Source: https://dsgvo-vorlagen.de/muster-taetigkeitsbericht-dsgvo
Timestamp: 2020-07-09 19:44:59+00:00

Document:
Muster für einen Tätigkeitsbericht nach DSGVO - DSGVO-Vorlagen
Sie sind hier: Startseite » Beiträge » Muster für einen Tätigkeitsbericht nach DSGVO
Muster für einen Tätigkeitsbericht nach DSGVO
25. Februar 2020 by Datenschutz Experte
Als Datenschutzbeauftragter sollte man am besten jährlich einen Tätigkeitsbericht oder Datenschutzbericht erstellen. Nicht nur dann, auch als Unternehmer kann es hilfreich sein, diesen anzufordern, um die Tätigkeiten des vergangenen Jahres zu prüfen. Wie Sie das DSGVO-konform am besten machen, soll Ihnen der nachfolgende Artikel verständlich machen.
was genau ein Tätigkeitsbericht ist,
wieso es wichtig ist, einen Tätigkeitsbericht zu schreiben,
wie er sich zu anderen Berichten der DSGVO abgegrenzt,
und wie Sie einen ausführlichen Tätigkeitsbericht erstellen können.
Wieso Sie einen Tätigkeitsbericht nach DSGVO schreiben sollten
Um andere Nachweis- und Rechenschaftspflichten zu erfüllen
Etablierung eines funktionstüchtigen Datenschutzsystems
Entlastung bei Datenschutzverletzungen
Die Inhalte eines Rechenschaftsberichtes nach DSGVO
Ist-Status des Datenschutzes
Schulungen und Weiterbildungen der Mitarbeiter
Dokumentation von Vorgängen und Vorkehrungen
Soll-Status des Datenschutzes
Abgrenzung zu anderen Datenschutzberichten nach DSGVO
Offizieller Tätigkeitsbericht der Bundesländer
Muster für einen Tätigkeitsbericht nach DSGVO für einen Datenschutzbeauftragten
Die 4 häufigsten Fragen zum Thema Tätigkeitsbericht nach DSGVO
Gibt es eine Verpflichtung zur Erstellung eines Tätigkeitsberichtes?
Wer legt einen Tätigkeitsbericht an?
Welche Bestandteile müssen unbedingt in einen Tätigkeitsbericht?
Welche Form muss ein Tätigkeitsbericht haben?
Zusammenfassung: Verzichten Sie nicht auf den Tätigkeitsbericht!
Die DSGVO verpflichtet gemäß § 59 DSGVO die Aufsichtsbehörden jährlich dazu, einen Tätigkeitsbericht aller getroffenen Maßnahmen und Tätigkeiten zu erstellen. Eine vergleichbare Pflicht des Datenschutzbeauftragten bzw. Verantwortlichen eines Unternehmens zum Verfassen eines Tätigkeitsberichtes gibt es sowohl nach der europäischen DSGVO, als auch nach dem deutschen BDSG nicht.
Im ersten Moment erscheint eine zusätzliche Pflicht zum Führen eines Tätigkeitsberichtes mühsam. Dennoch sollten Sie sich nicht zurücklehnen. Auch wenn keine gesetzliche Pflicht besteht, ist es durchaus sinnvoll, mindestens einmal im Jahr einen Tätigkeitsbericht zu erstellen bzw. erstellen zu lassen.
Vier gute Gründen finden Sie hier:
Den Verantwortlichen der Datenverarbeitung treffen nach der DSGVO zahlreiche umfassende Nachweis-, Dokumentations- und Rechenschaftspflichten. Ihn trifft beispielsweise gemäß § 5 (2) DSGVO die Rechenschaftspflicht über die Einhaltung der Datenschutzgrundsätze und gemäß § 24 DSGVO die Nachweispflicht der Einhaltung technischer Sicherheitsmaßnahmen des Datenschutzes.
Diese Nachweise können auch anhand des Tätigkeitsberichtes erstellt werden, da die Inhalte notwendigerweise ineinander greifen.
Aufsichtsbehörden sind ihrerseits gemäß § 57 und § 58 DSGVO verpflichtet, die Einhaltung der DSGVO zu überprüfen und gegebenenfalls Nachweise einzufordern. Sollten Sie hierzu von der Aufsichtsbehörde aufgefordert werden, können sie anhand des Tätigkeitsberichtes Ihres Datenschutzbeauftragten nachweisen, dass die Datenverarbeitung den Grundsätzen der DSGVO entspricht.
Zumindest können Sie auf jeden Fall nachweisen, dass Sie das Thema mindestens einmal jährlich auf der Agenda hatten.
Weiterhin hilft Ihrem Datenschutzbeauftragten ein Tätigkeitsbericht bei der Umsetzung und Kontrolle der Datenschutzrichtlinien im Unternehmen. So haben auch Sie als Verantwortlicher einen Überblick über die Vorgänge und die Einhaltung des Datenschutzes. Es fördert das notwendige Verständnis für datenschutzrelevante Verarbeitungen und die Einhaltung des Schutzes sensibler Verarbeitungsvorgänge. Insbesondere, wenn Sie einen externen Datenschutzbeauftragten haben, sollte der Datenschutzbericht auch helfen, die Leistung zu bewerten.
Sollte es zu einer Beschwerde gegen Ihr Unternehmen kommen und der Betroffene der Datenschutzverletzung Schadensersatz von Ihnen fordern, können sie möglicherweise auch den Tätigkeitsbericht heranziehen und nachweisen, dass Sie und auch Ihr Datenschutzbeauftragter keine Verantwortung am eingetretenen Schaden tragen, gemäß § 82 (3) DSGVO.
Auch bei einer Datenpanne, die von Amtswegen verfolgt wird (Verletzung des Schutzes personenbezogener Daten, Art. 4 Nr. 12 DSGVO), kann ein guter Datenschutzbericht entlastend wirken und zeigen, wie ernst es Ihnen mit dem Datenschutz war und ist.
Ein solcher Tätigkeitsbericht (auch Rechenschaftsbericht genannt) besteht aus einer umfassenden Dokumentation der unternehmensinternen Maßnahmen in Datenschutz und Datensicherheit. Insbesondere ist dabei die Überwachung der Einhaltung der Datenschutzvorschriften, die Überprüfung der Datenschutzstrategien, die Sensibilisierung und Schulung der Mitarbeiter, die Beratung der Geschäftsleitung zu effektivem Datenschutz, die begleitende Durchführung einer Datenschutzfolgenabschätzung und der Kontakt mit der Aufsichtsbehörde davon erfasst, was gemäß Art. 39 DSGVO in die Nachweispflicht Ihres Datenschutzbeauftragten fällt.
Insgesamt ist zu sagen, dass Sie als DSB den Rechenschaftsbericht am besten anhand der Art 38 und 39 DSGVO ausgestalten sollten.
Eine ausführliche Vorlage erhalten Sie in allen Vorlagenpaketen.
Die Kontaktdaten des Verantwortlichen und des von ihm benannten Datenschutzbeauftragten sollten aufgelistet werden.
Zunächst sollte der aktuelle Zustand des Datenschutzes im Unternehmen erhoben und dokumentiert werden. Relevant sind hierbei unter anderem die ergriffenen technischen und organisatorischen Maßnahmen oder Regelungen zu regelmäßigen Datenschutzüberprüfungen. Auch die investierte Zeit und Ressourcen, die in den Datenschutz geflossen ist, kann dokumentiert werden.
Weiterhin sollten die besuchten Schulungen und Lehrgänge, sowie weitere individuelle Weiterbildungen aller Mitarbeiter umfangreich und detailliert aufgelistet werden. Insbesondere ist aufzuführen, dass Sie Ihrer Pflicht gemäß Art. 38 Abs. 2 DSGVO nachkommen und dokumentieren, wie regelmäßig, wann und in welchem Umfang Sie den Datenschutzbeauftragten in seinem Fachwissen schulen und weiterbilden.
Außerdem sollten die datenschutzrelevanten Dokumente überblicksartig aufgelistet werden. Relevante Dokumente sind unter anderem das Verzeichnis von Verarbeitungstätigkeiten oder die durchgeführte Datenschutzfolgenabschätzung. Dokumentieren Sie diese Vorgänge so, dass einsehbar ist, wo und wann ihre letzten Überprüfungen und Aktualisierungen abgespeichert und verwahrt werden. Das zählt jedoch nicht nur für die Führung eines Datenschutzmanagementsystems, sondern auch für die Dokumentation der Anzahl der Betroffenenanfragen oder der eingetretenen Datenschutzverletzungen.
Abschließend ist eine Zusammenfassung des anzustrebenden Datenschutzniveaus für das kommende Jahr neben möglichen auftretenden Problemen oder Schwierigkeiten auszuformulieren.
Aufgrund der Vielzahl von neuen Normen und daraus resultierenden Pflichten der DSGVO kursiert eine Menge an ähnlichen Begriffen rund um den Tätigkeitsbericht. Einige Begriffe, wie ein Datenschutzbericht oder ein Datenschutzaudit hören sich ähnlich an, dürfen jedoch nicht miteinander verwechselt werden. Andere Begriffe können jedoch als Synonym für einen Tätigkeitsbericht verwendet werden.
Ein Audit dient dazu, die Umsetzung der Datenschutzgrundsätze in einem Unternehmen zu überprüfen und gegebenenfalls zu verbessern. Dabei wird das aktuelle Datenschutzniveau untersucht und ausgewertet.
Der Auditbericht hingegen ist die präzise und konkrete (Nach-)Auswertung des Audits. Dabei werden im Besonderen die Auditziele und der Auditumfang unter Nennung des Auftraggebers und der relevanten Kriterien festgehalten.
Die Datenschutzbeauftragten der Bundesländer sind gemäß §59 DSGVO als Aufsichtsbehörden zu einem jährlichen Tätigkeitsbericht verpflichtet. Der Tätigkeitsbericht muss dem Parlament und der Regierung des Landes übergeben werden.
Eine Übersicht jährlich erschienenen Tätigkeitsberichte der einzelnen Bundesländer finden Sie hier: https://www.zaftda.de/.
Ein Datenschutzbericht kann mit einem Tätigkeitsbericht gleichbedeutend verwendet werden.
Neben dem empfohlenen Tätigkeitsbericht fordert die DSGVO weitere Pflichten von den Verantwortlichen. Hierunter fallen allgemeine Dokumentationspflichten, die Rechenschaftspflicht über die Einhaltung der Datenschutzgrundsätze sowie die Nachweispflicht der Einhaltung technischer Sicherheitsmaßnahmen (TOM).
Laden Sie hier ein kostenloses gekürztes Muster eine Datenschutzberichts nach DSGVO herunter. Die Vollversion kann im Shop als Word Version erworben werden.
Nein, es besteht keine gesetzliche Verpflichtung. Gute Gründe sprechen jedoch für die jährliche Erstellung eines Tätigkeitsberichtes.
Der Tätigkeitsbericht ist von Ihrem Datenschutzbeauftragten anzulegen. Er sollte zudem der Geschäftsleitung vorgelegt werden. Es kann aber auch für Unternehmen relevant sein, welche keinen DSB bestellt haben, einfach um den Stand der Umsetzung und Einhaltung der DSGVO zu dokumentieren.
Mangels einer gesetzlichen Verpflichtung bestehen auch keine Vorgaben hinsichtlich des Inhaltes des Tätigkeitsberichtes. Wenn Sie sich jedoch dazu entschlossen haben, jährlich einen Tätigkeitsbericht anzufertigen, sollte er ausreichend präzise und aussagekräftig sein. Mithin sollten Sie wenigstens alle Dokumentationen auflisten, erfolgte und kommende Schulungen, Prüfungen, Stellungnahmen und bearbeitete Auskünfte von Betroffenen enthalten sein sowie mögliche Schwächen des Datenschutzes auflisten.
Auch in der Form des Tätigkeitsberichtes sind Sie völlig frei. Wichtig ist allein, dass übersichtlich die wichtigsten Inhalte dargestellt werden. Diese Inhalte sind natürlich nicht abschließend. Es können auch weitere Inhalte aufgenommen werden, je nachdem was für Ihr Unternehmen als besonders relevant und wichtig angesehen wird. Wenn Sie sich unsicher beim Erstellen des Berichtes sind, können Sie sich am empfohlenen Mindestinhalt orientieren oder ein ausführliches Muster im Vorlagenpaket erwerben.
Mit diesen Empfehlungen können Sie beim Erstellen Ihres Tätigkeitsberichtes nichts falsch machen! Auch wenn Sie dazu nicht verpflichtet sind, sollten Sie sich stets vor Augen halten, dass der Bericht Ihnen und Ihrem Datenschutzbeauftragten bei der Erstellung und Führung eines geeigneten Datenschutzmanagementsystems helfen soll. Mit wenig Aufwand organisieren sie Ihre Datenschutzvorkehrungen effizient und übersichtlich. Bei Komplikationen und möglichen Datenschutzverletzungen können Sie schneller reagieren.
https://www.zaftda.de/
← Verzeichnis von Verarbeitungstätigkeiten nach DSGVO – wen trifft die Pflicht? (Update 2020)
Die DSGVO für Kleinstunternehmen, Einzelunternehmer und Selbstständige →

References: § 59
 § 5
 § 24
 § 57
 § 58
 § 82
 Art. 4
 Art. 39
 Art. 38
 §59