Start-up datenschutzkonform gründen

Datenschutz Verstehen – Datenschutz beim Start-up

Start-up datenschutzkonform gründen

Um Bußgelder und andere negative Konsequenzen zu vermeiden, sollten bereits bei Gründung des Start-ups datenschutzrechtliche Vorgaben berücksichtigt und umgesetzt werden. Am Anfang jedes Start-ups steht zunächst „die Idee“. Darauf folgt im nächsten Schritt die Überlegung, wer die Vertragspartner werden sollen. Schon hier spielt der Datenschutz eine große Rolle. Zur Einhaltung der DSGVO sollte schon vor der Gründung eine Vertraulichkeitsvereinbarung unterzeichnet werden. Diese Vereinbarung ist außerordentlich wichtig in Bezug auf Geheimhaltung von Betriebsinterna. Weiterhin wird festgelegt, welche Rechte und Pflichten der Geschäftspartner hat und wie sich der Umgang mit sensiblen Daten, wie z.B. personenbezogenen Daten von Kunden, Mitarbeitern und Lieferanten, gestaltet. Des Weiteren sollten Mitarbeiter und Geschäftspartner Informationsschreiben erhalten und an unerlässlichen Schulungen zum Thema Datenschutz teilnehmen. Interessant in Hinblick auf den Datenschutz ist auch der Umgang mit dem Kunden: Hier sind eine Reihe verschiedener Gesichtspunkte zu beachten, denn sollte ein Kunde im Auftrag personenbezogene Daten verarbeiten, ist ein Auftragsverarbeitungsvertrag erforderlich. Hier spielen die technischen und organisatorischen Maßnahmen (TOM) eine große Rolle, welche eine gewisse Sicherheit bei der Verarbeitung personenbezogener Daten gewährleisten. Als technische Maßnahmen werden hierbei eine Reihe von Maßnahmen bezeichnet, die Einfluss auf die technische Verarbeitung haben, wie beispielsweise die Verschlüsselung von Datenträgern. Als organisatorischen Maßnahmen hingegen gelten z.B. Schulungen von Mitarbeitern, aber auch die Vertraulichkeitsverpflichtung.

Auch beim Betrieb einer Webseite müssen gewisse Standards eingehalten werden. Zunächst sollte sich beim Aufrufen der Webseite stets ein Cookie-Banner mit entsprechenden Auswahlmöglichkeiten öffnen. Ferner muss jede Webseite eine Datenschutzerklärung nach Maßgabe der DSGVO sowie des BDSG enthalten, in der der jeweilige Zweck der Verarbeitung, die Dauer der Verarbeitung, die Betroffenenrechte sowie sämtliche Rechtsgrundlagen der Verarbeitungen genannt werden. Eine fehlerhafte Datenschutzerklärung kann auch hier zu hohen Bußgeldern führen.

Start-up Investoren prüfen die Umsetzung der DSGVO

Auch in Hinblick auf mögliche Investoren ist die genaue Einhaltung der DSGVO lukrativ. Natürlich wird hier genau geprüft, inwieweit sich das Start-up an die gesetzlichen Vorgaben hält und wie diese im Unternehmen Umsetzung finden. Wichtig ist, dass sich Start-ups hinsichtlich ihrer technischen Maßnahmen, bezogen auf datenschutzrechtliche Vorgaben, stets auf dem neuesten Stand zu befinden, um Sicherheit zu gewährleisten und das Risiko von möglichen Datenpannen oder Reputationsschäden zu minimieren. Als „Datenpanne” wird die Verletzung des Schutzes personenbezogener Daten bezeichnet, die der unverzüglichen und möglichst binnen 72 Stunden zu erfolgenden Meldung bei der zuständigen Aufsichtsbehörde bedarf und die ebenfalls empfindliche Bußgelder nach sich ziehen kann. Deshalb möchten mögliche Investoren das Risiko einer Datenpanne gerne ausschließen und daher vorzugswürdig in Start-ups investieren, bei denen eine lückenlose Einhaltung der DSGVO gegeben ist. Um eine hohe Attraktivität für Investoren zu erzielen, ist es besonders wichtig, bei einer Prüfung der bisherigen Umsetzung der DSGVO, die häufig vor der Platzierung von Investitionen erfolgt, gute Ergebnisse zu erzielen. 

Selbstredend ist, dass Investoren nur in Geschäftsmodelle investieren, welche auch vor dem Hintergrund der datenschutzrechtlichen Situation, legal durchgeführt werden dürfen. Ist das Geschäftsmodell nicht vorab umfassend begutachtet worden, gehen Start-ups das Risiko ein, dass die Produkte, Dienstleistungen oder Softwarelösungen gar nicht erst angeboten werden dürfen. Gründer-Teams setzen daher oftmals auf ein externes Audit, um diese Risiken ausschließen zu können.

Was sind die “Must-Haves”?

Besonders geeignet für den Nachweis über die Einhaltung der DSGVO sind Dokumentationen wegen der Rechenschafts- und Nachweispflicht. vgl. Art. 5 Abs. 2 DSGVO. Hierzu zählen insbesondere der Abschluss von Auftragsverarbeitungsverträgen sowie die Dokumentation der technischen und organisatorischen Maßnahmen eines Unternehmens nach Art. 32 DSGVO. Darüber hinaus ist ein Verzeichnis von Verarbeitungstätigkeiten gem. Art. 30 DSGVO unerlässlich. Das Verzeichnis von Verarbeitungstätigkeiten ist eine Übersicht aller Prozesse (Verarbeitungen), welche personenbezogene Daten beinhalten. Die Erstellung eines solchen Verzeichnisses ist hier umfassend erklärt. 

Auch eine Datenschutz-Folgenabschätzung, z.B. bei gewissen Verarbeitungen von besonderen Kategorien von personenbezogenen Daten, kann erforderlich sein und sollte daher dokumentiert durchgeführt werden. Als organisatorische Maßnahme i.S.v. Art. 32 DSGVO müssen Vertraulichkeitsverpflichtungen und Informationsschreiben für Mitarbeiter vorhanden sein. Zudem sollten Mitarbeiterschulungen im Datenschutz in regelmäßigen Abständen durchgeführt werden und eingeholte Einwilligungserklärungen der Mitarbeiter, zum Beispiel in Hinblick auf die Veröffentlichung von Mitarbeiterfotos auf der Webseite des Arbeitgebers, revisionssicher aufbewahrt werden.

Datenschutz beim Verkauf eines Start-ups

Nun stellt sich die Frage, was bei dem Verkauf eines Start-ups, bei einem sogenannten Start-up Exit, zu beachten ist. Grundlegend ist zunächst klarzustellen, dass Kundendaten nicht wie Ware verkauft werden können. Auch hier müssen die Vorgaben der DSGVO eingehalten werden. Zu unterscheiden ist hierbei zwischen Kundendaten bei laufenden Verträgen, bei welchen eine Genehmigung des Kunden notwendig ist, sowie Daten von Bestandskunden ohne laufende Verträge, bei denen die aktive Vertragsbeziehung mehr als drei Jahre zurückliegt und deren Daten damit der Einschränkung der Verarbeitung unterliegen. Ferner sind von diesen Konstellationen Daten von Kunden bei fortgeschrittener Vertragsanbahnung zu unterscheiden, die mit einer längeren Widerspruchsfrist übermittelt werden. Darüber hinaus werden Kundendaten im Falle von offenen Forderungen abgetreten und dürfen somit dem Käufer weitergegeben werden. Kundendaten besonderer Kategorien von personenbezogenen Daten nach Art. 9 Abs. 1 DSGVO können nach einer informierten Einwilligung gem. Art. 9 Abs. 2 lit. a) DSGVO und Art. 7 DSGVO übermittelt werden. Bezüglich der Daten von Mitarbeitern und Beschäftigten gilt, dass diese nur verarbeitet werden dürfen, sofern diese für die Beurteilung des Arbeitsverhältnisses sowie dessen Begründung oder Beendigung notwendig ist, vgl. Art. 88 DSGVO, § 26 BDSG-neu. In diesem Zusammenhang ist zudem die Frage entscheidend, wie lange der Verkäufer die jeweiligen Daten noch verarbeiten darf. Sofern nicht entsprechende Aufbewahrungspflichten bestehen, sind die Daten durch den ehemaligen Arbeitgeber umgehend zu löschen.

Anforderungen an den digitalen Arbeitsplatz im Start-up 

Start-ups arbeiten in der Regel sehr digital und kennzeichnen sich durch den effizienten Einsatz mobiler Endgeräte. Doch auch die Nutzung von Arbeitstools wie Slack und Microsoft Office 365 und Google Dienste birgt einige datenschutzrechtliche Gefahren, die es zu vermeiden gilt. Durch die Eröffnung der vielen (digitalen) Optionen ist es Start-up-Mitarbeitern möglich, oft im Homeoffice zu arbeiten. Besonders im Homeoffice wird häufig zwingend auf die genannten Tools zurückgegriffen.  Um personenbezogene Daten zu schützen, sieht Art. 32 Abs. 1 lit. b) DSGVO vor, dass angemessene Schutzmaßnahmen getroffen werden müssen, welche die Fähigkeit besitzen, die Vertraulichkeit, Verfügbarkeit, Belastbarkeit und Integrität der Dienste und Systeme in Bezug auf die Verarbeitung der Daten sicherzustellen. Zugriffs- und Zutrittskontrollen sowie Eingabe- und Weitergabekontrollen sollten, sowohl am Arbeitsplatz als auch im Homeoffice, vorhanden sein, damit z.B. Datenpannen ausgeschlossen werden und personenbezogene Daten auf einem sicheren Level verarbeitet werden. Die Risiken im Home Office, wie z.B. die unbefugte Nutzung von Geräten und Systemen durch Dritte oder die Offenlegung schützenswerter Informationen, kann durch gezielte technische und organisatorische Maßnahmen auf ein Minimum reduziert werden. 

Was sollten Start-ups noch beachten?

Wir fragen nach beim Start-up Rechtsanwalt Nils L. Bremann LL.M., welcher Gründungs-Partner der Kanzlei TechTeam Law mit Standorten in Münster und Hamburg ist.

Was Start-ups aus meiner Sicht als Start-up Anwalt in datenschutzrechtlicher Sicht zu beachten haben, ist natürlich stark abhängig vom jeweiligen Geschäftsmodell. Pauschal kann man aber sagen, je digitaler ein Geschäftsmodell, desto mehr Datenschutzthemen sind in dessen Aufbau mit einzubeziehen. Themen wie die Beratung und der Entwurf zu Datenschutzerklärungen & Cookie Banner für Websites und Apps, zu Auftragsverarbeitungsverträgen als Bestandteil der Vertragsbeziehung zu den Kunden oder auch zum datenschutzkonformen Aufbau von Software gehören zu den immer wiederkehrenden Basics eines Start-up Anwalts. Spannend wird es aus meiner Sicht insbesondere immer dann, wenn es sich bei den Geschäftsmodellen der Start-ups um solche handelt, die die neusten Technologien, wie etwa Blockchain, Künstliche Intelligenz oder auch Internet of Things integrieren. Hier nimmt die Klärung datenschutzrechtlicher Fragen eine zentrale Rolle ein. Denn im Zentrum dieser Technologien steht meist die Verarbeitung einer Vielzahl personenbezogener Daten. Und für viele dieser technischen Entwicklungen gibt es auch noch gar keine sonstige Gesetzgebung außerhalb des Datenschutzrechts.