Die Datenschutz-Grundverordnung (DSGVO) stellt Unternehmen vor zahlreiche Nachweis-, Dokumentations- und Organisationspflichten. Wer personenbezogene Daten verarbeitet, muss nicht nur die gesetzlichen Anforderungen einhalten, sondern in vielen Bereichen auch nachweisen k\u00f6nnen, dass geeignete Ma\u00dfnahmen zum Datenschutz getroffen wurden.<\/p>\n
Ein Datenschutzkonzept kann dabei helfen, den \u00dcberblick zu behalten. Es f\u00fchrt wesentliche Regelungen, Prozesse, Verantwortlichkeiten und Nachweise zum Datenschutz strukturiert zusammen und schafft damit eine wichtige Grundlage f\u00fcr einen systematischen Datenschutz im Unternehmen.<\/p>\n
Doch ist ein Datenschutzkonzept nach DSGVO \u00fcberhaupt Pflicht? Welche Inhalte sollte es enthalten und wie l\u00e4sst es sich sinnvoll aufbauen? Wir geben einen \u00dcberblick.<\/p>\n
Der Begriff \u201eDatenschutzkonzept<\/strong>\u201c ist in der DSGVO nicht als eigener Dokumenttyp definiert. In der Praxis versteht man darunter ein \u00fcbergreifendes Rahmen- und Steuerungsdokument, das beschreibt, wie eine Organisation die Anforderungen des Datenschutzes umsetzt.<\/p>\n Ein Datenschutzkonzept kann beispielsweise festhalten,<\/p>\n Wie umfangreich ein Datenschutzkonzept ausf\u00e4llt, h\u00e4ngt stark von der jeweiligen Organisation ab. Gr\u00f6\u00dfe, Gesch\u00e4ftsmodell, IT-Infrastruktur, Datenkategorien und Risiken spielen dabei eine wichtige Rolle.<\/p>\n Grunds\u00e4tzlich kann zwischen einem \u00fcbergreifenden Datenschutzkonzept f\u00fcr die gesamte Organisation und detaillierteren, anwendungs- oder prozessbezogenen Konzepten unterschieden werden. Letztere betrachten beispielsweise einzelne IT-Systeme, Anwendungen oder Verarbeitungst\u00e4tigkeiten genauer.<\/p>\n Die DSGVO schreibt kein eigenst\u00e4ndiges Dokument mit der Bezeichnung \u201eDatenschutzkonzept\u201c<\/strong>\u00a0ausdr\u00fccklich vor.<\/p>\n Unternehmen und andere Verantwortliche unterliegen jedoch der sogenannten Rechenschaftspflicht. Nach Art. 5 Abs. 2 DSGVO<\/a> m\u00fcssen sie die Datenschutzgrunds\u00e4tze nicht nur einhalten, sondern deren Einhaltung auch nachweisen k\u00f6nnen. Art. 24 DSGVO<\/a> verlangt dar\u00fcber hinaus geeignete technische und organisatorische Ma\u00dfnahmen, mit denen sichergestellt und nachgewiesen werden kann, dass die Verarbeitung personenbezogener Daten DSGVO-konform erfolgt.<\/p>\n Hinzu kommen verschiedene konkrete Dokumentationspflichten. Dazu k\u00f6nnen unter anderem geh\u00f6ren:<\/p>\n Ein Datenschutzkonzept kann diese verschiedenen Bestandteile sinnvoll zusammenf\u00fchren.<\/p>\n Wichtig ist jedoch: Allein die Existenz eines Datenschutzkonzepts erf\u00fcllt die Rechenschaftspflicht noch nicht.<\/strong>\u00a0Entscheidend ist, dass die darin beschriebenen Ma\u00dfnahmen tats\u00e4chlich umgesetzt, regelm\u00e4\u00dfig \u00fcberpr\u00fcft und bei Bedarf angepasst werden.<\/p>\n Ein strukturiertes Datenschutzkonzept ist grunds\u00e4tzlich f\u00fcr Organisationen sinnvoll, die personenbezogene Daten in relevantem Umfang verarbeiten.<\/p>\n Besonders hilfreich ist es beispielsweise, wenn viele unterschiedliche Verarbeitungst\u00e4tigkeiten bestehen, mehrere Abteilungen mit personenbezogenen Daten arbeiten, zahlreiche Dienstleister eingesetzt werden oder besonders sch\u00fctzenswerte personenbezogene Daten verarbeitet werden.<\/p>\n Auch bei komplexen IT-Landschaften hilft ein Datenschutzkonzept dabei, Verantwortlichkeiten und Prozesse nachvollziehbar zu dokumentieren.<\/p>\n Je gr\u00f6\u00dfer oder komplexer eine Organisation ist, desto sinnvoller kann es sein, das Datenschutzkonzept in ein umfassenderes Datenschutz-Managementsystem \u2013 kurz DSMS \u2013 einzubetten. Ein solches Managementsystem unterst\u00fctzt dabei, Datenschutz nicht als einmaliges Projekt, sondern als kontinuierlichen Prozess zu betrachten.<\/p>\n Es gibt keine gesetzlich vorgeschriebene Mustergliederung f\u00fcr ein Datenschutzkonzept. Der Aufbau sollte deshalb immer an die jeweilige Organisation und deren Verarbeitungst\u00e4tigkeiten angepasst werden.<\/p>\n Ein praxistaugliches Datenschutzkonzept kann insbesondere die folgenden Bereiche abdecken:<\/p>\n Zun\u00e4chst sollte gekl\u00e4rt sein, wer innerhalb des Unternehmens f\u00fcr welche Aufgaben verantwortlich ist.<\/p>\n Dazu geh\u00f6ren beispielsweise Zust\u00e4ndigkeiten der Gesch\u00e4ftsleitung, einzelner Fachabteilungen, der IT sowie des Datenschutzbeauftragten.<\/p>\n Auch Melde-, Abstimmungs- und Eskalationswege sollten eindeutig geregelt sein.<\/p>\n Eine zentrale Grundlage f\u00fcr den betrieblichen Datenschutz ist die \u00dcbersicht dar\u00fcber, welche personenbezogenen Daten \u00fcberhaupt verarbeitet werden.<\/p>\n Das Verzeichnis von Verarbeitungst\u00e4tigkeiten nach Art. 30 DSGVO<\/a> spielt dabei eine wichtige Rolle. Es dokumentiert unter anderem Verarbeitungszwecke, betroffene Personengruppen und Datenkategorien, Empf\u00e4nger, gegebenenfalls Drittland\u00fcbermittlungen sowie vorgesehene L\u00f6schfristen.<\/p>\n Datenschutzkonzept und Verzeichnis von Verarbeitungst\u00e4tigkeiten m\u00fcssen dabei nicht dasselbe Dokument sein. Das Datenschutzkonzept kann vielmehr auf das VVT und weitere Detaildokumentationen verweisen.<\/p>\n Personenbezogene Daten d\u00fcrfen nicht ohne rechtliche Grundlage verarbeitet werden.<\/p>\n Deshalb sollte nachvollziehbar dokumentiert sein, welche Daten f\u00fcr welchen Zweck verarbeitet werden und auf welche Rechtsgrundlage sich die jeweilige Verarbeitung st\u00fctzt.<\/p>\n Gleichzeitig sind die grundlegenden Datenschutzprinzipien wie Zweckbindung, Datenminimierung, Richtigkeit und Speicherbegrenzung zu ber\u00fccksichtigen.<\/p>\n Art. 32 DSGVO<\/a> verlangt geeignete technische und organisatorische Ma\u00dfnahmen \u2013 h\u00e4ufig als TOM bezeichnet \u2013, um ein dem jeweiligen Risiko angemessenes Schutzniveau sicherzustellen.<\/p>\n Dazu k\u00f6nnen beispielsweise Ma\u00dfnahmen zur<\/p>\n geh\u00f6ren.<\/p>\n Welche Ma\u00dfnahmen erforderlich sind, muss risikoorientiert und unter Ber\u00fccksichtigung des Stands der Technik beurteilt werden.<\/p>\n Viele Unternehmen setzen externe Dienstleister ein, die personenbezogene Daten verarbeiten \u2013 beispielsweise f\u00fcr Hosting, Cloud-Dienste, Newsletter, Support oder andere IT-Leistungen.<\/p>\n Liegt eine Auftragsverarbeitung vor, m\u00fcssen die Anforderungen des Art. 28 DSGVO<\/a> ber\u00fccksichtigt werden. Dazu geh\u00f6rt insbesondere der Abschluss eines entsprechenden Vertrags zur Auftragsverarbeitung.<\/p>\n Daneben sollte gepr\u00fcft werden, ob m\u00f6glicherweise eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO<\/a> oder eine andere datenschutzrechtliche Konstellation vorliegt.<\/p>\n Die DSGVO gibt betroffenen Personen umfangreiche Rechte. Dazu geh\u00f6ren beispielsweise Rechte auf Auskunft, Berichtigung, L\u00f6schung oder Einschr\u00e4nkung der Verarbeitung.<\/p>\n Unternehmen ben\u00f6tigen deshalb Prozesse, mit denen entsprechende Anfragen erkannt, gepr\u00fcft, fristgerecht beantwortet und dokumentiert werden k\u00f6nnen.<\/p>\n Auch diese Abl\u00e4ufe sollten Bestandteil der Datenschutzorganisation sein.<\/p>\n Personenbezogene Daten d\u00fcrfen grunds\u00e4tzlich nicht unbegrenzt gespeichert werden.<\/p>\n Ein Datenschutzkonzept sollte deshalb auch beschreiben, wie gesetzliche Aufbewahrungsfristen und datenschutzrechtliche L\u00f6schpflichten ber\u00fccksichtigt werden.<\/p>\n In der Praxis bietet sich daf\u00fcr h\u00e4ufig ein separates L\u00f6sch- und Aufbewahrungskonzept an, auf das im \u00fcbergeordneten Datenschutzkonzept verwiesen wird.<\/p>\n Verlust, Offenlegung oder unberechtigter Zugriff auf personenbezogene Daten k\u00f6nnen eine Datenschutzverletzung darstellen.<\/p>\n Unternehmen ben\u00f6tigen deshalb einen klaren Prozess, um m\u00f6gliche Datenschutzverletzungen schnell zu erkennen, intern zu melden, zu bewerten und zu dokumentieren.<\/p>\n Besteht ein entsprechendes Risiko f\u00fcr betroffene Personen, kann zudem eine Meldung an die zust\u00e4ndige Datenschutzaufsichtsbeh\u00f6rde nach Art. 33 DSGVO<\/a> erforderlich sein. In bestimmten F\u00e4llen m\u00fcssen auch die betroffenen Personen informiert werden.<\/p>\n Die DSGVO verfolgt einen risikobasierten Ansatz. Unternehmen sollten deshalb bewerten, welche Risiken einzelne Verarbeitungst\u00e4tigkeiten f\u00fcr die Rechte und Freiheiten betroffener Personen mit sich bringen.<\/p>\n Kann eine Verarbeitung voraussichtlich ein hohes Risiko verursachen, ist zu pr\u00fcfen, ob eine Datenschutz-Folgenabsch\u00e4tzung nach Art. 35 DSGVO<\/a> erforderlich ist.<\/p>\n Risikoanalysen sollten nicht einmalig durchgef\u00fchrt werden. \u00c4ndern sich Prozesse, eingesetzte Technologien oder Rahmenbedingungen, kann eine erneute Bewertung notwendig sein.<\/p>\n Werden personenbezogene Daten au\u00dferhalb des Europ\u00e4ischen Wirtschaftsraums verarbeitet oder dorthin \u00fcbermittelt, sind zus\u00e4tzlich die Anforderungen f\u00fcr internationale Daten\u00fcbermittlungen zu ber\u00fccksichtigen.<\/p>\n Das betrifft beispielsweise den Einsatz bestimmter Cloud- und Software-Dienstleister.<\/p>\n Im Datenschutzkonzept sollte daher vorgesehen sein, wie Drittlandtransfers identifiziert, gepr\u00fcft und dokumentiert werden.<\/p>\n Datenschutz sollte nicht erst ber\u00fccksichtigt werden, wenn ein neuer Prozess oder ein neues IT-System bereits eingef\u00fchrt wurde.<\/p>\n\n
Ist ein Datenschutzkonzept nach DSGVO Pflicht?<\/h2>\n
\n
F\u00fcr wen ist ein Datenschutzkonzept sinnvoll?<\/h2>\n
Was geh\u00f6rt in ein Datenschutzkonzept?<\/h2>\n
1. Datenschutzorganisation und Verantwortlichkeiten<\/h3>\n
2. Verarbeitungst\u00e4tigkeiten und personenbezogene Daten<\/h3>\n
3. Zwecke und Rechtsgrundlagen der Verarbeitung<\/h3>\n
4. Technische und organisatorische Ma\u00dfnahmen<\/h3>\n
\n
5. Dienstleister und Auftragsverarbeitung<\/h3>\n
6. Betroffenenrechte<\/h3>\n
7. L\u00f6sch- und Aufbewahrungskonzept<\/h3>\n
8. Umgang mit Datenschutzverletzungen<\/h3>\n
9. Risikoanalyse und Datenschutz-Folgenabsch\u00e4tzung<\/h3>\n
10. Daten\u00fcbermittlungen in Drittl\u00e4nder<\/h3>\n
11. Datenschutz durch Technikgestaltung<\/h3>\n