Ab dem 25. Mai 2018 sollen Unternehmen die Regeln der DSGVO einhalten. Das ist nicht einfach. Häufig fehlt die Kenntnis von dem, was genau zu ändern ist. Und einzelne Unternehmen sind schon auf die Anforderungen des BDSG nicht gut eingestellt gewesen. Es hilft aber nichts: Unternehmen müssen sich dem gesetzeskonformen Zustand Schritt für Schritt nähern. Eine Checkliste hilft hier weiter.

Checklisten zur DSGVO gibt es schon viele. Eine Checkliste der zuständigen Aufsichtsbehörde fehlte bisher. Eine „staatliche“ Checkliste ist jedoch besonders wichtig. Denn als Unternehmen und als Datenschutzbeauftragter will ich doch wissen, was meine zuständige Datenschutzaufsichtsbehörde bei der Herstellung der Übereinstimmung mit den Vorschriften der DSGVO besonders wichtig ansieht. Die Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich von Bund und aus allen Bundesländern haben sich nun geäußert und den Unternehmen 10 „Anregungen“ auf den Weg zur Umsetzung der DSGVO mitgegeben. Als Datenschutzbeauftragter sollte man diesen amtlichen Anregungen besondere Aufmerksamkeit widmen und sie zum Gegenstand einer To Do-Liste machen.

Es handelt sich um folgende Anregungen:

1. Sensibilisierung: Mitarbeiter über die Inhalte der DSGVO in Kenntnis setzen.

2. Verfahrensverzeichnis: künftig Verarbeitungsverzeichnis aktualisieren und alle Datenverarbeitungsprozesse erfassen.

3. Datenverarbeitungsprozesse daraufhin prüfen, ob sich Unzulässigkeiten nach der DSGVO ergeben.

4. Rechtsvorschriften für Datenverarbeitung von Minderjährigendaten (< 16 Jahre) besonders prüfen.

5. Für jeden Datenverarbeitungsprozess überprüfen, ob Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen einzurichten ist.

6. Verträge mit Dienstleistern, die personenbezogene Daten des Unternehmens verarbeiten, auf Konformität mit der DSGVO prüfen.

7. Datenschutzfolgenabschätzung implementieren.

8. Regeln, nach welchem Verfahren sich der Datenschutzbeauftragte mit der Aufsichtsbehörde abstimmt.

9. Informationspflichten gegenüber den Betroffenen umsetzen und auf weitere Betroffenenrechte (Berichtigung, Löschung, Auskunft) per Reaktionsplan einrichten.

10. Datenschutzbezogene Pflichterfüllung dokumentieren, vor allem Verarbeitungsprozesse, Datenschutzvorfälle und Weisungen gegenüber dem Dienstleister.

(Philipp Kramer, Chefredakteur Datenschutz-Berater)