Datenschutzmanagement

Es kann ein Datenschutzmanagementsystem (DSMS) nach internationalen Standards aufgebaut werden. Das systematische Datenschutzmanagement ist notwendig, um den Verdacht der Fahrlässigkeit bei behördlichen Maßnahmen, die zu Bußgeldern, Strafen und Haftstrafen führen können, abzumildern (ab 24. April 2018: Art. 83 II d. DSGVO).

Entsprechend muss sich die Gestaltung der Datenschutzdokumentation an bewährten Beispielen orientieren. Darüber hinaus sollte ein Katalog von Forderungen verfügbar sein, der die gesetzlichen Bestimmungen mit den wesentlichen Informationssicherheitsanforderungen verbindet. Das System eines Datenschutz-Managementsystems kann in der Regel in ein vorhandenes Qualitätsmanagement-System oder ein Informationssicherheitsmanagementsystem integriert werden. Darüber hinaus bietet ein akkreditierter gewerblicher Dienstleister nun ein Zeugnis für ein funktionsfähiges Management-System nach dem entsprechenden Auditprozess an.

Leihgaben, Dirk, Matthias Müller, Manuela, Wichtermann, Marco: Ansprüche an ein Datenschutz Management System, 2009. 2011 Die Seite steht unter Neue Wege im Datenschutz (Memento des Original vom 18. November 2009 im Internetarchiv) Info: Der Archiv-Link wurde automatisiert verwendet und noch nicht überprüft. Website des Datenschutzbeauftragten des Landes Rheinland-Pfalz.

Datenschutz-Management nach DSGVO - Praxisleitfaden

Mit der DSGVO sind Firmen dazu angehalten, ein Datenschutzmanagement einzurichten, um den Datenschutz in Betrieben zu gewährleisten. Mit unserem Ratgeber unterstützen wir Sie bei der Einrichtung eines Datenschutz-Managementsystems nach DSGVO. Datenschutz-Richtlinie: In Deutschland ist das Datenschutzgesetz derzeit im BDSG und in vielen Sondergesetzen verankert. Das BDSG wird ab dem 2. April 2018 durch die EU-Datenschutzverordnung (DSGVO) ersetzt.

So sind die für das Datenschutzmanagement maßgeblichen Standards in der Regelung an vielen verschiedenen Orten zu finden: Artikel 5 DSGVO enthält die Grundlagen für die Datenverarbeitung, Artikel 30 DSGVO schreibt vor, dass der für die Datenverarbeitung zuständige Sachbearbeiter eine Liste aller Tätigkeiten zu erstellen hat, Artikel 32 DSGVO schreibt vor, dass der für die Datenverarbeitung zuständige Sachbearbeiter und der Datenverarbeiter angemessene fachliche und organisatorische Vorkehrungen zu treffen haben, um die Übereinstimmung der Datenverarbeitung mit der Grundverordnung zum Schutz der Privatsphäre zu gewährleisten und nachzuweisen.

Die DSGVO verlangt von dem für die Verarbeitung Verantwortlichen eine vorherige Bewertung der Auswirkungen der geplanten Verarbeitung zum Schutze personenbezogener Informationen bei Verarbeitungsvorgängen, die ein erhebliches Gefährdungspotential für die Rechte und Grundfreiheiten der natürlichen Person darstellen. Aber die große Fragestellung ist: Wie sollte ein Datenschutz-Managementsystem in einem Betrieb in der Realität funktionieren, um alle Anforderungen der Datenschutz-Grundverordnung abdecken zu können?

Dies ist nur eine erste Handlungsempfehlung, wie das Datenschutzmanagement in einem Betrieb angegangen werden kann. In der Grundverordnung zum Datenschutz sind umfangreiche Rechenschaftspflichten für Firmen festgelegt. Sie müssen nicht nur die Einhaltung der Anforderungen der Grunddatenschutzverordnung gewährleisten, sondern dies auch belegen können, siehe § 5 Abs. 2 DSGVO.

Dies bedeutet, dass Firmen nachweisen können müssen, dass sie angemessene Datenschutzpolitiken und -maßnahmen einführen. In der Datenschutz-Richtlinie sollten daher folgende Aspekte geregelt werden: Selbst die besten Datenschutzbestimmungen machen keinen Sinn, wenn sie nicht eingehalten werden. Aus diesem Grund muss die Datenschutz-Richtlinie von den Beschäftigten im Betrieb implementiert werden. Abhängig von der Unternehmensgröße kann es - neben dem betrieblichen Beauftragten für den Datenschutz - sinnvoll sein, in den einzelnen Bereichen einen Datenschutzkoordinator zu ernennen, der als Koordinationsstelle zwischen dem Beauftragten für den Datenschutz und den Beschäftigten seiner Fachabteilung fungiert.

Diese Person (z.B. der Abteilungsleiter) muss sicherstellen, dass alle datenschutzrelevanten Angelegenheiten seiner Fachabteilung an den Beauftragten für den Datenschutz weitergegeben werden. Der Beauftragte für den Datenschutz sollte jedoch selbst für die Ausbildung und Bewusstseinsbildung der Beschäftigten verantwortlich sein. Die Datenschutzpolitik muss die Kontaktaufnahme und Einbeziehung des Beauftragten für den Datenschutz festlegen.

Wenn sich das Untenehmen dafür entscheidet, dass sich die Arbeitnehmer zuerst an den Datenschutzkoordinator wendet, gilt dies auch für den Koordinator (mit Ausnahme von vertraulichen Rückfragen, bei denen die Rechte des Arbeitnehmers selbst berührt werden). Solche "meldepflichtigen" Vorgänge sind unter anderem: In jedem Betrieb muss der Beauftragte für den Datenschutz die entsprechenden Datenschutzfragen festlegen und in die Datenschutz-Richtlinie aufnehmen.

Zum Schutz personenbezogener Informationen gemäß der grundlegenden Datenschutzverordnung muss das zuständige Institut zunächst festlegen, in welchen Bereichen persönliche Informationen - z.B. von Auftraggebern, Zulieferern oder Mitarbeitern - erfasst und aufbereitet werden. Der erste Bezugspunkt ist die Auflistung aller Anlagen oder Werkzeuge im Betrieb, in denen persönliche Informationen abgelegt sind.

Ein solcher Ansatz ist aus zwei GrÃ?nden sinnvoll: Zum einen können die DatenflÃ?sse im Unter-nehmen festgelegt und auch definiert werden. Außerdem wird ein erster Baustein für die Liste der Verarbeitungsaktivitäten gesetzt. Nach der Grundverordnung über den Datenschutz wird es keine Trennung zwischen dem Öffentlichen und dem Interne Prozessverzeichnis mehr geben. 2. Gemäß Artikel 30 DSGVO ist der Lotse zur Führung einer Liste der Bearbeitungstätigkeiten verpflichte.

Diese Liste enthält wesentliche Hinweise zur Datenverarbeitung, vor allem zum Verarbeitungszweck und eine Darstellung der Personenkategorien, der Prüfungsteilnehmer und der Adressaten. Weil ein Überblick über alle Datenverarbeitungsprozesse in einem Beleg rasch verwirrend wird, besteht das Inhaltsverzeichnis in der Regel aus vielen unterschiedlichen Unterverzeichnissen.

Zeiterfassungssysteme, CRM-Systeme, Bewerbertools, HR-Management-Tools usw.). Für Betriebe, die bereits über einen strukturierten Verfahrensüberblick verfügten, sollten daher die Anforderungen des 30 DSGVO keine großen Schwierigkeiten aufwerfen. Nähere Informationen dazu entnehmen Sie bitte unserem Artikel: In einigen Ausnahmefällen sind Firmen auch zur Durchführung einer Datenschutzverträglichkeitsprüfung nach 35 DSGVO angehalten.

Sie werden durchgeführt, wenn eine solche Datenverarbeitung ein erhebliches Sicherheitsrisiko für personenbezogene Informationen darstellen kann, und zwar vor allem im Falle neuer Techniken oder aufgrund ihrer Beschaffenheit, ihres Anwendungsbereichs, ihres Kontextes oder ihrer Ziele. Von den Datenschutzbehörden werden Verzeichnisse der Verarbeitungsvorgänge erstellt, für die nach Artikel DSGVO eine Folgenabschätzung erforderlich ist (sog. Positivlisten).

Die Datenschutzbehörden stellen auch Verzeichnisse von Transaktionen auf, für die keine Folgenabschätzung erforderlich ist (sog. Negativlisten). Lesen Sie hier mehr über die Folgenabschätzung für den Datenschutz. Es wird empfohlen, im Zuge des Vertragsmanagement alle von einem Betrieb genutzten Leistungserbringer in einer Übersicht aufzulisten.

Der Beauftragte für den Datenschutz muss im folgenden Arbeitsschritt überprüfen, ob der Diensteanbieter personenbezogene Informationen erhebt, nutzt, überträgt oder bearbeitet, ob diese bereits vollständig sind. Anschließend kann der Beauftragte für den Datenschutz überprüfen, welche Aufträge entsprechend den Festlegungen der Basisdatenschutzverordnung anzupassen oder zu ändern sind. Auch wenn dies nicht mehr explizit in der Basisdatenschutzverordnung festgelegt ist, sollten die Arbeitnehmerinnen und Arbeitnehmer weiter an das Datenschutzgeheimnis gebunden bleiben.

Der Beauftragte für den Datenschutz hat im Zuge der Datenschutzausbildung die korrekte Umsetzung zu kontrollieren. Das ist eine ihrer Aufgaben gemäß § 39 Abs. 1 DSGVO. Sowohl die Ausbildung zum Datenschutz als auch die Pflicht zur Wahrung des Datengeheimnisses gehören zu den Organisationsmaßnahmen, die dem Datenschutz dienlich sind. Die Trainings werden in der Regel dem Beauftragten für den Datenschutz zugeordnet.

Vor der Durchführung eines Verfahrens zur Ausübung der Rechte der betroffene Person muss der Betroffene deutlich machen, welche Rechte er hat. Mit der Grundverordnung über den Datenschutz werden die Verpflichtungen der für die Verarbeitung Verantwortlichen hinsichtlich der Informationen der betreffenden Personen vervielfacht. Der Betroffene sollte wissen, wer welche Informationen über ihn sammelt und zu welchem Zwecke und in der Weise, dass er die Erhebung, Verarbeitung oder Nutzung der Informationen überprüfen kann.

Dies kann nur erreicht werden, wenn das zuständige Institut die betroffene Person über die Datenverarbeitung hinreichend aufklärt. Zur Information der Beteiligten muss im Betrieb festgestellt werden, welche Informationsverpflichtungen vorliegen (z.B. Registrierung für den Rundbrief, Kaufvertrag im Online-Shop, etc.). Ferner sollte festgelegt werden, wie zu verfahren ist, wenn ein Beteiligter (Kunde, Interessierter oder Mitarbeiter) von seinen Rechten Gebrauch macht: An wen und in welcher Zeit soll die E-Mail, der Post oder der Telefonanruf des Betreffenden übermittelt werden und wer ist für die Verarbeitung der Anfrage verantwortlich?

An wen richten sich die verschiedenen Anlagen, z.B. um die Löschen von Debitorendaten im gesamten Betrieb zu ermöglichen (wenn der Löschanspruch berechtigt ist)? Gemäß 33 Abs. 1 DSGVO müssen Firmen im Fall eines Verstoßes gegen den Schutz persönlicher Angaben den Verstoß umgehend - wenn möglich innerhalb von 72 Std. nach Bekanntwerden des Verstoßes - der jeweils verantwortlichen Aufsichtsstelle anzeigen.

Auf eine Benachrichtigung kann verzichtet werden, wenn die Missachtung des Datenschutzes nicht geeignet ist, die Rechte und Pflichten natürlicher Menschen zu gefährden. Gemäß 34 DSGVO sind bei einer Gefährdung der Persönlichkeitsrechte und Grundfreiheiten auch die betreffenden Personengruppen zu unterrichten. Zur Erfüllung dieser Melde- und Informationspflicht muss im Betrieb ein Verfahren eingeführt werden, das die Missachtung des Datenschutzes erkennt, den Tatbestand an den Beauftragten für den Datenschutz weiterleitet und auswertet.

Die Datenschutzverantwortlichen müssen überprüfen, ob ein gewisses oder großes Gefährdungspotential für die Rechte und Pflichten der Beteiligten besteht (oder ob überhaupt ein solches besteht). Zu den neuen Anforderungen an die "Sicherheit der Verarbeitung" gehören vor allem Artikel 5 Absatz 1 f) DSGVO und Artikel 32 DSGVO.

Darüber hinaus vereinheitlichen weitere Vorschriften wie die §§ 24, 25, 36 DSGVO die Sicherheit der Daten. 32/DSGVO. Die im Anhang zu 9 BDSG aufgeführten konkreten Massnahmen sind in 32 Abs. 1 DSGVO nicht aufgeführt (ausgenommen sind Pseudonymisierungen und Verschlüsselungen). Datensicherheitsanforderungen (von der Zugangskontrolle bis zur Trennkontrolle) werden durch auf den ersten Blick interpretationsbedürftige Bezeichnungen und Bezeichnungen abgelöst, die voraussichtlich noch von den Überwachungsbehörden oder der Übung vorgegeben werden.

Über die zu beachtenden fachlichen und organisatorischen Gesichtspunkte gemäß der Basisdatenschutzverordnung können Sie sich in unserem Beitrag Basisdatenschutzverordnung und Datenschutz informieren. Derzeit wird empfohlen, die Datenschutzmaßnahmen in einem konzeptionellen Ansatz - analog dem bisherigen nach 9 BDSG inkl. Anhang - zu erfassen und laufend zu pflegen.

Gibt es trotz Datenschutzmanagement Bußgelddrohungen? Eine Datenschutzverwaltung kann zwar nicht auf den Verdacht der fahrlässigen Verletzung des Datenschutzes verzichten, muss aber nach Artikel Abs. d) mindestens zur Herabsetzung der Geldbuße berücksichtigt werden. Darüber hinaus erlaubt ein leistungsfähiges Managementsystem eine rasche Reaktionszeit bei tatsächlichen Datenschutzverletzungen. Für nahezu alle Firmen wird die Implementierung der grundlegenden Datenschutzverordnung eine große Herausforderung darstellen, für die es in naher Zukunft keine Patentlösungen gibt.

Was bedeutet für Sie die Umsetzung des Datenschutzmanagements?