Checkliste zur Datenschutzgrundverordung

Checkliste DSGVO: Auf dieser Seite biete ich einige Anhaltspunkte, an Hand derer man sich bei der Umsetzung der DSGVO “entlanghangeln” kann. Ich selber bin im Bereich des Datenschutzrechtes vorwiegend tätig im Rahmen im Bereich der Konfliktlösung, gegenüber Betroffenen, im Rahmen von Abmahnungen und vor allem Klagen – zudem beratend für IT-Projekte und im IT-Arbeitsrecht.

Allgemeine Checkliste zur Umsetzung der DSGVO

Ganz allgemein, bevor Sie konkret die einzelnen Punkte der DSGVO angehen, sollten Sie einige allgemeine Punkte angehen, quasi als Vorbereitung, damit wesentliche elementare Informationen zur Verfügung stehen:

  • Analysieren Sie den aktuellen “Ist-Zustand” in Ihrem Betrieb: Wie wird mit Datenschutz umgegangen, ist dies überhaupt ein Thema, gibt es bereits sensible Vorgänge?
  • Schätzen Sie ab, wo sich kurz- und mittelfristig in Ihrem Betrieb zukünftige und noch nicht existierende Datenverarbeitungen ergeben werden.
  • Erstellen Sie eine Risikoanalyse: Für welche Umsätze sind die jeweiligen Datenverarbeitungen verantwortlich, in welchem Verhältnis steht dies zu eventuellen Bußgeldern?
  • Klären Sie die Verantwortlichkeiten in Ihrem Unternehmen: Wer soll beteiligt sein, wer soll wofür Ansprechpartner sein? In jedem Fall sollte eine einzelne Person als Kommunikationsschnittstelle existieren – nicht als “Macher” oder “Entscheidet” sondern als derjenige, der die Kommunikation zur DSGVO-Umsetzung koordiniert.

Checkliste zur Umsetzung der DSGVO konkret

Im Folgenden finden Sie eine Checkliste mit konkreten Punkten zur Umsetzung der DSGVO. Die Checkliste ist nicht allgemeinverbindlich und bietet bewusst nur grobe Anhaltspunkte. Sie basiert auf dem von mir entwickelten Arbeitspapier für ein Konzept für KMU zur Umsetzung der DSGVO.

Stichwort

Kurzbeschreibung

Verarbeitungstätigkeiten & Datenschutzfolgenabschätzung

Aus meiner Sicht bei KMU am besten zuerst Anlegen: Das Verzeichnis von Verarbeitungstätigkeiten. Hierbei insbesondere erfassen:

  • Rechtsgrundlage der Verarbeitung
  • Verarbeitung durch oder mit Dritten?
  • Bei Berufen auf Einwilligung ob sämtliche Einwilligungen vorhanden sind
  • Muss eine Datenschutzfolgenabschätzung angestellt werden?

[mehr dazu]

Datenschutzbeauftragter

Muss ein Datenschutzbeauftragter benannt werden:  Jedenfalls, wenn mindestens 10 Personen im regelmäßigen Umgang mit personenbezogenen Daten stehen;

[mehr dazu]

Datenschutz-Verpflichtung

Datenschutz-Verpflichtung von Beschäftigten vornehmen? Ja, wenn Umgang mit personenbezogenen Daten

[mehr dazu]

Datenschutz-Verpflichtung

Datenschutz-Verpflichtung von Beschäftigten vornehmen? Ja, wenn Umgang mit personenbezogenen Daten

[mehr dazu]

Informationspflichten

Prüfen ob Informationspflichten bestehen; Art 13, 14 DSGVO umsetzen: Beschäftigte (dazu eigener Punkt), Kunden bei Auftragsannahme, Datenschutzerklärung der Webseite

[mehr dazu]

Einwilligungen

Werden notwendige Einwilligungen sauber eingeholt – sind frühere Einwilligungen dokumentiert und ausreichend entsprechend Art 7, 13 DSGVO.

[mehr dazu]

Löschen von Daten

Ist das Löschen von Daten nötig: Regelmäßig erst nach Ablauf gesetzlicher Aufbewahrungspflichten. Prozessablauf bei Löschungsanfrage installieren.

[mehr dazu]

Sicherheit

Sicherheit: Besondere Sicherung von Daten notwendig, besteht die Datensicherheit als Konzept?

[mehr dazu]

Auftragsverarbeitung

Übersicht anfertigen wo externe Anbieter genutzt werden und jeweils vermerken, wo Auftragsverarbeitung notwendig ist

[mehr dazu]

Meldepflicht bei Verletzungen

Meldepflicht für Datenschutzverletzungen: Notfallprotokoll entwickeln!

[mehr dazu]

Videoüberwachung

Videoüberwachung: Ausschilderung und Speicherungs-Löschkonzept prüfen

[mehr dazu]

Rechte der Betroffenen

Umgang mit Rechten der Betroffenen: Prozessablauf installieren für Forderung nach Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruchsrecht, Recht auf Vergessenwerden.

[mehr dazu]

Umgang mit Fotos

Fotos von Mitarbeitern oder Kindern müssen mit Vorsicht gehandhabt werden.

[mehr dazu]

Besondere Kategorien personenbezogener Daten

Werden diese erhoben? Bei besonders sensiblen personenbezogenen Daten gelten erweiterte Vorgaben!

[mehr dazu]

Drittstaaten

Findet eine Datenübermittlung in Staaten außerhalb der EU statt?

[mehr dazu]

Beschäftigtendatenschutz

Sind Mitarbeiter über Datenverarbeitungen hinreichend informiert?

[mehr dazu]

Zuständigkeit Behörden und Sanktionen

Welche Zuständigkeiten gibt es, welche Sanktionen drohen?

[mehr dazu]