Die 5 wichtigsten Todos zur DS-GVO
Ab dem 25.05.2018 gilt in ganz Europa ein neues Datenschutzrecht:
Die EU Datenschutz-Grundverordnung (DS-GVO). Was sind die 5 wichtigsten
Todos, die Sie bis zum Stichtag erledigt haben müssen?
Bitte lesen Sie unbedingt vorab unbedingt unsere 4-Seiten-Zusammenfassung der DS-GVO. Und bitte vermeiden Sie die 20 typischen Irrtümer. Und jetzt kommen die 5 wichtigsten Todos:
- Transparenz-Pflichten
Die DS-GVO verlangt Transparenz gegenüber den betroffenen Personen. Insbesondere die Artikel 13, 14, 15 und 26 sind relevant. Ab dem 25.05.2018 muss der Verantwortliche diese Texte proaktiv liefern können; andernfalls drohen möglicherweise Beschwerden bei den Datenschutz-Aufsichtsbehörden. Die bisherigen Auskunftsrechte gemäß § 34 BDSG werden in verschiedener Hinsicht stark erweitert.
Sind Sie sich diesen Informationspflichten bewusst? Kennen Sie die Inhalte? Haben Sie eine Strategie, wie Sie diese Texte veröffentlichen und dauerhaft aktuell halten? All dies ist eine ziemliche organisatorische Herausforderung. Der PrivazyPlan® liefert Ihnen alle notwendigen Grundlagen und konkrete Beispiele. Damit gehen diese Arbeiten schnell und sicher von der Hand.
- Auftragsverarbeitung
Die DS-GVO regelt im Artikel 28 alle Belange zum Outsourcing an weisungsgebundene Dienstleister. Dies ist im Prinzip bereits heute durch das BDSG gefordert. Allerdings ist die Anzahl der Vertragspunkte stark gestiegen. Und die geforderten "geeigneten Garantien" der Dienstleister verlangen noch verbindlichere Zusagen.
Haben Sie bereits heute gemäß § 11 BDSG alle diese Dienstleister mit Datenschutzvereinbarungen verbindlich in Ihre Geschäftsprozesse eingebunden? Haben Sie einen Plan, wie Sie die Verträge auf die DS-GVO umstellen? Ohne diese Maßnahmen wäre jedes Outsourcing eine Datenschutzverletzung, die ein Bußgeld nach sich ziehen kann - und Sie müssten ggf. die betroffenen Personen darüber informieren. Das wäre der GAU für den guten Ruf Ihres Unternehmens. Der PrivazyPlan® liefert Ihnen das notwendige Knowhow.
- Verarbeitungsverzeichnis
Die DS-GVO fordert im Artikel 30 eine ausführliche Dokumentation der Verarbeitung von personenbezogenen Daten: Welche Daten werden zu welchem Zweck verarbeitet? Wer hat Zugriff? Wie lang ist die Löschfrist? ... und einges mehr.
Dieses Verarbeitungsverzeichnis ist die elementare Grundlage für die Erfüllung (fast) aller Pflichten der DS-GVO. Die Aufsichtsbehörden können diese Dokumentation jederzeit anfordern und im Zweifelsfall ein Bußgeld verhängen.
Haben Sie bereits heute diese Verarbeitungsverzeichnis im Sinne des § 4f BDSG? Werden Sie diese Dokumentation zeitnah auf die DS-GVO anpassen? Haben Sie einen Plan, wie Sie diese Dokumentation mit anderen Pflichten kombinieren, um schnell und unbürokratisch agieren zu können? Haben Sie eine Strategie, um das Verarbeitungsverzeichnis dauerhaft aktuell zu halten? Der PrivazyPlan® bringt Licht ins Dunkel und liefert Ihnen Strategien und Beispiele.
- Informations-Sicherheits-Managementsystem
Die DS-GVO fordert im Artikel 32 angemessene technische und organisatorische Maßnahmen. Das ist angesichts des § 9 BDSG zunächst nichts Neues. Doch sind nun "Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit" gefordert. Die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der IT ist dauerhaft sicherzustellen.
Betreiben Sie eine systematische IT-Sicherheit, die alle Risiken nachweisbar berücksichtigt und im Sinne von PDCA (Plan-Do-Check-Act) dauerhaft sicherstellt? Solch eine Strategie bezeichnet man als ISMS (Informations-Sicherheits-Managementsystem). Der PrivazyPlan® erklärt dieses Thema sehr genau und nennt Ihnen konkrete Beispiele für mögliche ISMS-Ansätze. Aufgrund dieser Informationen können Sie entscheiden, welches ISMS optimal zu Ihrem Unternehmen passt.
- Datenschutzbeauftragter
Die DS-GVO thematisiert im Artikel 37 die Benennung eines Datenschutzbeauftragten. Konkret kommt dies zum Tragen, wenn (a) gemäß Artikel 37 die Kerntätigkeit Ihres Unternehmens in der systematischen Überwachung von Menschen besteht bzw. "sensible" Daten in großem Umfang verarbeitet werden, (b) gemäß § 38 BDSG-neu in Ihrem Unternehmen mindestens 10 Personen mit personenbezogen Daten arbeiten bzw. die Notwendigkeit einer Datenschutz- Folgenabschätzung besteht. Der Datenschutzbeauftragte muss der Aufsichtsbehörde gemeldet werden. [Übrigens liefert der § 38 Abs. 2 BDSG-neu ein wunderbares Beispiel dafür, wie überkomplizierte Gesetzestexte aussehen. Schauen Sie sich das mal an, und versuchen Sie, diesen einen Satz zu verstehen. Viel Spaß!]
Erfüllen Sie bereits heute die Pflicht zur Bestellung eines Datenschutzbeauftragten gemäß § 4f BDSG? Ist diese Person erkennbar vorbereitet auf die kommende DS-GVO? Liefert Ihnen die/der Datenschutzbeauftragte ein umfassendes Konzept zur Erfüllung der ca. 50 Pflichten? Der PrivazyPlan® setzt Ihren Datenschutzbeauftragten sehr schnell in die Lage die DS-GVO zu verstehen. Er wird das Unternehmen zügig und präzise unterrichten und beraten können. Somit können Sie zügig und ohne übertriebene Kosten eine Datenschutz-Compliance erreichen und aufrechterhalten können.
Das war alles? Mehr verlangt die DS-GVO nicht von den Unternehmen?
Da müssen wir Sie leider enttäuschen, denn die obigen fünf Pflichten sind nur die Spitze des Eisbergs. In Wirklichkeit liefert die DS-GVO ca. 50 bußgeld-relevante Pflichten. Die obigen fünf Punkte sind somit nur die offensichtlichsten Pflichten, die bis zum 25.05.2018 erledigt sein müssen.
Recht interessant ist die Tatsache, dass alle diese fünf drängensten Pflichten im Prinzip "nur" eine Fortführung bzw. Verschärfung der heute schon geltenden Regelungen sind.
Nutzen Sie
den PrivazyPlan®, um dieser Herausforderung
zu begegnen. Wir bringen Ihren Datenschutz auf Kurs.
SecureDataService, Dipl.
Ing. (FH) Nicholas Vollmer
Datenschutz
/ Impressum