Wie die Salzburg AG mit einer neuen Crowdinvesting-Plattform die Energiewende vorantreibt

17.04.2018

Die DSGVO umsetzen – ein Ratgeber für Startups & KMU aus Österreich

Mit 25.Mai 2018 müssen Unternehmen konform zur Datenschutz-Grundverordnung arbeiten. Wir bringen einen Ratgeber zur sauberen Umsetzung.

/artikel/dsgvo-umsetzung-oesterreich

✨ AI Kontextualisierung

In rund fünf Wochen wird die Übergangsfrist seit Einführung der Datenschutz-Grundverordnung vor zwei Jahren enden und Unternehmen drohen Strafen von bis zu vier Prozent ihres jährlichen Gesamtumsatzes, wenn sie den Richtlinien der DSGVO nicht folgen. Insgesamt zielt die neue Rechtsverordnung darauf ab, die “Grundrechte des Bürgers auf Privatsphäre zu schützen und auszubauen”, so Benedikt Aichinger von Swync, einer App, die für Unternehmen die Datenschutzerklärung anpasst und ein Verarbeitungsverzeichnis erstellt. Weil in den Unternehmen häufig Unsicherheit herrscht, was das in der Praxis bedeutet, stellen wir hier einen Ratgeber bereit, um sich dem Thema DSGVO-Umsetzung als Startup oder KMU zu stellen.

+++ Brutkasten Meetup #3: Die DSGVO zwischen reeller Gefahr und “Panikmache” +++

Die Tipps im Ratgeber dienen dabei Startups und Unternehmen, die nicht direkt mit ihren Daten Geld verdienen, sondern sich in den Themenfeldern HR / Mitarbeiterdaten, Analytics und Trackingtools, bei Löschungs- und Auskunftsanfragen durch Kunden und in ihrer Dokumentationspflicht absichern möchten.

Im Rahmen der Podiumsdiskussion beim Brutkasten Meetup in der vergangenen Woche weist Richard Loutschounig von Paybon darauf hin, dass die DSGVO auch Chance für Marketing & Sales sein kann. So sei die hauseigene Lösung zur Verteilung von Essensgutscheinen im Unternehmen bereits DSGVO-konform. Etwas, das Kunden nicht nur wohlwollend wahrgenommen haben, sondern auch aktiv nachgefragt hätten.

Dateninventur, Relevanzprüfung & Zweckwidmung

Der erste Schritt in der DSGVO-Umsetzung ist dabei die Dateninventur. Relevant sind im Sinne der DSGVO alle personenbezogenen Daten, die ein Unternehmen erhebt oder in jeglicher Form erhoben hat und damit bei sich lagert, egal ob auf Datenträgern, mittels externen Dienstleistern oder in Aktenordnern.

Personenbezogene Daten umfassen dabei alles, was sich auf eine bestimmte oder bestimmbare Person bezieht. Neben Daten aus Tracking- und Analytics-Tools oder Kaufvorgängen im Online Shop bzw. Ladengeschäft vor Ort, betrifft das auch Videoaufnahmen, IP-Adressen – so sie nicht anonymisiert vorliegen – oder eben Mitarbeiterdaten und Datenübertragung zwischen dem Unternehmen und Dienstleistern. Leicht vergessen wird dabei das Thema Gewinnspiele.

Unternehmen sollten deshalb unbedingt einen offiziellen Datenschutzbeauftragten ernennen, der sich mit dem Thema ausgiebig befasst. Im ersten Schritt heißt das, zu erheben, welche Daten im Unternehmen wozu vorliegen und sie einer Relevanzprüfung zu unterziehen. Was man an Daten nicht (mehr) braucht, kann man unmittelbar löschen. Hilfreich sind dabei als Basis Checklisten, wie die von der Wirtschaftskammer Österreich. Rechtsanwalt Dr. Arthur Stadler von der Kanzlei Stadler Völkel schlägt vor, sich für die Dateninventur im Unternehmen folgende Fragen zu stellen:

Welche Daten aus welchen Datenquellen werden erhoben?
Was wird mit den erhobenen Daten gemacht?
Wozu werden sie gebraucht?
Wie werden sie aufbewahrt?
Wer arbeitet mit ihnen oder hat Zugriff auf sie?

Mit Antworten auf diesen Fragen, und allen Datenquellen sowie Dienstleisterdaten als Basis, kann man im nächsten Schritt die notwendigen Dokumente für die DSGVO aufbereiten.

Notwendige Dokumente für die DSGVO

Startups und Unternehmen, die mit Daten nicht direkt Geld verdienen, sondern sie zum Verkauf erheben sowie im Kontext von Mitarbeiterdaten verarbeiten, müssen verschiedene Dokumente erstellen bzw. anpassen.

Anpassung von Datenschutzerklärung & AGBs

Hier muss festgehalten werden, wozu welche Daten erhoben und aufbewahrt werden. Das betrifft Tracking-Daten wie aus Google Analytics als auch Transaktionsdaten im Online Shop. Rein steuerrechtlich muss man Transaktionsdaten sieben Jahre lang aufbewahren, erinnert Richard Lutschounig. Die App Swync unterstützt Unternehmen hierbei mit einem Fragenkatalog, auf dessen Basis man eine DSGVO-konforme Datenschutzerklärung automatisch erstellen kann.

Verarbeitungsverzeichnis

Im Verarbeitungsverzeichnis wird festgehalten, welche Daten wozu erhoben werden, wer Zugriff auf sie hat oder an wen sie weitergeleitet werden und welche Löschungs- bzw. Aufbewahrungsfristen dafür festgelegt worden sind. Es finden sich Mustervorlagen dazu unter anderem bei der WKO. Auch hier unterstützt die App Swync Unternehmen bei der automatischen Erstellung.

Folgenabschätzung & Data Breach Notification

Eine Datenschutz-Folgenabschätzung ist dann zu erstellen, wenn sensible Personendaten verarbeitet werden. Dabei handelt es sich beispielsweise um GPS-Daten, Bankdaten, Ausweisdokumente, im Falle einer Videoüberwachung oder wenn man Kundendaten zum Profiling für personalisierte Werbung nutzt.

Auch hier gibt es Ausnahmen für Startups und kleinere Unternehmen im Sinne des “berechtigten Interesses” bei z.B. Kaufvorgängen. Für Startups empfiehlt sich hier Relevanzprüfung, falls solche sensiblen Personendaten erhoben werden. “Ist es nicht besser, weniger Daten zu erheben?”, wirft dazu Richard Lutschounig als Frage in den Raum.

Startups sind ansonsten gut beraten, sich bei diesem Thema Beratung zu holen, genau wie für den Fall eines Datenverlusts und der Data Breach Notification. Im Fall eines Datenverlusts muss außerdem eine Meldung an die österreichische Datenschutzbehörde erfolgen.

Tracking-Tools, Dienstleister und Auftragsdatenverarbeitung

Startups und Händler setzen in vielen Fällen bei der Datenverarbeitung auf externe Software und Tools wie beispielsweise Google Analytics zum Besuchertracking oder Zahlungsdienstleister im Online Shop.

Für Unternehmen und ihre DSGVO-Umsetzung heißt das, bei diesen Dienstleistern nachzuhaken und einen Vertrag zur Auftragsdatenverarbeitung zu unterschreiben, so dass die Verantwortung beim Dienstleister liegt, sich bei Problemen zu melden und um DSGVO-Konformität der eigenen Software zu kümmern. Dienstleister wie Google kümmern sich hierum bereits und versenden Mails mit Anweisungen, worauf man im Sinne der DSGVO achten muss.

Löschungs- & Auskunftsanfragen und der Notfallplan

Warnungen gibt es beim Thema DSGVO immer wieder vor Löschungsanfragen durch Nutzer oder Kunden. Dem Privatnutzer steht es frei, sich ab 25.Mai jederzeit an ein Unternehmen zu wenden und um Datenauskunft, -herausgabe und -löschung zu bitten.

Unternehmen müssen also Zugriff auf Nutzerdaten haben und einen Prozess entwerfen, um solche Anfragen bei Bedarf schnell bearbeiten zu können. Das gilt auch für Rechnungen mit Personendaten oder Kontaktformulare und Newsletter auf der Homepage. Es ist genauso notwendig, einen Notfallplan vorzubereiten, sollte es zu Datenpannen kommen. Die DSGVO ist somit eine gute Gelegenheit, die eigene IT Security auf den neuesten Stand zu bringen.

Softwarelösungen für die DSGVO und Mitarbeiterdaten

Besonders wichtig für junge Unternehmen ist die interne DSGVO-Konformität, wenn es um Mitarbeiterdaten geht. Auch hier muss erfasst werden, welche Daten wozu erhoben werden, wie sie aufbewahrt werden und wer Zugriff auf sie hat. Akarion-Gründer Markus Costabiei weist auf die interne Zirkulation von Mitarbeiterdaten zwischen Personalabteilung, Lohnbüro, ggf. Betriebsarzt und Kantine hin.

Mit Akarion entwickelt Costabiei eine umfassende Softwarelösung zur DSGVO-Umsetzung auf Basis der Blockchain. Die Software erhebt und steuert Datenüberwachung, -verarbeitung und -kontrolle im Unternehmen und bietet eine Administrationsoberfläche an, um auch bei Auskunfts- & Löschungsanfragen durch Kunden & Nutzer gewappnet zu sein. Aufgrund der Brisanz des Themas arbeiten weitere Unternehmen an ähnlichen Software-Lösungen, um DSGVO-konform zu arbeiten.

DSGVO-Umsetzung als Chance

Insgesamt ist die DSGVO eine Chance für Startups und KMUs, sich für das Thema Datenschutz zu sensibilisieren und die eigenen Datenbestände aufzuräumen. Die genannten Punkte in unserem DSGVO-Ratgeber decken die wichtigsten Anforderungen ab. Tools, Softwarelösungen und Kanzleien unterstützen in kritischen Fällen.

⇒ Akarion

⇒ Paybon

⇒ Stadler Völkel Rechtsanwälte

⇒ Swync

Deine ungelesenen Artikel:

Dominik Meisinger

03.02.2025

KI in Europa: “Müssen aggressiv reingehen, um unseren Wohlstand zu halten”

Was braucht es, damit Österreich und Europa bei künstlicher Intelligenz nicht zurückfallen? Diese Frage diskutierten Hermann Erlach (Microsoft), Marco Porak (IBM), Peter Ahnert (Nagarro) und Jeannette Gorzala in der vorerst letzten Folge der brutkasten-Serie "No Hype KI".

/artikel/no-hype-ki-folge-6

Dominik Meisinger

03.02.2025

KI in Europa: “Müssen aggressiv reingehen, um unseren Wohlstand zu halten”

/artikel/no-hype-ki-folge-6

“No Hype KI” wird unterstützt von CANCOM Austria, IBM, ITSV, Microsoft, Nagarro, Red Hat und Universität Graz.

Wo stehen wir wirklich, was die Adaption von künstlicher Intelligenz in der österreichischen Wirtschaft angeht? Diese Frage zu beantworten war eines der Ziele der Serie “No Hype KI“, die brutkasten anlässlich des zweijährigen Bestehens von ChatGPT gestartet hat. Die ersten fünf Folgen beleuchten unterschiedliche Aspekte des Themas und lieferten eine Bestandsaufnahme.

Im Staffelfinale, der sechsten Folge, war der Blick dann in Richtung Zukunft gerichtet. Dazu fanden sich die Österreich-Chefs von Microsoft und IBM, Hermann Erlach und Marco Porak, sowie Nagarros Big Data & AI Practice Lead für Central Europe, Peter Ahnert, und KI-Expertin Jeannette Gorzala, die auch Mitglied des KI-Beirats der österreichischen Bundesregierung ist, im brutkasten-Studio ein.

“Der Hype ist weg und das ist eine gute Sache”

Eine der Erkenntnisse der Serie: Unternehmen und Institutionen verabschieden sich von überschwänglichen Erwartungen und sehen sich stattdessen an, wie KI tatsächlich in der Praxis eingesetzt wird. „Der Hype ist weg und das ist eine gute Sache, weil jetzt kann man auf den Use Case gehen“, sagt Hermann Erlach, General Manager von Microsoft Österreich, im Videotalk. Er vergleicht den aktuellen Reifegrad von KI mit dem Beginn einer langen Reise: „Wenn ich so eine Reise angehe, dann brauche ich ein Ziel, einen Plan und Mitreisende. Alleine macht das wenig Spaß.“

Auch Marco Porak, General Manager von IBM in Österreich, schlägt in eine ähnliche Kerbe. Er sieht das abgelaufene Jahr als eine Phase der Erkenntnis. Den Status Quo bei KI in Österreichs Unternehmen beschreibt er im Talk folgendermaßen: “Wir haben allerorts sehr viel ausprobiert, sind vielleicht da und dort auf die Nase gefallen”. Gleichzeitig habe es auch “schöne Erfolge” gegeben. Für Porak ist klar: “Die Frage der Stunde lautet: Wie machen wir jetzt von hier weiter?“

AI Act: “Jetzt müssen wir ins Tun kommen”

Ein großes Thema dabei ist der AI Act der EU. Jeannette Gorzala, Gründerin von Act.AI.Now, plädiert für eine pragmatische Haltung gegenüber der EU-Verordnung: “Der AI-Act ist ein Faktum, er ist da. Jetzt müssen wir ins Tun kommen.” Sie sieht in dem Regelwerk einen Wegweiser: “Wir müssen die entsprechenden Kompetenzen aufbauen und die Möglichkeiten nutzen, die diese Regulierung bietet. Das ist der Reiseplan, den wir brauchen.”

Auch Marco Porak sieht den AI Act positiv: „Er hat nicht die Algorithmen reguliert, sondern gesagt, was wir in Europa gar nicht wollen, etwa Sozialpunktesysteme oder Gesichtserkennung in Echtzeit.“ So entstehe für Unternehmen im globalen Wettbewerb ein Vorteil, wenn sie ihre KI-Anwendung nach europäischen Maßstäben zertifizieren lassen: „Das ist wie ein Gütesiegel.“

“Müssen positiv aggressiv reingehen, um unseren Wohlstand zu halten”

Hermann Erlach von Microsoft bezeichnet den Ansatz des AI Act ebenfalls als “gut”, betont aber gleichzeitig, dass es jetzt auf die Umsetzung von KI-Projekten ankomme: “Wir haben eine Situation, in der jedes Land an einem neuen Startpunkt steht und wir positiv aggressiv reingehen müssen, um unseren Wohlstand zu halten.”

Peter Ahnert sieht dabei auch ein Problem in der öffentlichen Wahrnehmung: KI werde tendenziell nicht nur zu klein gedacht, sondern meist auch in Zusammenhang mit Risiken wahrgenommen: “Es werden die Chancen nicht gesehen.” Woran liegt es? “Zu einem erheblichen Teil daran, dass noch zu wenig Bildung und Aufklärung an dem Thema da ist. In Schulen, in Universitäten, aber auch in Unternehmen und in der öffentlichen Hand.” Hier müsse man ansetzen, sagt der Nagarro-Experte.

Jeannette Gorzala sieht das ähnlich: “Bildung und Kompetenz ist das große Thema unserer Zeit und der zentrale Schlüssel.” Verstehe man etwas nicht, verursache dies Ängste. Bezogen auf KI heißt das: Fehlt das Verständnis für das Thema, setzt man KI nicht ein. Die Opportunitätskosten, KI nicht zu nutzen, seien aber “viel größer” als das Investment, das man in Bildung und Governance tätigen müssen. “Natürlich ist es ein Effort, aber es ist wie ein Raketenstart”, sagt Gorzala.

IBM-Programm: “Die Angst war weg”

Wie das in der Praxis funktionieren kann, schilderte IBM-Chef Porak mit einem Beispiel aus dem eigenen Unternehmen. IBM lud weltweit alle Mitarbeitenden zu einer KI-Challenge, bei der Mitarbeiter:innen eigene KI-Use-Cases entwickelten, ein – mit spürbaren Folgen: “Die Angst war weg.” Seine Beobachtung: Auch in HR-Teams stieg die Zufriedenheit, wenn sie KI als Assistenz im Arbeitsablauf nutzen. “Sie können sich auf die komplexen Fälle konzentrieren. KI übernimmt die Routine.”

Microsoft-Chef Erlach warnt auch davor, das Thema zu stark unter Bezug auf rein technische Skills zu betrachten: “Die sind notwendig und wichtig, aber es geht auch ganz viel um Unternehmens- und Innovationskultur. Wie stehen Führungskräfte dem Thema AI gegenüber? Wie steht der Betriebsrat dem Thema AI gegenüber?”, führt er aus.

Venture Capital: “Müssen in Europa ganz massiv was tun”

Soweit also die Unternehmensebene. Einen große Problemstelle gibt es aber noch auf einem anderen Level: Der Finanzierung von Innovationen mit Risikokapital. “An der Stelle müssen wir in Europa ganz massiv was tun”, merkte Ahnert an. Er verwies auf Beispiele wie DeepMind, Mistral oder Hugging Face, hinter denen jeweils europäische Gründer stehen, die aber in den USA gegründet, ihre Unternehmen in die USA verkauft oder zumindest vorwiegend aus den USA finanziert werden.

Der Nagarro-Experte verwies dazu auf eine Studie des Applied AI Institute, für die Startups aus dem Bereich generative KI zu den größten Hürden, mit denen sie es zu tun haben, befragt wurden. “51 Prozent haben Funding genannt. Weit abgeschlagen an zweiter Stelle mit 24 Prozent erst kam die Regulierung und unter 20 Prozent waren Themen wie Fachkräftemangel oder Zugang zu Compute Power.” Ahnerts Appell: “Bei dem Thema Finanzierung müssen wir was tun, damit wir in der nächsten Welle an der Spitze sind.”

Erlach: Adaption entscheidend

Letztlich sei aber vielleicht gar nicht so entscheidend, wo eine Technologie produziert werde, argumentierte Hermann Erlach von Microsoft. Denn es komme auf die Adaption an: “Vielleicht ist die Diskussion Europa vs. Amerika in Teilbereichen die falsche.” Die wichtigere Frage sei also: “Wie adaptiere ich diese Technologie möglichst schnell, um meinen Wohlstand zu erhöhen?”

Marco Porak ergänzt: “Ganz, ganz wesentlich ist Mut. Ganz, ganz wesentlich ist unsere kulturelle Einstellung zu dem Thema.” Man müsse die Chancen sehen und weniger das Risiko. In der Regulatorik könne man dies begleiten, indem man Anreize schafft. “Und ich glaube, wenn wir das als Österreich mit einem großen Selbstbewusstsein und auch als Europa mit einem großen Selbstbewusstsein machen, dann haben wir in fünf Jahren eine Diskussion, die uns durchaus stolz machen wird.”

Die gesamte Folge ansehen:

Die Nachlesen der bisherigen Folgen:

Folge 1: “No Hype KI – wo stehen wir nach zwei Jahren ChatGPT?”

Folge 2: “Was kann KI in Gesundheit, Bildung und im öffentlichen Sektor leisten?”

Folge 3: “Der größte Feind ist Zettel und Bleistift”: Erfolgsfaktoren und Herausforderungen in der KI-Praxis”

Folge 4: KI-Geschäftsmodelle: “Wir nutzen nur einen Bruchteil dessen, was möglich ist”

Folge 5: Open Source und KI: “Es geht nicht darum, zu den Guten zu gehören”

Die Serie wird von brutkasten in redaktioneller Unabhängigkeit mit finanzieller Unterstützung unserer Partner:innen produziert.

Dominik Meisinger

03.02.2025

KI in Europa: “Müssen aggressiv reingehen, um unseren Wohlstand zu halten”

Dominik Meisinger

03.02.2025

KI in Europa: “Müssen aggressiv reingehen, um unseren Wohlstand zu halten”

“No Hype KI” wird unterstützt von CANCOM Austria, IBM, ITSV, Microsoft, Nagarro, Red Hat und Universität Graz.

“Der Hype ist weg und das ist eine gute Sache”

AI Act: “Jetzt müssen wir ins Tun kommen”

“Müssen positiv aggressiv reingehen, um unseren Wohlstand zu halten”

IBM-Programm: “Die Angst war weg”

Venture Capital: “Müssen in Europa ganz massiv was tun”

Erlach: Adaption entscheidend

Die gesamte Folge ansehen:

Die Nachlesen der bisherigen Folgen:

Folge 1: “No Hype KI – wo stehen wir nach zwei Jahren ChatGPT?”

Folge 2: “Was kann KI in Gesundheit, Bildung und im öffentlichen Sektor leisten?”

Folge 3: “Der größte Feind ist Zettel und Bleistift”: Erfolgsfaktoren und Herausforderungen in der KI-Praxis”

Folge 4: KI-Geschäftsmodelle: “Wir nutzen nur einen Bruchteil dessen, was möglich ist”

Folge 5: Open Source und KI: “Es geht nicht darum, zu den Guten zu gehören”

Die Serie wird von brutkasten in redaktioneller Unabhängigkeit mit finanzieller Unterstützung unserer Partner:innen produziert.

Toll dass du so interessiert bist!
Hinterlasse uns bitte ein Feedback über den Button am linken Bildschirmrand.
Und klicke hier um die ganze Welt von der brutkasten zu entdecken.

brutkasten Newsletter

Aktuelle Nachrichten zu Startups, den neuesten Innovationen und politischen Entscheidungen zur Digitalisierung direkt in dein Postfach. Wähle aus unserer breiten Palette an Newslettern den passenden für dich.

Montag, Mittwoch und Freitag