Startseite > Office & Kommunikation > Checkliste für die EU-DSGVO

10 Fragen

Checkliste für die EU-DSGVO

28. März 2018, 10:33 Uhr | Axel Pomper

Fortsetzung des Artikels von Teil 1

Weitere Fragen zum EU-DSGVO-Check

Kennen Sie das Konzept „Privacy by Design“?

Nein? Dieses Konzept stellt eine weitere zentrale Komponente der DSGVO dar und bedeutet nichts anderes, als Datenschutz durch technische Hilfsmittel automatisch sicherzustellen. Alle Projekte, bei denen Unternehmen personenbezogene Daten verarbeiten, müssen mit diesem Ansatz entwickelt werden. Unternehmen müssen auch bestehende Systeme entweder nachrüsten oder durch neue DSGVO-taugliche ersetzen. Der Schutz personenbezogener Daten im Sinne der DSGVO erfolgt am besten durch das frühzeitige Ergreifen technischer und organisatorischer Maßnahmen – sogenannten TOMs – im Entwicklungsstadium. Geeignete TOMs können sein: Pseudonomisierung, Datenminimierung, Transparenz und das fortlaufende Schaffen und Verbessern von Sicherheitsfunktionen.

Wissen Sie, dass in Situationen mit hohem Risiko eine Datenschutz-Folgenabschätzung durchgeführt werden muss?

Nein? Ein neues Werkzeug aus der EU-DSGVO ist die Datenschutz-Folgenabschätzung. Der Begriff des Risikos kommt in der neuen Verordnung häufig vor. Hierbei handelt es sich nicht um ein IT-Risiko, sondern die Rechte und Freiheiten der betroffenen Personen. Unternehmen müssen eine Datenschutz-Folgenabschätzung dann durchführen, wenn neue Technologien eingesetzt werden und die Verarbeitung dazu führt, dass für die Rechte und Freiheiten von Einzelpersonen ein hohes Risiko besteht. Wichtig: auch bei bestehenden Verarbeitungstätigkeiten ist eine Risikobewertung umzusetzen. Von Seiten der Aufsichtsbehörden muss eine Liste publiziert werden, wann eine solche Abschätzung durchzuführen ist.

Haben Sie die notwendigen Prozesse definiert, um im Falle eines Datenschutzverstoßes die betroffenen Personen und die Aufsichtsbehörden innerhalb von 72 Stunden zu informieren?

Nein? Die EU-DSGVO beinhaltet eine klare Vorgabe bei Datenschutzverletzungen: wird dem Unternehmen ein Vorfall bekannt, muss unverzüglich und in der Regel binnen 72 Stunden nach Bekanntwerden bei der zuständigen Aufsichtsbehörde eine Meldung gemacht werden. Eine gänzlich versäumte oder unbegründet verspätete Meldung kann ein beträchtliches Bußgeld nach sich ziehen – bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.

Gibt es in Ihrem Unternehmen einen Datenschutzbeauftragen?

Nein? Mit in Kraft treten der neuen EU-DSGVO müssen Unternehmen, die Einzelpersonen regelmäßig und systematisch überwachen (z. B.: Banken oder Versicherungen) wie auch sensible Daten (z. B.: Krankenanstalten) oder Daten über strafrechtliche Verurteilungen oder Straftaten verarbeiten, einen Datenschutzbeauftragten ernennen. Generell gilt aber, Datenschutz kann nie nur Aufgabe einer einzelnen Person sein, sondern muss im Berufsalltag von jedem Mitarbeiter gelebt werden. Die Missachtung der Verpflichtung zur Bestellung eines Datenschutzbeauftragten ist mit bis zu 10 Millionen Euro oder 2 % des letztjährigen weltweiten Jahresumsatzes sanktioniert. Grundsätzlich steht es jedem Unternehmen frei, einen Datenschutzbeauftragten zu benennen.

Wissen Sie, dass die ISO/IEC 27001 Zertifizierung nicht alle datenschutzrechtlichen Punkte beinhaltet?

Nein? Tatsächlich, eine ISO/IEC 27001 Zertifizierung beinhaltet nicht alle datenschutzrelevanten Punkte und reicht somit als Nachweis eines angemessenen Schutzes gegen unbefugte Zugriffe auf personenbezogene Daten alleine nicht aus. Unternehmen müssen stattdessen prüfen, ob diese Zertifizierung erweitert wurde – zum Beispiel durch Anpassung der Risikobeurteilungsmethode an die Rechte und Freiheiten nach DSGVO. Ein Unternehmen, das eine ISO-Zertifizierung besitzt, ist also nicht automatisch nach der Datenschutzgrundverordnung zertifiziert.

Sie konnten alle 10 Fragen mit „Ja“ beantworten?

Herzlichen Glückwunsch, dann sind Sie offensichtlich gut für den 25. Mai 2018 gerüstet. Falls dies jedoch nicht der Fall ist, können Sie sich mit der „EU-DSGVO Toolbox“ des Cloud-Experten Fabasoft eine Unterstützung ins Unternehmen holen, mit der Sie folgende Dinge verwalten können:

das Verzeichnis der Verfahrenstätigkeiten
die Risikofolgenabschätzung
Vorlagen für Meldungen an die Behörden bei Verstößen
die Prozesse zu den Betroffenenrechten (wie Löschung, Widerruf, Recht auf Auskunft etc.)

Hier können Sie die „EU-DSGVO Toolbox“ kostenlos testen