DSGVO: So erreichen und erhalten Sie die Compliance für personenbezogene Daten
Was die DSGVO von einem Verantwortlichen fordert
Die DSGVO (Verordnung (EU) 2016/679) verpflichtet jeden Verantwortlichen, die Verarbeitung personenbezogener Daten nachweisbar zu steuern. Das Ziel dieser Verordnung ist nicht die Bestrafung, sondern die dauerhafte Rechenschaftspflicht: Wer verarbeitet, muss jederzeit belegen können, dass seine Verarbeitung rechtmäßig, zweckgebunden und verhältnismäßig ist. Die Verordnung kennt dabei kein einmaliges Erreichen eines Ziels, sondern verlangt ein laufendes Managementsystem. Vier Pflichtbereiche bilden dieses System: das Verarbeitungsverzeichnis, die Datenschutz-Folgenabschätzung (DSFA), die Bearbeitung von Betroffenenrechten und die Dokumentation technischer und organisatorischer Maßnahmen. Jede Pflicht setzt einen benannten Verantwortlichen voraus, der prüft, aktualisiert und dokumentiert. Optivalue.ai begleitet Organisationen dabei, jeden dieser Bereiche durch geprüfte, quellenbasierte Nachweise zu strukturieren.
Verarbeitungsverzeichnis: wie es gepflegt wird
Das Verarbeitungsverzeichnis ist der zentrale Nachweis der DSGVO-Compliance. Es dokumentiert für jede Verarbeitungstätigkeit: Zweck, Rechtsgrundlage, betroffene Kategorien, Empfänger und Aufbewahrungsfristen. Ein Verzeichnis, das bei Einführung vollständig war und seitdem nicht aktualisiert wurde, erfüllt die Rechenschaftspflicht nicht. Jede neue Verarbeitungstätigkeit, jede Änderung eines Systems und jede neue Rechtsgrundlage erfordert eine Aktualisierung. Die Fachbereiche müssen einbezogen werden, da nur sie die operativen Details einer Verarbeitung kennen. Ein benannter Koordinator prüft die Einträge, bevor sie als freigegeben gelten.
Datenschutz-Folgenabschätzung: wann und wie sie durchgeführt wird
Die DSFA ist verpflichtend, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt (Artikel 35 DSGVO). Kriterien, die eine DSFA auslösen, sind nach Artikel 35 DSGVO: systematische Überwachung öffentlicher Bereiche, Verarbeitung besonderer Kategorien in großem Umfang, automatisierte Entscheidungen mit erheblicher Wirkung. Die Durchführung folgt einer strukturierten Methodik: Beschreibung der Verarbeitung, Verhältnismäßigkeitsbewertung, Identifikation und Bewertung der Risiken, Maßnahmen zur Risikominderung. Das Ergebnis wird dokumentiert und, wenn das Restrisiko hoch bleibt, der Aufsichtsbehörde vorab mitgeteilt. Optivalue.ai stellt geprüfte Vorlagen bereit, die den Anforderungen des Aufsichtsratsstabs entsprechen.
Betroffenenrechte: Fristen und Bearbeitung
Die DSGVO räumt betroffenen Personen Rechte ein, die innerhalb festgelegter Fristen bearbeitet werden müssen. Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit sind die zentralen Rechte nach den Artikeln 15 bis 21 DSGVO. Die Antwortfrist beträgt grundsätzlich einen Monat ab Eingang des Antrags (Artikel 12 Absatz 3 DSGVO), mit der Möglichkeit einer Verlängerung um weitere zwei Monate bei Komplexität. Jeder Antrag muss protokolliert werden: Eingang, Bearbeitung, Entscheidung und Versand der Antwort. Ohne ein strukturiertes Protokoll ist die Fristeinhaltung im Prüfungsfall nicht belegbar. Ein benannter Verantwortlicher prüft jeden Antrag auf Vollständigkeit, bevor die Antwort freigegeben wird.
Hinweis: Interessenkonflikterklärungen, die personenbezogene Daten enthalten und der DSGVO unterliegen, stellen einen eigenständigen Verarbeitungskontext dar, der im Verarbeitungsverzeichnis separat dokumentiert werden muss. Ebenso erfordert das internes Meldesystem, das bei bestimmten Verarbeitungen nach DSGVO erforderlich ist, eine eigene DSFA-Prüfung.
Wie DSGVO-Management-Software jede Pflicht strukturiert
Eine DSGVO-Management-Software strukturiert die vier Pflichtbereiche durch geführte Arbeitsabläufe. Das Verarbeitungsverzeichnis wird durch vordefinierte Felder und Validierungsregeln gepflegt. Die DSFA folgt einer schrittweisen Methodik, die prüft, ob alle Pflichtabschnitte ausgefüllt sind. Betroffenenanfragen erhalten einen eigenen Workflow mit Fristüberwachung und Benachrichtigungen. Technische und organisatorische Maßnahmen werden als Nachweis archiviert und können Prüfern direkt bereitgestellt werden. Der Mehrwert liegt nicht im Automatismus, sondern in der Nachvollziehbarkeit: Wer prüft, wann und mit welchem Ergebnis, ist jederzeit dokumentiert. Optivalue.ai prüft die Inhalte quellenbasiert und stellt sicher, dass die hinterlegten Dokumente dem aktuellen Stand der Aufsichtsbehördenentscheidungen entsprechen.
FAQ
Was ist der Unterschied zwischen Verantwortlichem und Auftragsverarbeiter nach DSGVO?
Der Verantwortliche bestimmt Zweck und Mittel der Verarbeitung personenbezogener Daten (Artikel 4 Nummer 7 DSGVO). Der Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen und darf nur auf dessen dokumentierte Weisung handeln (Artikel 28 DSGVO). Beide Rollen begründen unterschiedliche Pflichten: Der Verantwortliche führt das Verarbeitungsverzeichnis, bearbeitet Betroffenenrechte und entscheidet über Rechtsgrundlagen. Der Auftragsverarbeiter führt ein eigenes Verzeichnis und muss bestimmte technische und organisatorische Maßnahmen nachweisen. Das Verhältnis muss vertraglich durch einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO geregelt sein.
Welche Daten müssen im Verarbeitungsverzeichnis dokumentiert werden?
Nach Artikel 30 Absatz 1 DSGVO enthält das Verzeichnis des Verantwortlichen: Name und Kontaktdaten des Verantwortlichen und des Datenschutzbeauftragten, Zwecke der Verarbeitung, Kategorien betroffener Personen und personenbezogener Daten, Empfängerkategorien, Drittlandübermittlungen mit zugehörigen Garantien, Aufbewahrungsfristen und eine allgemeine Beschreibung technischer und organisatorischer Maßnahmen. Jede Verarbeitungstätigkeit bildet einen eigenen Eintrag. Das Verzeichnis muss der Aufsichtsbehörde auf Anfrage vorgelegt werden können.
Wann ist ein Datenschutzbeauftragter verpflichtend zu benennen?
Nach Artikel 37 DSGVO ist ein Datenschutzbeauftragter verpflichtend zu benennen, wenn die Verarbeitung von einer Behörde oder öffentlichen Stelle durchgeführt wird, wenn die Kerntätigkeit in der systematischen und umfangreichen Beobachtung von Personen besteht, oder wenn die Kerntätigkeit in der Verarbeitung besonderer Kategorien oder von Daten über strafrechtliche Verurteilungen in großem Umfang besteht. In allen anderen Fällen bleibt die Benennung fakultativ, ist aber empfehlenswert, wenn die Verarbeitungstätigkeit komplex oder umfangreich ist.
Wie lange müssen Datenschutzdokumente aufbewahrt werden?
Die DSGVO schreibt keine einheitliche Aufbewahrungsfrist für Datenschutzdokumente vor. Das Verarbeitungsverzeichnis muss so lange geführt werden, wie die entsprechenden Verarbeitungstätigkeiten stattfinden, und darüber hinaus für den Nachweis im Prüfungsfall. Dokumentationen von DSFAs, Einwilligungen und Betroffenenanfragen sollten mindestens so lange aufbewahrt werden, wie Ansprüche aus der DSGVO geltend gemacht werden können. Nationale Verjährungsfristen und sektorspezifische Vorschriften sind dabei zu berücksichtigen.
Was sind die Folgen einer Datenpanne, die nicht gemeldet wird?
Eine Verletzung des Schutzes personenbezogener Daten, die ein Risiko für die Rechte und Freiheiten natürlicher Personen begründet, muss nach Artikel 33 DSGVO unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden. Unterbleibt die Meldung trotz meldepflichtiger Verletzung, stellt dies einen eigenständigen DSGVO-Verstoß dar, der Bußgelder nach Artikel 83 DSGVO begründen kann. Die Meldung setzt ein funktionierendes internes Meldeverfahren voraus, das Verdachtsfälle erfasst, bewertet und weiterleitet.
Fordern Sie eine Demo von Optivalue.ai an
Nach oben
Zum gleichen Thema