Ein Kunde fragt nach Ihrem Verzeichnis von Verarbeitungstätigkeiten. Eine Aufsichtsbehörde will wissen, wie lange Sie Bewerberdaten aufbewahren. Eine neue Kollegin fragt, wer den Personalordner öffnen darf. Die DSGVO hat auf jede dieser Fragen eine Antwort, und meistens ist es eine, die schriftlich vorliegen muss.

Seit dem 25. Mai 2018 gilt die Verordnung unmittelbar, und für die schwersten Verstöße reicht der Bußgeldrahmen weiterhin bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5). Dahinter steht ein einfacher Grundsatz, die Rechenschaftspflicht (Art. 5 Abs. 2): Sie müssen nachweisen können, dass Sie die Vorgaben einhalten, und es nicht nur behaupten. Diese Checkliste ist die Kurzfassung dessen, was schriftlich vorliegen sollte.

Die essentielle Checkliste

Verarbeitungsverzeichnisse

Das Verzeichnis von Verarbeitungstätigkeiten (Art. 30) aktuell halten: Zwecke, Datenkategorien und Empfänger, Übermittlungen, Aufbewahrungsfristen und Sicherheitsmaßnahmen
Die Rechtsgrundlage jeder Verarbeitung benennen (Art. 6), bei besonderen Datenkategorien zusätzlich die Voraussetzung nach Art. 9
Aufbewahrungsfristen prüfen und anpassen: Daten dürfen nicht länger gespeichert werden, als der Zweck es erfordert (Art. 5 Abs. 1 lit. e)

Verträge und Übermittlungen

Mit jedem Auftragsverarbeiter einen Vertrag nach Art. 28 schließen, vom Cloud-Hosting über die Lohnabrechnung bis zu Support-Tools
Für jede Übermittlung außerhalb der EU die Garantie benennen (Angemessenheitsbeschluss oder Standardvertragsklauseln) und dokumentieren (Art. 44 bis 46)
Prüfen, ob die Datenschutzhinweise (Art. 13 und 14) sagen, was Sie tatsächlich tun

Technische Maßnahmen

Personenbezogene Daten dem Risiko entsprechend schützen, wo es passt auch durch Verschlüsselung im Ruhezustand und bei der Übertragung (Art. 32)
Die Sicherheitsmaßnahmen regelmäßig überprüfen, zum Beispiel durch Penetrationstests (Art. 32 Abs. 1 lit. d)
Ein Verfahren für Datenpannen bereithalten: Eine Verletzung des Schutzes personenbezogener Daten ist der Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko (Art. 33)

Organisatorische Maßnahmen

Eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennen, wo das Gesetz es verlangt (Art. 37; in Deutschland auch § 38 BDSG, in der Regel ab 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind), und prüfen, ob die Benennung noch passt
Eine Datenschutz-Folgenabschätzung für Verarbeitungen mit hohem Risiko durchführen (Art. 35)
Beschäftigte schulen, die mit personenbezogenen Daten arbeiten
Anfragen betroffener Personen innerhalb eines Monats beantworten können (Art. 12 Abs. 3)

Rechenschaft heißt: Sie können es zeigen, nicht nur tun.

Wo Agenten helfen

Das meiste auf dieser Liste ist Schreibarbeit, und dort ist ein Agent nützlich. Er liest Ihre Website und die hochgeladenen Dokumente, listet jede verwendete Seite auf, findet heraus, welche Punkte oben fehlen, und entwirft sie: das Verzeichnis von Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge, die Datenschutzerklärung, Einwilligungstexte. Ob eine Aufbewahrungsfrist stimmt oder ein Dienstleister vertretbar ist, entscheiden Sie, und jedes Dokument gilt erst, wenn ein Mensch in Ihrem Team es freigegeben hat. Marsstein ist für die DSGVO live.

Sie möchten wissen, welche Punkte dieser Liste in Ihrem Unternehmen fehlen? Gespräch vereinbaren.