Source: https://www.anwalt.de/rechtstipps/kompetenzserie-ds-gvo-datenschutzkonzept-die-neue-rechenschaftspflicht_124728.html
Timestamp: 2019-06-25 22:07:15
Document Index: 160616196

Matched Legal Cases: ['Art. 5', 'Art. 5', 'Art. 32', '§ 9', 'Art. 32', '§ 9']

Am 25.05.2018 tritt die DS-GVO in Kraft. Jede verarbeitende Stelle wird ein Datenschutzkonzept bereithalten müssen, d. h. sie wird ein Gesamtkonzept zur Einhaltung des Datenschutzes vorhalten müssen: „Rechenschaftspflicht“. Dieses Datenschutzkonzept muss die Stelle im Rahmen ihrer Ablaufprozesse regelmäßig kontrollieren und ggf. weiterentwickeln.
Die DS-GVO normiert in vielen Regelungen, dass ein Verfahren aufgestellt werden muss, das die Wirksamkeit der Maßnahmen zu Datenschutz und Datensicherheit aufstellt und sodann überprüft, bewertet und evaluiert.
In besonderes Licht soll hier Art. 5 DS-GVO gerückt werden: „Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).“. Damit ist die Nachweispflicht konkret aufgestellt.
Das Datenschutzkonzept hat sämtliche Ablaufprozesse im Datenverarbeitungsprozess zu erfassen, da anderenfalls Bußgelder und Strafen drohen. Der vorgenannte Artikel (Art. 5 DS-GVO) zeigt gleichzeitig die gesetzlich gewollte Perpetuierung auf: die Einhaltung muss fortlaufend nachgewiesen werden – das Gesetz kreiert also eine echte „Rechenschaftspflicht“.
Der Ablaufprozess im Unternehmen muss die fortlaufende Prüfung des Datenschutzkonzeptes beinhalten und nachweisbar dokumentieren. Das Datenschutzkonzept sollte chronologisch an die gesetzliche Vorgabe angepasst werden und sich an dieser Vorgabe „entlang hangeln“. Erfahrungsgemäß sollte das interne Beschwerdemanagement und die Neueinführung von neuen Abläufen (Software, tools etc.) inkludiert werden.
Bereits im Vorfeld den Datenschutzbeauftragten (DSB) hinzuziehen und bereits diese Maßnahme protokollieren.Neben den genannten Punkten werden – viele DSB werden dies meistens bereits in der Vergangenheit umgesetzt haben – einige spezielle Problemkreise abgehandelt werden müssen:
Spezialfall Verzeichnis Dienstleister
Tipp: Dienstleister erstellen und mit dem DSB überprüfen
Spezialfall: Vertragsübersicht
Tipp: Dies wird regelmäßig die HR-Abteilung betreffen. Es gilt daher ein besonderes Augenmerk darauf zu legen!
Spezialfall: Art. 32 DS-GVO Sicherheit der Verarbeitung
Entgegen den Regelungen in dem (noch geltenden) § 9 BDSG werden in Art. 32 Abs. 1 DS-GVO keine konkreten Maßnahmen aufgezählt. Fest steht jedoch: es sind technische und organisatorische Maßnahmen zur Datensicherheit zu treffen.
Tipp: M. E. sollten durchaus mindestens die Punkte des § 9 BDSG (derzeitige Fassung) nebst Anlagen herangezogen und „checkpunktmäßig“ abgehandelt werden. Zudem sind die technischen Aspekte zunehmend und hinreichend zu berücksichtigen
Öffentliche und nicht-öffentliche Stellen, die selbst oder im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften dieses Gesetzes, insbesondere die in der Anlage zu diesem Gesetz genannten Anforderungen, zu gewährleisten …“,
M. E. sollte das Datenschutzkonzept die Ablaufprozesse Organisation, Backup, Virenschutz, Auftragsverarbeitung und Datenschutz-Unterweisung beinhalten.
Wie eingangs aufgezeigt, muss die Perpetuierung sichergestellt werden. Das bedeutet für Unternehmen, das regelmäßige Datenschutz-Kontrollen und die damit einhergehende Anpassung des Datenschutzkonzepts erfolgt.
Sehr geehrter Herr Rechtsanwalt Dr. Schmelzer, ich wende mich an Sie, da ich Ihren Rechtstipp "Kompetenzserie DS-GVO – Datenschutzkonzept: die neue „Rechenschaftspflicht“" gelesen habe. (Bitte beschreiben Sie hier Ihre Situation bzw. Ihren rechtlichen Beratungsbedarf mit möglichst vielen relevanten Details.)