Source: https://www.datenschutzbeauftragter-info.de/datenschutzmanagement-nach-der-dsgvo-leitfaden-fuer-die-praxis/
Timestamp: 2020-01-26 15:29:44
Document Index: 26724986

Matched Legal Cases: ['Art. 5', 'Art. 30', 'Art. 30', 'Art. 35', 'Art.\u200835', 'Art. 28', 'Art. 39', 'Art. 33', 'Art. 34', 'Art. 5', 'Art. 32', 'Art. 24', '§ 9', 'Art. 32', '§ 9', 'Art. 32', '§ 9', 'Art.\u200883', '§ 5', 'Art. 5', 'Art. 5', 'Art. 3', 'Art. 6', '§ 11']

25. Oktober 2016 |	20 Kommentare | von Katrin Rammo
Die Datenschutz-Grundverordnung (DSGVO) verpflichtet Unternehmen ein Datenschutzmanagement einzuführen, das den Schutz der personenbezogenen Daten in Unternehmen sicherstellen soll. Unser Leitfaden unterstützt Sie bei der Einführung eines Datenschutzmanagementsystems nach der DSGVO. Dieser Artikel ist Teil unserer Reihe zur EU-Datenschutz-Grundverordnung.
Regelungen zum Datenschutzmanagement in der DSGVO
Prozess für die Wahrnehmung von Betroffenenrechten
Nachweis der Datensicherheit
In Deutschland ist das Datenschutzrecht bislang im Bundesdatenschutzgesetz (BDSG) und in vielen speziellen Gesetzen geregelt. Ab dem 25. Mai 2018 wird das BDSG durch die EU-Datenschutz-Grundverordnung (DSGVO) abgelöst.
Die für das Datenschutzmanagement relevanten Normen finden sich in der Verordnung an vielen unterschiedlichen Stellen, beispielsweise:
Alles schön und gut. Die große Frage ist aber: Wie soll in der Praxis ein Datenschutzmanagementsystem in einem Unternehmen aussehen, um in der Lage zu sein, alle Vorgaben der Datenschutz-Grundverordnung zu erfüllen?
Im Folgenden werden die einzelnen Dokumente kurz dargestellt, jedoch ohne einen Anspruch auf Vollständigkeit. Es handelt sich lediglich um eine erste Empfehlung, wie an das Thema Datenschutzmanagement in einem Unternehmen herangegangen werden kann.
Die Datenschutz-Grundverordnung bringt für Unternehmen umfassende Nachweispflichten mit sich (sog. „accountability”). Die Unternehmen müssen nicht nur sicherstellen, dass sie die Vorgaben der Datenschutz-Grundverordnung erfüllen, sondern dies zudem auch nachweisen können, vgl. Art. 5 Abs. 2 DSGVO. Das heißt, die Unternehmen müssen beweisen können, dass sie geeignete Datenschutzrichtlinien und geeignete Datenschutzvorkehrungen umsetzen. Andernfalls drohen Bußgelder, Schadensersatzansprüche und weitere Nachteile. Die Datenschutzrichtlinie sollte daher folgende, zu regelnden Punkte umfassen:
Auch die beste Datenschutzrichtlinie macht keinen Sinn, wenn sie nicht gelebt wird. Die Datenschutzrichtlinie muss also von den Mitarbeitern im Unternehmen umgesetzt werden. Je nach Größe des Unternehmens kann es sich empfehlen – zusätzlich zu dem Datenschutzbeauftragten des Unternehmens – in den verschiedenen Abteilungen einen Verantwortlichen für den Datenschutz/Datenschutz-Koordinator zu benennen, der als Koordinierungsstelle zwischen dem Datenschutzbeauftragten und den Mitarbeitern in seiner Abteilung dient. Dieser Verantwortliche (beispielsweise der Abteilungsleiter) hat dafür zu sorgen, dass alle datenschutzrechtlich relevanten Sachverhalte aus seiner Abteilung an den Datenschutzbeauftragten weitergeleitet werden. Die Schulung und Sensibilisierung der Mitarbeiter sollte aber der Datenschutzbeauftragte selbst übernehmen.
In der Datenschutzrichtlinie sind die Fälle zu definieren, in denen die Mitarbeiter den Datenschutzbeauftragten anzusprechen und einzubinden haben. Hat das Unternehmen sich dafür entschieden, dass die Mitarbeiter sich zunächst an den Datenschutz-Koordinator wenden sollen, dann gelten diese Fälle auch für diesen (ausgenommen sind vertrauliche Anfragen, in denen die Rechte des Mitarbeiters selbst betroffen sind). Als solche „meldepflichtige“ Fälle gelten insbesondere (aber nicht ausschließlich):
Einführung eines neuen Systems/Tools
Einsatz eines neuen Dienstleisters
Werbemaßnahmen (z.B. Versand von Newsletter)
Onlinemarketing-Maßnahmen (Google AdWords, Conversion Tracking, etc.)
In jedem Unternehmen hat der Datenschutzbeauftragte die datenschutzrechtlich relevanten Sachverhalte zu definieren und in die Datenschutzrichtlinie aufzunehmen. Diese Liste kann und muss nicht abschließend sein, sondern sollte vor allem als Handlungshilfe für die Mitarbeiter dienen und nachträglich ergänzt werden können.
Um personenbezogenen Daten nach Maßgaben der Datenschutz-Grundverordnung schützen zu können, muss das verantwortliche Unternehmen zunächst ermitteln, in welchen Fällen personenbezogene Daten – z.B. von Kunden, Lieferanten oder Beschäftigten – erhoben und verarbeitet werden. Als erster Anhaltspunkt bietet es sich an, alle Systeme bzw. Tools im Unternehmen aufzulisten, in welchen personenbezogenen Daten gespeichert werden.
Eine solche Vorgehensweise ist aus zwei Gründen sinnvoll: Einerseits können dadurch die Datenflüsse im Unternehmen ermittelt und definiert werden. Zusätzlich wird ein erster Grundstein für das Verzeichnis von Verarbeitungstätigkeiten gelegt.
Eine Unterscheidung zwischen dem öffentlichen und internen Verfahrensverzeichnis wird es nach der Datenschutz-Grundverordnung nicht mehr geben. Nach Art. 30 DSGVO ist der Verantwortliche verpflichtet, ein Verzeichnis von Verarbeitungstätigkeiten zu führen. In diesem Verzeichnis sind die wesentlichen Informationen zu Datenverarbeitungstätigkeiten zusammenzufassen, insbesondere also Angaben zum Zweck der Verarbeitung und eine Beschreibung der Kategorien der personenbezogenen Daten, der betroffenen Personen und der Empfänger. Da eine Übersicht über alle Datenverarbeitungsvorgänge in einem Dokument schnell unübersichtlich wird, wird das Verzeichnis in der Praxis in der Regel aus vielen verschiedenen Einzelverzeichnissen bestehen. So sollte für jedes Tool bzw. System (z.B. Zeiterfassungssystem, CRM-System, Bewerbertool, HR-Managementtool, etc.) ein eigenes Verzeichnis der Verarbeitungstätigkeiten erstellt werden.
Die neuen Verzeichnisse von Verarbeitungstätigkeiten ähneln inhaltlich den bisherigen internen Verfahrensverzeichnissen nach dem BDSG. Daher dürften für Unternehmen, die bereits jetzt über strukturierte Verfahrensübersichten verfügen, die Vorgaben des Art. 30 DSGVO keine größeren Probleme bereiten.
Weitere Hinweise finden Sie in unserem Beitrag:
Daneben sind Unternehmen in bestimmten Fällen verpflichtet, eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen. Diese sind durchzuführen, wenn eine Form der Verarbeitung wahrscheinlich ein hohes Risiko für personenbezogenen Daten verursacht, insbesondere bei neuen Technologien oder aufgrund ihres Wesens, ihres Umfangs, ihres Kontexts oder ihrer Zwecke.
Die Aufsichtsbehörden für den Datenschutz sind gehalten, Listen von Verarbeitungsvorgängen zu erstellen, bei denen typischerweise Folgenabschätzungen nach Art. 35 DSGVO vorgeschrieben sind (sog. Positivlisten). Ebenso erstellen die Datenschutz-Aufsichtsbehörden Listen von Vorgängen, bei denen Folgenabschätzungen entbehrlich sind (sog. Negativlisten).
Mehr zum Thema Datenschutz-Folgenabschätzung können Sie hier nachlesen.
Im Rahmen des Vertragsmanagements empfiehlt es sich, alle von einem Unternehmen eingesetzten Dienstleister in einer Liste zusammenzufassen – dies zunächst unabhängig davon, ob sie personenbezogenen Daten verarbeiten oder nicht. Im nächsten Schritt hat der Datenschutzbeauftragte zu prüfen,
ob durch den Dienstleister personenbezogenen Daten erhoben, genutzt, übermittelt oder verarbeitet werden,
ob eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich ist und
ob diese bereits abgeschlossen wurde.
Im Anschluss kann der Datenschutzbeauftragte prüfen, welche Verträge nach den Vorgaben der Datenschutz-Grundverordnung angepasst bzw. geändert werden müssen.
Ein solches Vertragsmanagement könnte beispielsweise wie folgt aussehen:
Die Mitarbeiter sollten auch weiterhin auf das Datengeheimnis verpflichtet werden, auch wenn dies in der Datenschutz-Grundverordnung nicht mehr ausdrücklich geregelt ist. Eine solche Verpflichtung kann als erste Maßnahme zur Sensibilisierung der Mitarbeiter angesehen werden.
Im Rahmen der Datenschutzschulungen hat der Datenschutzbeauftragte die ordnungsgemäße Durchführung zu überwachen. Dies gehört zu seinen Tätigkeitsaufgaben gemäß Art. 39 Abs. 1 DSGVO. Die Datenschutz-Schulung und die Verpflichtung auf das Datengeheimnis sind beide als Teil der organisatorischen Maßnahmen anzusehen, die dem Schutz der personenbezogenen Daten dienen. In der Praxis werden die Schulungen häufig dem Datenschutzbeauftragten übertragen.
Bevor ein Prozess zur Wahrnehmung von Betroffenenrechten implementiert werden kann, muss der Verantwortliche sich klar machen, welche Rechte die Betroffenen überhaupt haben.
Die Betroffenen einer Datenverarbeitung haben folgende Rechte:
Mit der Datenschutz-Grundverordnung vervielfachen sich die von Verantwortlichen zu berücksichtigenden Pflichten in Bezug auf die Information von Betroffenen. Die Betroffenen sollen wissen, wer welche Daten zu welchem Zweck über sie erhebt und in die Lage versetzt werden, die Datenerhebung, -verarbeitung bzw. –nutzung zu prüfen.
Diese Anforderung kann nur dann erfüllt werden, wenn das verantwortliche Unternehmen die Betroffenen ausreichend über die Datenverarbeitungsvorgänge informiert. Um die Betroffenen informieren zu können, müssen im Unternehmen wiederum die Sachverhalte ermittelt werden, in welchen Informationspflichten bestehen (beispielsweise Anmeldung zum Newsletter, Abschluss eines Kaufvertrages im Onlineshop, etc.). Den Inhalt der Informationspflichten haben wir in unserem Blog bereits dargestellt.
Des Weiteren sollte definiert werden, wie zu reagieren ist, falls ein Betroffener (Kunde, Interessent oder Mitarbeiter) von seinen Rechten Gebrauch macht: An wen und in welcher Frist soll die E-Mail, der Brief oder das Telefonat des Betroffenen weitergeleitet werden und wer ist für die Bearbeitung des Anliegens zuständig? Was ist dabei zu beachten (Stichwort: „Vertraulichkeit“)? Wer sind die Ansprechpartner für verschiedene Systeme, um beispielsweise die Löschung von Kundendaten überall im Unternehmen gewährleisten zu können (falls der Löschungsanspruch begründet ist)?
Die ausführlichere Darstellung der Betroffenenrechte können Sie aus unserem Artikel Neues EU-Datenschutzgesetz: Das sind Ihre Rechte entnehmen.
Nach Art. 33 Abs. 1 DSGVO müssen Unternehmen im Falle einer Verletzung des Schutzes personenbezogener Daten unverzüglich – möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde – die Verletzung bei der zuständigen Aufsichtsbehörde melden. Von einer Meldung kann abgesehen werden, wenn die Verletzung des Schutzes personenbezogener Daten voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten von natürlichen Personen führt.
Nach Art. 34 DSGVO sind bei einem hohen Risiko für die persönlichen Rechte und Freiheiten zusätzlich die Betroffenen zu informieren.
Um diesen Melde- bzw. Informationspflichten nachkommen zu können, muss im Unternehmen ein Prozess implementiert werden, dass die Verletzung des Schutzes personenbezogenen Daten erkannt, der Sachverhalt an den Datenschutzbeauftragten weitergeleitet und anschließend von diesem bewertet wird. Der Datenschutzbeauftragte hat dabei zu prüfen, ob ein normales oder ein hohes Risiko für die Rechte und Freiheiten von Betroffenen vorliegt (bzw. ob überhaupt ein Risiko vorliegt).
Die neuen Vorgaben für die „Sicherheit der Verarbeitung“ finden sich hauptsächlich in Art. 5 Abs. 1 f) DSGVO sowie in Art. 32 DSGVO. Zudem normieren weitere Bestimmungen wie z.B. Art. 24, 25, 36 DSGVO die Datensicherheit.
§ 9 BDSG inklusive Anlage wird durch Art. 32 DSGVO ersetzt. In dieser Bestimmung finden sich lediglich abstrakte Anhaltspunkte zur Umsetzung technischer und organisatorischer Maßnahmen. Konkrete Maßnahmen, wie in der Anlage zu § 9 BDSG aufgezählt, werden in Art. 32 Abs. 1 DSGVO (abgesehen von der Pseudonymisierung und Verschlüsselung) nicht genannt. Die Datensicherheitsgebote (von der Zutritts- bis zur Trennungskontrolle) werden durch Begriffe und Beschreibungen ersetzt, die auf den ersten Blick interpretationsbedürftig erscheinen und die vermutlich noch von den Aufsichtsbehörden bzw. der Praxis konkretisiert werden.
Welche Aspekte bei den technischen und organisatorischen Maßnahmen nach der Datenschutz-Grundverordnung zu beachten sind, können Sie in unserem Artikel Datenschutz-Grundverordnung und Datensicherheit nachlesen.
Es empfiehlt sich aktuell, die Maßnahmen der Datensicherheit in einem Konzept – ähnlich wie bisher nach § 9 BDSG inkl. Anlage – zu dokumentieren und fortlaufend zu aktualisieren.
Drohen Bußgelder trotz Datenschutzmanagement?
Ein Datenschutzmanagementsystem kann zwar bei unbeabsichtigten Datenschutzverstößen nicht mit Sicherheit den Vorwurf der Fahrlässigkeit entfallen lassen, ist jedoch nach Art. 83 Abs. 2 d) zumindest bußgeldmindernd zu berücksichtigen. Zudem ermöglicht ein effizientes System eine schnelle Reaktion des Unternehmens, falls es tatsächlich zu Datenschutzverstößen kommt.
Die Umsetzung der Datenschutz-Grundverordnung wird fast alle Unternehmen vor große Herausforderungen stellen, für welche es in absehbarer Zeit keine Patentlösung geben wird. Daher freuen wir uns, wenn Sie ihre eigenen Erfahrungen mit uns teilen. Wie sieht die Implementierung des Datenschutzmanagement bei Ihnen aus? Wie ist der aktuelle Stand und wo sehen Sie besondere Probleme?
Mehr zum Thema: Betroffenenrechte, Datengeheimnis, Datenschutz-Grundverordnung, Datenschutzbeauftragter, Datenschutzmanagement, Datenschutzorganisation, Datenschutzrichtlinie, EU-DSGVO
Ich finde diesen Newsletter ausgesprochen gut. Zu den hier beschriebenen Themen befinden wir uns bereits in der Umsetzungphase und von daher dienen diese Informationen als eine sehr gute „Checkliste“.
RB_Cla am 26. Oktober 2016, 10:09 Uhr
Ich als DSB frage mich was gemacht werden soll.
Es steht ja noch nicht mal fest ob es den DSB in der Form noch geben wird. Das „nachgebesserte BDSG“ wird es zeigen, wenn es pünktlich kommt. Ich habe da meine Zweifel. Hoffe jedoch, dass die Bundesregierung sich dessen bewusst ist, was ein DSB so macht und das er gebraucht wird.
Ja, abwarten ist keine Lösung aber keine weis wo die Reise hingeht. Die DSGVO ist für Deutschland und ich spreche für den nicht öffentlichen Bereich (also Wirtschaftsunternehmen) keine Verbesserung!! Oder glaubt man wirklich es werden Datenschutzmanagements in einer so kurzen Zeit eingeführt? Hier geht alles etwas an der Realität vorbei.
DSB am 26. Oktober 2016, 14:07 Uhr
Nach den uns vorliegenden Informationen sollte es in Deutschland bezüglich der Bestellpflicht eines Datenschutzbeauftragten bei der bisherigen Regelung bleiben. Des Weiteren sind wir sehr zuversichtlich, dass viele Unternehmen in Deutschland weiterhin einen Datenschutzbeauftragten haben werden, auch wenn dies nach dem Gesetz nicht mehr verpflichtend sein sollte.
Wir geben Ihnen Recht – eine Frist von 2 Jahren für die Einführung eines Datenschutzmanagementsystems ist sehr knapp bemessen. Aber wie Sie auch sagen, abwarten ist keine Lösung. Daher sollten bereits jetzt einige Themen, wie sie beispielsweise in dem Artikel genannt sind, angegangen werden.
Dr. Datenschutz am 3. November 2016, 19:20 Uhr
Soweit eine nette Zusammenfassung. Vielen Dank dafür!
Ein Rückfrage habe ich jedoch: Sie sagen, dass man weiterhin auf das Datengeheimnis verpflichten sollte, obwohl es hierzu kein Äquivalent in der DSGVO gibt. Ich frage mich, wie man das praktisch umsetzen soll. Zurzeit verpflichtet man ja auch nicht einfach nur auf „das Datengeheimnis“, sonder auf „das Datengeheimnis im Sinne des § 5 BDSG“, da der Begriff ansonsten doch sehr unbestimmt ist. Woran soll man in Zukunft die Bedeutung des Begriffs „Datengeheimnis“ herleiten?
Datenschutz-Freund am 2. November 2016, 12:32 Uhr
Die Regelung, dass die Mitarbeiter die personenbezogenen Daten nicht unbefugt erheben, verarbeiten oder nutzen dürfen, hat auch weiterhin Geltung. Wann eine Datenerhebung, -verarbeitung oder -nutzung unbefugt ist, gibt auch die DSGVO vor. Beispielsweise ist in Art. 5 DSGVO geregelt, nach welchen Grundsätzen die Verarbeitung personenbezogener Daten zulässig ist. In der neuen Verpflichtungserklärung auf das Datengeheimnis müssen aus meiner Sicht nicht unbedingt die Normen genannt werden (es sei denn, die persönliche Haftung der Mitarbeiter wird in dem Allgemeinen Datenschutzgesetz in Deutschland explizit geregelt, siehe Entwurf konkretisiert persönliche Haftung bei Datenschutzverstößen, oder falls die Datenschutzaufsichtsbehörden eine anderweitige Empfehlung geben). Vielmehr soll die Verpflichtungserklärung die Grundregeln des Datenschutzes, an die sich jeder Mitarbeiter halten sollte, beinhalten.
Dr. Datenschutz am 3. November 2016, 11:44 Uhr
Ideal wäre in der Tat eine Empfehlung der Aufsichtsbehörden, da gebe ich Ihnen Recht. Ein Herleitung (u.a.) aus Art. 5 DSGVO erscheint mir bis dahin tatsächlich sinnvoll.
Datenschutz-Freund am 7. November 2016, 10:39 Uhr
Hallo. Ich bin neu im Datenschutzbereich und finde daher den Newsletter und vor allem diese Seite sehr hilfreich. Was mich jedoch verwirrt ist die Frage, ob für alle Unternehmen in Deutschland das DSGVO gültig ist oder nur für solche, die auch außerhalb von Deutschlang agieren. Wir sind im Sozial- und Gesundheitswesen und arbeiten nur innerhalb Deutschland, bisher gelten neben dem BDSG auch andere Gesetze für uns die datenschutzrechtlich relevant sind
Frischling am 25. November 2016, 10:24 Uhr
Die Datenschutz-Grundverordnung ist eine EU-Verordnung. Die Datenschutz-Grundverordnung findet unter den Voraussetzungen des Art. 3 I DSGVO für alle Unternehmen in Deutschland Anwendung und wird somit das BDSG in seiner heutigen Form ersetzen. Die Datenschutz-Grundverordnung gesteht den nationalen Gesetzgebern aber gewisse „Regelungsspielräume“ zu. Wie genau diese ausgestaltet werden, wird gerade verhandelt. Mehr dazu: DSAnpUG-EU: Auch 2. Entwurf des Ausführungsgesetzes wird kritisiert. Daher wird es auch zukünftig weitere nationale Gesetze (neben der DSGVO) geben, welche für Sie datenschutzrechtlich relevant sein dürften.
Dr. Datenschutz am 25. November 2016, 14:44 Uhr
Welche Aufsichtsbehörde hat schon sogenannte Positiv- oder Negativlisten veröffentlicht?
JanK am 24. August 2017, 15:17 Uhr
Eine solche Liste wurde noch nicht veröffentlicht und aktuell ist fraglich, ob überhaupt eine solche Liste von den Landesdatenschutzbehörden veröffentlicht wird. Man munkelt, dass die Landesdatenschutzbehörden eine solche Liste nicht veröffentlichen wollen. Es bleibt also spannend.
Dr. Datenschutz am 28. August 2017, 11:25 Uhr
Als Neuling beim Thema Datenschutz bedanke ich mich für den Artikel als Einführung in das Thema. Grundsätzlich finde ich es wichtig, dass Privatpersonen die Möglichkeit haben, gegen ungewollte Nutzung ihrer Daten vorzugehen. Allerdings greift die DSGVO auch auf den B2B Bereich über (in dem ich tätig bin) und ich muss jetzt meine Geschäftsbeziehungen mit lauter Einwilligungserklärungen belasten und das im Prinzip dafür, dass ich die Mailadresse und Telefonnumer nutzen kann, die mir meine Kunden vorher gegeben haben, damit wir den Auftrag abwickeln können.
Für mich bedeutet es: viel Produktion von Verwaltungsarbeit, die voraussichtlich unbemerkt herumliegt und „halt da ist“, so wie früher die Dokumentationen zu Qualitätsmanagement, die man in den 90ern eingeführt hat.
Käptn Clever am 13. Oktober 2017, 21:28 Uhr
Schauen Sie in Art. 6 DSGVO rein. Sie brauchen keine Einwilligung, wenn die Nutzung der personenbezogenen Daten für die Abwicklung eines arechtsgeschäfts erforderlich sind.
Kats am 18. Mai 2018, 20:07 Uhr
Ich würde gerne wissen welches Datenschutzmanagementsystem Sie bevorzugen. Bei uns sollte das System eine Kombination aus Ticket-/Datenschutzsystem sein. Die Dokumenten und E-Mail Verläufe über personenbezogene Daten sollten dokumentiert und archiviert werden.
Systemsucher am 12. Dezember 2017, 18:50 Uhr
Ein Datenschutzmanagementsystem ist weniger eine Software, sondern vielmehr ein Zusammenspiel diverser dokumentierter Prozesse und Maßnahmen. Das Ganze kann aber teilweise natürlich softwaregestützt ablaufen. Softwareseitig setzen wir selbst eigene Lösungen ein, am Markt gibt es zum Beispiel „Otris Privacy“.
Dr. Datenschutz am 14. Dezember 2017, 13:20 Uhr
Können Sie auch open-source-tools empfehlen. Ein Ticketsystem wie OSTicket ist evtl. auch eine gute Software oder?
Systemsucher am 15. Januar 2018, 21:56 Uhr
Im Open-Source-Bereich ist bei Datenschutz verinice einschlägig. Es ist zwar vom Ursprung her ein Informationssicherheitsmanagement-System (verwandtes Thema), erlaubt jedoch auch Erfassung der Datenschutzaspekte der Prozesse, und in der neusten Version ist auch die DSGVO berücksichtigt. Zum Dokumentenmanagement gibt es gleich mehrere Open-Source-Lösungen. Hier ist jedoch unbedingt auch auf GoBD-Konformität zu achten. Einschlägig wären hier bitfarm und Agorum.
Gast am 4. Juni 2018, 21:43 Uhr
Anders als dargestellt ist es nicht Aufgabe des Datenschutzbeauftragten, die Mitarbeiter/-innen zu schulen. Dies ist Aufgabe des Verantwortlichen. Der Datenschutzbeauftragte hat nur zu überwachen, ob der Verantwortliche seiner Pflicht nachgekommen ist.
BW am 16. Februar 2018, 10:35 Uhr
Dies ist zutreffend. Vielen Dank für Ihren Hinweis. Die entsprechende Stelle wurde überarbeitet.
Dr. Datenschutz am 16. Februar 2018, 12:45 Uhr
Bitte aktualisieren: Unter dem Punkt „Vertragsmanagement“ nehmen Sie noch Bezug auf das alte BDSG (hier § 11 zur AuftragsDV).
DSGVO-Fuzzi am 4. September 2019, 14:02 Uhr
Vielen Dank für den Hinweis, wir haben die Stelle nun aktualisiert.
Dr. Datenschutz am 4. September 2019, 17:43 Uhr