Datenschutz-Check vorbereiten: 20 Fragen und die richtigen Unterlagen

Wie der Selbsttest zu lesen ist

Jede Frage lässt sich mit Ja, Nein oder „Weiß ich nicht“ beantworten. Ein Nein ist nicht automatisch ein Verstoß. Manche Punkte betreffen ein Unternehmen gar nicht, andere lassen sich schlanker lösen, als es klingt. Jedes Nein und jedes „Weiß ich nicht“ ist aber ein Punkt, der im Check geklärt und priorisiert werden sollte.

Hinter allen Fragen steht dieselbe Pflicht: Das Unternehmen muss die Einhaltung des Datenschutzes nicht nur sicherstellen, sondern auch nachweisen können (Art. 5 Abs. 2 DSGVO). Was nicht dokumentiert ist, lässt sich im Zweifel nicht belegen.

Organisation

1. Ist klar, wer im Unternehmen für Datenschutz zuständig ist, mit Namen und nicht nur als Abteilung?
2. Ist geprüft und dokumentiert, ob ein Datenschutzbeauftragter benannt werden muss (Art. 37 DSGVO, § 38 BDSG)? Mehr dazu auf der Seite zur DSB-Pflicht.
3. Falls ein Datenschutzbeauftragter benannt ist: Sind seine Kontaktdaten veröffentlicht und der Aufsichtsbehörde mitgeteilt?
4. Sind die Beschäftigten auf die Vertraulichkeit verpflichtet und zum Datenschutz geschult worden?

Dokumentation

5. Gibt es ein Verzeichnis von Verarbeitungstätigkeiten, und wurde es im letzten Jahr durchgesehen?
6. Sind die technischen und organisatorischen Maßnahmen (TOM) beschrieben (Art. 32 DSGVO)?
7. Gibt es Löschfristen für die wichtigsten Datenarten, und werden sie tatsächlich umgesetzt?
8. Ist bei risikoreichen Verarbeitungen geprüft, ob eine Datenschutz-Folgenabschätzung nötig ist (Art. 35 DSGVO)?

Dienstleister

9. Gibt es eine Liste aller Dienstleister, die personenbezogene Daten für das Unternehmen verarbeiten?
10. Liegt mit jedem Auftragsverarbeiter ein Vertrag nach Art. 28 DSGVO vor? Worauf es dabei ankommt, steht auf der Seite AVV prüfen.
11. Ist bekannt, welche Dienstleister Daten außerhalb der EU verarbeiten, und ist diese Übermittlung abgesichert?

Information der Betroffenen

12. Passt die Datenschutzerklärung der Website zu den Diensten, die tatsächlich eingebunden sind? Siehe Website-Datenschutz.
13. Erhalten Beschäftigte und Bewerber Datenschutzinformationen nach Art. 13 DSGVO?
14. Sind Einwilligungen, wo das Unternehmen auf sie setzt, nachweisbar dokumentiert (Art. 7 Abs. 1 DSGVO)? Das gilt auch für zugekaufte Adressen, siehe Einwilligung „für Partner“.

Abläufe

15. Gibt es einen festgelegten Ablauf für Auskunfts- und Löschanfragen? Siehe Auskunftsanfrage nach Art. 15 DSGVO.
16. Weiß jeder Beschäftigte, an wen er eine mögliche Datenpanne meldet? Siehe Datenpanne: die ersten 72 Stunden.
17. Werden neue Tools, insbesondere KI-Tools, vor der Einführung datenschutzrechtlich geprüft?

Technik

18. Sind Zugriffsrechte nach Aufgaben vergeben, und werden sie beim Austritt entzogen?
19. Sind Laptops und mobile Datenträger verschlüsselt?
20. Gibt es Datensicherungen, und wurde die Wiederherstellung schon einmal getestet?

Diese Unterlagen sollten bereitliegen

Was im Selbsttest mit Ja beantwortet wurde, hat meist ein Dokument. Für den Check lohnt es sich, diese Unterlagen vorab zusammenzustellen, soweit vorhanden:

• Verzeichnis von Verarbeitungstätigkeiten
• Liste der Dienstleister mit den abgeschlossenen Auftragsverarbeitungsverträgen
• Beschreibung der technischen und organisatorischen Maßnahmen
• Datenschutzerklärung der Website und Datenschutzinformationen für Kunden, Beschäftigte und Bewerber
• Löschkonzept oder Löschfristen
• Datenschutzrichtlinien, IT-Richtlinie und gegebenenfalls KI-Richtlinie
• Nachweise über Schulungen und Verpflichtungen auf die Vertraulichkeit
• Benennung des Datenschutzbeauftragten oder die Dokumentation, warum keiner benannt ist
• Dokumentation bisheriger Datenpannen und Betroffenenanfragen
• eine grobe Übersicht der IT-Systeme und ein aktuelles Organigramm

Fehlende Unterlagen sind kein Grund, den Check zu verschieben. Sie gehören zum Ergebnis: Ein guter Check zeigt, was fehlt, und in welcher Reihenfolge es sinnvoll nachgeholt wird.

Wo die meisten Unternehmen stehen

Im Alltag zeigt sich meist dasselbe Bild. Vieles ist vorhanden, aber verstreut, veraltet oder nie zusammengeführt worden: Verträge liegen im Einkauf, die Datenschutzerklärung stammt aus einem Generator, das Verzeichnis wurde zuletzt beim Start angefasst. Selten fehlt alles, fast immer fehlt die Übersicht.

Genau dafür ist ein Datenschutz-Check da. Er ersetzt nicht die Arbeit, macht sie aber planbar: dringend, wichtig, kann warten. Wie ich dabei vorgehe, beschreibe ich auf der Seite zum Datenschutz-Check.