Datenschutz-Bestandsaufnahme und Dokumentation

Datenschutz-Bestandsaufnahme und Dokumentation

Datenschutz muss in Unternehmen und Einrichtungen nicht nur umgesetzt, sondern auch nachvollziehbar dokumentiert werden. Genau das verlangt die Datenschutz-Grundverordnung an vielen Stellen. Besonders deutlich wird dies bei den technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, aber auch bei den Grundsätzen der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO sowie beim Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen nach Art. 25 DSGVO.

In der Praxis bedeutet das: Unternehmen müssen jederzeit belegen können, welche Datenschutzmaßnahmen sie getroffen haben, wie diese organisatorisch eingebunden sind und ob sie tatsächlich wirksam umgesetzt werden. Eine belastbare Datenschutzdokumentation ist daher kein Selbstzweck, sondern ein zentraler Bestandteil eines funktionierenden Datenschutzmanagements. Sie schafft Transparenz, reduziert Haftungsrisiken und erleichtert die Kommunikation mit Aufsichtsbehörden, Geschäftspartnern und Betroffenen.

Zu den typischen Bereichen, in denen eine Dokumentation erforderlich oder zumindest dringend zu empfehlen ist, gehören insbesondere:

• Sensibilisierung und Schulung von Beschäftigten, einschließlich Schulungskonzept, Durchführung und Nachweisen.

• Verpflichtung von Beschäftigten auf Vertraulichkeit, insbesondere im Zusammenhang mit der Verarbeitung personenbezogener Daten.

• Dokumentation datenschutzrelevanter Geschäftsprozesse im Verzeichnis der Verarbeitungstätigkeiten.

• Festlegung und Dokumentation von Löschfristen für personenbezogene Daten.

• Durchführung und Dokumentation von Datenschutz-Folgenabschätzungen sowie, soweit eine DSFA nicht erforderlich ist, die Dokumentation der entsprechenden Schwellenwertprüfung oder Datenschutz-Risikobewertung.

• Dokumentation von Interessenabwägungen bei Verarbeitungen auf Grundlage berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO.

• Dokumentation der Risikoabwägung bei Datenschutzvorfällen sowie der Entscheidung über eine Meldung oder Nichtmeldung nach Art. 33 und 34 DSGVO.

• Dokumentation der getroffenen technischen und organisatorischen Maßnahmen.

• Dokumentation von Maßnahmen zum Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen, insbesondere bei Softwareentwicklung, Systemeinführung und Konfiguration.

• Dokumentation und Archivierung von Vorgängen im Zusammenhang mit Betroffenenrechten, etwa bei Auskunftsersuchen nach Art. 15 DSGVO.

• Archivierung von Einwilligungen zu Nachweis- und Haftungszwecken.

• Prüfung, Ergänzung und Archivierung von Verträgen mit Dienstleistern, die personenbezogene Daten verarbeiten, insbesondere Auftragsverarbeitungsverträgen nach Art. 28 DSGVO.

• Einforderung und Dokumentation der erforderlichen Angaben und Nachweise von Auftragsverarbeitern.

• Regelmäßige Kontrolle und Dokumentation der eingesetzten Dienstleister.

• Dokumentation der Bestellung und Meldung des Datenschutzbeauftragten gegenüber der zuständigen Aufsichtsbehörde.

Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO führt dazu, dass ein ernsthaft betriebenes Datenschutzmanagement ohne strukturierte und aktuelle Dokumentation kaum denkbar ist. Einzelmaßnahmen reichen in der Regel nicht aus. Erforderlich sind vielmehr nachvollziehbare Regelungen, klare Zuständigkeiten, praktikable Prozesse sowie aussagekräftige Aufzeichnungen und Nachweise. Nur so kann belegt werden, dass Datenschutz im Unternehmen nicht nur auf dem Papier existiert, sondern tatsächlich gelebt wird.

Ein besonders anschauliches Beispiel ist das Thema Löschfristen. Die DSGVO verlangt, dass personenbezogene Daten nicht länger gespeichert werden, als es für die jeweiligen Zwecke erforderlich ist. Daraus folgt regelmäßig die Notwendigkeit eines Löschkonzepts, in dem Aufbewahrungs- und Löschfristen definiert, Verantwortlichkeiten festgelegt und Kontrollen dokumentiert werden. Je nach Unternehmensgröße und Datenstruktur kann dies unterschiedlich umfangreich ausfallen. Entscheidend ist jedoch immer, dass die Löschung nicht nur geplant, sondern auch tatsächlich umgesetzt und nachvollziehbar protokolliert wird.

Ebenso wichtig ist die regelmäßige Überprüfung der dokumentierten Maßnahmen. Datenschutzdokumentation ist kein statisches Projekt, sondern ein fortlaufender Prozess. Geschäftsabläufe verändern sich, neue Software wird eingeführt, Zuständigkeiten verschieben sich und rechtliche Anforderungen entwickeln sich weiter. Deshalb müssen bestehende Unterlagen in angemessenen Abständen kontrolliert, aktualisiert und an die tatsächlichen Verhältnisse angepasst werden. In der Praxis geschieht dies häufig im Rahmen von Datenschutzkontrollen, internen Prüfungen oder Datenschutzaudits. Festgelegt werden diese Maßnahmen in einem Datenschutzhandbuch oder auch Datenschutzkonzept, in dem alle Unternehmenspflichten idealerweise beschrieben sind.

Wie wir Sie unterstützen

Wir unterstützen Sie dabei, eine rechtssichere und zugleich praxistaugliche Datenschutz-Bestandsaufnahme für Ihr Unternehmen oder Ihre Einrichtung aufzubauen. Unser Ansatz ist nicht theoretisch, sondern auf Ihre tatsächlichen Abläufe, Risiken und Ressourcen abgestimmt. Ziel ist eine Dokumentation, die den gesetzlichen Anforderungen genügt und zugleich im Alltag handhabbar bleibt.

Wir helfen Ihnen insbesondere bei:

• der Ermittlung Ihrer datenschutzrelevanten Prozesse und Verarbeitungstätigkeiten,

• dem Aufbau oder der Überarbeitung Ihres Verzeichnisses der Verarbeitungstätigkeiten,

• der Identifikation notwendiger Richtlinien, Prozesse und Nachweise,

• der Erstellung einer Datenschutz-Risikobewertung,

• der Prüfung, ob eine Datenschutz-Folgenabschätzung erforderlich ist,

• der Strukturierung und Dokumentation Ihrer technischen und organisatorischen Maßnahmen,

• der Überprüfung von Dienstleistern und Verträgen zur Auftragsverarbeitung,

• der Entwicklung eines angemessenen Lösch- und Berechtigungskonzepts,

• der Vorbereitung auf Prüfungen, Auskunftsersuchen oder behördliche Nachfragen.

• Implementierung eines Datenschutzmanagementssystems, z.B. nach ISO/IEC 27701:2020

Gerade zu Beginn legen wir Wert auf eine verständliche, effiziente und pragmatische Vorgehensweise. Wir überfrachten Ihre Organisation nicht mit unnötiger Bürokratie, sondern entwickeln gemeinsam mit Ihnen einen risikobasierten und realistisch umsetzbaren Dokumentationsstand. So schaffen wir zügig belastbare Grundlagen, auf denen Sie Ihr Datenschutzmanagement Schritt für Schritt weiterentwickeln können.

Auf Wunsch begleiten wir Sie als Unternehmen oder Datenschutzbeauftragter nicht nur bei der Erstaufnahme, sondern auch bei der weiteren Konkretisierung, Aktualisierung und laufenden Pflege Ihrer Datenschutzdokumentation. So haben Sie einen verlässlichen Ansprechpartner an Ihrer Seite, der rechtliche Anforderungen mit praktischen Lösungen verbindet.