Datenschutzkonzept nach DSGVO: Das müssen Unternehmen wissen
Die Datenschutz-Grundverordnung (DSGVO) stellt Unternehmen vor zahlreiche Nachweis-, Dokumentations- und Organisationspflichten. Wer personenbezogene Daten verarbeitet, muss nicht nur die gesetzlichen Anforderungen einhalten, sondern in vielen Bereichen auch nachweisen können, dass geeignete Maßnahmen zum Datenschutz getroffen wurden.
Ein Datenschutzkonzept kann dabei helfen, den Überblick zu behalten. Es führt wesentliche Regelungen, Prozesse, Verantwortlichkeiten und Nachweise zum Datenschutz strukturiert zusammen und schafft damit eine wichtige Grundlage für einen systematischen Datenschutz im Unternehmen.
Doch ist ein Datenschutzkonzept nach DSGVO überhaupt Pflicht? Welche Inhalte sollte es enthalten und wie lässt es sich sinnvoll aufbauen? Wir geben einen Überblick.
Was ist ein Datenschutzkonzept?
Der Begriff „Datenschutzkonzept“ ist in der DSGVO nicht als eigener Dokumenttyp definiert. In der Praxis versteht man darunter ein übergreifendes Rahmen- und Steuerungsdokument, das beschreibt, wie eine Organisation die Anforderungen des Datenschutzes umsetzt.
Ein Datenschutzkonzept kann beispielsweise festhalten,
- welche Verantwortlichkeiten im Datenschutz bestehen,
- welche personenbezogenen Daten verarbeitet werden,
- auf welchen Rechtsgrundlagen die Verarbeitung erfolgt,
- welche technischen und organisatorischen Maßnahmen eingesetzt werden,
- wie Datenschutzrisiken bewertet werden und
- welche Prozesse für Betroffenenrechte, Datenschutzverletzungen oder Löschfristen vorgesehen sind.
Wie umfangreich ein Datenschutzkonzept ausfällt, hängt stark von der jeweiligen Organisation ab. Größe, Geschäftsmodell, IT-Infrastruktur, Datenkategorien und Risiken spielen dabei eine wichtige Rolle.
Grundsätzlich kann zwischen einem übergreifenden Datenschutzkonzept für die gesamte Organisation und detaillierteren, anwendungs- oder prozessbezogenen Konzepten unterschieden werden. Letztere betrachten beispielsweise einzelne IT-Systeme, Anwendungen oder Verarbeitungstätigkeiten genauer.
Ist ein Datenschutzkonzept nach DSGVO Pflicht?
Die DSGVO schreibt kein eigenständiges Dokument mit der Bezeichnung „Datenschutzkonzept“ ausdrücklich vor.
Unternehmen und andere Verantwortliche unterliegen jedoch der sogenannten Rechenschaftspflicht. Nach Art. 5 Abs. 2 DSGVO müssen sie die Datenschutzgrundsätze nicht nur einhalten, sondern deren Einhaltung auch nachweisen können. Art. 24 DSGVO verlangt darüber hinaus geeignete technische und organisatorische Maßnahmen, mit denen sichergestellt und nachgewiesen werden kann, dass die Verarbeitung personenbezogener Daten DSGVO-konform erfolgt.
Hinzu kommen verschiedene konkrete Dokumentationspflichten. Dazu können unter anderem gehören:
- das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO,
- die Dokumentation technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO,
- Vereinbarungen zur Auftragsverarbeitung nach Art. 28 DSGVO,
- Vereinbarungen bei gemeinsamer Verantwortlichkeit nach Art. 26 DSGVO,
- Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO,
- Dokumentationen zum Umgang mit Datenschutzverletzungen,
- Regelungen zu Lösch- und Aufbewahrungsfristen sowie
- Nachweise über datenschutzrechtliche Prozesse und Entscheidungen.
Ein Datenschutzkonzept kann diese verschiedenen Bestandteile sinnvoll zusammenführen.
Wichtig ist jedoch: Allein die Existenz eines Datenschutzkonzepts erfüllt die Rechenschaftspflicht noch nicht. Entscheidend ist, dass die darin beschriebenen Maßnahmen tatsächlich umgesetzt, regelmäßig überprüft und bei Bedarf angepasst werden.
Für wen ist ein Datenschutzkonzept sinnvoll?
Ein strukturiertes Datenschutzkonzept ist grundsätzlich für Organisationen sinnvoll, die personenbezogene Daten in relevantem Umfang verarbeiten.
Besonders hilfreich ist es beispielsweise, wenn viele unterschiedliche Verarbeitungstätigkeiten bestehen, mehrere Abteilungen mit personenbezogenen Daten arbeiten, zahlreiche Dienstleister eingesetzt werden oder besonders schützenswerte personenbezogene Daten verarbeitet werden.
Auch bei komplexen IT-Landschaften hilft ein Datenschutzkonzept dabei, Verantwortlichkeiten und Prozesse nachvollziehbar zu dokumentieren.
Je größer oder komplexer eine Organisation ist, desto sinnvoller kann es sein, das Datenschutzkonzept in ein umfassenderes Datenschutz-Managementsystem – kurz DSMS – einzubetten. Ein solches Managementsystem unterstützt dabei, Datenschutz nicht als einmaliges Projekt, sondern als kontinuierlichen Prozess zu betrachten.
Was gehört in ein Datenschutzkonzept?
Es gibt keine gesetzlich vorgeschriebene Mustergliederung für ein Datenschutzkonzept. Der Aufbau sollte deshalb immer an die jeweilige Organisation und deren Verarbeitungstätigkeiten angepasst werden.
Ein praxistaugliches Datenschutzkonzept kann insbesondere die folgenden Bereiche abdecken:
1. Datenschutzorganisation und Verantwortlichkeiten
Zunächst sollte geklärt sein, wer innerhalb des Unternehmens für welche Aufgaben verantwortlich ist.
Dazu gehören beispielsweise Zuständigkeiten der Geschäftsleitung, einzelner Fachabteilungen, der IT sowie des Datenschutzbeauftragten.
Auch Melde-, Abstimmungs- und Eskalationswege sollten eindeutig geregelt sein.
2. Verarbeitungstätigkeiten und personenbezogene Daten
Eine zentrale Grundlage für den betrieblichen Datenschutz ist die Übersicht darüber, welche personenbezogenen Daten überhaupt verarbeitet werden.
Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO spielt dabei eine wichtige Rolle. Es dokumentiert unter anderem Verarbeitungszwecke, betroffene Personengruppen und Datenkategorien, Empfänger, gegebenenfalls Drittlandübermittlungen sowie vorgesehene Löschfristen.
Datenschutzkonzept und Verzeichnis von Verarbeitungstätigkeiten müssen dabei nicht dasselbe Dokument sein. Das Datenschutzkonzept kann vielmehr auf das VVT und weitere Detaildokumentationen verweisen.
3. Zwecke und Rechtsgrundlagen der Verarbeitung
Personenbezogene Daten dürfen nicht ohne rechtliche Grundlage verarbeitet werden.
Deshalb sollte nachvollziehbar dokumentiert sein, welche Daten für welchen Zweck verarbeitet werden und auf welche Rechtsgrundlage sich die jeweilige Verarbeitung stützt.
Gleichzeitig sind die grundlegenden Datenschutzprinzipien wie Zweckbindung, Datenminimierung, Richtigkeit und Speicherbegrenzung zu berücksichtigen.
4. Technische und organisatorische Maßnahmen
Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen – häufig als TOM bezeichnet –, um ein dem jeweiligen Risiko angemessenes Schutzniveau sicherzustellen.
Dazu können beispielsweise Maßnahmen zur
- Zugriffskontrolle,
- Verschlüsselung,
- Datensicherung,
- Wiederherstellung von Daten,
- Protokollierung,
- Berechtigungsverwaltung,
- Verfügbarkeit von Systemen sowie
- regelmäßigen Überprüfung der Sicherheitsmaßnahmen
gehören.
Welche Maßnahmen erforderlich sind, muss risikoorientiert und unter Berücksichtigung des Stands der Technik beurteilt werden.
5. Dienstleister und Auftragsverarbeitung
Viele Unternehmen setzen externe Dienstleister ein, die personenbezogene Daten verarbeiten – beispielsweise für Hosting, Cloud-Dienste, Newsletter, Support oder andere IT-Leistungen.
Liegt eine Auftragsverarbeitung vor, müssen die Anforderungen des Art. 28 DSGVO berücksichtigt werden. Dazu gehört insbesondere der Abschluss eines entsprechenden Vertrags zur Auftragsverarbeitung.
Daneben sollte geprüft werden, ob möglicherweise eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO oder eine andere datenschutzrechtliche Konstellation vorliegt.
6. Betroffenenrechte
Die DSGVO gibt betroffenen Personen umfangreiche Rechte. Dazu gehören beispielsweise Rechte auf Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung.
Unternehmen benötigen deshalb Prozesse, mit denen entsprechende Anfragen erkannt, geprüft, fristgerecht beantwortet und dokumentiert werden können.
Auch diese Abläufe sollten Bestandteil der Datenschutzorganisation sein.
7. Lösch- und Aufbewahrungskonzept
Personenbezogene Daten dürfen grundsätzlich nicht unbegrenzt gespeichert werden.
Ein Datenschutzkonzept sollte deshalb auch beschreiben, wie gesetzliche Aufbewahrungsfristen und datenschutzrechtliche Löschpflichten berücksichtigt werden.
In der Praxis bietet sich dafür häufig ein separates Lösch- und Aufbewahrungskonzept an, auf das im übergeordneten Datenschutzkonzept verwiesen wird.
8. Umgang mit Datenschutzverletzungen
Verlust, Offenlegung oder unberechtigter Zugriff auf personenbezogene Daten können eine Datenschutzverletzung darstellen.
Unternehmen benötigen deshalb einen klaren Prozess, um mögliche Datenschutzverletzungen schnell zu erkennen, intern zu melden, zu bewerten und zu dokumentieren.
Besteht ein entsprechendes Risiko für betroffene Personen, kann zudem eine Meldung an die zuständige Datenschutzaufsichtsbehörde nach Art. 33 DSGVO erforderlich sein. In bestimmten Fällen müssen auch die betroffenen Personen informiert werden.
9. Risikoanalyse und Datenschutz-Folgenabschätzung
Die DSGVO verfolgt einen risikobasierten Ansatz. Unternehmen sollten deshalb bewerten, welche Risiken einzelne Verarbeitungstätigkeiten für die Rechte und Freiheiten betroffener Personen mit sich bringen.
Kann eine Verarbeitung voraussichtlich ein hohes Risiko verursachen, ist zu prüfen, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist.
Risikoanalysen sollten nicht einmalig durchgeführt werden. Ändern sich Prozesse, eingesetzte Technologien oder Rahmenbedingungen, kann eine erneute Bewertung notwendig sein.
10. Datenübermittlungen in Drittländer
Werden personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet oder dorthin übermittelt, sind zusätzlich die Anforderungen für internationale Datenübermittlungen zu berücksichtigen.
Das betrifft beispielsweise den Einsatz bestimmter Cloud- und Software-Dienstleister.
Im Datenschutzkonzept sollte daher vorgesehen sein, wie Drittlandtransfers identifiziert, geprüft und dokumentiert werden.
11. Datenschutz durch Technikgestaltung
Datenschutz sollte nicht erst berücksichtigt werden, wenn ein neuer Prozess oder ein neues IT-System bereits eingeführt wurde.
Art. 25 DSGVO verlangt Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen – häufig als „Privacy by Design“ und „Privacy by Default“ bezeichnet.
Datenschutzanforderungen sollten deshalb möglichst frühzeitig bei der Einführung neuer Systeme, Produkte und Prozesse berücksichtigt werden.
12. Sensibilisierung und Schulung von Beschäftigten
Technische Maßnahmen allein reichen für einen wirksamen Datenschutz nicht aus. Auch Beschäftigte müssen wissen, wie sie mit personenbezogenen Daten umgehen und welche internen Regeln gelten.
Regelmäßige Sensibilisierung und Schulungen können deshalb ein wichtiger Bestandteil der Datenschutzorganisation sein. Besonders relevant sind Schulungen für Beschäftigte, die regelmäßig mit personenbezogenen Daten arbeiten oder besondere Verantwortung für Datenschutz und Informationssicherheit tragen.
Datenschutzkonzept erstellen: So können Unternehmen vorgehen
Ein Datenschutzkonzept sollte nicht am Schreibtisch entstehen, ohne die tatsächlichen Abläufe im Unternehmen zu berücksichtigen. Ausgangspunkt ist deshalb eine möglichst realistische Bestandsaufnahme.
Ein möglicher Ablauf sieht folgendermaßen aus:
1. Status quo erfassen:
Welche personenbezogenen Daten werden verarbeitet? Welche Prozesse, Systeme, Dienstleister und bestehenden Dokumentationen gibt es?
2. Verantwortlichkeiten festlegen:
Es sollte eindeutig geregelt sein, welche Personen oder Funktionen für Datenschutzaufgaben verantwortlich sind.
3. Risiken bewerten:
Die vorhandenen Verarbeitungstätigkeiten und Schutzmaßnahmen werden auf mögliche Datenschutzrisiken untersucht.
4. Maßnahmen und Prozesse dokumentieren:
Bestehende Regeln und Nachweise werden strukturiert zusammengeführt. Fehlende Maßnahmen können anschließend geplant und umgesetzt werden.
5. Datenschutz in bestehende Prozesse integrieren:
Das Datenschutzkonzept sollte mit IT-Sicherheit, Informationssicherheit, Compliance, Personalwesen und anderen relevanten Unternehmensbereichen verzahnt werden.
6. Regelmäßig überprüfen und aktualisieren:
Datenschutz ist kein einmaliges Projekt. Neue Anwendungen, Dienstleister, gesetzliche Anforderungen oder organisatorische Veränderungen können Anpassungen erforderlich machen.
Für die strukturierte Bewertung datenschutzrechtlicher Anforderungen kann beispielsweise auch das von der Datenschutzkonferenz entwickelte Standard-Datenschutzmodell eine Orientierung bieten.
Datenschutz und Informationssicherheit zusammen denken
Datenschutz und Informationssicherheit sind nicht identisch, überschneiden sich in der Praxis jedoch an vielen Stellen.
Informationssicherheitsmaßnahmen schützen beispielsweise die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und IT-Systemen. Werden darin personenbezogene Daten verarbeitet, sind diese Maßnahmen gleichzeitig von großer Bedeutung für den Datenschutz.
Deshalb ist es sinnvoll, Datenschutzkonzept, technische und organisatorische Maßnahmen sowie bestehende Informationssicherheitsprozesse aufeinander abzustimmen.
Unternehmen, die bereits mit einem Informationssicherheitsmanagementsystem arbeiten, können vielfach vorhandene Strukturen, Verantwortlichkeiten und Kontrollmechanismen nutzen. Die datenschutzrechtlichen Anforderungen müssen dabei jedoch weiterhin eigenständig berücksichtigt werden.
Ein Datenschutzkonzept lebt von regelmäßiger Aktualisierung
Ein Datenschutzkonzept schafft Struktur und hilft Unternehmen dabei, ihre Datenschutzorganisation nachvollziehbar aufzubauen und zu dokumentieren.
Es ersetzt jedoch weder die einzelnen von der DSGVO geforderten Dokumentationen noch die tatsächliche Umsetzung geeigneter Maßnahmen.
Entscheidend ist deshalb, das Konzept als lebendes Dokument zu verstehen: Neue Verarbeitungstätigkeiten, IT-Systeme und Dienstleister sowie organisatorische oder rechtliche Veränderungen sollten regelmäßig berücksichtigt werden.
So entsteht aus einer reinen Dokumentation ein Instrument, mit dem Datenschutz im Unternehmen systematisch organisiert und kontinuierlich verbessert werden kann.
Wissen als wichtiger Baustein für Datenschutz und Informationssicherheit
Wirksamer Datenschutz hängt nicht allein von Dokumenten und technischen Maßnahmen ab. Entscheidend ist auch, dass verantwortliche Personen und Beschäftigte die Anforderungen verstehen und im Arbeitsalltag richtig umsetzen können.
PSW TRAINING vermittelt praxisnahes Wissen rund um Informationssicherheit und angrenzende Datenschutzthemen. Mit Schulungen und Webinaren können Unternehmen Fachwissen aufbauen, Verantwortliche qualifizieren und ihre Beschäftigten für aktuelle Anforderungen sensibilisieren.
