Erforderlich ist zunächst einmal eine Bestandsaufnahme (in der DSGVO wird diese Verarbeitungsverzeichnis genannt). Das Verzeichnis enthält alle Informationen über die erfolgte Verarbeitung personenbezogener Daten und sonstige Tätigkeiten Ihres Unternehmens, bei denen personenbezogene Daten erhoben, gespeichert und verarbeitet werden. Auch der Zweck der Datenverarbeitung und die zuständigen und verantwortlichen Beschäftigten werden festgelegt.

Bei der Übermittlung von Daten an Dienstleister und Geschäftspartner (sogenannte Auftragsverarbeiter) müssen diese sich in einem sogenannten Auftragsverarbeitungsvertrag dazu verpflichten, die geltenden Bestimmungen zum Datenschutz einzuhalten. Neben einer Einwilligung müssen bei der Weitergabe von Daten an Dritte Informationspflichten eingehalten werden. Besonders aufmerksam sollten Unternehmen bei der Auftragsverarbeitung durch Dritte mit Sitz außerhalb des EU/EWR-Raumes sein. Eine Datenübermittlung in Drittländer ist nur unter bestimmten Voraussetzungen zulässig und kann datenschutzrechtlich problematisch sein. Das größte Risiko besteht im Hinblick auf Drittstaaten ohne Angemessenheitsbeschluss durch die EU. In diesen Fällen ist die Rechtslage hinsichtlich der Datenübermittlung nicht abschließend geklärt.

Zur effektiven Abwehr von Gefahren sind Sie bei der Verarbeitung besonderer Kategorien personenbezogener Daten verpflichtet, eine Risikoanalyse durchzuführen. Dabei ermitteln Sie das zu erwartende Risiko und entscheiden, ob bei den geplanten Verarbeitungen personenbezogener Daten der Zweck (also das Interesse des Unternehmens an der Datenverarbeitung) oder das Risiko für die betroffenen Personen überwiegt.

Dies ist das Kernstück eines jeden Datenschutz-Konzeptes. Sie treffen konkrete Maßnahmen, damit je nach Risiko die Daten bestmöglich geschützt werden. Idealerweise entwickeln Sie einen einfachen Workflow, der alle rechtlichen Vorgaben erfüllt und langfristig für Ihr Team funktioniert.

Viele Unternehmen benötigen einen Datenschutzbeauftragten, der die erforderlichen Maßnahmen zur Einhaltung der DSGVO innerhalb des Unternehmens etabliert. Dieser muss unabhängig sein, daher bietet sich oft an, einen externen Datenschutzbeauftragten zu bestellen.

Wenn Sie die Datenverarbeitung nicht auf einen anderen Erlaubnistatbestand (z.B. ein berechtigtes Interesse) stützen können, sind Sie erst nach einer erteilten Einwilligung durch die betroffene Person berechtigt, die entsprechenden Daten zu verarbeiten.

Betroffene Personen haben das Recht, Auskunft über die von ihnen erfassten und gespeicherten Daten zu verlangen. Dem Auskunftsrecht der Betroffenen muss Ihr Unternehmen immer nachkommen, auch wenn es häufig als ärgerlich, unnötig oder mühsam empfunden wird. Da es sich um eine gesetzliche Pflicht mit Sanktionsmöglichkeit handelt, sollten Sie Auskunftsersuchen auf keinen Fall ignorieren. Gerne unterstützen wir Sie dabei, die hierfür erforderlichen Prozesse zu etablieren oder effizienter zu gestalten, sodass Auskunftsersuchen rechtssicher und ressourcenfreundlich beantwortet werden können.

Entfällt der Zweck einer Datenverarbeitung oder widerrufen Betroffene ihre Einwilligungen, müssen die Daten unverzüglich gelöscht werden. Ersteres ist zum Beispiel der Fall, wenn die betroffene Person kein Kunde mehr ist oder eine Zusammenarbeit mit Geschäftspartnern beendet wurde. Stellen Sie sicher, dass Sie ein automatisiertes System entwickeln, nachdem Daten innerhalb der Löschfristen auch tatsächlich gelöscht werden.

Sie sind verpflichtet, alle bei Ihnen beschäftigten Personen, die mit personenbezogenen Daten arbeiten, ausreichend über die geltenden Bestimmungen zu unterrichten.

Erarbeiten Sie ein Konzept, nach dem Ihr Team handeln kann, wenn es trotz allen Vorkehrungen doch zu einem Datenschutzvorfall kommt. In dieser Sitution müssen die alle betroffenen Personen innerhalb von 72 Stunden nach dem Vorfall informieren und auch die zuständige Aufsichtsbehörde kontaktieren. Daher ist es wichtig, von Anfang an zu planen, wie Sie in einem solchen Ausnahmefall vorgehen und welche Schritte befolgt werden müssen.