DSGVO
Die DSGVO ordnet personenbezogene Daten in einen kontrollierten Unternehmensprozess ein. Wer Zweck und Mittel bestimmt, trägt die Verantwortung für Rechtsgrundlage, Verträge, Schutz, Transparenz und Nachweis.
Für Unternehmen ist eine Rolle entscheidend: Verantwortlicher
Wer über Zweck und Mittel einer Verarbeitung entscheidet, trägt die datenschutzrechtliche Verantwortung. Dienstleister können Aufgaben übernehmen. Die Verantwortung für Auswahl, Vertrag, Weisung und Kontrolle bleibt eindeutig zugeordnet.
Das Unternehmen bestimmt die Verarbeitung
Es legt fest, warum personenbezogene Daten benötigt werden, welche Systeme sie verarbeiten, wer Zugriff erhält und wann die Daten gelöscht werden.
- Zweck und Rechtsgrundlage festlegen
- Datenwege und Empfänger kennen
- Schutz und Löschung organisieren
- Entscheidungen nachweisen
Ein Dienstleister arbeitet auf dokumentierte Weisung
Er verarbeitet Daten für den Verantwortlichen innerhalb des vereinbarten Auftrags. Artikel 28 verlangt dafür einen belastbaren Vertrag, technische und organisatorische Maßnahmen sowie kontrollierte Unterauftragsverhältnisse.
Zweck, Daten und Rechtsgrundlage gehören zusammen
Jede Verarbeitung braucht einen festgelegten Geschäftszweck und eine dazu passende Rechtsgrundlage. Dafür werden die betroffenen Personen und die tatsächlich benötigten Daten konkret bestimmt.
Warum werden die Daten benötigt?
Der Zweck muss vor der Verarbeitung feststehen. Eine spätere Nutzung für einen anderen Zweck braucht eine eigene Prüfung.
Welche Informationen sind erforderlich?
Personenbezug, besondere Kategorien, Umfang, Speicherort und Aufbewahrungsdauer werden konkret erfasst.
Wessen Rechte sind betroffen?
Kunden, Beschäftigte, Bewerber, Interessenten, Lieferanten und Ansprechpartner werden getrennt betrachtet.
Worauf darf die Verarbeitung gestützt werden?
Vertrag, gesetzliche Pflicht, berechtigtes Interesse oder eine freiwillige und widerrufbare Einwilligung müssen zum Zweck passen.
Verantwortung und Datenwege bestimmen die Vereinbarung
Ob eine Stelle Daten im Auftrag oder gemeinsam mit anderen verarbeitet und ob Daten den Europäischen Wirtschaftsraum verlassen, bestimmt den erforderlichen rechtlichen Rahmen.
Auftragsverarbeitungsvertrag
- EINSATZ
- Ein Dienstleister verarbeitet personenbezogene Daten auf dokumentierte Weisung des Verantwortlichen.
- INHALT
- Gegenstand, Dauer, Datenarten, betroffene Personen, Weisungen, TOMs, Unterauftragsverhältnisse sowie Rückgabe oder Löschung.
- PRÜFUNG
- Hinreichende Garantien und die vereinbarten Maßnahmen werden vor der Beauftragung und im laufenden Betrieb kontrolliert.
Vereinbarung gemeinsam Verantwortlicher
- EINSATZ
- Zwei oder mehr Verantwortliche legen Zwecke und Mittel einer Verarbeitung gemeinsam fest.
- ZUORDNUNG
- Informationspflichten, Betroffenenrechte und die jeweiligen Zuständigkeiten werden transparent geregelt.
- WIRKUNG
- Das Wesentliche der Vereinbarung wird den betroffenen Personen zur Verfügung gestellt.
EU-Standardvertragsklauseln
- EINSATZ
- Personenbezogene Daten werden in ein Drittland ohne Angemessenheitsbeschluss übermittelt.
- GARANTIE
- Die von der Europäischen Kommission erlassenen Klauseln begründen vertragliche Datenschutzgarantien zwischen Datenexporteur und Datenimporteur.
- PRÜFUNG
- Rechtslage, behördliche Zugriffsmöglichkeiten und erforderliche ergänzende Maßnahmen werden für den konkreten Transfer bewertet.
Datenschutz wird im Betrieb nachweisbar
Verträge allein genügen nicht. Verarbeitung, Rechte, Schutzmaßnahmen, Aufbewahrung und Vorfälle müssen als zusammenhängender Prozess geführt werden.
Verarbeitungstätigkeiten strukturiert erfassen. Zweck, Personengruppen, Datenkategorien, Empfänger, Fristen und Schutzmaßnahmen bleiben miteinander verbunden.
Betroffene Personen verständlich informieren. Verantwortlicher, Zweck, Rechtsgrundlage, Empfänger, Speicherdauer und Rechte werden zum richtigen Zeitpunkt offengelegt.
Technische und organisatorische Maßnahmen betreiben. Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit, Wiederherstellung und regelmäßige Wirksamkeitsprüfung werden konkret umgesetzt.
Anfragen vollständig und fristgerecht bearbeiten. Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit erhalten einen definierten Ablauf.
Datenschutzverletzungen sofort bewerten. Risiko, Maßnahmen und Entscheidung werden dokumentiert. Eine erforderliche Meldung an die Aufsicht erfolgt grundsätzlich innerhalb von 72 Stunden.
Blaufeld verbindet Daten, Systeme und Nachweise
Wir erfassen die tatsächlichen Datenflüsse, ordnen Rollen und Rechtsgrundlagen zu und überführen Verträge, Zugriffe, Löschung und Nachweise in einen belastbaren Unternehmensprozess.
Datenflüsse und Systeme vollständig aufnehmen. Prozesse, Anwendungen, Dienstleister, Empfänger und Drittlandtransfers werden sichtbar.
Zweck, Rolle und Rechtsgrundlage festlegen. Jede Verarbeitung erhält eine eindeutige fachliche und organisatorische Zuordnung.
Verträge und Verantwortlichkeiten schließen. AVV, gemeinsame Verantwortung und Drittlandgarantien werden passend zum realen Datenweg eingesetzt.
Schutz, Rechte und Löschung technisch verankern. Berechtigungen, TOMs, Fristen, Anfragen und Vorfälle erhalten ausführbare Prozesse.
Entscheidungen und Wirksamkeit dokumentieren. Verzeichnis, Prüfungen, Freigaben und Veränderungen bleiben konsistent nachvollziehbar.
Primärquellen
Blaufeld verbindet technische und organisatorische Umsetzung mit dem dokumentierten Rechtsrahmen. Rechtliche Einzelfragen werden mit qualifizierter Rechtsberatung abgestimmt, wenn eine juristische Entscheidung erforderlich ist.
Datenschutz in den Betrieb überführen
Ein erstes Gespräch ordnet die vorhandenen Datenflüsse, Systeme, Dienstleister, Verträge und bereits umgesetzten Kontrollen ein.
DSGVO-UMSETZUNG BESPRECHEN