Datenschutz-Dokumentation

Das Spektrum an Datenschutzdokumenten ist breit gefächert. Welche einzelnen Dokumente ein Unternehmen nachweisen muss, ist von der individuellen Datenschutzsituation abhängig.

Gleich aus zwei Gründen kommt der Dokumentation eine große Bedeutung zu:

• Datenschutzkontrollen
  Anhand der Dokumentation können die Sachbearbeiter der zuständigen Aufsichtsbehörde gut nachvollziehen, ob und wie der Datenschutz in einer Organisation gelebt wird.
• Internes Nachschlagewerk
  Stakeholder, wie z.B. der Datenschutzbeauftragte oder Verantwortliche aus den Fachabteilungen, finden in der Dokumentation präzise Antworten auf zahlreiche ihrer Fragen.

Sollte die Dokumentation unvollständig sein, könnte dies gemäß DSGVO als Datenschutzverstoß gewertet werden und sogar zur Verhängung eines Bußgeldes führen. Deshalb ist es entscheidend, dass alle notwendigen Dokumente existieren und sich auf dem aktuellen Stand befinden.

Welche wesentlichen Dokumente gibt es für den Datenschutz?

Es folgt eine Übersicht der am häufigsten erstellten Dokumente und Nachweise.

• Verzeichnis von Verarbeitungstätigkeiten
  Eine interne Auflistung aller automatisierten Verarbeitungstätigkeiten personenbezogener Daten, die sowohl vom Verantwortlichen als auch vom Auftragsverarbeiter zu führen ist (Art. 30 DSGVO). Das Verzeichnis ist zentraler Bestandteil einer strukturierten Datenschutzdokumentation und besonders für Datenschutz-Kontrollen ein wichtiges Instrument. Es ist auf Verlangen der Aufsichtsbehörde vorzulegen.
• Datenschutzkonzept/-richtlinie
  Ein umfassendes Dokument, das als Zusammenfassung über alle Maßnahmen des Datenschutzes und über die Rechtmäßigkeit der jeweiligen Datenverarbeitungen informiert. Es nimmt eine zentrale Rolle im Datenschutzmanagement ein.
• Prozess und Nachweis zur Durchführung von Datenschutzfolgeabschätzungen
  Eine vorhergehende dokumentierte Prüfung beabsichtigter Datenverarbeitungen, die ein hohes Risiko für die bürgerlichen Freiheitsrechte zur Folge haben können, insbesondere beim Einsatz neuer Technologien oder großer Datenmengen.
• Datenschutzhinweise
  Informieren darüber, in welchem Rahmen eine Datenverarbeitung stattfindet, d.h. wie die Daten erhoben und verarbeitet werden. Entsprechende Datenschutz Dokumente sind nicht nur auf Webseiten zu finden, sondern häufig auch Bestandteil von Vertriebs- und Vertragsunterlagen.
• Relevante Betriebsvereinbarungen
  Werden mit Mitarbeitern – z.B. als Bestandteil von Arbeitsverträgen – getroffen, um sicherzustellen, dass die Verarbeitung von personenbezogenen Mitarbeiterdaten rechtmäßig erfolgt. Ergänzend können weitere Vereinbarungen getroffen werden, die beispielsweise nur Mitarbeiter einer bestimmten Abteilung zu unterzeichnen haben.
• Verpflichtung auf die Vertraulichkeit
  Mitarbeiter, die im Rahmen ihrer Tätigkeit personenbezogene Daten verarbeiten, sollten auf Verschwiegenheit verpflichtet werden. Dies geschieht, indem sie eine Vertraulichkeitsvereinbarung unterzeichnen.
• Vereinbarungen zur Auftragsverarbeitung
  Es gibt Unternehmen, die personenbezogene Daten von externen Partnern verarbeiten lassen. Auftragsverarbeitungen sind vertraglich zu regeln. Das Vertragswerk legt die Rechte und Pflichten beider Parteien (Auftraggeber und Auftragsverarbeiter) fest.
• Dokumentation technisch-organisatorischer Maßnahmen (TOM)
  Dokumentation von Maßnahmen, die den Schutz der Verarbeitung personenbezogener Daten gewährleisten sollen.