1. Frage: Ist in Ihrem Unternehmen bereits ein Datenschutzbeauftragter bestellt?
a. Antwort „Ja“
Sehr gut, damit ist der wichtigste Schritt bereits getan. Bitte beachten Sie in jedem Fall auch noch:
- Die Ernennung als Datenschutzbeauftragter sollte schriftlich erfolgen, eine bloß mündliche Erklärung reicht nicht aus, da Sie ansonsten die Ernennung nicht hinreichend sicher nachweisen können.
- Sie müssen Ihren Datenschutzbeauftragten der zuständigen Datenschutz-Aufsichtsbehörde mitteilen (Art. 37 Abs. 7 DSGVO).
- Verfügt Ihr Datenschutzbeauftragter über ausreichende Sachkenntnis und ist ausreichend unabhängig (Art. 37, 38 DSGVO)?
- Verfügt Ihr Datenschutzbeauftragter über eine Haftpflichtversicherung in ausreichender Höhe?
b. Antwort „Nein“
Sind Sie sicher, dass Sie keinen Datenschutzbeauftragten bestellen müssen?
Ein Datenschutzbeauftragter muss nämlich u. a. in folgenden Fällen bestellt werden:
- Wenn in der Regel mindestens zehn Personen in Ihrem Unternehmen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG neu).
- Wenn die Kerntätigkeit Ihres Unternehmens in der Durchführung von Verarbeitungsvorgängen besteht, welche aufgrund ihrer Art, ihres Umfangs oder ihrer Zwecke eine umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen erforderlich macht (Art. 38 DGSVO).
2. Frage: Verfügt Ihr Unternehmen über ein sogenanntes Verzeichnis von Verarbeitungstätigkeiten?
Ein solches Verzeichnis ist eine schriftliche Aufstellung aller Datenverarbeitungsvorgänge in Ihrem Unternehmen. Haben Sie bereits nach altem Recht ein Verfahrensverzeichnis erstellt, können Sie dieses als Grundlage für die Dokumentation verwenden.
a. Antwort „Ja“
Sehr gut. Überprüfen Sie sicherheitshalber noch einmal den Mindestinhalt des Verzeichnisses, den das Gesetz vorschreibt (Art. 30 DSGVO). Ist alles in Ihrer Dokumentation enthalten?
Achten Sie auch darauf, das Verzeichnis stets aktuell zu halten, d. h. bei Änderungen Ihrer Datenverarbeitungsvorgänge ein Update vorzunehmen.
b. Antwort „Nein“
Achtung, es besteht vermutlich dringender Handlungsbedarf! Denn in etwa 99,9 % aller Fälle sind auch Sie verpflichtet, ein solches Verzeichnis zu erstellen.
Art. 30 DSGVO verlangt ein solches Verzeichnis zwar grundsätzlich erst aber einer Mitarbeiteranzahl von 250 Personen. Der Teufel steckt hier aber im Detail!
Eine Verpflichtung besteht nämlich – unabhängig von der Mitarbeiteranzahl – auch dann, wenn die „Datenverarbeitung nicht nur gelegentlich“ erfolgt. Dies bedeutet für die Praxis somit, dass faktisch alle Unternehmen ein Verzeichnis erstellen müssen, denn (fast) alle Firmen werden auf die eine oder andere Art und Weise regelmäßig personenbezogene Daten verarbeiten.
3. Frage: Erbringen Dritte irgendwelche Dienstleistungen für Sie, die in Zusammenhang mit personenbezogenen Daten stehen?
a. Antwort „Ja“
Wenn Dritte Ihre personenbezogenen Daten verwalten, müssen Sie mit diesen eine sogenannte Vereinbarung zur Auftragsdatenverarbeitung (ADV) abschließen. In der Praxis ist in einer Vielzahl von Fällen eine Auftragsdatenverwaltung gegeben, ohne dass dies den Betroffenen überhaupt bewusst ist: in den Fällen der externen Lohn- und Gehaltsabrechnung oder bei der Pflege und Aktualisierung von Datenbeständen durch Dritte, u. a. auch beim Cloud Computing.
Haben Sie z. B. ein Google-Analytics-Konto? Dann müssen Sie auch hier eine ADV-Vereinbarung abschließen. Wenn Sie feststellen, dass Sie eine ADV-Vereinbarung benötigen, besteht dringender Handlungsbedarf!
b. Antwort „Nein“
Sind Sie ganz sicher, dass Dritte keine personenbezogenen Daten von Ihnen erhalten? Hierzu gehören beispielsweise auch Analyse-Dienste wie Google Analytics oder Post-Unternehmen wie DHL oder Hermes. Wenn tatsächlich Dritte keine Daten von Ihnen erhalten, benötigen Sie keinerlei Vereinbarungen zur Auftragsdatenverarbeitung.
4. Frage: Haben Sie Ihre Datenschutzerklärungen den neuen Informationspflichten nach der DSGVO angepasst?
Art. 13 und 14 DSGVO verpflichten Sie als Unternehmer zukünftig zu umfangreichen Informationspflichten (u. a. Zweck der Datenverarbeitung, Rechtsgrundlage, Empfänger/Empfängerkategorien, Zeitdauer der Speicherung, Aufklärung über Rechte, Bestehen eines Beschwerderechts usw.). Wir hatten in unseren beiden bisherigen Artikeln bereits darüber berichtet.
a. Antwort „Ja“
Sehr gut. Überprüfen Sie sicherheitshalber noch einmal den genauen Inhalt der Informationspflichten, die das Gesetz vorschreibt (Art. 13 und 14 DSGVO). Sind tatsächlich sämtliche Punkte in Ihrer Datenschutzerklärung enthalten? Achten Sie auch darauf, die Informationspflichten stets aktuell zu halten, d. h. bei Änderungen Ihrer Datenverarbeitungsvorgänge ein Update vorzunehmen.
b. Antwort „Nein“
Es besteht dringender Handlungsbedarf: Sie müssen zwingend die neuen Informationspflichten umsetzen! Wenn Sie diesen Pflichten nicht nachkommen, handelt es sich hierbei um eine Datenschutzverletzung, die u. a. von der Aufsichtsbehörde mit einer Geldbuße geahndet werden kann.
5. Frage: Haben Sie Ihre Werbe-Einwilligungen (E-Mail, Telefon u. a.) an die neuen Vorgaben nach der DSGVO angepasst?
a. Antwort „Ja“
Sehr gut. Sie müssen zu diesem Punkt nichts weiter unternehmen. Achten Sie noch darauf, die Einwilligungserklärungen stets aktuell zu halten, d. h. bei Änderungen Ihrer Datenverarbeitungsvorgänge ein Update vorzunehmen.
b. Antwort „Nein“
Es besteht dringender Handlungsbedarf: Sie müssen zwingend Ihre Werbe-Einwilligungen anpassen! Wenn Sie diesen Pflichten nicht nachkommen, handelt es sich hierbei um eine Datenschutzverletzung, die u. a. von der Aufsichtsbehörde mit einer Geldbuße geahndet werden kann.
6. Frage: Haben Sie ein Verfahren installiert, um Betroffenen rechtzeitig und umfassend die gewünschte Auskunft zukommen zu lassen?
Art. 15 DSGVO verpflichtet Sie, in Ihrem Unternehmen Sorge dafür zu tragen, dass Personen, die von Ihnen wissen wollen, welche Daten über sie bei Ihnen gespeichert sind, zeitnah eine Antwort von Ihnen erhalten.
a. Antwort „Ja“
Sehr gut. Sie müssen zu diesem Punkt nichts weiter unternehmen. Achten Sie noch darauf, das Verfahren zur Auskunftserteilung stets aktuell zu halten, d. h. bei Änderungen Ihrer Datenverarbeitungsvorgänge ein Update vorzunehmen.
b. Antwort „Nein“
Es besteht dringender Handlungsbedarf: Sie müssen zwingend ein Verfahren zur Auskunftserteilung festlegen! Wenn Sie dieser Pflicht nicht nachkommen, handelt es sich hierbei um eine Datenschutzverletzung, die u. a. von der Aufsichtsbehörde mit einer Geldbuße geahndet werden kann.
7. Frage: Haben Sie ein Datenschutz-Management-System eingeführt?
Das neue Gesetz verwendet zwar den Begriff „Datenschutz-Management-System“ nicht, inhaltlich ist jedoch genau das damit gemeint: Sie als Unternehmer sind zukünftig verpflichtet nachzuweisen, dass die Verarbeitung der personenbezogenen Daten in Ihrem Hause rechtlich einwandfrei geschieht, d. h. es trifft Sie eine umfassende Rechenschaftspflicht.
a. Antwort „Ja“
Sehr gut. Überprüfen Sie sicherheitshalber noch einmal, ob Ihr Datenschutz-Management-System tatsächlich alle Eventualitäten und Umstände berücksichtigt. Haben Sie insbesondere die unterschiedlichen Fachabteilungen Ihres Unternehmens zurate gezogen und sich dort über alle denkbaren Konstellationen informieren lassen?
Achten Sie auch darauf, das Datenschutz-Management-System stets aktuell zu halten, d. h. bei Änderungen Ihrer Datenverarbeitungsvorgänge ein Update vorzunehmen.
b. Antwort „Nein“
Es besteht dringender Handlungsbedarf: Sie müssen zwingend ein Datenschutz-Management-System einrichten! Wie in den beiden bisherigen Artikeln erläutert, trifft Sie die volle Nachweispflicht.
Wenn Sie dieser nicht nachkommen, handelt es sich hierbei um eine Datenschutzverletzung, die u. a. von der Aufsichtsbehörde mit einer Geldbuße geahndet werden kann.
8. Frage: Haben Sie Ihre Datensicherheit an den aktuellen Status quo angepasst?
Gemeint ist: Haben Sie alle technischen Sicherheitsmaßnahmen (z. B. Firewall, Passwörter, Verschlüsselung) an die derzeit geltenden technischen Standards angepasst?
a. Antwort „Ja“
Sehr gut. Überprüfen Sie zukünftig in regelmäßigen, wiederkehrenden Abständen, ob Ihre Datensicherheit noch dem aktuellen Status quo entspricht. Ziehen Sie hier insbesondere externes Technik-Know-how zurate.
b. Antwort „Nein“
Es besteht dringender Handlungsbedarf: Sie müssen zwingend die Datensicherheit an den aktuellen Status quo anpassen! Wenn Sie dieser Pflicht nicht nachkommen, handelt es sich hierbei um eine Datenschutzverletzung, die u. a. von der Aufsichtsbehörde mit einer Geldbuße geahndet werden kann.
