|
Saarbrücken (ots) - Sechs von zehn Unternehmen in Deutschland arbeiten mit
veralteten Fassungen eines für die DSGVO wesentlichen Dokuments. Gemeint ist das
sogenannte Verzeichnis von Verarbeitungstätigkeiten (VVT), das gesetzlich
vorgeschrieben ist und dokumentieren soll, wie mit personenbezogenen Daten
umgegangen wird. Jedes fünfte Unternehmen gibt sogar an, kein VVT zu führen, ein
direkter Verstoß gegen die Datenschutzgrundverordnung. Dies geht aus einer
Umfrage von Dury Consult hervor. Befragt wurden 500 Verantwortliche für den
Datenschutz in Unternehmen mit mehr als 500 Mitarbeitern.
Auf dem aktuellen Stand beim VVT sind gerade mal 21 Prozent der Betriebe. Sie
haben innerhalb der letzten drei Monate das wichtigste Datenschutzdokument im
Unternehmen gepflegt. Weitere rund 20 Prozent der VVT-Änderungen sind älter,
teilweise liegen sie sogar mehr als ein Jahr zurück. 39 Prozent der
Datenschützer können dagegen nicht genau sagen, wann sie das VVT überhaupt
zuletzt aktualisiert haben. Dadurch entstehen immense Risiken für die
Unternehmen. Gegenüber Aufsichtsbehörden müssen sie nachweisen können, bei
welchen Abläufen sie personenbezogene Daten verarbeiten und wie diese dabei
geschützt werden.
"Mit dem VVT legen Unternehmen ihre gesetzliche Rechenschaftspflicht nach Art. 5
Abs. 2 DSGVO ab", erläutert Sandra Dury, Inhaberin von Dury Consult. "Auf
EU-Ebene werden derzeit zwar Erleichterungen für kleinere Betriebe diskutiert,
für viele bleibt das VVT aber eine harte und unumstößliche Pflicht."
Ein fehlendes oder veraltetes VVT zählt nicht als bloßer Formfehler, sondern als
ein klassisches Organisationsverschulden der Geschäftsführung. Kann das
Top-Management im Ernstfall keine angemessene Organisationsstruktur nachweisen,
drohen neben hohen Bußgeldern für das eigene Unternehmen womöglich auch
persönliche Konsequenzen. "Ohne ein aktuelles VVT müssen sich Geschäftsführer
vorwerfen lassen, personenbezogene Daten gar nicht wirksam schützen zu können,
weil sie gar nicht wissen wo sie überall verarbeitet werden", so Dury. "Die
Unternehmen riskieren dabei, dass sie bei Audits durchfallen oder bei einem
Datenschutzvorfall nicht belegen können, dass sie wirksame Vorkehrungen
getroffen haben, um dies zu vermeiden."
Häufig erfahren die Datenschützer auch zu spät oder gar nicht davon, wenn sich
etwas am Umgang mit personenbezogenen Daten ändert. Besonders bedenklich: Selbst
bei HR- und Personalprojekten bleiben fast 86 Prozent der Datenschützer außen
vor. Geht es um neue Software, wie CRM, Cloud oder KI, verzichten 79 Prozent auf
den Rat ihrer Datenschützer. Bei der IT-Sicherheit, die Zugriffe und
Verschlüsselungen regelt, arbeiten drei Viertel ohne die für den Datenschutz
zuständigen Kolleginnen und Kollegen einzubinden. Bei Kundenprojekten sieht es
noch am besten aus, doch auch dort werden die Datenschützer in knapp drei von
vier Fällen übergangen. Das Problem: Art. 38 DSGVO schreibt genau das Gegenteil
vor, Datenschutzbeauftragte frühzeitig einzubinden.
Erschwerend kommt hinzu, dass sich Auskunftsansprüche nach Art. 15 DSGVO kaum
erfüllen lassen, wenn das Unternehmen mit einem mangelhaften oder sogar ohne VVT
arbeitet. Dadurch entstehen auch operative und kostenintensive Risiken, weil
solche Anfragen kostenfrei und unverzüglich, in jedem Fall aber innerhalb eines
Monats nach Eingang des Antrags beantwortet werden müssen. Sind die Angaben
fehlerhaft oder lassen sie sich nicht rechtzeitig beschaffen, drohen
Aufsichtsverfahren, Bußgelder und zunehmend teure Schadensersatzklagen.
Allerdings begründet eine bloße Fristüberschreitung allein laut Rechtsprechung
keinen automatischen Anspruch auf Schadenersatz.
"Viele Unternehmen sehen im Datenschutz vor allem Kosten, die ihnen niemand
erstattet", erklärt Dury. "Dabei ist er ein entscheidendes Instrument, um
Unternehmen vor kostspieligen Auseinandersetzungen zu bewahren."
Neben möglichen Bußgeldern oder Schadenersatz können dies auch
Reputationsschäden sein, die sich schwer wieder gutmachen lassen. In der
Gesundheitswirtschaft beispielsweise steht sowohl für die Unternehmen als auch
die Patienten viel auf dem Spiel, wenn personenbezogene Daten nur unzureichend
geschützt werden. Darum sollten Unternehmen penibel darauf achten, Datenschutz
als echten Vertrauensanker in ihre Geschäftsprozesse zu integrieren. Dazu gehört
ein gepflegtes und aktuelles VVT als belastbares Fundament.
Über die Umfrage
Dury Consult hat 500 Verantwortliche für den Datenschutz in Unternehmen in
Deutschland mit mehr als 500 Mitarbeitern befragen lassen. Die Umfrage wurde im
April und Mai 2026 von Civey Deutschland durchgeführt.
Über Dury Consult
Dury Consult ist eine auf Datenschutz und Informationssicherheit spezialisierte
Beratung mit Sitz in Saarbrücken und einem weiteren Standort in Luxemburg. Zu
den Kunden zählen Unternehmen aus den Branchen Finanzdienstleistungen,
Gesundheitswesen und KRITIS. Seit 2017 versteht sich das aus Volljuristen
bestehende Team von Dury Consult als externe Datenschutzabteilung. Gründerin und
Geschäftsführerin Sandra Dury ist Rechtsanwältin, CIPP/E-zertifiziert und
Autorin des 2019 erschienen "Praxishandbuchs Datenschutz in Luxemburg".
Pressekontakt:
Sandra Dury
mailto:sdury@dury-consult.com
Tel.: +49 681 958044-0
Weiteres Material: http://presseportal.de/pm/183031/6322546
OTS: Dury Consult GmbH
|
