Datenschutz

 

DSGVO Compliance Check, um bereits getroffene Maßnahmen zu überprüfen.

Ausgangssituation:

• Sie haben die Vorgaben der DSGVO bereits umgesetzt

Zielsetzung:

• Sie möchten Gewissheit erlangen, ob die ergriffenen Datenschutzmaßnahmen den Anforderungen umfänglich entsprechen
• Sie möchten Ihren Datenschutz als Marketinginstrument einsetzen
• Sie möchten bei einer Panne den Aufsichtsbehörden belegen können, alles Mögliche unternommen zu haben, um DSGVO-compliant zu sein

Machen Sie folgende Selbstdiagnose Ihrer DSGVO-Konformität:

Klicken sie die in ROT eingefärbten Anforderungen an, von denen Sie wissen, dass sie umgesetzt sind.
Nach dem Klick, wird die Anforderung dann GRÃœN erscheinen.

Bitte berücksichtigen Sie, dass
… diese Liste Ihnen lediglich einen Überblick gibt und sie nur einen Auszug der wichtigsten Vorgaben darstellt.
… diese Liste bei weitem keinen Anspruch auf Vollständigkeit erhebt.
… Sie die nachstehend aufgeführten Punkte tatsächlich ALLE umgesetzt haben sollten.

Sie haben geprüft, ob ein Datenschutzbeauftragter (DSB) benannt werden muss und ggf. einen benannt und der Aufsichtsbehörde gemeldet
Die Technisch Organisatorischen Maßnahmen sind beschrieben, umgesetzt und eingeführt
Es existiert ein Datensicherheitskonzept in der IT
Die notwendigen Verfahrensverzeichnisse für die Verarbeitung personenbezogener Daten wurde in allen betroffenen Abteilungen erstellt und Abläufe dokumentiert
Die Mitarbeiter haben Verpflichtungserklärungen erhalten und unterschrieben
Beauftragte Dienstleister (sofern sie mit personenbezogenen Daten in Berührung kommen) haben entsprechende Verpflichtungserklärungen unterschrieben bzw. es wurde mit ihnen ein Auftragsverarbeitungsvertrag geschlossen
Ihre Firmenwebseite genügt den aktuellen Anforderungen insbesondere dem BGH-Urteil zur Verwendung von Cookies
Es wurden alle Beschäftigten aufgeklärt und werden regelmäßig geschult
Sie haben geprüft, ob Ihr Unternehmen verpflichtet ist, für einzelne Bereiche eine Risikoabschätzung durchzuführen
Es existiert ein Konzept für einen Datenschutz-Vorfall
Die Verzeichnisse der Verarbeitungstätigkeiten (Art. 30 Abs. 1 u. 2 DSGVO) liegen vollständig vor
Es besteht eine Dokumentation, in der dargestellt wird, wie die Rechte der Betroffenen eingehalten werden
Alle Prozesse sind dokumentiert, in denen personenbezogene Daten verarbeitet werden
Es wurde eine Dokumentation für die Erfüllung der Informationspflicht erstellt
Sofern Sie die Daten nicht bei der betroffenen Person erhoben haben: wurden sie informiert aus welcher Quelle die personenbezogenen Daten stammen und ggf. ob sie aus öffentlich zugänglichen Quellen stammen
Sie haben Ihre Werbe-Einwilligungserklärungen für Kunden, Interessenten usw. an die Anforderungen von Art. 7 und 13 DSGVO angepasst (insbesondere: erweiterte Informationspflichten, auch zur jederzeitigen Widerrufbarkeit der Einwilligung)
Es wurde ein Verfahren eingerichtet, um Anträge von betroffenen Personen auf Auskunft zu den eigenen Daten nach Art. 15 DSGVO zeitnah und vollständig erfüllen zu können (Art. 12 Abs. 1 DSGVO)
Die Datenstrukturen und Speicherarten sind so gestaltet, dass das Löschen der Inhalte einzelner Datenfelder, Datensätze oder vorher definierter Gruppen von Daten mit beherrschbarem Aufwand möglich ist
Es ist sichergestellt, dass die Integrität des Datenbestandes durch das Löschen nicht beeinträchtigt wird
Sie haben in einem Löschkonzept festgelegt, wie sie die datenschutzrechtlichen Pflichten zur Löschung personenbezogener Daten erfüllt werden sollen.
Ein geeignetes Managementsystem wurde zur regelmäßigen Überprüfung, Bewertung und Verbesserung der Security-Maßnahmen definiert
Es wurde ein Prozess etabliert, der sichergestellt, dass neue technische Verfahren, neu entwickelte Software oder neu konfigurierte IT-Systeme einem Test und einer Freigabe hinsichtlich ihrer Funktionen unterliegen
Verfahren und Maßnahmen wurden eingerichtet, um die Belastbarkeit der Systeme sicherzustellen! Dies betrifft insbesondere den Schutz vor Malware und Viren
Sie haben rechtlich geprüft, welches Maß an Trennung eine Verarbeitung mit ihren Komponenten Daten, Systemen und Prozessen erfordert
Sie stellen sicher, dass gff. eine Meldung von Verletzungen des Schutzes personenbezogener Daten innerhalb von 72 Stunden an die Aufsichtsbehörde und eine Meldung zu Verletzungen an die Betroffenen erfolgen wird

Ergebnisinterpretation:   Sollten Punkte in ROT verbleiben, so haben Sie in jedem Fall Handlungsbedarf.

Hinweis: Fehler können immer passieren, aber wenn die Basisanforderungen nicht korrekt umgesetzt oder gar ignoriert wurden, dann kann es empfindlich teuer werden!

Hier geht es zum Kontaktformular >>>>>

 

 

Datenschutzberater zum Einrichten geeigneter Maßnahmen nach DSGVO

Auch wenn Sie nicht der Verpflichtung unterliegen, einen Datenschutzbeauftragten zu benennen, so müssen Sie doch die Vorgaben der DSGVO und des BDSG einhalten. Ich erstelle zusammen mit Ihnen oder einem Bevollmächtigten, die notwendigen Unterlagen

• Technisch Organisatorischen Maßnahmen
• Datensicherheitskonzept in der IT
• Verfahrensverzeichnisse für Verarbeitung personenbezogener Daten in allen betroffenen Abteilungen
• Verpflichtungserklärungen für Ihre Mitarbeiter
• Vorlage eines Auftragsverarbeitungsvertrags für Ihre Dienstleister, die mit personenbezogenen Daten in Berührung kommen
• Genügt Ihre Firmenwebseite den Anforderungen, z.B. BGH-Urteil zu Cookies
• Sind alle Beschäftigten aufgeklärt und werden regelmäßig geschult
• Prüfung der Verpflichtung für einzelne Bereiche eine Risikoabschätzung durchzuführen
• Entwicklung Konzept für einen Datenschutz-Vorfall
• Schulungskonzept für Ihre Mitarbeiter

Hier geht es zum Kontaktformular >>>>>

 

 

Datenschutzaudit nach ISO 19011

Für den Datenschutz selbst gibt es bisher noch kein eigenes Prüfsiegel oder Zertifikat. Die ISO 19011 ist eine generelle Richtlinie zum Durchführen von AUDITs.

Gründe, um ein Datenschutzaudit durchzuführen

• Gewährleistung der Rechtssicherheit der Verarbeitung personenbezogener Daten
• Ergebnis erlaubt interne Verbesserungen bzgl. Datenschutz oder Datensicherheit
• Ergebnis kann in der Außendarstellung zur Verbesserung der Außenwahrnehmung eingesetzt werden
• Interesse an Datenschutz/Datensicherheit nimmt in der Globalisierung zu
• Bei gleicher Qualität und vergleichbarem Preis ist Datensparsamkeit gegenüber „Datenkraken“ ein wichtiges Argument
• Begrenzung der Risiken der Verarbeitung der eigenen Daten, d.h. Fortschritte bei Datenschutz und Sicherheit der Verarbeitung
• Gesellschaftliche wie auch individuelle Gefährdungs- und Schadenspotentiale in der Verarbeitung personenbezogener Daten reduzieren
• Unterstützung und Entlastung der Datenschutz-Aufsichtsbehörden durch
      o Verbesserte Umsetzung von Datenschutzanforderungen
      o Unabhängige Kontrolle von Verarbeitungsvorgängen
• Öffentliche Darstellung, dass ergriffene Datenschutzmaßnahmen belohnt werden, führt bei Datenverarbeitern zu einem höheren Bedarf an entsprechenden Maßnahmen

Audit muss von neutraler Stelle ausgeführt werden, d.h. Gewährleistung für

• Objektivität und Korrektheit der Ãœberprüfung
• Glaubwürdigkeit der Ergebnisse

Ablauf eines Audits:

1. Vorbereitung des Audits
2. Prüfung der Unterlagen
3. Durchführung des Audits
4. Erstellung Abschlussbericht

Hier geht es zum Kontaktformular >>>>>

 

 

Externer Datenschutzbeauftragter

Es gibt zwei Vorgaben, nach denen ein Datenschutzbeauftragter zu benennen ist. Aber Achtung: Es kann nicht jeder DSB werden. Fachliche Eignung und mögliche Interessenkonflikte sind zu beachten.

DSGVO Artikel 37: Pflicht zur Benennung eines Datenschutzbeauftragten

• Verarbeitung einer Behörde bei justizieller Tätigkeit (gilt nicht für Gerichte)
• Kerntätigkeit besteht in Verarbeitungsvorgängen, die aufgrund ihrer Art, Umfang und Zweck eine umfangreiche regelmäßige und systematische Ãœberwachung erforderlich machen
• Kerntätigkeit besteht in umfangreicher Verarbeitung besonderer Kategorien von Daten nach Art. 9 oder strafrechtliche Verurteilungen und Straftaten nach Art. 10
• Ein Datenschutzbeauftragter für eine Unternehmensgruppe ist zulässig.

Nach DSGVO wird ein DSB „ernannt“ und ist der Aufsichtsbehörde zu melden

BDSG § 38 Datenschutzbeauftragte nichtöffentlicher Stellen

Der Verantwortliche und der Auftragsverarbeiter benennt eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen.

Gründe für die Benennung eines externen Datenschutzbeauftragten

Gründe, die für eine externe Lösung sprechen:

• Ein zertifizierter Datenschutzexperte entspricht den gesetzlichen Anforderungen
• Keine unzulässigen Interessenkonflikte bei Bestellung eines Mitarbeiters zum DSB
• Transparente Kostenstruktur
• Externer DSB ist meist schneller und qualifizierter als ein interner DSB und kann auf bestehende Unterlagen zurückgreifen
• Externe DSB bekommen innerhalb der Organisation meist schnellere qualifizierte Antworten, da kein internes Konkurrenzverhältnis besteht
• Innerhalb des Betriebes ist es oftmals schwierig, eine geeignete qualifizierte Person zu finden
• Der Arbeitsaufwand und die Kosten für interne DSB sind meist schwer kalkulierbar
• Keine zusätzlichen Kosten für die Weiterbildung

Hier geht es zum Kontaktformular >>>>>