Externer Datenschutz­beauftragter & Datenschutz­konzepte

Das Verzeichnis der Verarbeitungstätigkeiten spielt eine zentrale Rolle bei der strukturierten Dokumentation des Datenschutzes und unterstützt den Verantwortlichen also das Unternehmen dabei, gemäß Art. 5 Abs. 2 DS-GVO die Einhaltung der Vorgaben der DSGVO nachzuweisen.

Es ist ein essenzielles Element für die Einführung und Bewertung eines umfassenden Datenschutz -Managementsystems.

Das Verzeichnis der Verarbeitungstätigkeiten ist somit eine Übersicht über Prozesse im Unternehmen, bei denen personenbezogene Daten verarbeitet werden. Es dient dazu, einen strukturierten Überblick über alle Datenverarbeitungsvorgänge zu erhalten.

Im Art. 30 DSGVO gibt Aufschluss darüber, was alles in das vorgeschriebene Verzeichnis der Verarbeitungstätigkeiten gehört.

1. Name und Kontaktdaten des Verantwortlichen, seines Vertreters und des Datenschutzbeauftragten, falls vorhanden.
2. Zwecke der Verarbeitung, also warum die Daten verarbeitet werden.
3. Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten, die verarbeitet werden.
4. Angaben zu Empfängern oder Kategorien von Empfängern, denen die personenbezogenen Daten offengelegt wurden oder noch offengelegt werden sollen, einschließlich Empfänger in Drittländern oder internationalen Organisationen.
5. Gegebenenfalls Angaben zu Datenübermittlungen an Drittländer oder internationale Organisationen, sowie Dokumentation geeigneter Garantien, sofern die Daten in Drittländer übermittelt werden.
6. Geplante Fristen für die Löschung der verschiedenen Datenkategorien, sofern möglich.
7. Eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß Artikel 32 Absatz 1 zur Sicherstellung des Datenschutzes.

Es sind Maßnahmen, die ein Unternehmen umgesetzt hat, um Daten von Personen (Mitarbeitern, Kunden, Lieferanten etc.) zu schützen.

Dabei gibt es die technischen Maßnahmen wie zum Beispiel:

1. Technische Vorgaben für die Passwortkomplexität (vom System erzwungen).
2. Fenster- und Türsicherungen (Fenster Vergitterung).
3. Alarmanlagen.
4. Die Pseudonymisierung und Verschlüsselung personenbezogener Daten.
5. Der Einsatz von Benutzerkonten mit entsprechenden Passwort-Regelungen oder anderen Multifaktoridentifizierungen.
6. Eine automatische Erstellung von Protokollen zur Nachverfolgung von Zugriffen und Aktivitäten.

1. Das Vier-Augen-Prinzip zum Beispiel. Bestimmte Abläufe, Aufgaben oder Entscheidungen können nur von mindestens zwei verantwortlichen Personen durchgeführt werden dürfen, um eine zusätzliche Kontrolle zu gewährleisten.
2. Die Erstellung und Umsetzung von Richtlinien für die Besucheranmeldung, um den Zugang von betriebsfremden Personen zu kontrollieren und zu überwachen.
3. Die Erstellung von Richtlinien für die Nutzung der Unternehmens-IT, des Internets oder mobilen Geräte, um den verantwortungsvollen Umgang mit diesen Medien zu gewährleisten und Datenlecks zu verhindern.
4. Die Erstellung von Arbeitsanweisungen zur datenschutzkonformen Entsorgung von Dokumenten mit personenbezogenen Daten, um sicherzustellen, dass sensible Informationen ordnungsgemäß vernichtet werden.
5. Die Durchführung von Verpflichtung auf das Datengeheimnis und das Geschäftsgeheimnis, die von Mitarbeitern und anderen berechtigten Personen unterzeichnet wird, um sicherzustellen, dass sie vertrauliche Daten nur für legitime Zwecke nutzen und keine unberechtigten Dritten zugänglich machen.

Im Art. 32 der DSGVO wird unter anderem von nachfolgenden Maßnahmenbereichen gesprochen:

1. Pseudonymisierung personenbezogener Daten.
2. Verschlüsselung personenbezogener Daten.
3. Gewährleistung der Integrität und Vertraulichkeit der Systeme und Dienste.
4. Gewährleistung der Verfügbarkeit und Belastbarkeit der Systeme und Dienste.
5. Wiederherstellung der Verfügbarkeit personenbezogener Daten und des Zugangs nach einem physischen oder technischen Zwischenfall.
6. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der genannten Maßnahmen.

Weitere empfohlene Maßnahmenbereiche aus der DSGVO:

1. Gewährleistung der Zweckbindung personenbezogener Daten (Art. 5 Abs. 1 lit. b) DSGVO).
2. Gewährleistung der Transparenz für Betroffene, Verantwortliche und Kontrollinstanzen
   (Art. 5 Abs. 1 lit. a) DSGVO).
3. Gewährleistung der Betroffenenrechte (Art. 13 ff. DSGVO).

Die Umsetzung der technischen und organisatorischen ist entscheidend. Es bringt nichts, wenn man alles dokumentiert hat, aber die technische Umsetzung ausbleibt!

Um einer Datenschutzaufsichtsbehörde und auch Kunden aufzuzeigen welche Maßnahmen getroffen und umgesetzt werden, ist die Auflistung dieser Maßnahmen notwendig.

Das Ziel technisch organisatorischer Maßnahmen (TOM) besteht darin, personenbezogene Daten, die von Unternehmen erhoben, verarbeitet und gespeichert werden, bestmöglich zu schützen.

Diese Maßnahmen dienen insbesondere dazu, unbefugten Dritten den Zugriff auf die Daten zu verhindern, die Daten vor unberechtigten Änderungen zu schützen und sie vor unbefugter Kopie oder Löschung zu bewahren.

Die TOM‘s sind somit das zentrale Element, um die Sicherheit und Integrität der verarbeiteten personenbezogenen Daten zu gewährleisten.