DSGVO-Tipps: damit die Weste weiss bleibt

Es lohnt sich also, besser heute als morgen mit der Umstrukturierung des Datenhaushalts zu beginnen. Doch wo sollen Unternehmen ansetzen, die noch keinen Data Protection Officer (DPO) zur Hand haben? Hier ein paar Tipps, wie Sie direkt ins Thema einsteigen können.

1. Eine Datenkarte hilft bei der ersten Orientierung

Was haben wir vor der Ära des Smartphones als erstes getan, wenn wir in eine neue Stadt gereist sind? Ganz klar: eine Stadtkarte zur ersten Orientierung besorgt. Genau so sollten Sie auch zur Vorbereitung ihrer Datenumstrukturierung vorgehen. Trommeln Sie alle Ingenieure, Produktverantwortlichen und Analysten zusammen und identifizieren Sie gemeinsam, wo im Unternehmen überall Daten gesammelt oder verarbeitet werden und zu welchem Zweck. Diese Unterlage dient zunächst zur Bestandsaufnahme und als Roadmap für alle weiteren Schritte.

2. Jäger oder Sammler?

Generell wird im Rahmen der DSGVO zwischen Data Processor und Data Controller unterschieden. Während der Data Controller rechtlich für die Erfassung und Generierung zuständig ist und festlegt, wie die Daten weiterverwendet werden dürfen, ist der Data Processor nur für die Verarbeitung entlang eben jener Vorgaben verantwortlich. Da für beide Instanzen unterschiedliche Vorgaben gelten, sollten Unternehmen genau verstehen welcher Gruppe sie zuzuordnen sind. Hierzu können Sie auch jederzeit einen Berater zu Hilfe holen.

3. Interessen einordnen und eine rechtliche Grundlage für die Verarbeitung belegen

Die DSGVO gestattet einige rechtmäßige Ausgangslagen für die Verarbeitung personenbezogener Daten. Die zwei gängigsten sind “berechtigtes Interesse” und “Einverständnis”. Erstere greift dann, wenn das Unternehmen ein berechtigtes Interesse daran nachweisen kann, die Daten zu nutzen (z.B. wenn sich das Geschäftsmodell darauf stützt). Im zweiten Fall wird die Verarbeitung durch das dezidierte Einverständnis eines jeden Nutzers legitimiert. Hier sollten Sie anhand der Datenkarte festlegen, welche Regelungen Sie sich zunutze machen möchten und sehr detailliert festhalten, warum dies in Ihrem speziellen Fall gerechtfertigt ist.

4. Wer schreibt, der bleibt

Ab diesem Punkt sollten Sie sicherstellen, dass alle Vorgänge im Unternehmen, die sich mit der Verarbeitung personenbezogener Daten befassen, protokolliert werden. Und zwar so vollständig und durchdacht, dass Sie eine überraschende Kontrolle durch einen offiziellen Prüfer mit Bravour bestehen. Dafür ist maßgeblich, dass der Prüfer erkennen kann, dass Sie die neue Grundverordnung im Aufbau Ihrer Services und Produkte berücksichtigt und diese neu ausgerichtet haben (Privacy by Design) und dass alle Mitarbeiter, die direkt mit Daten arbeiten, ausreichend geschult sind.

5. Augen auf bei der Partnerwahl

Seit der Einführung am 25. Mai 2018 können Sie für alle Praktiken Ihrer Partner in Bezug auf Datenverarbeitung ebenso zur Rechenschaft gezogen werden, wie der Partner selbst. Das heisst im Klartext, dass Sie sehr genau prüfen sollten, ob sich das Unternehmen für eine Zusammenarbeit eignet und richtlinienkonform agiert. Dazu können Sie sich beispielsweise an den folgenden Fragen orientieren:

1. Wer im Unternehmen ist verantwortlich für DSGVO-Compliance?
2. Auf welche dokumentierte rechtliche Grundlage stützt sich die Datenverarbeitung? (Einverständnis/ berechtigtes Interesse?)
3. Hat das Unternehmen einen Data Protection Officer eingestellt?
4. Ist das Unternehmen “Controller” oder “Processor” von Daten?
5. Wie werden Zugriffsanfragen von Nutzern auf ihre Daten gehandhabt?
6. Wie werden die Systeme gesichert?
7. Hat das Unternehmen selbst die Bereiche identifiziert, in denen Daten verarbeitet werden und sie entsprechend der Richtlinien optimiert?
8. Wie steht das Unternehmen zu e-Privacy und was ist dahingehend geplant, falls das Geschäftsmodell direkt betroffen ist?
9. Bieten sie die Einverständniserklärung via Opt-In an?
10. Wie sieht der Back-Up Plan aus?