Die neue Datenschutz-Grundverordnung (DSGVO)

Jedes Unternehmen mit Firmenfahrzeugen – seien es Dienstfahrzeuge, Servicefahrzeuge und Transporter oder Poolfahrzeuge – besitzt und sammelt Daten über diese Fahrzeuge. Dies gilt auch für Dienstleister wie etwa Leasinggesellschaften, Garagen, Kraftstoffunternehmen oder Reifenhändler. Und weil wir in einer digitalisierten Welt leben, sind immer mehr Autos mit Telematiksystemen ausgestattet; sie wurden ab dem 31. März 2018 mit einer obligatorischen Notruffunktion (eCall) versehen. Verschiedene Unternehmen sammeln und verarbeiten zur Verwaltung einer Firmenflotte unterschiedliche Datenströme. Was müssen all diese Unternehmen nun tun, um die Einhaltung der neuen Allgemeinen Datenschutzverordnung (GDPR, General Data Protection Regulation) zu gewährleisten?
 

Die Datenschutz-Grundverordnung legt fest, wie die Verbraucherdaten zu verwenden und zu schützen sind. Die DSGVO wurde im April 2016 offiziell vom Europäischen Parlament verabschiedet. Nach einer zweijährigen Vorannahmefrist wird sie im Mai 2018 EU-weit durchsetzbar sein.

Sie gilt für jeden, der im Zusammenhang mit dem Verkauf von Waren und Dienstleistungen an Bürger in der EU Daten über Personen verarbeitet, unabhängig davon, ob sich die Organisation innerhalb der EU befindet oder nicht.
 

In der Schweiz ist die Regelung etwas anders. Am 15. September 2017 hat der Bundesrat den Entwurf für ein total revidiertes Datenschutzgesetz (DSG) verabschiedet. In einigen Bereichen geht das revidierte DPA nicht so weit, insbesondere in Bezug auf die vorgesehenen Sanktionen. Wann das neue Datenschutzgesetz in Kraft tritt, lässt sich nicht mit Sicherheit sagen. Als frühestes Datum wird der Herbst 2018 genannt. Die Staatspolitische Kommission des Nationalrats hat am 12. Januar 2018 angekündigt, dass sie sich mit der Revision des DPA in zwei Teilen befassen will. In einem ersten Schritt soll aufgrund der Dringlichkeit der Angelegenheit vorab die Umsetzung des durch die Schengener Abkommen geforderten EU-Rechts erörtert werden Anschliessend sollte die Vollrevision des DSG ohne Zeitdruck in Angriff genommen werden. Es bleibt abzuwarten, welche Verzögerungen sich daraus ergeben und welchen Inhalt das voll revidierte DSG eines Tages haben wird.
 

Einwilligung: Bei der Einholung der Einwilligung zur Datennutzung dürfen die Unternehmen keine in Juristensprache verfassten unverständlichen Bedingungen verwenden. Es muss genauso einfach sein, die Einwilligung zurückzuziehen wie sie zu erteilen.

Benachrichtigung bei Verstössen: Im Falle eines Datenverstosses müssen die Datenverarbeiter ihre Datenverantwortlichen und Kunden binnen 72 Stunden über jedes Risiko informieren.

Recht auf Zugang: Der Fahrer hat das Recht, von einem Datenverantwortlichen eine Bestätigung darüber zu erhalten, ob seine persönlichen Daten verarbeitet werden. Der Datenverantwortliche hat dem Betroffenen kostenlos eine elektronische Kopie der persönlichen Daten zur Verfügung zu stellen.

Recht auf Vergessenwerden: Wenn die Daten für den ursprünglichen Zweck nicht mehr relevant sind, kann ein Fahrer verlangen, dass der Datenverantwortliche seine persönlichen Daten löscht und ihre Verbreitung einstellt.

Datenübertragbarkeit: Ermöglicht einem Fahrer, seine persönlichen Daten für seine eigenen Zwecke zu erhalten und wiederzuverwenden, indem er sie über verschiedene IT-Umgebungen hinweg überträgt.

Eingebauter Datenschutz: Verlangt die Einbeziehung des Datenschutzes von Anfang an durch geeignete technische und infrastrukturbezogene Massnahmen.

Datenschutzbeauftragte: Von Behörden oder Organisationen, die in grossem Umfang (>250 Mitarbeitende) eine systematische Überwachung oder Verarbeitung sensibler persönlicher Daten vornehmen, sind fachlich qualifizierte Beauftragte zu ernennen. Bei Arval hat jede Landesgesellschaft einen hochqualifizierten Mitarbeitenden für die Bearbeitung von Anfragen bezüglich der DSGVO ernannt.
 

Dokumentation ist ein Muss; Unternehmen sollten anfangen zu dokumentieren, wer welche Daten sammelt, besitzt und verarbeitet. Ferner sollten sie die Fahrer der Firmenfahrzeuge um ihre schriftliche Zustimmung bitten. Andererseits sollten sie die Leasinggesellschaft auffordern zu garantieren (DSGVO-Deckung), dass sie bei Vertragsende alle persönlichen Fahrerdaten löschen, sofern der Fahrer keinen neuen Firmenwagen bekommt. Und das Unternehmen sollte seinen Fahrern die Kontaktdaten des Datenschutzbeauftragten der Leasinggesellschaft mitteilen.
 

Schnelle Checkliste zur Vorbereitung:

1. Dokumentation:
   Es ist ein Überblick darüber erforderlich, welche Art von Daten gespeichert werden, wo sie gespeichert sind und von wem sie verarbeitet werden. Dieses Datenregister muss ständig aktualisiert werden und auch für Prüfungen oder Anfragen von Mitarbeitenden zur Verfügung stehen.

2. Datenschutz-Bewertungen:
   Wenn das Unternehmen hochsensible Daten wie zum Beispiel Kontodaten, Geldbussen und Strafen, Sozialversicherungsnummern, ärztliche Bescheinigungen (z. B. eine Lendenwirbelstütze) speichert, ist das Unternehmen zur Durchführung von Datenschutzbewertungen verpflichtet.

3. Angemessenes Sicherheitsniveau:
   Um eine angemessene Sicherheit zu gewährleisten, hat das Unternehmen die erforderlichen Massnahmen zum Schutz persönlicher Daten zu treffen.

4. Kommunikation und Nutzungsbedingungen für die persönlichen Daten:
   Überprüfen Sie alle Arten von Mitteilungen und die Nutzungsbedingungen, um sicherzustellen, dass sie der DSGVO entsprechen. Stellen Sie sicher, dass die Datenverarbeiter, die im Auftrag des Unternehmens tätig sind, dies auch getan haben (schriftliche Bestätigung erforderlich).

5. Registrierung und Benachrichtigung bei Datenverstössen:
   Führen Sie ein System zur Erfassung, Verfolgung und Mitteilung von Datenverstössen an Kunden und Fahrer ein.

6. Datenschutzbeauftragter:
   Es sollte ein Datenschutzbeauftragter ernannt und den Fahrern seine Kontaktdaten mitgeteilt werden.

Haben Sie fragen zur neuen Datenschutz-Grundverordnung (DSGVO)? Gerne geben wir Ihnen persönlich Auskunft.

Malte Lindberg
Head of Consulting & CVO

malte.lindberg@arval.ch