Die Rechenschaftspflichten der DSGVO im laufenden Betrieb

Die Verordnung beschreibt Pflichten organisatorisch. Prüfbar werden sie erst, wenn sich zu jeder ein Ort im Betrieb benennen lässt, an dem der Eintrag entsteht.

Das Verarbeitungsverzeichnis ist der Ausgangspunkt für fast alles Weitere. Es hält Zwecke, Datenarten, Empfänger und Fristen fest und veraltet, sobald es von der Fachanwendung abgekoppelt geführt wird. Eine Tabellendatei, die einmal im Jahr per Rundmail aktualisiert wird, beschreibt spätestens im Herbst einen Zustand, den es nicht mehr gibt. Die technischen und organisatorischen Maßnahmen hängen daran, ebenso die Folgenabschätzung, die vor die Umsetzung gehört und nicht hinter die Abnahme.

Betroffenenrechte und Meldepflichten sind die beiden Pflichten mit Uhr. Eine Auskunft muss fristgerecht und vollständig beantwortet werden, was voraussetzt, dass sich zu einer Person alle Vorkommen finden lassen, auch die in Protokollen und Anhängen. Eine Datenschutzverletzung ist der Aufsicht binnen 72 Stunden zu melden, mit Zeitpunkt, Umfang und den ergriffenen Maßnahmen. Beides hängt daran, dass der Eingang registriert wird und eine Vorgangsverfolgung existiert; ein Postfach, das jemand nebenbei liest, reicht dafür nicht.

Verarbeitungsverzeichnis an die Fachanwendung angebunden

Verzeichnis, das sich aus dem laufenden System speist statt aus einer Rundmail

Technische und organisatorische Maßnahmen erfasst und geprüft

Übersicht aus Schutzziel, Maßnahme und Beleg für ihre Wirksamkeit

Folgenabschätzung vor der Umsetzung geführt

DSFA-Dokument, das dem tatsächlichen Projektstand entspricht

Auftragsverarbeiter und Unterauftragnehmer geführt

Vertragsbestand mit durchgeführten Prüfungen je Dienstleister

Auskünfte und Meldungen als Vorgang registriert

Fristuhr, Bearbeitungsstand und vollständige Trefferliste je Person

Verarbeitungsort festgelegt

Betrieb im Rechenzentrum München oder auf Ihrer Hardware, ohne Drittstaatentransfer

Zweckbindung und Frist gehören ins Datenmodell. Trägt jede Datenart ihren Zweck und ihren Startzeitpunkt als Feld, lässt sich auswerten, was gelöscht werden kann und was nicht. Steht dasselbe nur in einer Richtlinie, muss jemand es bei jeder Auskunft und bei jedem Löschlauf von Hand nachvollziehen. Zugriffe wiederum werden an Rollen gebunden und protokolliert — wer nicht weiß, wer einen Datensatz gesehen hat, kann die Frage nach den Empfängern nur ungefähr beantworten. Nachrüsten lässt sich beides, dann aber am laufenden System und mit einer Migration der bereits vorhandenen Datensätze.

Der Verarbeitungsort ist die dritte Entscheidung, die früh fällt. Anwendungen und Modelle laufen bei uns im eigenen Rechenzentrum in München oder auf Ihrer Hardware, sodass kein Transfer in Drittstaaten zu prüfen und zu begründen ist. Damit entfällt nicht nur eine Klausel im Vertrag, sondern auch die wiederkehrende Diskussion, ob die Rechtsgrundlage für den Transfer noch trägt.

Wir bauen die Systeme, in denen diese Nachweise entstehen, und übernehmen den Teil der Arbeit, der sich automatisieren lässt: Verzeichnisse, die sich aus der Anwendung speisen, Fristen, die das System überwacht, Protokolle, die eine Prüfung nachvollziehen kann. Ein Testat über den Zustand Ihres Datenschutzmanagements stellen wir nicht aus.

Ob eine Verarbeitung zulässig ist, welche Rechtsgrundlage sie trägt und wie lange aufbewahrt werden muss, entscheidet Ihre Datenschutzbeauftragte oder Ihre Rechtsabteilung. Wir bilden diese Entscheidung im System ab und sorgen dafür, dass sie im Alltag nicht stillschweigend unterlaufen wird.

Die Löschung und die Informationssicherheit haben eigene Seiten, für die Rechenschaftspflichten gibt es ein fertiges Produkt.

• Löschkonzept nach DIN 66398Löschklassen, Startzeitpunkte und Regelfristen, im System hinterlegt und protokolliert.
• DatenschutzmanagerFührt Verarbeitungsverzeichnis, Maßnahmen und die übrigen Rechenschaftspflichten an einer Stelle.
• ISO/IEC 27001Das Managementsystem, aus dem die technischen Maßnahmen und ihre Nachweise stammen.