Meilensteine im Datenschutzprojekt

Als allererstes müssen Sie uns offiziell zum Datenschutzbeauftragten bestellen. Hierfür erhalten Sie von uns ein passendes Formular, die sog. Ernennung zum Datenschutzbeauftragten. Diese benötigen wir von Ihnen unterschrieben mit dem offiziellen Datum unserer Ernennung zurück. Anschließend muss das DSB-Mandat der zuständigen Aufsichtsbehörde gemeldet werden. Der Meldeweg hängt von der Aufsichtsbehörde ab, die für Sie zuständig ist. Die meisten Behörden stellen mittlerweile ein einfaches Online-Formular hierfür zur Verfügung.

Parallel dazu legen wir Sie als Kunden in unseren internen Systemen an und holen uns einige erste wichtige Informationen von Ihnen ein. Hierzu gehört auch die Klärung der Frage, wer in Ihrem Haus die die Aufgabe des Datenschutzkoordinators übernimmt und wann der erste Vororttermin bei Ihnen im Haus stattfinden soll.

Damit Sie die Datenschutz-Anforderungen der DS-GVO möglichst unkompliziert und nachvollziehbar umsetzen können, verwenden wir die webbasierte Datenschutzmanagement-Software audatis. Mithilfe von audatis können Sie sowohl Ihre datenschutzrechtliche Rechenschaftspflicht als auch Ihre Dokumentationspflicht einfach erfüllen. Zeitgleich enthält die Software eine Reihe einzelner Module, um die zentralen Datenschutzpflichten erfüllen zu können. Da der audatis MANAGER eine webbasierte Anwendung ist, müssen Sie keine Software installieren und können Ihren Zugang jederzeit und überall nutzen.

Die Funktionen von audatis sind umfangreich und ermöglichen es unter anderem:

• Ihr Unternehmen strukturiert und vollständig in allen Facetten datenschutzrechtlich zu erfassen.
• Diverse Pflichten nach der DS-GVO dokumentiert zu erfüllen, wie z. B. den Abschluss von Auftragsverarbeitungsverträgen (AVV), die Bearbeitung von
• Betroffenen-Anfragen oder die Erstellung und Auditierung der technisch-organisatorischen Maßnahmen (TOMs).
• Für eine verknüpfte Erstellung des Verzeichnisses der Verarbeitungstätigkeiten mit verschiedensten Auswertungen zu sorgen.
• Einen zentralen detaillierten Maßnahmen- und Projektplan zu führen.
• Einzelne Aufgaben zu erstellen und zu bearbeiten.

Damit Sie das Tool nutzen können, müssen wir Ihren individuellen Zugang einrichten und mit Leben füllen. Hierzu werden eine Reihe von Einstellungen vorgenommen, Kerndaten hinterlegt, Dokumente hochgeladen, beispielhafte Eingaben für Sie gemacht und Benutzerkonten eingerichtet. Zeitgleich legen wir Ihren individuellen ersten Maßnahmen- und Projektplan an und geben den Bearbeitungstand einzelner Aufgaben ein. Anschließend erhalten Sie von uns eine ausführliche Einweisung in die Arbeits- und Funktionsweise der Software. Diese kann beim ersten Termin vor Ort oder im Rahmen einer Videokonferenz erfolgen.
Neben der Geschäftsführung und dem Datenschutzkoordinator können weitere Personen wie z. B. Ihr IT-Dienstleister oder Ihr Webdesigner einen eigenen beschränkten Zugang erhalten und so die für Ihren Bereich relevanten Aufgaben zugewiesen bekommen. Gerade Ihr IT-Dienstleister kann so seine datenschutzrelevanten Aufgaben direkt über das System gestellt bekommen kann und notwendige Informationen ohne große Umwege auch an Ort und Stelle einpflegen. Dadurch wird nicht nur Papier gespart, vielmehr werden auch die Arbeitsabläufe beschleunigt und sowohl der Datenschutzbeauftragte als auch die Verantwortlichen sind stets auf dem gleichen Stand in Bezug auf den Fortschritt in der Datenschutzarbeit.

Eine Website ist das digitale Aushängeschild eines Unternehmens im Internet – jeder kann sie besuchen, jeder kann sie sehen. Somit ist eine Website auch das weithin sichtbarste Zeichen dafür, inwiefern sich ein Unternehmen mit dem Thema Datenschutz auseinandersetzt und sich auch an die Vorgaben der DS-GVO hält. Da jeder Websitenutzer nicht datenschutzkonforme Websites bei der zuständigen Aufsichtsbehörde melden kann und dies das ein oder andere Mal schon zu empfindlichen Bußgeldern geführt hat, sollte die datenschutzkonforme Gestaltung Ihrer Homepage ganz oben auf der Prioritätenliste stehen.

Im Rahmen unseres Homepage-Checks überprüfen wir daher parallel zur Einrichtung Ihres digitalen Datenschutzmanagers Ihre Firmenhomepage umgehend auf Datenschutzkonformität und erstellen dazu einen umfangreichen Bericht. Dieser enthält sowohl Erklärungen, weshalb einzelne Punkte nicht datenschutzkonform sind, als auch notwendige Maßnahmen, die Sie umsetzen müssen, um den Internetauftritt DS-GVO konform zu gestalten. All diese Empfehlungen und Handlungsbedarfe übernehmen wir direkt in Ihren Maßnahmen- und Projektplan, sodass von Anfang ein Übersicht über den aktuellen Stand ersichtlich ist.

Bei der Prüfung der Homepage legen wir ein großes Augenmerk auf das Herzstück einer jeden datenschutzkonformen Website – der Datenschutzerklärung. Bei dieser gibt es so einiges zu beachten und die Erfahrung hat hier gezeigt, dass automatisch generierte Datenschutzerklärungen oftmals gravierende Fehler enthalten, die Unternehmen schnell ins Radar der Aufsichtsbehörden bringen können. Sollte Ihre Datenschutzerklärung Fehler enthalten, erstellen wir mit Ihnen gemeinsam eine rechtlich einwandfreie Datenschutzerklärung.

Um Ihnen eine möglichst hohe Sicherheit zu geben, beobachten wir ständig die aktuellen Entwicklungen der Gesetzgebung und Rechtsprechung. Selbstverständlich informieren wir Sie umgehend über Änderungen der Rechtslage und unterziehen Ihre Homepage einer regelmäßigen Nachkontrolle.

Im Rahmen unserer Datenschutzberatung finden regelmäßig Termine vor Ort direkt bei Ihnen im Haus statt. Bei unserem ersten Termin, der sog. ersten Bestandsaufnahme, werden Ihnen u. a. Ihre wichtigsten datenschutzrechtlichen Pflichten ausführlich erläutert. Zudem machen wir einen ersten Betriebsrundgang durch Ihr Unternehmen und analysieren die bereits vorhandenen technisch-organisatorischen Maßnahmen zum Schutz von personenbezogenen Daten. Hierdurch erhalten wir einen ersten Überblick, an welchen Stellen Sie in Ihrem Unternehmen überhaupt personenbezogene Daten verarbeiten und an welchen Stellen dringender Handlungsbedarf besteht.

Nach dem Vororttermin erhalten Sie von uns eine umfassende Rückmeldung mit unseren ersten dringenden Handlungsempfehlungen zur datenschutzkonformen Aufstellung Ihres Unternehmens. Die ersten dringenden Handlungsempfehlungen beziehen sich auf besonders offensichtliche Datenschutzmängel, wie z. B. frei zugängliche Server, fehlende Schlösser zu sensiblen Büros, einen zu schwachen Aktenvernichter oder fehlende Verschlüsselungen.

Auch die datenschutzkonforme Gestaltung der Videoüberwachung greifen wir in diesem Zusammenhang mit auf. Dazu gehört auch eine Risikobewertung, die zeigt, an welchen Stellen besonders hohe Risiken für betroffene Personen bestehen. Diese Empfehlungen übertragen wir wiederum in Ihren Maßnahmen- und Projektplan in audatis und prüfen regelmäßig, welche Maßnahmen umgesetzt wurden und welche nicht. Die Verantwortung der Umsetzung liegt aber bei Ihnen, d. h., auch die Entscheidung, ob Empfehlungen umgesetzt werden sollen oder nicht, liegt ihn ihrem Ermessen. Wir zeigen Ihnen lediglich die Handlungsbedarfe auf und stellen sicher, dass alle Datenschutzrisiken bekannt sind.

Wir sind gesetzlich dazu verpflichtet, alle Mitarbeiter zu schulen und sensibilisieren, die regelmäßig mit personenbezogenen Daten arbeiten. Hintergrund dieser Pflicht ist, dass die meisten Datenschutzverstöße nicht aus bösem Willen oder aus krimineller Energie heraus begangen werden, sondern aus reiner Unwissenheit. Unwissendes oder unachtsames Personal gehört daher zu den größten datenschutzrechtlichen Risiken. Die Schulung der Mitarbeiter erfolgt in der Regel in Form einer Präsenzschulung und wird beim zweiten Termin vor Ort von unserem Außendienst durchgeführt. Sollten nicht alle Mitarbeiter anwesend sein oder keine Präsenzschulung gewünscht werden, besteht auch die Möglichkeit einer Onlineschulung.

Im Rahmen der Schulung werden auch notwendige Verpflichtungserklärungen und Einwilligungen von Mitarbeitern eingeholt sowie die im Vorfeld gemeinsam mit den Verantwortlichen abgestimmte EDV-Nutzungsvereinbarungen in Kraft gesetzt. Die EDV-Nutzungsvereinbarung ist ein Dokument, das einerseits eine ausdrückliche Regelung zu der Frage enthält, inwieweit die private Nutzung der IT- und Kommunikationssysteme erlaubt ist, und die Mitarbeiter andererseits umfassend aufklärt, was sie EDV-technisch bei ihrer täglichen Arbeit zu beachten haben. Haben die Mitarbeiter die Schulung erfolgreich absolviert, erhalten sie von uns ein Zertifikat und die abgeschlossene Schulung wird in audatis dokumentiert.

Die DS-GVO verpflichtet Unternehmen dazu, personenbezogene Daten mit verschiedenen angemessenen Maßnahmen zu schützen. Diese können technischer Art (z. B. Vergabe von Benutzer-rechten, Verschlüsselung von Notebooks/Tablets) oder organisatorischer Art (z. B. Empfang/Rezeption, Mitarbeiterschulung und Verpflichtung zur Vertraulichkeit) sein.

Bei den TOMs handelt es sich damit um eine Zusammenfassung aller Maßnahmen eines Unternehmens, die anvertraute personenbezogene Daten schützen sollen. Diese technisch-organisatorischen Maßnahmen werden von uns gemeinsam mit Ihnen und Ihrem IT-Dienstleister erfasst und geprüft. Hierzu gehört auch eine umfangreiche IT-Inventarisierung, das heißt, eine exakte Erfassung der IT-Infrastruktur im Unternehmen. Das sich an die Erfassung anschließende TOM-Audit ermittelt, ob die Maßnahmen ein ausreichendes Sicherheitsniveau bieten oder ob Nachbesserungsbedarf besteht. Alle TOMs werden danach in einer Übersicht zusammengefasst, die abgeheftet/abgelegt und bei entsprechender Notwendigkeit auch vorgelegt werden kann. Über das Audit erhalten Sie einen detaillierten Prüfbericht, der aufzeigt, welche Maßnahmen in Ordnung waren und an welchen Stellen Handlungsbedarf besteht.

Der Begriff „Verfahrensverzeichnis“ stammt aus dem alten Bundesdatenschutzgesetz (BDSG) und wird in der neuen EU-Verordnung, der DS-GVO, als „Verzeichnis der Verarbeitungstätigkeiten“ bezeichnet. Die Erstellung eines solchen Verzeichnisses ist nicht nur datenschutzrechtlich verpflichtend, sondern es handelt sich auch um das zentrale Dokument der Datenschutzdokumentation in Unternehmen. Das Verzeichnis dient dem Nachweis der Zulässigkeit der Verarbeitung personenbezogener Daten und der Einhaltung der gesetzlichen Bestimmungen.

Beschrieben wird im Verzeichnis der Verarbeitungstätigkeiten jedes einzelne Verfahren im Unternehmen, bei dem personenbezogene Daten in irgendeiner Art verarbeitet werden. Es ist exakt darzulegen, was genau mit welchen Daten passiert, das heißt beispielsweise, welche personenbezogenen Daten betroffen sind, wer Zugriff auf diese Daten hat und zu welchem Zweck sie verarbeitet werden. Die Erstellung des Verfahrensverzeichnisses erfolgt in mehreren Schritten und wird über den digitalen Datenschutz-Manager verwaltet. Es erfasst dabei nicht nur diejenigen Informationen, die explizit von Art. 30 DS-GVO vorgeschrieben sind, sondern auch alle relevanten Daten, zur Erfüllung weiterer Pflichten. So lassen sich später aus dem fertigen Verzeichnis z. B. die bestehenden Informationspflichten und -wege für die Transparenztexte, der Schutzbedarf einzelner Anwendungen und Systeme sowie die Löschfristen für die Erstellung des Löschverzeichnisses herausfiltern. Zeitgleich werden die einzelnen Verarbeitungen mit anderen Modulen wie der Auftragsverarbeitung, der gemeinsamen Verantwortung, Betroffenenanfragen oder Datenschutzvorfällen verknüpft.
Aufgrund des inhaltlichen Umfangs des Verzeichnisses der Verarbeitungstätigkeiten und dessen Komplexität kann es nur in Zusammenarbeit mit dem unternehmensinternen Datenschutzkoordinator, den Verantwortlichen im Unternehmen und dem Datenschutzbeauftragten erstellt werden.

Arbeitsteilung gehört zu den zentralen Elementen unserer Wirtschaft. Datenschutzrechtlich gibt es aber bei der Zusammenarbeit mit anderen Unternehmen verschiedenste Aspekte zu beachten, die je nach Ausgestaltung der Geschäftsbeziehung variieren.
Werden bei der Zusammenarbeit mit anderen Unternehmen personenbezogene Daten verarbeitet, kennt die DS-GVO drei verschiedene Konstellationen: die Verarbeitung in eigener Verantwortung, die gemeinsame Verantwortung und die Auftragsverarbeitung. Am wenigsten Probleme bereitet die Verarbeitung in eigener Verantwortlichkeit, denn hier müssen Sie lediglich sicherstellen, dass die Übermittlung der Daten an den Dienstleister rechtmäßig ist. Bei der gemeinsamen Verantwortlichkeit und der Auftragsverarbeitung müssen Sie mit Ihrem Geschäftspartner hingegen eine zusätzliche datenschutzrechtliche Vereinbarung treffen.
Wir prüfen gemeinsam mit Ihnen, mit welchen Unternehmen Sie wie zusammenarbeiten und nehmen eine entsprechende Klassifizierung der einzelnen Geschäftsbeziehungen vor. Sie erhalten zu jeder der drei möglichen Konstellationen eine Übersicht mit Unternehmen, die in die jeweilige Kategorie fallen. Anschließend arbeiten wir die Übersichten gemeinsam durch, um zu gewährleisten, dass bei jedem Dienstleister oder Geschäftspartner die datenschutzrechtlichen Anforderungen erfüllt sind.

Um festzustellen, wie Ihr Unternehmen gegenwärtig datenschutzrechtlich aufgestellt ist, müssen wir Ihren Betrieb zunächst vollständig in allen Facetten erfassen, die für den Datenschutz relevant sind. Hierzu haben wir u. a. einen ausführlichen Kundenfragebogen, den wir mit Ihnen am ersten Termin durchgehen. Daneben müssen wir verschiedenste Informationen in unserem digitalen Datenschutz-Manager erfassen, die IT-Inventarisierung abschließen und das Verfahrensverzeichnis vollständig erstellen.

Erst wenn all diese Informationen vollständig vorliegen, können wir sämtliche datenschutzrelevanten Aspekte in Ihrem Unternehmen beurteilen und den finalen Maßnahmenplan erstellen, der alle weiteren notwenden Maßnahmen enthält. Da dieser Prozess einige Zeit in Anspruch nimmt, erhalten Sie von uns fortlaufend Empfehlungen für notwendige Maßnahmen, die im vorläufigen Maßnahmen- und Projektplan geführt werden. Hierzu gehören etwa der Prüfbericht Ihrer Homepage, unsere ersten dringenden Handlungsempfehlungen, der Audit-Bericht über die TOMs und unsere regelmäßigen Berichte, Protokolle und Rückmeldungen. Je nachdem, wie weit Sie mit den ersten acht Meilensteinen gekommen sind, geht der finale Maßnahmenplan nur noch in die Tiefe und beziehts sich auf spezielle Verarbeitungen oder neue Entwicklungen.