Datenschutz Checkliste - mea IT Services

Datenschutz-Checkliste

Die wichtigsten DSGVO-Punkte
auf einen Blick

#mea erfahren

Datenschutz im Unternehmen

Was müssen Sie unternehmen, um als Unternehmen Datenschutz-konform zu sein?

Seit 25. Mai 2018 gilt in Österreich, wie auch im Rest der EU, die neue Datenschutz-Grundverordnung (DSGVO). Diese löst in Österreich das Datenschutz-Gesetz 2000 (DSG2000) ab, welches auf der EU Datenschutz-Richtlinie aus dem Jahr 1995 basiert.

Die DSGVO erwartet von den Unternehmen gegenüber dem Datenschutz-Gesetz einige Anpassungen und droht bei Nichteinhaltung mit empfindlichen Strafen. Welche Schritte durchgeführt werden müssen, listen wir in dieser Checkliste auf.

Direkt zur Checkliste

Personenbezogene Daten

Welche personenbezogenen Daten werden verarbeitet?

Im ersten Schritt sollte erfasst werden, welche personenbezogenen Daten im Unternehmen verarbeitet werden.

Dazu zählen nicht nur klassische Angaben wie Namen, E-Mail-Adressen, Telefonnummern oder Anschriften. Auch andere Informationen können unter die DSGVO fallen, wenn sie einer bestimmten oder bestimmbaren Person zugeordnet werden können.

Dazu gehören beispielsweise IP-Adressen, die im Rahmen von Logging- oder Analysesystemen gespeichert werden.
Personenbezogene Daten müssen außerdem nicht zwingend digital gespeichert sein. Auch strukturierte Daten in Papierform können unter die DSGVO fallen. Ein Beispiel dafür ist eine systematisch geführte Sammlung von Visitenkarten von Kontaktpersonen.

Datenschutz-Maßnahmen

Welche Maßnahmen werden getroffen, um Datenschutz-Verletzungen zu vermeiden?

Personenbezogene Daten müssen durch geeignete technische und organisatorische Maßnahmen geschützt werden. Welche Maßnahmen erforderlich sind, hängt unter anderem von der Art der verarbeiteten Daten, den möglichen Risiken und dem aktuellen Stand der Technik ab.

Dabei geht es nicht nur um den Schutz vor Cyberangriffen. Auch physische Gefahren wie Einbruch sowie technische Störungen, Stromausfälle oder andere Zwischenfälle müssen berücksichtigt werden.

Ebenso wichtig ist eine geeignete Zugriffskontrolle innerhalb des Unternehmens. Zugriff auf personenbezogene Daten sollten nur jene Personen erhalten, die diesen für ihre jeweilige Tätigkeit benötigen.

Entsprechende Schulungen und klare organisatorische Vorgaben tragen zusätzlich zum Schutz der Daten bei.
Darüber hinaus sollten geeignete Maßnahmen vorgesehen werden, um die Verfügbarkeit personenbezogener Daten und den Zugriff darauf nach einem technischen oder physischen Zwischenfall möglichst rasch wiederherstellen zu können.

Verarbeitung personenbezogener Daten

Personenbezogene Daten

Dürfen personenbezogene Daten verarbeitet werden?

Die Verarbeitung personenbezogener Daten ist nur zulässig, wenn dafür eine entsprechende Rechtsgrundlage besteht. Die DSGVO nennt dafür verschiedene Möglichkeiten, beispielsweise die Einwilligung der betroffenen Person, die Erfüllung eines Vertrags, eine rechtliche Verpflichtung oder ein berechtigtes Interesse.

Welche Rechtsgrundlage zutrifft, hängt vom jeweiligen Zweck und den Umständen der Datenverarbeitung ab. Eine Übersicht über die wichtigsten Rechtsgrundlagen der DSGVO findet sich in unserem weiterführenden Beitrag.

Zusätzlich gilt die sogenannte Rechenschaftspflicht: Unternehmen müssen nachweisen können, dass personenbezogene Daten rechtmäßig und entsprechend den Vorgaben der DSGVO verarbeitet werden.

Beruht eine Datenverarbeitung auf einer Einwilligung, muss beispielsweise nachgewiesen werden können, dass diese Einwilligung tatsächlich erteilt wurde. Eine Einwilligung kann außerdem jederzeit für die Zukunft widerrufen werden.

Weitergabe personenbezogener Daten

Weitergabe von Daten

Werden personenbezogene Daten nur an berechtigte Empfänger weitergegeben?

Personenbezogene Daten dürfen nicht beliebig an andere Unternehmen oder Organisationen weitergegeben werden. Vor einer Weitergabe sollte daher geklärt werden, welche Rolle der jeweilige Empfänger einnimmt und ob die Übermittlung der Daten rechtlich zulässig ist.

Hierbei gibt es in der DSGVO eine Unterscheidung zwischen folgenden Empfängergruppen:

  • Auftragsverarbeiter 
    verarbeiten personenbezogene Daten im Auftrag und nach dokumentierten Weisungen eines Verantwortlichen. Typische Beispiele sind Hosting-, Cloud- oder andere IT-Dienstleister, die personenbezogene Daten für ein Unternehmen speichern oder verarbeiten.
    Für den Einsatz eines Auftragsverarbeiters ist nicht allein deshalb eine zusätzliche Einwilligung der betroffenen Personen erforderlich. Allerdings müssen die Voraussetzungen der DSGVO eingehalten werden. Dazu gehört insbesondere der Abschluss eines Vertrags zur Auftragsverarbeitung (AVV), in dem unter anderem Art, Zweck und Umfang der Verarbeitung sowie die Pflichten des Auftragsverarbeiters geregelt werden.
  • Eigenständig Verantwortliche 
    entscheiden hingegen selbst über die Zwecke und Mittel einer Datenverarbeitung. Werden personenbezogene Daten an einen anderen Verantwortlichen übermittelt, muss geprüft werden, ob für diese Weitergabe eine geeignete Rechtsgrundlage besteht. Eine Einwilligung kann eine solche Rechtsgrundlage sein, ist jedoch keineswegs immer erforderlich.
  • Eine gemeinsame Verantwortlichkeit 
    besteht dann, wenn zwei oder mehrere Unternehmen die Zwecke und Mittel einer Verarbeitung gemeinsam festlegen. Hierfür gelten besondere Anforderungen der DSGVO.
  • Empfänger personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums (EWR)
    haben besondere Vorgaben. Für einige Länder oder bestimmte Empfänger hat die Europäische Kommission ein angemessenes Datenschutzniveau festgestellt. Liegt kein solcher Angemessenheitsbeschluss vor, können beispielsweise Standardvertragsklauseln oder andere in der DSGVO vorgesehene Garantien erforderlich sein.
  • Dienstleister wie Steuerberatungen, Rechtsanwaltskanzleien
    oder anderen Berufsgruppen nutzen pauschal nicht dieselbe datenschutzrechtliche Rolle. Entscheidend ist die konkrete Tätigkeit und insbesondere, wer über Zwecke und Mittel der jeweiligen Verarbeitung entscheidet.

Datenverarbeitungsverzeichnis

Gibt es ein Verzeichnis von Verarbeitungstätigkeiten?

Die DSGVO sieht grundsätzlich vor, dass Verarbeitungstätigkeiten mit personenbezogenen Daten in einem Verzeichnis von Verarbeitungstätigkeiten (VVT) dokumentiert werden.

Das Verzeichnis enthält unter anderem die Zwecke der jeweiligen Verarbeitung, die Kategorien betroffener Personen und personenbezogener Daten sowie die Kategorien von Empfängern. Auch mögliche Übermittlungen in Drittländer, sowie vorgesehene Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen werden darin festgehalten.

Darüber hinaus sind der Name und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls weiterer gemeinsam Verantwortlicher und eines Datenschutzbeauftragten anzuführen.

Folgenabschätzung

Ist eine Datenschutz-Folgenabschätzung erforderlich?

Bei Verarbeitungstätigkeiten, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringen, muss vor Beginn der Verarbeitung eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt werden.

Das kann beispielsweise bei einer umfangreichen Verarbeitung besonders schützenswerter personenbezogener Daten, bei bestimmten Formen von Profiling oder automatisierten Entscheidungen sowie bei einer systematischen und umfangreichen Überwachung öffentlich zugänglicher Bereiche der Fall sein. Auch der Einsatz neuer Technologien kann bei der Beurteilung des Risikos eine Rolle spielen.

Im Rahmen der Datenschutz-Folgenabschätzung werden die geplante Verarbeitung und deren Zweck beschrieben sowie deren Notwendigkeit und Verhältnismäßigkeit bewertet. Zusätzlich werden mögliche Risiken für die Rechte und Freiheiten betroffener Personen analysiert und geeignete Maßnahmen festgelegt, um diese Risiken zu reduzieren.

Informationspflichten

Sind die Informationspflichten erfüllt?

Werden personenbezogene Daten verarbeitet, müssen betroffene Personen transparent über die Verarbeitung informiert werden. Welche Informationen bereitzustellen sind, hängt unter anderem davon ab, ob die Daten direkt bei der betroffenen Person erhoben oder aus einer anderen Quelle bezogen werden.

Zu den erforderlichen Angaben zählen beispielsweise die Kontaktdaten des Verantwortlichen, die Zwecke und Rechtsgrundlagen der Verarbeitung, mögliche Empfänger der Daten, die Speicherdauer sowie Informationen über die Rechte der betroffenen Personen. Je nach Verarbeitung können weitere Angaben erforderlich sein.

Die Informationen müssen in klarer und verständlicher Sprache sowie leicht zugänglich bereitgestellt werden. Erfolgt die Datenerhebung beispielsweise über eine Website, können die notwendigen Informationen in einer gut auffindbaren Datenschutzerklärung zur Verfügung gestellt werden.

Dabei werden selbstverständlich nicht die konkreten personenbezogenen Daten einer Person veröffentlicht. Beschrieben wird vielmehr, welche Daten verarbeitet werden, zu welchen Zwecken dies geschieht und welche weiteren Rahmenbedingungen für die jeweilige Verarbeitung gelten.

Betroffenenrechte

Können Betroffenenrechte zuverlässig erfüllt werden?

Die DSGVO räumt betroffenen Personen verschiedene Rechte im Zusammenhang mit der Verarbeitung ihrer personenbezogenen Daten ein. Dazu zählen unter anderem das Recht auf Auskunft, Berichtigung und Löschung sowie das Recht auf Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.

Anfragen zur Ausübung dieser Rechte müssen ohne unangemessene Verzögerung bearbeitet werden. Grundsätzlich muss spätestens innerhalb eines Monats nach Eingang der Anfrage über die ergriffenen Maßnahmen informiert werden. Ist eine Anfrage besonders komplex oder müssen zahlreiche Anträge bearbeitet werden, kann diese Frist unter bestimmten Voraussetzungen um bis zu zwei weitere Monate verlängert werden. Über eine solche Verlängerung und deren Gründe muss ebenfalls innerhalb des ersten Monats informiert werden.

Kann oder darf einem Antrag nicht entsprochen werden, muss die betroffene Person über die Gründe sowie über bestehende Beschwerde- und Rechtsschutzmöglichkeiten informiert werden.

Bei einem Auskunftsersuchen müssen neben Informationen über die Verarbeitung auch die personenbezogenen Daten, die Gegenstand der Verarbeitung sind, in Form einer Kopie bereitgestellt werden.

Damit Betroffenenrechte fristgerecht und vollständig erfüllt werden können, sollten klare interne Prozesse und Zuständigkeiten festgelegt sein. So muss beispielsweise nachvollziehbar sein, wo personenbezogene Daten gespeichert werden, wer für die Bearbeitung einer Anfrage zuständig ist und wie erforderliche Maßnahmen innerhalb der vorgesehenen Fristen umgesetzt werden können.

Datenschutzverletzungen

Gibt es einen Prozess für Datenschutzverletzungen?

Auch bei angemessenen Sicherheitsmaßnahmen lassen sich Datenschutzverletzungen nicht vollständig ausschließen. Entscheidend ist daher, solche Vorfälle schnell zu erkennen, richtig zu bewerten und angemessen darauf zu reagieren.

Eine Datenschutzverletzung liegt beispielsweise vor, wenn personenbezogene Daten versehentlich oder unrechtmäßig verloren gehen, verändert, gelöscht oder offengelegt werden oder unbefugte Personen Zugriff darauf erhalten.

Führt eine Datenschutzverletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten betroffener Personen, muss sie der zuständigen Datenschutzbehörde unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden gemeldet werden.

Besteht voraussichtlich ein hohes Risiko für betroffene Personen, müssen zusätzlich auch diese unverzüglich informiert werden. Die Benachrichtigung muss in klarer und verständlicher Sprache unter anderem beschreiben, was passiert ist, welche möglichen Folgen bestehen, welche Maßnahmen ergriffen wurden und an welche Ansprechstelle weitere Fragen gerichtet werden können.

Ist eine individuelle Benachrichtigung nur mit unverhältnismäßigem Aufwand möglich, kann unter bestimmten Voraussetzungen stattdessen eine öffentliche Bekanntmachung oder eine vergleichbar wirksame Maßnahme erforderlich sein.

Unabhängig davon, ob eine Meldung an die Datenschutzbehörde notwendig ist, müssen Datenschutzverletzungen und die dazu getroffenen Maßnahmen dokumentiert werden. Klare interne Abläufe und Zuständigkeiten helfen dabei, im Ernstfall schnell und fristgerecht reagieren zu können.

Datenschutz-Checkliste

Checkliste zur Umsetzung der DSGVO in Unternehmen:

Ist bekannt, welche personenbezogenen Daten verarbeitet werden?
Ist klar, wofür diese Daten benötigt werden?
Sind personenbezogene Daten ausreichend geschützt? (Technisch, sowie organisatorisch)
Haben nur berechtigte Personen Zugriff?
Gibt es Maßnahmen gegen Datenverlust und unbefugten Zugriff?
Gibt es für jede Datenverarbeitung eine passende Rechtsgrundlage?
Kann diese bei Bedarf nachgewiesen werden?
Ist bekannt, an wen personenbezogene Daten weitergegeben werden?
Gibt es mit Auftragsverarbeitern die erforderlichen Verträge?
Sind Übermittlungen in Drittländer rechtlich abgesichert?
Gibt es ein aktuelles Verzeichnis von Verarbeitungstätigkeiten?
Sind darin die wichtigsten Datenverarbeitungen dokumentiert?
Wurde geprüft, ob eine Datenschutz-Folgenabschätzung notwendig ist?
Wurde sie bei besonders risikoreichen Verarbeitungen durchgeführt?
Werden betroffene Personen verständlich über die Datenverarbeitung informiert?
Sind Datenschutzhinweise leicht auffindbar und aktuell?
Gibt es einen Ablauf für Auskunfts-, Berichtigungs- oder Löschanfragen?
Können solche Anfragen fristgerecht bearbeitet werden?
Gibt es einen klaren Ablauf für Datenschutzverletzungen?
Ist bekannt, wann die Datenschutzbehörde oder betroffene Personen informiert werden müssen?
Werden Datenschutzverletzungen dokumentiert?
Werden Datenschutzmaßnahmen regelmäßig überprüft und aktualisiert?
Sind Zuständigkeiten für Datenschutz klar geregelt?

DSGVO-Anforderungen erfüllt?

Diese Checkliste bietet einen Überblick über wesentliche Anforderungen der DSGVO und hilft dabei, mögliche Lücken im Datenschutz zu erkennen.

Eine einmalige Überprüfung reicht jedoch nicht aus: Datenschutz ist ein laufender Prozess. Bestehende Maßnahmen, Dokumentationen und interne Abläufe sollten daher regelmäßig überprüft und bei Bedarf angepasst werden.

Eine strukturierte und nachvollziehbare Dokumentation hilft außerdem dabei, die Einhaltung der Datenschutzvorgaben nachweisen und im Fall einer Datenschutzverletzung oder behördlichen Überprüfung angemessen reagieren zu können. Die DSGVO App kann hier eine sinnvolle Unterstützung sein.

Bei Unsicherheiten rund um die Umsetzung der DSGVO unterstützen unsere geschulten und zertifizierten Mitarbeitenden bei der Beurteilung und Umsetzung geeigneter Maßnahmen. Bei Bedarf kann auch die Funktion eines externen Datenschutzbeauftragten übernommen werden.

Zwei Frauen stehen mit dem Rücken zur Kamera vor einem Whiteboard und planen die nächsten Schritte

#mea mITeinander
Bereit für Ihren digitalen Erfolg?

Jetzt kontaktieren
Nach oben scrollen