Source: https://datenschutz-werk.de/datenschutz-siegel-business/
Timestamp: 2020-02-24 18:50:22+00:00

Document:
Datenschutz-Siegel Business – Werk3 für Datenschutz
Datenschutz-Siegel BUSINESS
Das Datenschutz-Siegel BUSINESS steht für eine vollständige Datenschutzkonformität im gesamten Unternehmen.
In vertrauensvoller Zusammenarbeit begleiten wir Sie auf dem Weg dorthin und stehen Ihnen und Ihrem gesamten Team jederzeit bei der Umsetzung der Prüfkriterien zur Seite. So kann eine effektive Umsetzung gewährleistet werden und Sie können sich voll aufs Geschäft konzentrieren. Die Umsetzung gesetzlicher Mindestvorgaben ist dabei unsere Pflicht, die langfristige Begleitung und gemeinsame Aufrechterhaltung der Datenschutzkonformität Ihres Unternehmens unser Ziel. Wir liefern die entsprechenden Lösungen und stehen bei der Implementierung als fester Ansprechpartner an Ihrer Seite. Auch nach der initialen Bestandsaufnahme und der Prüfung Ihres Unternehmens stehen wir für eine kooperative Zusammenarbeit mit Ihnen.
Auch interne betriebliche Datenschutzbeauftragte können durch unsere Erfahrung von einer Zusammenarbeit profitieren.
Die Verleihung des Datenschutz-Siegels erfolgt nach Prüfung und Umsetzung festgelegter Kriterien. Der Kriterienkatalog orientiert sich dabei insbesondere an den Vorgaben der Datenschutz-Grundverordnung (DS-GVO) und des Bundesdatenschutzgesetzes (BDSG). Um das Prüfverfahren transparent zu gestalten, haben wir unsere Anforderungen veröffentlicht:
Beauftragt der Verantwortliche für die (Weiter-) Verarbeitung personenbezogener Daten Dienstleister, muss nach Art. 28 DS-GVO ein Vertrag über die Auftragsverarbeitung geschlossen werden. Der Verantwortliche hat sich dabei von der DS-GVO- Konformität des Auftragsverarbeiter zu überzeugen, welchen ebenfalls die Pflicht zur Erstellung eines VVT und zur Ergreifung weiterer Maßnahmen trifft. Wir überprüfen das Vorhandensein solcher Verträge und stellen Ihnen diese bei Bedarf zur Verfügung.
Jede Datenverarbeitung von Beschäftigtendaten ist an der DS-GVO zu messen. Durch die Öffnungsklausel des Art. 88 DS-GVO spezifiziert das nationale Recht in § 26 BDSG die Datenverarbeitung für Zwecke des Beschäftigtenverhältnisses. Ist die Verarbeitung nicht für die Begründung, Durchführung oder Beendigung des Beschäftigungsverhältnisses erforderlich, bedarf es ggf. einer gesonderten Einwilligung des Beschäftigten. Wir stellen sicher, dass der Beschäftigtendatenschutz gewährleistet werden kann.
Es bestehen folgende Rechte, deren Einhaltung jederzeit gewährleistet werden muss:
Bewerbermanagement und Datenschutz
Vermeiden Sie bereits im Bewerbungsverfahren mögliche Risiken durch eine unrechtmäßige Verarbeitung personenbezogener Daten! Wir gestalten für Sie entsprechende Unterlagen, die z.B. die längere Speicherung von Bewerberdaten ermöglichen oder helfen Ihnen im Sinne der Datensicherheit bei der Absicherung von Online-Bewerbungsverfahren.
Mit der DS-GVO ist unter weiten Voraussetzungen die Bestellung eines Datenschutzbeauftragten (DSB) erstmals EU-weit verpflichtend (vgl. Art. 37 DS-GVO i.V.m. § 38 BDSG). Wir stehen Ihnen als externer Datenschutzbeauftragter zur Verfügung und übernehmen für Sie die Bestellung und die entsprechende Anzeige gegenüber den Aufsichtsbehörden.
Die Aufgaben des DSB sind im Wesentlichen durch die DS-GVO vorgegeben. Sie umfassen die allgemeine Datenschutz-Compliance, die Verantwortlichkeit für sämtliche Datenverarbeitungsprozesse im Unternehmen, Beratungs- und Unterrichtungspflichten, Überwachungspflichten, die Bearbeitung von Anfragen und Beschwerden und die Zusammenarbeit mit den Aufsichtsbehörden.
Das Datenschutz-Siegel Business umfasst die Analyse und Erstellung erforderlicher Datenschutzerklärungen im geschäftlichen Alltag, also für Kunden, Mitarbeiter, Bewerber und Ihre Website. Details zu den Anforderungen an Datenschutzerklärung entnehmen Sie bitte dem Prüfungskatalog des Datenschutz-Siegel Website+.
Die Datenschutz-Folgeabschätzung ist dann erforderlich, wenn die Datenverarbeitung ein voraussichtlich hohes Datenschutzrisiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringt (Art. 35 Abs. 1 DS-GVO). Sie dient der Identifizierung, Beurteilung und Behandlung von Risiken (Instrument des Risikomanagements im Datenschutz), die durch die Verarbeitung personenbezogener Daten entstehen. Wir ermitteln, inwieweit eine DSFA auch in Ihrem Unternehmen notwendig ist und führen diese, soweit erforderlich, durch.
Die Datensicherheit als eigene Disziplin enthält spezielle Vorgaben, die vor allem die IT-Sicherheit umfassen und zur Wahrung der Verfügbarkeit, Integrität und Vertraulichkeit der Daten notwendig sind. Deren Einhaltung bedarf neben diversen technischen Vorkehrungen, wie zum Beispiel einer nachhaltigen Datensicherung, die Ergreifung organisatorischer Maßnahmen, wie z.B. der Regulierung von Datenflüssen und Zugriffsrechten und der Implementierung von Kontrollmechanismen. Unsere Experten analysieren sowohl die datenschutzrechtlich relevante Geschäftsprozesse als auch die datenverarbeitende IT, um anschließend mit Ihnen ggf. vorhandene Risiken zu minimieren und entsprechende Vorgänge und Systeme zu optimieren oder zu auditieren.
Der Verantwortliche hat dokumentierte Nachweise über die Einhaltung und Umsetzung der datenschutzrechtlichen Anforderungen vorzuhalten (vgl. Art. 5 Abs. 2 DS-GVO). Die Erstellung bzw. das Führen eines Verzeichnisses von Verarbeitungstätigkeiten (vgl. Nr. 17 der Prüfkriterien) oder die Darstellung technischer und organisatorischer Maßnahmen (vgl. Nr. 13 der Prüfkriterien) stellen dabei nur Teilaspekte der Rechenschaftspflicht dar. Wir entwickeln für Sie ein individuellen Datenschutzmanagement-Systems, das u.a. Ihre Dokumentations- und Rechenschaftspflichten erfüllt und Sie sicher zur Datenschutzkonformität navigiert.
Die Verarbeitung personenbezogener Daten ist nur rechtmäßig, wenn eine zweckgerichtete, freiwillige Einwilligungserklärung oder ein gesetzlicher Erlaubnistatbestand vorliegt (vgl. Art. 6 und 7 DS-GVO). Eine Einwilligung über die Verarbeitung personenbezogener Daten ist u.a. im Zusammenhang mit der Veröffentlichung von Mitarbeiterfotos auf Websites, der Verwendung von Fingerabdruck-Scannern oder der Übermittlung der Daten in Drittstaaten zwingend notwendig. Wir prüfen für Sie, inwieweit Einwilligungen erforderlich sind, gestalten entsprechende Erklärungen aus und erzeugen dadurch nachhaltige Rechtssicherheit in Ihrem Unternehmen.
Mit der DS-GVO sind Unternehmen verstärkt den Anforderungen an eine fristgerechte Löschung personenbezogener Daten ausgesetzt. Welche Löschfristen sind jeweils einschlägig, gibt es entgegenstehende gesetzliche Aufbewahrungsfristen und wie werden diese umgesetzt? Welche technischen Maßnahmen sind für eine Löschung ausreichend? Wie verhält es sich mit einer Löschung innerhalb von Datensicherungen? Von geschredderten Papierakten bis hin zur sicheren Datenlöschung – wir prüfen oder erstellen ein fachgerechtes Löschkonzept, das im täglichen Umgang mit personenbezogenen Daten Anwendung findet.
Eine nachhaltige Umsetzung des Datenschutzes ist nur möglich, wenn auch die Anwender für das Thema Datenschutz und Datensicherheit geschult und sensibilisiert sind. Entsprechende Unterrichtungs-, Beratungs- und Schulungspflichten ergeben sich für den bestellten Datenschutzbeauftragten bzw. Verantwortlichen schon aus dem Gesetz (vgl. 39 Abs. 1 lit b. DS-GVO). Sind auch Ihre Beschäftigten ausreichend geschult und sensibilisiert und auf dem aktuellen datenschutzrechtlichen Stand? Wir geben Ihnen und Ihren Beschäftigten die notwenige Rechtssicherheit und übernehmen die Organisation, Durchführung und Dokumentation von Schulungen. Wir erstellen ggf. Informationsmaterial zur Sensibilisierung und ergreifen alle weiteren erforderlichen Maßnahmen, damit Sie Ihren unternehmerischen Pflichten aus dem Datenschutz nachkommen können.
Der Verantwortliche hat zum Datenschutz und zur Datensicherheit „geeignete technische und organisatorische Maßnahmen“ zu ergreifen. Der Begriff technische Maßnahmen umfasst alle Vorkehrungen und Verfahrensweisen, die sich auf den Datenverarbeitungsvorgang erstrecken (z.B. Passwortsicherung). Der Begriff organisatorische Maßnahmen umfasst den äußeren Rahmen, der die technischen Datenbearbeitungsvorgänge umgibt (z.B. Mitarbeiterschulungen oder Verpflichtungserklärungen). Wir überprüfen, was „geeignet“ Bedeutet, übernehmen die Verschriftlichung dieser Maßnahmen und die fortlaufende Aktualisierung und unterstützen Sie bei deren Umsetzung und Dokumentation. Die Auflistung erfolgt als Erweiterung des Verzeichnisses von Verarbeitungstätigkeiten (VVT). Die Geschäftsprozesse orientieren sich so im Ergebnis an den Art. 24, 25, 32 DS-GVO.
Unternehmensinterne Leit- und Richtlinien
Einhaltung des Datenschutzes und der Datensicherheit sollten oftmals in entsprechende Richtlinien zusammengefasst werden. Diese Empfehlung betrifft u.a. die folgenden Regelungsbereiche:
BYOD-Richtlinie (Bring Your Own Device)
Bestehen bereits unternehmensinterne Leit- oder Richtlinien, erfolgt durch uns eine Prüfung auf Datenschutzkonformität und Rechtssicherheit. Andernfalls übernehmen wir die Erstellung nach Ihren individuellen Bedürfnissen und Pflichten.
Entsprechen die Unterlagen und insbesondere vorhandene Verträge den Anforderungen der DS-GVO? Potentielle Fehlerquellen stellen z.B. die Integrierung von Datenschutzklauseln in AGB oder die Kopplung von Einwilligungen zu Werbezwecken an die Erfüllung von Verträgen dar. Wir sichten vorhandener Verträge und decken mögliche Datenschutzfallen auf.
Artikel 30 Abs. 1 DS-GVO verpflichtet zur bedarfsgerechten Erfassung aller Datenverarbeitungsprozesse, wie z.B. der Verarbeitung von Kundendatenbanken. Das VVT stellt ein zentrales Instrument des Datenschutzrechts zur Umsetzung des Transparenzgebots dar. Es dient als zentraler Informationsbestand, um bestehenden Rechenschaftspflichten und Auskunftspflichten nachkommen zu können.
Sind die Prozesse in Ihrem Unternehmen DS-GVO-konform? Oftmals sind gerade einzelne Schritte einer Prozesskette eine potentielle Schwachstelle für den gesamten Datenschutz. Wo können wir durch eine optimale Gestaltung eventuell mehr Sicherheit erzielen? Werden die Grundsätze der Verarbeitung wie beispielsweise die Verarbeitung auf nachvollziehbare Weise oder die Datenminimierung innerhalb der Abläufe eingehalten? Nicht selten ist Steigerung der Effizienz hier ein positiver Nebeneffekt.
Videoüberwachungssysteme finden eine immer weitere Verbreitung in Unternehmen verschiedenster Ausrichtungen. Die Aufnahmequalität steigt und die technischen Zugriffsmöglichen werden immer ausgefeilter. Ebenso steigen jedoch auch die Anforderungen an eine datenschutzkonforme Videoüberwachung. Welche Interessen bestehen an der Videoüberwachung? Welche Personen sind von der Überwachung betroffen und wer hat auf die Daten Zugriff? Neben der Durchführung einer Datenschutzfolgenabschätzung sind betroffene Personen umfangreich über die Verarbeitung zu informieren. Wir sorgen für eine Interessengerechte Videoüberwachung unter Berücksichtigung aller Anforderungen.
Datenerhebung der Website
Die Datenschutzerklärung der geprüften Website muss sämtlichen Informationspflichten gerecht werden. Dafür analysieren wir die einzelnen Bestandteile der Website und überprüfen diese hinsichtlich ihrer Datenverarbeitungen. Wir gehen mindestens folgenden Schwerpunkten nach.

References: Art. 28
 Art. 88
 § 26
 Art. 37
 § 38
 Art. 5
 Art. 6
 Art. 24