss über Fachkenntnisse, eine unabhängige Stellung und ausreichende Ressourcen verfügen. Die Funktion kann durch einen externen Dienstleister (DPO-Outsourcing) übernommen werden — die für kleine und mittelständische Unternehmen häufigste Lösung.
Datenpanne und Meldung einer Verletzung binnen 72 Stunden (Art. 33 – 34 DSGVO)
Eine Verletzung des Schutzes personenbezogener Daten (Data Breach) ist jede Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Weitergabe oder zum unbefugten Zugang zu Daten führt — vom verlorenen USB-Stick über einen gehackten Online-Shop bis hin zu einer E-Mail, die an den falschen Empfänger gesendet wurde.
- Meldung an die Aufsichtsbehörde (Art. 33 DSGVO, § 40 zákona č. 18/2018 Z. z.) — Sie melden die Verletzung der Úrad na ochranu osobných údajov SR (ÚOOÚ) ohne unangemessene Verzögerung, spätestens binnen 72 Stunden, nachdem Sie davon Kenntnis erlangt haben. Ausnahme: wenn die Verletzung voraussichtlich kein Risiko für die Rechte der Personen nach sich zieht.
- Benachrichtigung der betroffenen Person (Art. 34 DSGVO) — wenn die Verletzung voraussichtlich ein hohes Risiko nach sich zieht, müssen Sie ohne unangemessene Verzögerung auch die betroffenen Personen selbst informieren.
Jede Verletzung — auch eine, die Sie nicht melden — müssen Sie intern dokumentieren. Ein vorbereiteter Notfallplan (wer entscheidet, wer meldet, innerhalb welcher Frist) ist der Unterschied zwischen einem bewältigten Vorfall und einem Bußgeld wegen einer versäumten Meldung.
Sanktionen bei DSGVO-Verstößen (Art. 83)
Die DSGVO hat einen der strengsten Sanktionsrahmen in der EU. Art. 83 DSGVO unterscheidet zwei Bußgeldebenen je nach Schwere des Verstoßes.
| Ebene | Höchstbußgeld | Typische Verstöße |
|---|---|---|
| Niedrigere Stufe (čl. 83 ods. 4) | bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (der höhere Betrag) | fehlende Aufzeichnungen (Art. 30), Pflichten des Auftragsverarbeiters, fehlende DSFA, keine Benennung eines DPO |
| Höhere Stufe (čl. 83 ods. 5) | bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (der höhere Betrag) | Verstoß gegen Grundsätze (Art. 5), Rechtsgrundlagen (Art. 6), Rechte der Personen (Art. 15–22), Übermittlungsregeln |
Das Bußgeld richtet sich danach, welcher der Beträge (fester oder prozentualer) höher ist. Die Behörde berücksichtigt bei der Höhe Art, Schwere und Dauer des Verstoßes, Vorsatz, Kooperation und ergriffene Maßnahmen. Neben Bußgeldern kann sie Abhilfemaßnahmen anordnen, einschließlich eines vorübergehenden oder dauerhaften Verbots der Verarbeitung. In der slowakischen Praxis sind Bußgelder bislang niedriger als die europäischen Höchstbeträge, aber die Zahl der Entscheidungen der ÚOOÚ wächst.
Datenschutzbehörde der Slowakischen Republik (ÚOOÚ) und Kontrolle
Die Aufsichtsbehörde in der Slowakei ist die Úrad na ochranu osobných údajov Slovenskej republiky (ÚOOÚ) (Datenschutzbehörde der Slowakischen Republik), Website dataprotection.gov.sk. Achtung auf einen verbreiteten Irrtum: Die DSGVO wird nicht vom Bezirksamt oder Arbeitsinspektorat vollzogen — ausschließlich die ÚOOÚ ist zuständig.
Die Behörde nimmt Beschwerden betroffener Personen entgegen und bearbeitet sie, führt Kontrollen durch (von Amts wegen und auf Anzeige), nimmt Meldungen über Verletzungen entgegen und verhängt Bußgelder. Eine Kontrolle wird am häufigsten aufgrund einer Beschwerde eines Kunden oder Mitarbeiters eingeleitet. Dabei fordert die Behörde genau die Dokumentation — Verarbeitungsverzeichnisse, Datenschutzrichtlinien, Einwilligungen, Auftragsverarbeitungsverträge und Nachweise über Maßnahmen. Ein Unternehmen, das seine Dokumentation in Ordnung hat, besteht eine Kontrolle ohne größere Probleme.
Slowakische Besonderheiten, die die DSGVO selbst nicht regelt
Geburtsnummer (§ 78 zákona 18/2018)
Die Geburtsnummer ist in der Slowakei ein allgemein verwendbarer Identifikator mit besonderem Regime gemäß § 78 ods. 4 zákona č. 18/2018 Z. z. Sie darf zur Identifizierung einer Person nur dann verwendet werden, wenn dies zur Erreichung des Zwecks unbedingt erforderlich ist; bei der Verarbeitung auf Basis einer Einwilligung muss die Einwilligung ausdrücklich sein, und die Veröffentlichung der Geburtsnummer ist verboten (außer wenn die Person sie selbst veröffentlicht). Das pauschale Erheben der Geburtsnummer „ins Formular zur Sicherheit” ist eine typische Verletzung.
Einwilligungsalter für Kinder = 16 Jahre
Bei Angeboten von Diensten der Informationsgesellschaft (Online-Dienste) direkt an ein Kind ist die Einwilligung ab 16 Jahren gemäß § 15 ods. 1 zákona č. 18/2018 Z. z. gültig. Die DSGVO erlaubte den Mitgliedstaaten, die Grenze auf 13 Jahre zu senken; die Slowakei hat diese Möglichkeit nicht genutzt. Für jüngere Kinder benötigen Sie die Einwilligung des gesetzlichen Vertreters.
Überwachung von Arbeitnehmern (§ 13 Zákonníka práce)
Die Überwachung von Arbeitnehmern (Kameras, GPS, Monitoring von Post oder Leistung) wird neben der DSGVO auch durch § 13 ods. 4 Zákonníka práce (Arbeitsgesetzbuch) geregelt. Der Arbeitgeber darf ohne schwerwiegende Gründe, die in der besonderen Natur der Tätigkeit liegen, nicht in die Privatsphäre des Arbeitnehmers durch Monitoring eingreifen, ohne ihn vorab informiert zu haben über Umfang, Art und Dauer der Kontrolle. Ein Kamerasystem benötigt daher eine Rechtsgrundlage, eine Informationspflicht, häufig eine DSFA und stets die Information der Arbeitnehmer.
Wie ein Unternehmen die DSGVO von Grund auf einführt — Schritt für Schritt
Der folgende Ablauf fasst zusammen, wie ein Unternehmen von null in einen DSGVO-konformen Zustand gelangt.
Verarbeitungstätigkeiten erfassen Notieren Sie, welche personenbezogenen Daten Sie erheben, woher, wo sie gespeichert sind und an wen Sie sie weitergeben. Dies ist das Daten-Audit und die Grundlage für alles Weitere.
Rechtsgrundlage für jeden Zweck festlegen Ordnen Sie gemäß Art. 6 jeder Verarbeitung eine Rechtsgrundlage zu (Vertrag, gesetzliche Pflicht, berechtigtes Interesse, Einwilligung).
Verzeichnis der Verarbeitungstätigkeiten erstellen Erstellen Sie gemäß Art. 30 ein Register der Zwecke, Datenkategorien, Speicherfristen und Empfänger.
Informationspflichten vorbereiten Erstellen Sie eine Datenschutzrichtlinie gemäß Art. 13 – 14 für die Website, Verträge und die Personalverwaltung.
Einwilligungen einrichten, wo erforderlich Stellen Sie für Marketing und Cookies eine nachweisbare, widerrufbare Einwilligung sicher — kein vorausgefülltes Häkchen.
Auftragsverarbeitungsverträge abschließen Mit jedem Lieferanten, der Daten in Ihrem Auftrag verarbeitet (Buchhalter, IT, Hosting, Mailing), schließen Sie einen Vertrag gemäß Art. 28 ab.
Technische und organisatorische Maßnahmen einführen Richten Sie gemäß Art. 32 Zugriffsrechte, Datensicherungen, Verschlüsselung und Regeln für Mitarbeiter ein.
Notwendigkeit von DPO und DSFA prüfen Prüfen Sie, ob Art. 37 Ihnen einen Datenschutzbeauftragten vorschreibt und ob eine risikobehaftete Verarbeitung eine DSFA gemäß Art. 35 erfordert.
Prozess für Rechte betroffener Personen einrichten Bereiten Sie ein Verfahren zur Bearbeitung von Anfragen gemäß Art. 15 – 22 innerhalb der gesetzlichen Frist vor.
Notfallplan für Verletzungen vorbereiten Legen Sie fest, wer und wie einen Vorfall der Behörde binnen 72 Stunden gemäß Art. 33 – 34 meldet.
Mitarbeiter schulen Das schwächste Glied ist der Mensch — regelmäßige Schulungen senken das Risiko eines Vorfalls und eines Bußgelds.
Regelmäßig überprüfen und aktualisieren Die DSGVO ist kein einmaliges Projekt; überarbeiten Sie die Dokumentation bei jeder Änderung von Prozessen, Systemen oder Lieferanten.
Häufigste Mythen über die DSGVO
- „Wir sind ein kleines Unternehmen, die DSGVO betrifft uns nicht.” Sie betrifft jeden, der personenbezogene Daten verarbeitet. Die Größe beeinflusst den Umfang der Pflichten, nicht ihre Existenz.
- „Ich benötige für alles eine Einwilligung.” Die Einwilligung ist nur eine von sechs Grundlagen und oft nicht geeignet. Für die Auftragsabwicklung oder die Lohnbuchhaltung ist keine Einwilligung erforderlich.
- „Die DSGVO verbietet das Versenden von Newslettern an Kunden.” Direktmarketing gegenüber bestehenden Kunden kann auf berechtigten Interessen beruhen, mit der Möglichkeit, jederzeit zu widersprechen.
- „Es reicht, auf der Website einen Satz zum Datenschutz zu haben.” Die Informationspflicht ist nur eines der erforderlichen Dokumente. Ohne Verzeichnisse, Verträge und Maßnahmen haben Sie keine Compliance.
- „DSGVO und Registratur sind dasselbe.” Nein. Die Registraturverwaltung ist ein eigenständiger Bereich gemäß Gesetz Nr. 395/2002 Slg. und wird durch die DSGVO nicht ersetzt.
- „Das Bußgeld verhängt das Bezirksamt.” Sanktionen gemäß DSGVO verhängt ausschließlich die ÚOOÚ.
- „Solange uns niemand meldet, passiert nichts.” Die Behörde kann auch von Amts wegen tätig werden, und die Rechenschaftspflicht müssen Sie jederzeit nachweisen können.
DSGVO-Bereitschafts-Checkliste
Bevor ein Kunde mit einer Anfrage oder die Behörde mit einer Kontrolle auf Sie zukommt, gehen Sie diese Checkliste durch:
- Haben Sie aktuelle Verzeichnisse der Verarbeitungstätigkeiten?
- Sind auf der Website und in Verträgen verständliche Datenschutzrichtlinien vorhanden?
- Haben Sie für jede Verarbeitung eine festgelegte Rechtsgrundlage?
- Sind Einwilligungen (Marketing, Cookies) nachweisbar und widerrufbar?
- Haben Sie Auftragsverarbeitungsverträge mit allen Lieferanten unterzeichnet?
- Haben Sie technische und organisatorische Maßnahmen sowie Zugangskontrolle eingerichtet?
- Wissen Sie, ob Sie einen DPO benötigen, und haben Sie bei risikobehafteten Verarbeitungen eine DSFA durchgeführt?
- Haben Sie einen Prozess zur Bearbeitung der Rechte betroffener Personen innerhalb der Frist und einen Notfallplan für Verletzungen binnen 72 Stunden?
- Sind Ihre Mitarbeiter geschult?
Wenn Sie bei mehreren Punkten gezögert haben, ist die DSGVO in Ihrem Unternehmen nicht wirklich eingeführt. Vom theoretischen Wissen zur praktischen Umsetzung helfen Ihnen unsere DSGVO-Dienstleistungen — Dokumentation, DPO-Outsourcing, Audit, Schulung und Vertretung bei Kontrollen der ÚOOÚ.
Súvisiace služby a zdroje
GDPR pre firmy na kľúč
Vypracujeme dokumentáciu GDPR, prevezmeme funkciu zodpovednej osoby (DPO), zaškolíme a zastúpime vás pri kontrole ÚOOÚ.
BOZP — bezpečnosť a ochrana zdravia pri práci
Komplexné zabezpečenie BOZP pre vašu firmu — popri GDPR pod jednou strechou.
Pracovná zdravotná služba
PZS pre zamestnancov — zdravotný dohľad a posudky popri ochrane osobných údajov.
Civilná ochrana
Dokumentácia a plán ochrany zamestnancov — ďalšia zákonná agenda pod jednou strechou.
Kurzy a školenia
Školenie zamestnancov v oblasti bezpečnosti a ochrany údajov.
Slovník pojmov
Výkladový slovník kľúčových pojmov z BOZP, OPP, PZS a VTZ.
Stručná odpoveď
Die DSGVO ist die allgemeine EU-Verordnung zum Schutz personenbezogener Daten, die in der Slowakei seit dem 25. Mai 2018 unmittelbar gilt und durch das slowakische Gesetz über den Schutz personenbezogener Daten ergänzt wird. Sie gilt für jede Firma und jeden Gewerbetreibenden, der Daten von Kunden oder Arbeitnehmern verarbeitet. Die wichtigsten Pflichten sind die Rechtsgrundlage der Verarbeitung, die Informationspflicht, das Verzeichnis von Verarbeitungstätigkeiten, eine angemessene Sicherung und die Meldung einer Verletzung an die Behörde binnen 72 Stunden.
Časté otázky o GDPR
Ja. Die DSGVO gilt für jeden, der personenbezogene Daten im Zusammenhang mit der unternehmerischen Tätigkeit verarbeitet, unabhängig von der Größe. Eine kleine Firma und ein Gewerbetreibender haben weniger umfangreiche Pflichten als ein Konzern, doch die grundlegenden Regeln gelten gleichermaßen: Rechtsgrundlage, Informationspflicht, Sicherung und in der Regel auch ein Verzeichnis von Verarbeitungstätigkeiten.
Die DSGVO ist die EU-Verordnung 2016/679, die in der gesamten Union unmittelbar und vorrangig gilt. Das Gesetz Nr. 18/2018 Slg. ergänzt sie in der Slowakei nur dort, wo die Verordnung dem Staat einen Spielraum lässt, zum Beispiel bei der Geburtsnummer, dem Alter der Einwilligung eines Kindes oder den Befugnissen der Behörde. Beide Vorschriften gelten gleichzeitig.
Ein Datenschutzbeauftragter ist verpflichtend, wenn Sie eine Behörde sind, wenn Ihre Haupttätigkeit eine umfangreiche systematische Überwachung von Personen ist oder wenn Sie umfangreich sensible Daten verarbeiten. Außerhalb dieser Fälle ist ein DPO nicht verpflichtend, viele Firmen richten ihn jedoch freiwillig ein, oft in Form eines externen Outsourcings.
Eine Verletzung des Datenschutzes müssen Sie dem Amt für den Schutz personenbezogener Daten ohne unnötigen Aufschub melden, spätestens binnen 72 Stunden ab dem Zeitpunkt, zu dem Sie davon Kenntnis erlangt haben. Besteht ein hohes Risiko für die betroffenen Personen, müssen Sie auch diese informieren. Jeder Vorfall ist zu dokumentieren, auch wenn Sie ihn nicht melden.
Die DSGVO unterscheidet zwei Ebenen. Der niedrigere Satz beträgt bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, der höhere Satz bis zu 20 Millionen Euro oder 4 Prozent des Umsatzes, je nachdem, welcher Betrag höher ist. Die Höhe bestimmt die Behörde nach Schwere, Dauer und Zusammenarbeit der Firma.
Die Aufsichtsbehörde ist ausschließlich das Amt für den Schutz personenbezogener Daten der Slowakischen Republik mit Sitz in Bratislava. Die Kontrolle führt weder das Bezirksamt noch das Arbeitsinspektorat durch. Die Behörde nimmt Beschwerden entgegen, führt Kontrollen aus eigener Initiative wie auch auf Anregung durch und verhängt Sanktionen.
Bei Cookies und ähnlichen Technologien, die für den Betrieb der Website nicht unbedingt erforderlich sind, benötigen Sie eine gültige Einwilligung des Besuchers. Die Einwilligung muss freiwillig, nachweisbar und ebenso leicht widerrufbar wie erteilt sein. Ein vorangekreuztes Kästchen oder die bloße Nutzung der Website genügt als Einwilligung nicht.
Eine Überwachung der Arbeitnehmer ist möglich, aber nur bei einem ernsthaften Grund, der in der Art der Tätigkeit liegt, und nach Erfüllung der Bedingungen gemäß § 13 ods. 4 des Arbeitsgesetzbuchs. Die Arbeitnehmer müssen Sie vorab über den Umfang, die Art und die Dauer der Kontrolle informieren, die Rechtsgrundlage bestimmen, die Informationspflicht erfüllen und bei einer risikobehafteten Überwachung eine Folgenabschätzung durchführen.
In der Slowakei gilt bei online Diensten, die einem Kind direkt angeboten werden, die Altersgrenze von 16 Jahren gemäß § 15 ods. 1 des Gesetzes Nr. 18/2018 Slg. Die Slowakei hat die Möglichkeit, sie auf 13 Jahre zu senken, nicht genutzt. Für ein jüngeres Kind benötigen Sie die Einwilligung oder Zustimmung des gesetzlichen Vertreters.
Die Geburtsnummer hat in der Slowakei ein besonderes Regime gemäß § 78 des Gesetzes Nr. 18/2018 Slg. Verarbeiten dürfen Sie sie nur dann, wenn ihre Verwendung für den jeweiligen Zweck wirklich unbedingt erforderlich ist und sich aus einem besonderen Gesetz ergibt oder die Person damit einverstanden ist. Die Veröffentlichung der Geburtsnummer ist verboten, und das pauschale Erheben in Formulare zur Sicherheit ist ein Verstoß.
Sie muss verständlich angeben, wer die Daten verarbeitet, zu welchem Zweck und auf welcher Rechtsgrundlage, an wen sie sie weitergibt, wie lange sie sie aufbewahrt, welche Rechte die betroffene Person hat und wie sie diese geltend macht. Das Dokument wird in der Regel auf der Website veröffentlicht und auch in Verträgen und der Personalverwaltung verwendet.
Nur so lange, wie es für den ursprünglichen Zweck unbedingt erforderlich ist. Die Fristen legen oft andere Gesetze fest, zum Beispiel buchhalterische und steuerliche Vorschriften oder die arbeitsrechtliche Archivierung. Nach Ablauf des Zwecks müssen Sie die Daten löschen oder anonymisieren. Die Aufbewahrungsfristen sollten Sie in den Verzeichnissen von Verarbeitungstätigkeiten festgehalten haben.
Ja. Jeder Lieferant, der personenbezogene Daten in Ihrem Namen verarbeitet, ist ein Auftragsverarbeiter, und das Verhältnis mit ihm muss durch einen schriftlichen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geregelt sein. Das betrifft den externen Buchhalter, die Lohnabrechnungsfirma, IT und Hosting, die E-Mailing-Plattform sowie Cloud-Tools.
In der Regel ja. Die Ausnahme für Organisationen unter 250 Arbeitnehmern gilt nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko für die Rechte der Personen darstellt oder sensible Daten umfasst. Das betrifft nahezu jede reale Firma, sodass Sie die Verzeichnisse in der Praxis auch als kleines Unternehmen führen müssen.
Es genügt, dass er die Löschung beantragt, zum Beispiel per E-Mail. Sie müssen seine Identität überprüfen, beurteilen, ob der Löschung keine andere gesetzliche Pflicht zur Aufbewahrung der Daten entgegensteht, und dem Antrag innerhalb der gesetzlichen Frist, in der Regel binnen eines Monats, stattgeben oder ihn begründet ablehnen. Das gesamte Verfahren sollten Sie vorab vorbereitet haben.
Benötigen Sie Hilfe beim Arbeitsschutz?
Kontaktieren Sie uns noch heute und erhalten Sie eine kostenlose Beratung. Unser Expertenteam hilft Ihnen, eine Lösung zu finden, die genau auf Ihre Bedürfnisse zugeschnitten ist.