Die meisten kleinen Unternehmen verarbeiten mehr personenbezogene Daten, als ihnen bewusst ist: Mitarbeiter und Lohnabrechnung, Kunden und Rechnungen, ein Kontaktformular auf der Website, eine Kamera am Eingang. Die DSGVO gilt für all das, unabhängig von der Größe des Unternehmens, und Bulgarien ergänzt sie mit eigenen Regeln im Gesetz über den Schutz personenbezogener Daten. Die gute Nachricht: Für ein typisches kleines Unternehmen lässt sich die Compliance auf eine kurze Liste reduzieren.
Die Kerndokumente
- Datenschutzhinweise – einer für Kunden und Website-Besucher, einer für Mitarbeiter: was Sie erheben, warum, auf welcher Rechtsgrundlage, wie lange und wer es erhält.
- Ein Verzeichnis von Verarbeitungstätigkeiten. Unternehmen mit weniger als 250 Beschäftigten sind nur befreit, wenn die Verarbeitung gelegentlich erfolgt – und die Lohnabrechnung tut das nicht, daher braucht fast jeder Arbeitgeber zumindest ein kurzes Verzeichnis.
- Verträge mit Auftragsverarbeitern – externer Buchhalter oder Lohnbüro, IT-Betreuung, Cloud- und Hostingdienste – mit den Inhalten, die Art. 28 DSGVO verlangt.
- Ein Löschkonzept – wie lange jede Datenkategorie aufbewahrt und wann sie gelöscht wird.
- Ein Verfahren für Datenpannen – wer entscheidet, wer die KZLD und die Betroffenen benachrichtigt und wie Vorfälle dokumentiert werden.
Bulgarische Regeln zusätzlich zur DSGVO
- Bewerber. Daten abgelehnter Bewerber dürfen höchstens sechs Monate nach Abschluss des Auswahlverfahrens gespeichert werden, es sei denn, der Bewerber willigt in eine längere Frist ein. Kopien der Nachweise über ihre Qualifikation sollten ebenfalls nicht länger aufbewahrt werden.
- Ausweiskopien. Sie dürfen den Personalausweis oder Reisepass eines Kunden oder Mitarbeiters nicht kopieren, es sei denn, ein Gesetz sieht es vor. Notieren Sie die benötigten Angaben, statt das Dokument zu kopieren.
- Mitarbeiterüberwachung. Systeme zur Zutrittskontrolle, Arbeitszeiterfassung und für interne Meldungen brauchen interne Regeln zu Umfang und Verwendung der Daten, und die Mitarbeiter müssen darüber informiert werden.
- Kinder. Bei Online-Diensten, die sich direkt an Kinder richten, kann ein Kind ab 14 Jahren selbst einwilligen; darunter muss ein Elternteil oder Vormund einwilligen.
- Andere Gesetze gehen vor. Nach dem bulgarischen Rechnungslegungsgesetz sind Lohnlisten 50 Jahre und Buchhaltungsregister und Jahresabschlüsse 10 Jahre aufzubewahren. Die DSGVO verkürzt diese Fristen nicht.
Videoüberwachung
Videoüberwachung von Geschäftsräumen ist verbreitet und zulässig, wenn sie einen klaren Zweck hat – die Sicherheit von Menschen und Eigentum – und verhältnismäßig bleibt. Bringen Sie Hinweisschilder an, bevor Personen in den Erfassungsbereich gelangen, filmen Sie niemals Bereiche wie Toiletten und Umkleiden, erfassen Sie Straße und Nachbarn nicht mehr als nötig, speichern Sie Aufnahmen nur für begrenzte Zeit und beschränken Sie den Zugriff. Werden Mitarbeiter gefilmt, regeln Sie das in den internen Vorschriften.
Website und Cookies
Analyse- und Werbe-Cookies erfordern die vorherige Einwilligung des Besuchers; technisch notwendige Cookies nicht. Kontaktformulare sollten auf die Datenschutzhinweise verlinken und nur das Nötige abfragen. Wenn Ihre Tools Daten außerhalb des Europäischen Wirtschaftsraums übermitteln – wie viele US-Dienste –, prüfen Sie die Grundlage der Übermittlung, etwa den EU-US-Datenschutzrahmen oder Standardvertragsklauseln.
Wenn etwas schiefgeht
Eindämmen
Stoppen Sie das Leck – Passwörter ändern, E-Mail zurückrufen, Konto sperren.
Bewerten
Welche Daten, wie viele Personen und welches Risiko für sie.
Melden
Sind die Rechte von Personen gefährdet, melden Sie die Panne binnen 72 Stunden der KZLD; bei hohem Risiko informieren Sie auch die Betroffenen.
Dokumentieren
Halten Sie jede Panne fest, auch die nicht gemeldeten, samt Ihrer Begründung.
Häufige Fragen unserer Mandanten
Brauchen wir einen Datenschutzbeauftragten?
In der Regel nicht. Ein Datenschutzbeauftragter ist Pflicht für Behörden und für Organisationen, deren Kerntätigkeit in einer umfangreichen Überwachung von Personen oder in der umfangreichen Verarbeitung sensibler Daten wie Gesundheitsdaten besteht. Ein kleines Handels- oder Dienstleistungsunternehmen erfüllt das selten – aber jemand sollte trotzdem für den Datenschutz verantwortlich sein. Unser Bereich Datenschutz prüft die Frage für Ihr Unternehmen.
Können wir uns von den Mitarbeitern einfach für alles eine Einwilligung geben lassen?
Nein. Eine Einwilligung im Arbeitsverhältnis ist selten freiwillig und daher eine schwache Rechtsgrundlage. Die meisten Verarbeitungen im Personalbereich stützen sich auf den Arbeitsvertrag und gesetzliche Pflichten; die Einwilligung ist für wirklich freiwillige Dinge gedacht, etwa Mitarbeiterfotos auf der Website.
Wir nutzen ein externes Lohnbüro. Wer ist verantwortlich?
Sie, als Verantwortlicher. Das Lohnbüro verarbeitet die Daten in Ihrem Auftrag, deshalb brauchen Sie einen Auftragsverarbeitungsvertrag und sollten prüfen, dass es die Daten angemessen schützt. Wenn Sie Ihren ersten Mitarbeiter einstellen, regeln Sie das von Anfang an.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. Unbekannte Begriffe erklärt unser Glossar.
