DSGVO konform: was Ihr Unternehmen nachweisen muss
Die DSGVO verlangt zweierlei: Ihr Unternehmen hält die Grundsätze aus Art. 5 Abs. 1 ein, und es kann das nachweisen (Art. 5 Abs. 2, Rechenschaftspflicht). Dafür trifft es Maßnahmen, die zu seinen Verarbeitungen und deren Risiken passen, und hält sie aktuell (Art. 24 Abs. 1). Den Nachweis tragen Unterlagen wie Verzeichnis, TOMs und Verträge.
Was heißt DSGVO konform?
Das Wort steht nicht in der DSGVO. Gemeint ist, was Art. 5 verlangt: Personenbezogene Daten werden nach sechs Grundsätzen verarbeitet, und der Verantwortliche ist für deren Einhaltung verantwortlich und muss sie nachweisen können.
Die Grundsätze aus Art. 5 Abs. 1 sind Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz; Zweckbindung; Datenminimierung; Richtigkeit; Speicherbegrenzung; Integrität und Vertraulichkeit.
Abs. 2 nennt die Nachweispflicht Rechenschaftspflicht. Einhalten und Belegen gehören damit zusammen: Wird Ihr Unternehmen gefragt, zeigt es, wie es die Grundsätze umsetzt.
Art. 5 Abs. 1 und 2 DSGVO
Was Art. 24 von Ihrem Unternehmen verlangt
Art. 24 Abs. 1 macht daraus eine Pflicht zum Handeln. Der Verantwortliche setzt geeignete technische und organisatorische Maßnahmen um, damit die Verarbeitung der DSGVO entspricht und er das nachweisen kann. Was geeignet ist, richtet sich nach Art, Umfang, Umständen und Zwecken der Verarbeitung und nach den Risiken für die Rechte und Freiheiten der Menschen.
Die Maßnahmen werden bei Bedarf überprüft und aktualisiert. Wo es im Verhältnis zur Verarbeitung steht, gehören geeignete Datenschutzvorkehrungen dazu (Abs. 2); die englische Fassung sagt „data protection policies“, nach unserer Lesart also schriftliche Regeln.
Für ein Unternehmen mit 50 bis 250 Beschäftigten heißt das nach unserer Lesart: Unterlagen für das, was Sie tatsächlich verarbeiten, so ausführlich, wie das Risiko es verlangt. Die Lohnabrechnung braucht andere Vorkehrungen als die Ortung von Beschäftigten.
Art. 24 Abs. 1 und 2 DSGVO
Welche Unterlagen den Nachweis tragen
Das Verzeichnis von Verarbeitungstätigkeiten zeigt, was Sie wozu verarbeiten, und Sie legen es der Aufsichtsbehörde auf Anfrage vor (Art. 30 Abs. 1 und 4). Die TOMs beschreiben, wie Sie die Daten schützen (Art. 32). Verträge zur Auftragsverarbeitung zeigen, dass Ihre Dienstleister gebunden sind (Art. 28).
Wo eine Datenschutzfolgenabschätzung Pflicht ist, gehört sie dazu (Art. 35). Datenpannen dokumentieren Sie mit Fakten, Auswirkungen und Abhilfe, nach dem Wortlaut auch die, die Sie nicht melden müssen (Art. 33 Abs. 5). Beruht eine Verarbeitung auf Einwilligung, müssen Sie die Einwilligung nachweisen können (Art. 7 Abs. 1).
Verzeichnis, TOMs, AVV, DSFA und Datenpanne behandeln wir jeweils in einem eigenen Artikel.
Art. 7 Abs. 1 · Art. 28 · Art. 30 · Art. 32 · Art. 33 Abs. 5 · Art. 35 DSGVO
Ein Beispiel: die Aufsicht fragt nach
Die Lenz Kunststofftechnik GmbH (ausgedacht, 160 Beschäftigte) bekommt Post von der Datenschutzaufsicht ihres Landes. Ein früherer Bewerber hat sich beschwert, seine Unterlagen seien noch gespeichert. Die Behörde will wissen, wie Lenz mit Bewerberdaten umgeht.
Lenz zeigt den Eintrag „Bewerbungen“ aus dem Verzeichnis mit Zweck und Löschfrist, den AVV mit dem Anbieter des Bewerberportals und die TOMs für das Portal. Dazu legt die Firma das Protokoll der letzten Löschung bei.
Stünde die Löschfrist nur in der Datenschutzerklärung, könnte Lenz sie nennen, aber nicht belegen, dass sie eingehalten wird. Genau diesen Unterschied macht Art. 5 Abs. 2, hier beim Grundsatz der Speicherbegrenzung (Abs. 1 Buchst. e).
Häufige Fehler
Sich auf ein Siegel oder die Aussage eines Anbieters verlassen. Eine Zertifizierung nach Art. 42 bezieht sich auf Verarbeitungsvorgänge und mindert Ihre Verantwortung nicht (Abs. 1 und 4). Die Pflichten der DSGVO treffen Verantwortliche und Auftragsverarbeiter. Ob eine Software passt, hängt davon ab, wie Sie sie einsetzen.
Unterlagen einmal schreiben und liegen lassen. Art. 24 Abs. 1 verlangt, die Maßnahmen bei Bedarf zu überprüfen und zu aktualisieren; ein altes Verzeichnis belegt einen alten Stand.
Die Ausnahme für Unternehmen unter 250 Beschäftigten für allgemein halten. Sie betrifft das Verzeichnis und entfällt, sobald eine Verarbeitung nicht nur gelegentlich erfolgt, etwa die monatliche Lohnabrechnung (Art. 30 Abs. 5).
Art. 24 Abs. 1 · Art. 30 Abs. 5 · Art. 42 Abs. 1 und 4 DSGVO
Mit einem KI Assistenten
Ein KI Assistent wie Claude, ChatGPT oder Copilot kann aus Ihren vorhandenen Unterlagen eine Übersicht bauen: welche Nachweise es gibt, welche fehlen und welche veraltet sind, sortiert nach den Grundsätzen aus Art. 5 Abs. 1. Er kann Entwürfe für fehlende Einträge schreiben und eine Antwort an die Aufsicht vorbereiten.
Ob eine Maßnahme angemessen ist und was Sie der Behörde schicken, entscheidet Ihr Unternehmen. Nach unserer Lesart wird ein Entwurf erst zum Nachweis, wenn Sie ihn geprüft und übernommen haben. Was Sie dem Assistenten zeigen, verarbeitet sein Anbieter mit; klären Sie vorher, unter welchem Vertrag das geschieht.
Der NIS 2 Durchgang auf nisd2.eu deckt die DSGVO nicht ab. Ein DSGVO Durchgang auf nisd2.eu ist in Arbeit, mit demselben MCP Server wie der NIS 2 Durchgang.
Häufige Fragen
Gibt es ein offizielles DSGVO Zertifikat?
Die DSGVO sieht freiwillige Zertifizierungsverfahren sowie Datenschutzsiegel und Prüfzeichen vor (Art. 42 Abs. 1 und 3). Sie beziehen sich auf Verarbeitungsvorgänge. Eine Zertifizierung kann helfen, die Erfüllung Ihrer Pflichten zu belegen (Art. 24 Abs. 3), mindert aber nicht Ihre Verantwortung (Art. 42 Abs. 4).
Ab wie vielen Mitarbeitern gilt die DSGVO?
Die DSGVO kennt keine Mindestgröße: Sie gilt für die ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten und für geordnete Ablagen auf Papier (Art. 2 Abs. 1). Einzelne Pflichten haben Schwellen, etwa das Verzeichnis (Art. 30 Abs. 5). In Deutschland braucht Ihr Unternehmen einen Datenschutzbeauftragten, soweit es in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt (§ 38 Abs. 1 BDSG).
Reicht ein Datenschutzbeauftragter, um DSGVO konform zu sein?
Nein. Der Datenschutzbeauftragte unterrichtet, berät und überwacht (Art. 39 Abs. 1). Verantwortlich für die Einhaltung und den Nachweis bleibt Ihr Unternehmen (Art. 5 Abs. 2, Art. 24 Abs. 1).
Was gehört in eine DSGVO Checkliste?
Eine Checkliste hilft, wenn sie nach Ihren eigenen Verarbeitungen fragt. Gehen Sie für jede die sechs Grundsätze aus Art. 5 Abs. 1 durch und notieren Sie, welche Unterlage zeigt, dass Sie sie einhalten. Wo keine Unterlage steht, liegt eine Lücke im Nachweis.
Wer prüft, ob ein Unternehmen DSGVO konform ist?
Die Datenschutzaufsicht, für Unternehmen in Deutschland die Behörde des Landes (§ 40 Abs. 1 BDSG). Sie kann alle Informationen anfordern, die sie für ihre Aufgaben braucht (Art. 58 Abs. 1 Buchst. a), und Ihr Unternehmen arbeitet auf Anfrage mit ihr zusammen (Art. 31).
Weiterlesen
Quellen
- Verordnung (EU) 2016/679 (DSGVO), Art. 2, 5, 7, 24, 28, 30, 31, 32, 33, 35, 39, 42 und 58, CELEX 32016R0679, publications.europa.eu
- Berichtigung der DSGVO im ABl. L 314 vom 22.11.2016, deutsche Fassung von Art. 30 Abs. 5, CELEX 32016R0679R(01), publications.europa.eu
- Bundesdatenschutzgesetz (BDSG), § 38 und § 40, gesetze-im-internet.de
In Arbeit
Der DSGVO Durchgang
Nach dem NIS 2 Durchgang entsteht auf nisd2.eu ein DSGVO Durchgang. Er wird mit demselben MCP Server arbeiten, sodass Ihr eigener KI Assistent auch dort ausfüllen kann. Einen Termin nennen wir noch nicht. Wenn Sie sich vormerken, schreiben wir Ihnen, sobald er bereitsteht.
Mit einem kostenlosen Konto auf nisd2.eu. Die Vormerkung beenden Sie jederzeit auf derselben Seite.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
