Читать книгу: «Datenschutz für Unternehmen»

4.3 Praktische Umsetzung eines DPMS

In den nachstehenden Abschnitten werden die Arbeitspakete erläutert, welche für die Umsetzung eines Datenschutzprojektes bzw. für die Integration eines DPMS erforderlich sind. Diese können sich je nach Branche, Größe und Organisationsform des jeweiligen Unternehmens unterscheiden. Ein unternehmensweit konsistent implementiertes DPMS kann, basierend auf den nachfolgend skizzierten Arbeitspaketen, die effiziente und effektive Umsetzung der Anforderungen durch die Datenschutzorganisation unterstützen.

4.3.1 Compliance-Organisation

In vielen Unternehmen können die angestrebten Ziele zum Datenschutz nur dann erreicht werden, wenn die entsprechenden Prozesse organisatorisch umgesetzt werden und deren Einhaltung überwacht wird. Innerhalb der Datenschutzorganisation sind daher die anfallenden Aufgaben qualifizierten Mitarbeitern eindeutig zuzuordnen. Nur so kann gewährleistet werden, dass alle wichtigen Aspekte berücksichtigt und sämtliche Aufgaben effizient und effektiv abgearbeitet werden.

Liegt die Verantwortung für den Datenschutz in den oberen Hierarchien eines Unternehmens und fällt die Umsetzung der Anforderungen im DPMS komplex aus, werden zusätzliche entsprechend qualifizierte Mitarbeiter benötigt. Ist ein Betrieb auch noch an mehreren Standorten in mehreren Ländern vertreten, stellt sich früher oder später die Frage der zentralen oder dezentralen Datenschutzorganisation.

4.3.1.1Die Hauptansprechperson

Anders als zB in Deutschland gab es in Österreich vor Inkrafttreten der DSGVO keine Vorgaben zur Bestellung von Datenschutzbeauftragten (Data-Protection-Officer, DPO) oder Auflagen hinsichtlich deren Aufgaben, Rechte und Pflichten. Wenngleich diese Rolle in einigen Unternehmen existierte, war sie nicht gesetzlich begründet. Somit waren auch die Aufgaben, Rechte und Pflichten eines Datenschutzbeauftragten (vor Geltungsbeginn der DSGVO) nicht normiert und nicht zwischen Organisationen vergleichbar. Mit der DSGVO hat sich dies geändert: Ob ein DPO bestellt werden muss oder nicht, ist in Art 37 geregelt. Personenbezogene Daten werden jedoch in allen Unternehmen verarbeitet – also auch in solchen, die nicht unter die Vorgaben von Art 37 fallen. Daher ist ein rechtskonformer Umgang und die Erfüllung der Pflichten (u. a. Rechenschaftspflicht, Verantwortlichkeit, Zusammenarbeit mit den Aufsichtsbehörden, Informationsbereitstellung) auch in Organisationen ohne DPO sicherzustellen.

Um die DSGVO-Konformität zu gewährleisten, wird in Organisationen oftmals eine entsprechende Position geschaffen, welche als Hauptansprechperson die Beantwortung von auftretenden Fragen oder die Bewältigung von entstandenen Herausforderungen koordiniert. Meist agiert diese Hauptansprechperson als Schnittstelle zwischen Expertengruppen wie (internen oder externen) Rechtsanwälten, der IT-Abteilung oder der Personalabteilung. In der Praxis haben sich für diese Position Bezeichnungen wie „Datenschutzmanager“ oder „Datenschutzkoordinator“ etabliert. Diese Begriffe sind jedoch weder in der DSGVO noch im DSG definiert.

4.3.1.2Zentraler oder dezentraler Aufbau der Datenschutzorganisation

Die Frage, ob eine Datenschutzorganisation zentral oder dezentral aufgebaut werden sollte, wird in letzter Zeit immer wieder diskutiert. Jedes Unternehmen muss die Vor- und Nachteile der jeweiligen Organisationsform für sich abwägen und darauf basierend eine Entscheidung treffen. Erfahrungen zeigen, dass die Gestaltung der Datenschutzorganisation meist an die im Unternehmen übliche Gestaltung angelehnt wird. Jedoch gibt es in der Praxis auch Fälle, in denen Unternehmen, die eigentlich großen Wert auf eine dezentrale Organisation legen, aus übergeordneten Gründen eine zentrale Datenschutzorganisation etabliert haben.

Als wesentlicher Vorteil für einen zentralen Aufbau der Datenschutzorganisation wird die sich daraus ergebende Bündelung sämtlicher Planungs- und Umsetzungsaktivitäten gesehen. Oftmals ist der zentrale Aufbau eines „Datenschutzkompetenzzentrums“ in einem Unternehmensverband kostengünstiger im Betrieb und in der Erweiterung als mehrere dezentral agierende Einheiten. Durch ein effektives Reporting und einen wohldurchdachten Kommunikationsweg kann sichergestellt werden, dass es nicht zu Kompetenzüberschneidungen oder Doppelgleisigkeiten kommt. Gerade die organisationsübergreifende Richtlinienkompetenz, also die Etablierung von identischen Standards und Vorgaben sowie ein einheitliches Vokabular, eine risikoorientierte Aktivitätsplanung und eine einheitliche Berichterstattung an die oberste Geschäftsleitung haben sich als wesentliche Argumente für eine zentrale Datenschutzorganisation bewährt.

Mehrere dezentral organisierte Datenschutzorganisationseinheiten innerhalb eines Unternehmens bringen vielfach den entscheidenden Mehrwert, räumlich in der Nähe der zu betreuenden Geschäftseinheit angesiedelt zu sein, mit sich. Diese ist mit dem Geschäftsmodell und den Besonderheiten vor Ort vertraut. In jedem Fall sind dezentrale Compliance-Einheiten über die Risiken vor Ort besser und umfassender informiert als eine zentrale Einheit. Nicht zu unterschätzen ist in diesem Zusammenhang der prinzipielle Aufbau bzw. die Eigenständigkeit der Organisationseinheiten. Unterscheiden sich die Geschäftsfelder und infrastrukturelle Gegebenheiten, wie zB die eingesetzten IT-Systeme, in denen personenbezogene Daten verarbeitet werden, von jenen des Hauptquartiers, kann die Nähe zu den Akteuren mithin das entscheidende Argument für eine dezentrale Organisationsform sein.

4.3.1.3Der kombinierte Ansatz

Gerade in Unternehmen, die in mehreren Branchen und/oder Ländern aktiv sind, hat sich eine Kombination aus einem zentralen und dezentralen Aufbau der Datenschutzorganisation etabliert.

Abbildung 4

Einbettung in kombiniertem Modell

Quelle: Eigene Darstellung

Dieses in Abbildung 4 dargestellte kombinierte Modell besteht aus einer zentralen Stelle („Datenschutz“) und Ansprechpersonen („Koordinatoren“) in den einzelnen Niederlassungen oder Abteilungen (nachfolgend „Organisationseinheit“ oder „OE“, im Englischen auch business unit genannt).

Die Mitarbeiter des zentralen Datenschutzteams verfügen über juristisches Fachwissen, technisches Verständnis über die Konzern-IT und abteilungsübergreifende Kenntnisse der Unternehmensabläufe. Die Koordinatoren hingegen sind in die lokalen Abläufe eingegliedert, sind üblicherweise über lokale Entwicklungen (zB unternehmensexterne Änderungen wie lokale Rechtsprechung oder neue unternehmensintern geplante Projekte mit Auswirkungen auf den Datenschutz) informiert und haben einen direkten Kontakt zu lokalen Entscheidungsträgern und Behörden, wodurch eine frühzeitige Klärung datenschutzrelevanter Fragestellungen ermöglicht wird. Die Koordinatoren agieren als lokale Ansprechpersonen für die Umsetzung der Datenschutzagenden. Sie nehmen die Schnittstellenfunktion zum zentralen Datenschutzteam wahr, sind in regelmäßigem Austausch mit dem zentralen Team und tragen die sich daraus ergebenden Themen und Tätigkeiten in die jeweilige Organisationseinheit hinein. Des Weiteren können sie als erste Anlaufstelle für die lokale Belegschaft aller Bereiche, die die DSGVO betreffen, agieren.

4.3.1.4Aufgaben der zentralen Datenschutzorganisation

Die zentrale Datenschutzorganisation ist für die folgenden Aufgaben zuständig:

+Betreuung des DPMS:

+laufende Verbesserung des DPMS (zB aufgrund regulatorischer Änderungen),

+Erstellung und ggf. regelmäßige Anpassungen von internen Datenschutzrichtlinien,

+Einführung von Schulungskonzepten zum Datenschutz,

+Förderung der internationalen Zusammenarbeit zum Datenschutz (aktive ­Vernetzung).

+Beratung und Koordination:

+Beratung von Management, Mitarbeitern und Betroffenen in sämtlichen datenschutzrechtlichen Fragen, Ausarbeitung sämtlicher datenschutzrechtlicher Verträge und Zusätze,

+Beratung und Koordination der dezentralen Koordinatoren,

+Beratung bei der Definition und Koordination operativer Aufgaben (zB Koordination von Prüfungen von Auftragsverarbeitern, technischen Systemsicherheitsmaßnahmen oder Verfolgung potenzieller Datenschutzverletzungen).

+Berichtswesen (Reporting):

+Erfassung und Meldung von Datenschutzverletzungen,

+laufendes Reporting an interne (zB oberste Leitungsorgane) und externe (zB Aufsichtsbehörden) Stakeholder.

4.3.1.5Aufgaben der Koordinatoren

Die einzelnen Koordinatoren sind zuständig für:

+Kernaufgaben in der eigenen OE:

+erste Anlaufstelle für sämtliche Anfragen mit Datenschutzbezug,

+Abstimmung der Aktivitäten, regelmäßiger Austausch mit der zentralen Datenschutzorganisation oder Mediator zwischen der zentralen Datenschutzorganisation und der eigenen OE,

+erste Eskalationsstufe für eigene Mitarbeiter.

+Operative Unterstützung der zentralen Datenschutzorganisation:

+Unterstützung bei der Einführung bzw. Adaptierung von IT-Systemen innerhalb der eigenen OE,

+Führung einer aktuellen Aufstellung aller verwendeten IT-Systeme innerhalb der eigenen OE,

+Einbeziehung der zentralen Datenschutzorganisation bei Änderungen von bestehenden Vereinbarungen mit Auftragsverarbeitern innerhalb der eigenen OE,

+Führung einer aktuellen Aufstellung sämtlicher interner und externer Auftragsverarbeiter, die in einem Vertragsverhältnis zur eigenen OE stehen,

+Überwachung der für die DSGVO relevanten Prozesse innerhalb der eigenen OE auf Einhaltung der Datenschutzgrundsätze,

+vollumfängliche Dokumentation („Verzeichnis der Verarbeitungstätigkeiten“) sämtlicher die DSGVO betreffende Prozesse innerhalb der OE.

4.3.2 Informationssicherheit und Datenschutz

Die Basis für den Datenschutz liefert die Informationssicherheit in einem Unternehmen (Details siehe Kapitel 12).

Bei der Informationssicherheit geht es nicht nur um den Schutz von personenbezogenen Daten, sondern um den Schutz sämtlicher Unternehmensinformationen. Unter Unternehmensinformationen sind sämtliche physische und nicht physische Werte zu verstehen, die im Besitz des Unternehmens stehen. Dies sind u. a. Software, Arbeits- und Prozessaufzeichnungen oder Mitarbeiter- und Kundendaten, aber auch Gebäude oder Einrichtungen. Da personenbezogene Daten auch in die Kategorie „Unternehmensinformationen“ fallen, kann Informationssicherheit als Basis für den Datenschutz gesehen werden. In Unternehmen sind die Abteilungen für Informationssicherheit und Datenschutz oft getrennt. Eine enge Zusammenarbeit dieser Abteilungen ist dennoch anzustreben, da es bei vielen Verantwortlichkeiten der beiden Bereiche Überschneidungen gibt.

So ist das Information-Security-Management-System (ISMS) dafür verantwortlich, dass das vom Unternehmen benötigte Maß an Vertraulichkeit, Verfügbarkeit und Integrität von Unternehmensinformationen sichergestellt wird. Das DPMS ist darüber hinaus dafür verantwortlich, dass das von der DSGVO vorgegebene Maß an Vertraulichkeit, Verfügbarkeit und Integrität im Speziellen von personenbezogenen Daten sichergestellt wird. Die Maßnahmen, die im Rahmen des ISMS für Unternehmensinformationen umsetzt werden, bilden die Grundlage für das DPMS.

Ein Beispiel, das die Zusammenarbeit zwischen ISMS und DPMS beschreibt, ist das Erstellen eines Notfallhandbuches für einen Informationssicherheitsvorfall. Ein Informationssicherheitsvorfall ist ein Ereignis, bei dem eventuell Unternehmensinformationen verloren gehen. Das ISMS ist dafür zuständig, ein Notfallhandbuch zu erstellen, welches Mitarbeiter unterstützt und anweist, wenn es zu einem Informationssicherheitsvorfall kommt. Um bei einem Informationssicherheitsvorfall zusätzliche Schäden zu vermeiden, wird im Rahmen des ISMS eine Checkliste zur Bearbeitung bereitgestellt. Als ersten Punkt auf der Checkliste müssen die Mitarbeiter den Vorfall einer Kategorie, wie zB Verlust eines mobilen Endgeräts, Ausfall eines Rechners oder Virusbefall eines IT-Systems, zuordnen. Dann müssen sie feststellen, wer den Vorfall gemeldet hat, wer betroffen ist und – sofern dies möglich ist – wer der Verursacher ist. Das ISMS hat dann abhängig von der gewählten Kategorie und den erhobenen Daten einen Maßnahmenkatalog zur Behebung zu erstellen. Die Maßnahmen bei Verlust eines Mobiltelefons wären beispielsweise, das Mobiltelefon zu deaktivieren und darauf befindliche Firmendaten mittels einer Mobile-Device-Management-Software zu löschen.

Solange bei einem Informationssicherheitsvorfall nicht die Gefahr besteht, dass personenbezogene Daten verloren gehen, ist das ISMS für die zu ergreifenden Maßnahmen verantwortlich. Erst wenn nicht auszuschließen ist, dass durch den Vorfall personenbezogene Daten betroffen sind, ist die Datenschutzorganisation für das Ausführen von Maßnahmen, wie zB das Informieren der Betroffenen und der Behörden, zuständig. Was jedoch bei der Erarbeitung eines Notfallhandbuches bzw. einer Checkliste beachtet werden soll, ist, dass nicht jede Abteilung ihr eigenes Handbuch erstellt. Das ISMS stellt das Grundgerüst. Die Datenschutzorganisation ergänzt dieses um Kategorien und Maßnahmen, welche personenbezogene Daten betreffen.

4.3.3 Rechtliche Grundlagen

Ein Unternehmen, das personenbezogene Daten verarbeitet, darf dies nicht einfach unbegründet tun, sondern muss immer belegen können, dass es dies auch darf. Das heißt, ein Unternehmen muss für alle personenbezogenen Daten, die es verarbeitet, belegen können, dass es dies rechtmäßig tut. Laut DSGVO ist eine Verarbeitung nur dann rechtmäßig, wenn einer der folgenden Punkte gemäß Art 6 Abs 1 DSGVO erfüllt wird:

+Es gibt eine Einwilligung der betroffenen Person, dass die auf sie bezogenen Daten verarbeitet werden dürfen.

+Die Verarbeitung der personenbezogenen Daten ist für die Erfüllung eines Vertrages notwendig. Die betroffene Person muss allerdings eine Vertragspartei sein.

+Der Verantwortliche ist aufgrund des Unionsrechts oder des Rechts eines MS (zB österreichisches Recht) dazu verpflichtet, die Verarbeitung durchzuführen.

+Die Verarbeitung ist notwendig, um lebenswichtige Interessen einer Person zu schützen.

+Der Verantwortliche führt die Verarbeitung im Zuge einer ihm zugeteilten Aufgabe aus. Diese Aufgabe muss im öffentlichen Interesse liegen oder in Ausübung öffentlicher Gewalt erfolgen.

+Es besteht das berechtigte Interesse des Verantwortlichen oder eines Dritten. Dieses berechtigte Interesse muss allerdings das Interesse und die Grundrechte und Grundfreiheiten der betroffenen Person überwiegen.

!

Praxisbeispiel:

Ein Unternehmen hat Interesse daran, Kundendaten zu verarbeiten. Dieses Interesse ist berechtigt, da Unternehmen zur Generierung von Unternehmenswerten in vielen Fällen personenbezogene Daten verarbeiten müssen.

In einem anderen Fall wird angenommen, dass ein Kunde eines Versicherungsunternehmen zu einem anderen Versicherungsunternehmen wechseln möchte. Daraufhin hat die alte Versicherungsunternehmen Interesse daran, dem neuen Versicherungsunternehmen die Unfalldaten dieses Kunden zu verkaufen. Es überwiegt allerdings das Interesse des Kunden, dass seine Daten geheim bleiben, damit die Prämien so gering wie möglich gehalten werden.

Entsprechend Art 5 Abs 2 DSGVO hat der Verantwortliche u. a. nachzuweisen, dass personenbezogene Daten rechtmäßig verarbeitet werden. Um die Rechtmäßigkeit der Verarbeitung beurteilen zu können, müssen sich Unternehmen in einem ersten Schritt insbesondere mit der Frage auseinandersetzen, was unter personenbezogenen Daten zu verstehen ist (Details siehe Kapitel 1). Art 4 Z 1 DSGVO definiert personenbezogene Daten wie folgt:

„Im Sinne dieser Verordnung bezeichnet der Ausdruck: „personenbezogene Daten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person […] beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann;“

Bei einigen Daten ergibt sich der Personenbezug eindeutiger als bei anderen. So sind zB Name, Telefonnummer, E-Mail-Adresse, IBAN oder KFZ-Kennzeichen personenbezogene Daten, während Prozessbeschreibungen, die Anzahl der Mitarbeiter oder die Höhe des Eigenkapitals eines Unternehmens keine personenbezogenen Daten sind. Bei manchen Daten wie zB Haarfarbe, Augenfarbe oder die Position, die eine Person in einem Unternehmen innehat, ist dagegen nicht klar, ob diese personenbezogen sind oder nicht. Wenn die Möglichkeit besteht, eine Person anhand bestimmter Daten zu identifizieren, auch mittels Ausschlusskriterien, sind diese Daten personenbezogen. Ob eine Kategorie von Daten jedoch einen Personenbezug zulässt, ist im Einzelfall zu beurteilen und kann je nach Gegebenheiten unterschiedlich bewertet werden, wie das folgende Praxisbeispiel veranschaulicht.

!

Praxisbeispiel:

Die Buchhaltungsabteilung eines Unternehmens umfasst fünf Mitarbeiter, von denen drei weiblich sind. Von den beiden männlichen Mitarbeitern hat einer blonde, der andere braune Haare. Es ließe sich also über das Geschlecht und die Haarfarbe eine eindeutige Zuordnung zu einer bestimmten Person in der Abteilung herstellen. Somit sind Geschlecht und Haarfarbe in diesem Fall als personenbezogene Daten zu definieren. Wenn die Abteilung dreißig Personen mit acht männlichen Mitarbeitern umfasst und von diesen acht Männern drei blond sind, ist eine eindeutige Zuordnung nicht mehr möglich; Geschlecht und Haarfarbe sind in diesem Fall nicht personenbezogen.

Wie sich zeigt, können an sich nicht personenbezogene Daten durch die Kombination mit anderen Daten sehr wohl einen personenbezogenen Charakter annehmen. Deshalb ist auch zu beachten, wie wahrscheinlich es ist, dass Daten, einzeln oder in Kombination mit anderen Daten, mit rechtlich zulässigen Mitteln in Verbindung gebracht werden können. Einen ausschlaggebenden Einfluss hat dabei die Gruppengröße, also die Anzahl der Personen, die in Frage kommen.

4.3.4 Verarbeitungsverzeichnis/Internationaler Datenverkehr

Die Verarbeitung von personenbezogenen Daten umfasst alle Tätigkeiten wie zB:

+Lesen,

+Speichern,

+Erheben,

+Ausdrucken,

+Übermitteln,

+Anzeigen.

Im Verarbeitungsverzeichnis wird festgehalten, wo im Unternehmen welche personenbezogenen Daten verarbeitet werden. Es setzt sich aus der Gesamtheit aller Verarbeitungstätigkeiten (VT) zusammen. Eine VT innerhalb eines Verarbeitungsverzeichnisses ist eine detaillierte Beschreibung darüber, wie personenbezogene Daten verarbeitet (zB gespeichert, verändert, kopiert) werden. Als Basis zur Erstellung eines Verarbeitungsverzeichnisses dient eine Dokumentation der Speicherung von personenbezogenen Daten. Ist bereits eine Dokumentation vorhanden, in der geklärt wird, welche personenbezogenen Daten wo gespeichert werden und mit welcher Applikation bzw. in welchem Unternehmensprozess verarbeitet wird, kann das Verarbeitungsverzeichnis daraus abgeleitet werden. Andernfalls muss diese Dokumentation, aus der dann ein Verarbeitungsverzeichnis folgt, erst erarbeitet werden. Dabei ist es wichtig, alle möglichen Formen der Speicherung zu berücksichtigen. Daten können wie folgt gespeichert werden:

+physisch (in Papierform auf Verträgen, Visitenkarten, Strafregisterauszügen von Mitarbei­tern etc.),

+in elektronischen Ablagen (Firmennetzwerk, stationäre Rechner, Cloud etc.),

+in Applikationen (Excel-Files, SAP etc.).

Weitere Inhalte dieser Dokumentation, die später in einem Verarbeitungsverzeichnis resultiert, sind darüber hinaus alle Applikationen, die das Unternehmen für das Verarbeiten von personenbezogenen Daten nutzt. Daher ist in der Dokumentation anzugeben, ob in der Applikation Daten aus den folgenden Kategorien verarbeitet werden:

+besondere Kategorien von personenbezogenen Daten gemäß Art 9 Abs 1 DSGVO (im Folgenden „sensible Daten“):

+rassische oder ethnische Herkunft,

+politische Meinungen,

+religiöse oder weltanschauliche Überzeugungen,

+Gewerkschaftszugehörigkeit,

+genetische Daten,

+biometrische Daten,

+Gesundheit und Sexualleben.

+Kontaktdaten:

+Adresse,

+Telefonnummer,

+E-Mail-Adresse,

+etc.

+Daten zu Lieferungen und Leistungen:

+Kundennummern,

+Rechnungen,

+Verträge,

+etc.

+Finanz- und Versicherungsdaten:

+Forderungen gegenüber Kunden,

+Versicherungsverträge,

+etc.

+Compliance:

+Daten zu Gerichtsprozessen,

+etc.

+Berufs- und Ausbildungsweg:

+Karriere-Historie,

+Ausbildungsweg,

+etc.

+Personal- und Nutzungsdaten:

+Arbeitszeitaufzeichnungen,

+E-Mails von Mitarbeitern,

+etc.

Damit diese Dokumentation alle Verarbeitungen von personenbezogenen Daten enthält, muss vorab geklärt werden, in welchen Unternehmensbereichen personenbezogene Daten verarbeitet werden. Danach müssen für die detaillierte Erhebung dieser Verarbeitungen Verantwortliche festgelegt werden. Eine naheliegende Wahl hierfür sind die Data-Protection-­Agents (siehe Kapitel 4.5). Die Verantwortlichen müssen danach gemeinsam mit ihren Arbeitskollegen erheben, welche Prozesse und Arbeitsabläufe – also tägliche Arbeitsaufgaben und Routinen – sie in ihrer Abteilung durchführen, bei denen sie in Berührung mit personenbezogenen Daten kommen. Klassische Verarbeitungen sind Lieferantenmanagement, Mitarbeitereinstellung und Kundenmanagement. Jede gefundene Verarbeitung wird dann in die Dokumentation aufgenommen. In der Dokumentation muss ebenfalls ergänzt werden, zu welchem Zweck diese personenbezogenen Daten verarbeitet werden. Unter Zweck versteht man in diesem Kontext den Grund, warum diese personenbezogenen Daten verarbeitet werden. Ein Zweck könnten zB Kundenakquisition oder die Pflege von Geschäftsbeziehungen sein. Um die Verantwortlichen bei diesen Aufgaben zu unterstützen und eine möglichst einheitliche Dokumentation zu erhalten, ist es sinnvoll, die Verantwortlichen mittels Fragebögen und Ausfüllhilfen für die Erhebung zu unterstützen und vorab zu schulen. Danach werden aus dieser Dokumentation VT abgeleitet. Für jede VT ist ein Verantwortlicher zu benennen. Sinnvollerweise handelt es sich hierbei um dieselben Personen, die für die Erstellung und Dokumentation verantwortlich sind.

Die Qualität der VT ist essenziell, da sie die Grundlage für die juristische Beurteilung zur Speicherdauer bilden. Darüber hinaus bilden sie die Basis für mögliche Folgeprojekte. Es empfiehlt sich daher, einen Qualitätssicherungsschritt zwischen der Ersterfassung des Verarbeitungsverzeichnisses und der juristischen Begutachtung einzubauen. In der Praxis wird der Qualitätssicherungsschritt aus Zeitgründen oft vernachlässigt, was jedoch zu Mehrarbeit, Unklarheiten und sogar falschen Aufbewahrungsfristen führen kann.

Auch die Kategorien der Daten, die in den Prozessen verarbeitet werden, werden in der VT angeführt, da diese eine wichtige Rolle in der Festlegung der Speicherdauer spielen. Es können auch unterschiedliche Speicherdauern für verschiedene Kategorien aus derselben VT entstehen. In einem laufenden Vertragsverhältnis mit einem Kunden ist die Verarbeitung des Namens, der Anschrift und der Telefonnummer des Kunden wohl als rechtmäßig anzusehen, soweit diese Daten zB zur Vertragserfüllung erforderlich sind. Nach Ende des Vertragsverhältnisses können gesetzliche Aufbewahrungspflichten eine weitere Speicherung personenbezogener Daten erforderlich machen. Ein Beispiel hierfür ist die Aufbewahrungspflicht laut Art 132 Abs 1 BAO, die besagt, dass Rechnungen sieben Jahre für etwaige Prüfungen durch Behörden aufzubewahren sind. Diesbezüglich hat der Verantwortliche jedoch stets zu prüfen, welche personenbezogenen Daten für die Erfüllung der gesetzlichen Aufbewahrungspflicht tatsächlich weiterhin notwendig sind. Ist daher beispielsweise die Telefonnummer nicht erforderlich, um der Aufbewahrungspflicht von Rechnungen zu entsprechen, ist diese zu löschen.

Nach Fertigstellung des Verarbeitungsverzeichnisses und einer etwaigen Qualitätssicherung findet eine juristische Begutachtung statt, die für die angegebenen Verarbeitungen die entsprechenden Rechtsgrundlagen sowie die Speicherdauer ermittelt. Dazu werden die Zwecke und anderen Inhalte der VT in die sechs Rechtsgrundlagen gemäß Kapitel 4.3.3 übersetzt. Um eine hohe Qualität des Resultates sicherzustellen, ist speziell auf eine gute Kommunikation zwischen juristischen Begutachtern und den für die VT Verantwortlichen zu achten.

4.3.5 Betroffenenrechte

Schon im ersten Erwägungsgrund der DSGVO wird dem Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten ein hoher Stellenwert zugeschrieben. Nicht zuletzt aufgrund der technischen Entwicklung haben Erhebungen und Verarbeitungen von personenbezogenen Daten rasant zugenommen. Der Handel über weltweit agierende Plattformen und das wachsende Angebot von Social-Media-Plattformen stellen den Schutz der Privatsphäre in einer zunehmend globalisierten Welt laufend vor neue Herausforderungen.

Vor diesem Hintergrund wurden die Rechte der Betroffenen gegenüber Unternehmen, welche personenbezogene Daten verarbeiten, umfassend gestärkt bzw. erweitert. Dies hat zur Folge, dass Organisationen, welche personenbezogene Daten verarbeiten, die Datenschutzbemühungen deutlich verstärken müssen, um die – teilweise neuen und teilweise bestehenden – Rechte der betroffenen Personen erfüllen zu können. Diese Betroffenenrechte sind in den Art 15 bis 22 DSGVO geregelt (Details siehe Kapitel 10). Aus praktischer Sicht der Umsetzung wird in diesem Abschnitt auf nachfolgende zwei Artikel näher eingegangen, die sich mit der Beauskunftung befassen:

+Art 15 DSGVO: Auskunftsrecht der betroffenen Person,

+Art 20 DSGVO: Recht auf Datenübertragbarkeit.

4.3.5.1Art 15 – Recht auf Auskunft („Auskunftsrecht“)

Wenngleich der grundlegende Zweck des Art 15 DSGVO bereits von dessen Vorgängerbestimmung des § 26 DSG 2000 umfasst war, waren viele Organisationen vor Inkrafttreten der DSGVO unsicher, ob es zu einem starken, mitunter nicht innerhalb der gebotenen Frist bewältigbaren Ansteigen der Auskunftsbegehren kommen würde. Viele Unternehmen, insbesondere jene mit einer großen Kundenbasis natürlicher Personen (zB Banken, Versicherungen oder Betreiber von Kundenclubs, wie jene von Einrichtungshäusern) fürchteten, dass aufgrund der Masse an Auskunftsbegehren die eigene Datenschutzorganisation und eventuell zusätzlich noch die IT-Abteilungen vorübergehend lahmgelegt werden könnten und keine Ressourcen für das Tagesgeschäft verbleiben würden. Aus diesem Grund haben Unternehmen vielfach frühzeitig begonnen, ausgehend von ihrem Verzeichnis der Verarbeitungstätigkeiten eine Automatisierung des Prozesses voranzutreiben.

4.3.5.2Art 20 – Recht auf Datenübertragbarkeit („Datenportabilität“)

Das Recht auf Datenübertragbarkeit wurde ursprünglich als Möglichkeit gesehen, die Vorherrschaft nicht-europäischer Plattformbetreiber (Handel und Social Media) einzuschränken. Ziel war es, Datenbestände, wie zB jene einer Social-Media-Plattform, auf eine andere Plattform zu transferieren und so die Interoperabilität von Plattformen und Diensten zu forcieren. Derartige Vorhaben scheiterten bislang in vielen Fällen weniger am Export der Daten aus den bestehenden IT-Systemen, sondern vielmehr an der Tatsache, dass der Import in das neue IT-System praktisch nicht umsetzbar ist. Größtes Hemmnis hierfür sind die unterschiedlichen eingesetzten Datenmodelle. Technisch gesehen könnte die Interoperabilität durch die Etablierung einer einheitlichen Auszeichnungssprache wie XML umgesetzt werden, jedoch hat sich noch kein Datenbeschreibungsstandard durchgesetzt, der bestehende Datenmodelle harmonisiert.

4.3.6 Datenschutz-Folgeabschätzungen (DS-FA)

DS-FA sind Risikobewertungen von VT und basieren auf dem Verarbeitungsverzeichnis. Sie sind für jene VT notwendig, die ein hohes Risiko für Betroffene mit sich bringen. Genauere Beschreibungen dazu, wann eine VT als riskant einzustufen ist, finden sich in der Verordnung der Aufsichtsbehörde über Verarbeitungsvorgänge, für die eine DS-FA durchzuführen ist sowie in Kapitel 9.3.3 dieses Buches. Als riskant einzustufen sind jegliche VT, die Profile oder Prognosen von natürlichen Personen erstellen. Wird daher ein Kunde aufgrund seiner personenbezogenen Daten als Kunde eingestuft, den man nicht verlieren will oder als solcher, der nicht sehr gewinnbringend ist, dann ist dies als Erstellung eines Profils zu qualifizieren. Weitere für Betroffene als riskant einzustufende VT sind Prozesse, bei denen personenbezogene Daten von künstlichen Intelligenzen verarbeitet werden (§ 2 Abs 2 Z 4 DSFA-V).

Mittels Durchführung einer GAP-Analyse (auch Lückenanalyse), ein Instrument der strategischen Planung, geht hervor, welche VT schon vor Inkrafttreten der DSGVO bei der Aufsichtsbehörde gemeldet und geprüft wurden. Diese sind von einer verpflichtenden DS-FA befreit. Weitere Informationen darüber, welche VT von einer DS-FA befreit sind, finden sich in der Verordnung der Aufsichtsbehörde über die Ausnahmen von der DS-FA.

Bevor eine DS-FA durchgeführt wird, muss festgestellt werden, welche VT diese benötigen. Mittels Fragebögen, die auf den Informationen der Verordnungen der Aufsichtsbehörde basieren, wird festgelegt, für welche VT eine DS-FA durchzuführen ist.

Nach der Bestimmung der relevanten VT wird ermittelt, welches Risiko durch den Verlust der in der VT verarbeiteten personenbezogenen Daten für den Betroffenen entstehen kann und welche Gegenmaßnahmen realisierbar sind. Um dieses Risiko zu bestimmen, ist eine mögliche Vorgehensweise, Fragebögen zu erstellen und diese von den für riskant eingestufte VT Verantwortlichen ausfüllen zu lassen.

Im Anschluss müssen für alle riskanten VT Datensicherheitsmaßnahmen erstellt werden und diese Maßnahmen in Aufgaben für die jeweiligen Bereiche übersetzt werden. Die längerfristige Umsetzung der Aufgaben und das Aktualisieren der DS-FA werden dann durch das kontinuierliche Verbesserungsmanagement realisiert. „Kontinuierliches Verbesserungsmanagement“ bedeutet, dass die zuständigen Personen bestrebt sind, Prozesse immer wieder zu hinterfragen, nach Verbesserungen zu suchen und Fehler auszubessern. Das kontinuierliche Verbesserungsmanagement findet im Rahmen des gesamten DPMS statt, wie zB bei den kontinuierlichen Überarbeitungen der DS-FA, der VT und anderen Prozessen, die den Datenschutz betreffen.

4.3.7 Privacy-by-Design und Privacy-by-Default

Lange Zeit waren Datenschutzthemen bei der Entwicklung von Software auf den hinteren Plätzen der Prioritätenliste vertreten. Die DSGVO setzt hier an und spricht in Art 25 DSGVO von „Datenschutz durch Technikgestaltung“ und „Datenschutz durch datenschutzfreundliche Voreinstellungen“. Diese Konzepte, im Englischen „Privacy-by-Design“ und „Privacy-by-Default“ genannt, sind nicht neu, rückten jedoch im Zuge der DSGVO zunehmend in den Blickpunkt der Öffentlichkeit (siehe Kapitel 13.3).

4.3.7.1Privacy-by-Design

Privacy-by-Design greift das Konzept auf, dass der Schutz personenbezogener Daten effektiver sichergestellt werden kann, wenn er gleich bei der Konzeption der jeweiligen Datenverarbeitung, also beispielsweise bei der Erstellung eines Lastenheftes im Rahmen der Programmierung von Software, berücksichtigt wird. In diesem Lastenheft werden die Anforderungen der jeweiligen Fachabteilung an die Software dokumentiert. Es wird somit dem umsetzenden Programmierer mitgeteilt, was umzusetzen ist. Der Programmierer entwickelt aus dem Lastenheft der Fachabteilung die genaue Produktspezifikation. Das daraus entstehende Pflichtenheft liefert den Lösungsvorschlag des Programmierers. Somit kann bereits in der Planungsphase sichergestellt werden, dass die wesentlichen Anforderungen des Datenschutzrechts bzgl. der Zweckbindung, Datensparsamkeit, Erforderlichkeit, Transparenz sowie der Betroffenenrechte im Zusammenhang mit personenbezogenen Daten berücksichtigt werden. Es wird somit auch frühzeitig hinterfragt und dokumentiert, ob neben den erwähnten Anforderungen der jeweilige Verarbeitungszweck nicht auch mit anonymisierten oder zumindest pseudonymisierten Daten erreicht werden kann, oder ob beispielsweise die verarbeiteten Daten ausreichend nach dem aktuellen Stand der Technik geschützt sind.

4.3.7.2Privacy-by-Default

Privacy-by-Default bedeutet, dass darauf zu achten ist, dass die Werkeinstellungen („default settings“) datenschutzfreundlich ausgestaltet sind. Der wesentliche Treiber dieses Konzeptes ist der Schutz von weniger technikaffinen Usern. In der Praxis wird dieses Konzept auch als „Datenschutz ab Werk“ bezeichnet. Es werden bei der Auslieferung von Soft-, Hardware oder bei der Bereitstellung von Diensten nur jene personenbezogenen Daten erhoben, die für den jeweiligen Verarbeitungszweck notwendig sind. Somit wird möglichst wenig in die Schutzrechte der Betroffenen eingegriffen. Sofern User eine weitergehende Nutzung ihrer personenbezogenen Daten anderen ermöglichen oder diese mit anderen teilen wollen, haben sie die Möglichkeit, die Einstellungen eigenständig zu verändern. Vom Konzept des Datenschutzes durch datenschutzfreundliche Voreinstellungen werden somit vor allem jene Personenkreise profitieren, die nicht über ausreichendes technisches Verständnis oder nicht über die notwendige Zeit verfügen, um selbstständig datenschutzfreundliche Einstellungen in den Applikationen vorzunehmen.

!

Praxisbeispiel:

Beispiele für die Umsetzung dieses Konzepts in der Praxis sind die Do-not-Track-Funktion in Browsern und die Einstellungsmöglichkeiten zur Sichtbarkeit von Profildaten auf Social-­Media-Plattformen. Ersteres ist eine freiwillig implementierte Funktion in vielen Webbrowsern, mit der User Websites bzw. deren Betreibern mitteilen, dass das Surfverhalten nicht aufgezeichnet werden soll. Bislang ist diese Einstellung freiwillig und es besteht keine Verpflichtung für Websites, sich daran zu halten. Die Umsetzung von Privacy-by-Default auf Social-Media-Plattformen bewirkt, dass die Sichtbarkeit des Nutzerprofils nicht uneingeschränkt möglich ist, sondern beispielsweise nur den bestätigten Kontakten des Anwenders, also einer bestimmten Anzahl an Personen.

Sofern Nutzer dennoch eine uneingeschränkte Sichtbarkeit des Nutzerprofils bevorzugen, zB um eine weitergehende Nutzung ihrer Daten zu ermöglichen oder um diese mit anderen zu teilen, müssen sie die Einstellungen eigenständig verändern und somit ein Opt-in vornehmen.

4.3.7.3Ausblick

Während durch Privacy-by-Design eine grundsätzlich datenschutzkonforme Entwicklung und Funktionsweise von Soft-, Hardware oder bereitgestellten Diensten sichergestellt werden soll, werden mit der Umsetzung von Privacy-by-Default die Privatsphäre und die personenbezogenen Daten von Betroffenen durch geeignete Voreinstellungen geschützt. Die Entscheidung, welche Daten geteilt werden bzw. einsehbar sind, kann von der betroffenen Person selbst individuell angepasst werden.

4.3.8 Technische Systemsicherheit

Nach Art 24 und Art 25 DSGVO sind Unternehmen dazu verpflichtet, technische Maßnahmen zu ergreifen, damit sie dazu im Stande sind, die Vorgaben der DSGVO, wie zB die Bewahrung der Vertraulichkeit von personenbezogenen Daten, zu erfüllen.

Dazu müssen die IT-Systeme und das IT-Umfeld, also Infrastruktur und Mitarbeiter, grundlegende Sicherheitsstandards erfüllen:

+Verwaltung von Zugriffsrechten

Damit die Integrität und Vertraulichkeit von Daten gegeben sind, ist es notwendig, sicherzustellen, dass nicht jedem Mitarbeiter der Zugriff auf alle Unternehmensdaten gewährt wird. Folglich soll jeder Mitarbeiter nur Zugriff auf die Daten haben, die er für seine Arbeitsaufgaben benötigt.

+Definition von Rollen und Verantwortlichkeiten

Damit eine einheitliche Vergabe von Zugriffsrechten möglich ist, braucht es Rollen und Verantwortlichkeiten. So wird zB zwischen den Rollen „Administrator“ und „Mitarbeiter“ unterschieden. Der Administrator vergibt Zugriffsrechte auf Daten und Applikationen. Die Auswahl der Rechte ist vom Bereich, in dem der Mitarbeiter tätig ist, sowie von der Kritikalität der Daten abhängig. Bei kritischen Aufgaben, wie zB der Verwaltung von Servern, muss sich der Mitarbeiter erst das erforderliche Wissen erarbeiten und dieses belegen. Das heißt, neue oder temporäre Mitarbeiter werden nicht mit den gleichen Rechten ausgestattet wie zB ein langjähriger Bereichsleiter. Außerdem müssen Lese- und Schreibrechte gesondert vergeben werden. Mitarbeiter, die zB an Inhalten von Texten mitarbeiten, brauchen Schreibrechte. Für Arbeiten, die mit Leserechten zu bewerkstelligen sind, werden auch nur Leserechte vergeben.

+Dokumentation von Veränderungen

Eine Dokumentation von Veränderungen bringt viele Vorteile mit sich, so beispielsweise für die Dokumentation der Änderungshistorie, für das kontinuierliche Verbesserungsmanagement und im Bedarfsfall für die Handhabung von Sicherheitsvorfällen. Eine einheitliche Änderungshistorie bietet bei Arbeiten mit mehreren Beteiligten eine bessere Übersicht. Es ist nachvollziehbar, wer welche Aufgaben erledigt hat und im Fall eines aufgetretenen Fehlers geht klar hervor, wo dieser passiert ist. So kann bei einem Datenschutzvorfall (siehe Kapitel 11 für Details zu Datenschutzvorfällen) wertvolle Zeit gespart werden und negative Auswirkungen können minimiert werden. Nach einem Datenschutzvorfall wird eine forensische Aufarbeitung erleichtert bzw. unterstützt. Dies wiederum trägt dazu bei, ein nochmaliges Auftreten zu vermeiden, indem „Lessons-Learned“ abgeleitet werden.

+Stand der Technik

Ein Unternehmen muss unter Berücksichtigung der Wirtschaftlichkeit und der Eintrittswahrscheinlichkeit sowie der Schwere der Risiken für die betroffenen Personen seine IT-Systeme auf dem aktuellen Stand der Technik halten. Das bedeutet, dass sowohl für zugekaufte als auch für selbst entwickelte IT-Systeme und Applikationen regelmäßig Updates gemacht werden müssen. Sicherheitslücken werden somit geschlossen und mögliche Angriffsvektoren minimiert. Der Hersteller übernimmt idR nur für aktuelle Versionen die Herstellergarantie und den technischen Support.

+Evaluierung der Wirksamkeit der Maßnahmen

Sicherheitsmaßnahmen für die IT-Infrastruktur müssen regelmäßig auf ihre Wirksamkeit überprüft werden. Penetrationstests können dies für IT-Systeme und Applikationen bewerkstelligen. Bei einem Sicherheitsvorfall, der sich auf die Verfügbarkeit von IT-Systemen auswirkt, muss eine vereinbarte Wiederherstellungszeit der Systeme gewährleistet werden können. Dies ist zB durch regelmäßige Notfalltests zu belegen.

Die Evaluierung der Wirksamkeit der gesetzten Maßnahmen kann zB durch eine externe, unabhängige Prüfung im Rahmen eines Audits belegt werden. Eine Zertifizierung nach ISO/IEC 27001[132] validiert die Umsetzung der technischen und organisatorischen Maßnahmen gemäß Art 32 DSGVO (zur Informationssicherheit s. a. Kapitel 12).

Anhand dieser Überprüfungen werden im Sinne des kontinuierlichen Verbesserungsmanagements immer wieder neue Anpassungen und Erweiterungen definiert. Mängel werden behoben, was die Wirksamkeit der Maßnahmen nachhaltig sichergestellt. Die Evaluierung trägt somit auch zu einer nachhaltigen Entwicklung der IT bei.

4.3.9 Auftragsverarbeitermanagement

Viele Unternehmen nutzen zur Erfüllung ihrer Aufgaben die Dienste von Lieferanten und Dienstleistern. Werden im Rahmen der Vertragsbeziehung personenbezogene Daten verarbeitet, sind datenschutzrechtliche Vorgaben einzuhalten. Werden diese personenbezogenen Daten vom Lieferanten bzw. Dienstleister im Auftrag des Unternehmens verarbeitet und bestimmt das Unternehmen allein über die Zwecke und Mittel der Datenverarbeitung, handeln das Unternehmen und der Lieferant bzw. Dienstleister entsprechend der DSGVO als Verantwortliche bzw. Auftragsverarbeiter.

!

Praxisbeispiel:

Ein Webshop-Betreiber erhält eine Kundenbestellung von Geburtstagskarten. Im Zuge der Bestellung erhält er auch den Namen und die Adresse des Kunden, was den Webshop-Betreiber zum Verantwortlichen für diese Daten macht. Er lässt nun die bestellten Geburtstagskarten bei einer externen Druckerei drucken. Die Druckerei verarbeitet die personenbezogenen Daten, nämlich den Namen und die Adresse des Kunden, ausschließlich im Auftrag des Webshop-Betreibers mit dem Zweck, Geburtstagskarten zu drucken. Die Druckerei ist somit Auftragsverarbeiter und der Webshop-Betreiber muss einen entsprechenden Vertrag mit der Druckerei abschließen. Der Webshop-Betreiber bleibt verantwortlich für die rechtskonforme Verarbeitung der personenbezogenen Daten durch die Druckerei.

Bei der Wahl des Auftragsverarbeiters muss der Verantwortliche berücksichtigen, dass der Auftragsverarbeiter hinreichende Anforderungen erfüllt. Er muss technisch und organisatorisch in der Lage sein, den Auftrag unter Einhaltung der DSGVO zu erfüllen. Ein Hinweis auf die Erfüllung dieser Anforderungen kann eine von der Datenschutzbehörde anerkannte Zertifizierung sein. In der Praxis anerkannte Zertifikate sind u. a. ISO/IEC 27001 oder IT-Grundschutz. Damit die Zusammenarbeit datenschutzkonform verläuft, ist zwischen dem Verantwortlichen und dem Auftragsverarbeiter ein Vertrag in Form einer Auftragsverarbeitervereinbarung abzuschließen. Folgende Punkte sind entsprechend Art 28 DSGVO zwingende Bestandteile dieses Vertrages (siehe Kapitel 5):

+Dauer

Die Auftragsverarbeitervereinbarung hat Beginn und Dauer der Datenverarbeitung zu enthalten. Der Verantwortliche kann sich jedoch vorbehalten, dass der Vertrag bei Verletzung von Vertragsbestimmungen oder bei Verstoß gegen die DSGVO mit sofortiger Wirkung beendet wird.

+Art und Zweck

Eine Beschreibung des Auftrags und des durch die Zusammenarbeit zu erreichenden Ziels sind Bestandteile des Vertrages.

+Art der personenbezogenen Daten

Die Kategorien der personenbezogenen Daten, die dem Verarbeiter übermittelt werden, werden im Vertrag festgehalten.

+Kategorien der betroffenen Personen

Es wird geklärt, welche betroffenen Personen, zB Kunden, Mitarbeiter, Geschäftspartner oder Lieferanten bzw. Dienstleister, betroffen sind.

+Rechte und Pflichten des Verantwortlichen

Der Verantwortliche hat den Verarbeiter mittels Vertrag u. a. dazu zu verpflichten, dass dieser die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten darf, sofern er nicht durch das Recht der Union oder durch nationales Recht dazu verpflichtet ist, die Daten anderwärtig zu verarbeiten.

+Technische und organisatorische Maßnahmen (TOMs) und Sicherheit der Verarbeitung

Der Verantwortliche fordert vom Verarbeiter, dass dieser technische und organisatorische Vorgaben und Sicherheitsstandards gemäß der DSGVO erfüllt. Diese sehen u. a. vor,

+dass sich Personen, die mit der Verarbeitung der personenbezogenen Daten betraut werden, zum vertraulichen Umgang mit diesen verpflichten. Außerdem unterwerfen sie sich einer gesetzlichen Verschwiegenheitspflicht.

+dass personenbezogene Daten pseudonymisiert und verschlüsselt werden.

+dass Systeme des Verarbeiters die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sicherstellen.

+die Fähigkeit und Verfügbarkeit von personenbezogenen Daten und der Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederhergestellt wird.

+dass regelmäßig überprüft, bewertet und evaluiert wird, ob die Maßnahmen zur Gewährung der Sicherheit der Verarbeitung noch wirksam sind.

+Weitere Auftragsverarbeiter

Der Verarbeiter verpflichtet sich, keine weiteren Auftragsverarbeiter zu engagieren. Dies ist nur durch eine vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen zulässig.

+Unterstützungspflicht

Der Auftragsverarbeiter verpflichtet sich, den Verantwortlichen bei der Erfüllung der Betroffenenrechte, insbesondere bei der Beantwortung der Anträge auf Wahrnehmung, zu unterstützen.

+Löschung und Rückgabe

Der Verantwortliche entscheidet, ob der Auftragsverarbeiter nach Ende der Erbringung der Verarbeitungsleistung die personenbezogenen Daten löscht oder dem Verantwortlichen zurückgibt.

+Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, den Auftragsverarbeiter entweder selbst oder durch einen bestellten Prüfer auf die Einhaltung des Vertrags zu prüfen. Außerdem verpflichtet sich der Verarbeiter, dem Verantwortlichen nachzuweisen, dass er die in Artikel 28 DSGVO niedergelegten Pflichten (Auftragsverarbeiterpflichten) erfüllt.

+Mitteilung bei Verstößen

Der Verarbeiter verpflichtet sich, Verstöße oder Störungen bei der Verarbeitung dem Verantwortlichen unverzüglich mitzuteilen. Der Verarbeiter verpflichtet sich außerdem, den Verantwortlichen bei dessen Melde- und Benachrichtigungspflicht zu unterstützen.

4.4 Das Projektsetup

Ein DPMS wird im Rahmen eines Setup-Projektes eingeführt. Die Unterstützung der Geschäftsleitung ist dabei ausschlaggebend für eine effiziente Umsetzung und die Reduktion von Widerständen im Unternehmen.

Gerade im Rahmen eines DPMS-Projekts sind teilweise große Widerstände erlebbar. Diese sind in einer Vielzahl von Aspekten begründet, wie zB

+dem idR niedrigen Informationsstand und dem Umfang zum Thema Datenschutz und eine damit verbundene Unsicherheit;

+der Abwehrhaltung gegenüber potenzieller Mehrarbeit.

Mitarbeiter haben oftmals die Wahrnehmung, dass das Thema Datenschutz so umfassend und komplex ist, dass sie nur falsch handeln können bzw. etwas übersehen. Aus diesem Grund sind die Einbeziehung und Schulung der Mitarbeiter erheblich für ein erfolgreiches Projekt.

Ein Mangel an Verständnis und Information bei den Mitarbeitern zum Thema Datenschutz kann nicht nur zu großen Widerständen, sondern auch zu daraus resultierenden Mehrkosten führen. Eine zu lange Start- und Einigungsphase kann zwar Widerständen entgegensteuern, wirkt sich jedoch ebenfalls ungünstig auf die Kosten aus. Diese Kosten werden als Einigungs- und Widerstandskosten bezeichnet. Unter Einigungskosten wird der Aufwand verstanden, der benötigt wird, um Mitarbeiter für das Projektthema zu motivieren und Arbeitsbereitschaft zu schaffen sowie Wissen über das Projektthema aufzubauen. Widerstandskosten sind Mehraufwände, die durch Qualitätsmängel bei Arbeiten aufgrund von geringer Bereitschaft für und mangelhaftes Wissen über das Projektthema entstehen. Der Zusammenhang zwischen Einigungs- und Widerstandskosten sowie der Koordinationsintensität wird in der nachstehenden Grafik erläutert.

Abbildung 5

Widerstands- und Einigungskosten

Quelle: Osterloh/Frost, Prozessmanagement, 181.

Etwaige Mehraufwände können zB aus folgenden Gründen entstehen:

+Projekte verzögern sich, weil Mitarbeiter Datenschutz als zusätzliche Arbeit sehen und der Mehrwert nicht transparent ist.

+Mitarbeiter sehen Schulungen zum Thema Datenschutz als Mehraufwand im stressigen Arbeitsalltag und sind deswegen unaufmerksam. Sie erledigen folglich ihre Aufgaben nicht datenschutzkonform.

+Zusätzliche Verantwortung, wie zB das unbedingte Vermeiden von hohen Strafen und Reputationsschäden, führt zu Ängsten.

Diesem Widerstand muss entgegengewirkt werden. Dies führt zu Einigungskosten. Maßnahmen, mit denen dem Widerstand entgegengewirkt werden kann, sind:

+ein eindeutiges Commitment der obersten Geschäftsführung mittels klarer Botschaft an die Mitarbeiter, zB im Rahmen eines Intranet-Beitrags, Videos oder Mailings, in dem die Geschäftsleitung erläutert, warum Datenschutz für das Unternehmen relevant ist und inwieweit die Mitwirkung der Mitarbeiter wesentlich zum Erfolg des Datenschutzprojektes beiträgt;

+die Schulung und Information der Mitarbeiter vor Projektstart zur Schaffung einer gemeinsamen Sicht, zum Abbau von Ängsten und zur gemeinsamen Erarbeitung der Projektorganisation;

+ein eindeutig definierter Projektauftrag mit Zielen, Nichtzielen, Aufgaben, Meilensteinen, Ressourcen und Beauftragungen, um den Rahmen des Projekts transparent zu machen.

Wie in den meisten Projekten ist auch im Datenschutzprojekt ein Ziel, die Gesamtkosten, die sich aus den Widerstandskosten und Einigungskosten ergeben, zu minimieren. Wie in Abbildung 5 zu erkennen ist, sind diese Kosten indirekt proportional. Um die Kosten zu minimieren, ist Fingerspitzengefühl der Organe im Projektteam gefragt. Es ist darauf zu achten, wie die Mitarbeiter auf Schulungen und andere Inputs zum Thema Datenschutz reagieren.

Eine wichtige Maßnahme, um Widerstandskosten effizient zu reduzieren, ist, den Mitarbeitern zu erläutern, warum Datenschutz für das Unternehmen wichtig ist.

Folgende Punkte haben sich dabei als zielführend erwiesen:

+Strukturierte Dokumentation

Um über aktuelle Aufzeichnungen zu verfügen, sollte im Zusammenhang mit personenbezogenen Daten eine laufende Dokumentation vorgenommen werden. Die Dokumentation gibt Aufschluss über den Speicherort und den Verarbeitungs- bzw. Speicherzweck der personenbezogenen Daten. Dies kann Mitarbeitern bei der Suche nach personenbezogenen Daten, die idR nicht für ihren Arbeitsablauf relevant sind, wie zB Namen oder Telefonnummern, viel Zeit ersparen. Vor allem für Auskunftsbegehren von betroffenen Personen ist eine solche Dokumentation essenziell, da so sichergestellt wird, dass die entsprechenden personenbezogenen Daten zeitnah aufgefunden werden können.

+Gesetzliche Verpflichtungen

Den Mitarbeitern müssen grundlegende Vorgaben aus der DSGVO, wie das Führen des Verarbeitungsverzeichnisses oder die Sicherstellung der Betroffenenrechte, klar sein. Mitarbeitern sollte bewusst sein, dass dem Arbeitgeber bei Verstößen gegen diese Vorgaben hohe Strafen drohen. Eine weitere gesetzliche Vorgabe, die Mitarbeiter kennen sollten, sieht vor, dass der Datenschutzbehörde auf Anfrage eine Dokumentation über die verarbeiteten personenbezogenen Daten zur Verfügung zu stellen ist.

+Einsparung von Redundanzen

Beim Erstellen eines Verarbeitungsverzeichnisses wird oft erkannt, dass in standardisierten Arbeitsabläufen personenbezogene Daten verarbeitet werden, die das Unternehmen nicht zwingend benötigt. Durch das Vermeiden der Verarbeitung dieser Daten erfüllt das Unternehmen das Prinzip der Datensparsamkeit und spart zudem Zeit und Speicherplatz.

Darüber hinaus lässt sich beim Erstellen des Verarbeitungsverzeichnisses oftmals feststellen, dass Daten an mehreren Orten bzw. in mehreren Systemen, Ablagen und Listen redundant erfasst, gewartet und gepflegt werden. Dies führt oft zu Inkonsistenzen, fehlerhaften Datensätzen und Mehrarbeit.

Im Folgenden werden wesentliche Umsetzungspunkte beim Aufbau des DPMS-Projektes beschrieben.

1.Projektinitiierung: In der Projektinitiierung wird der Projektauftrag definiert. Der Projektleiter und die wichtigsten Rollen des Projektteams sind bereits bestimmt. Es ist naheliegend, oberste Rollen aus dem DPMS (siehe Kapitel 4.4) mit Mitgliedern aus dem Projektteam zu besetzen. Das Projektteam sowie wesentliche Stakeholder werden zum Thema Datenschutz geschult. Mitarbeiter des Projektteams müssen nach den Schulungen imstande sein, andere Mitarbeiter zu schulen, sodass die Datenschutzprozesse, wie zB die Befüllung des Verarbeitungsverzeichnisses, und später die Betroffenenrechte sichergestellt sind.

2.Erstevaluierung: Die im Projektauftrag festgelegten Verantwortlichen müssen nun im Unternehmen alle Bereiche, die datenschutzrelevante Prozesse bzw. Verarbeitungen vornehmen, begutachten und festlegen. Falls das Unternehmen bereits Aufzeichnungen über Prozesse und VT geführt hat, müssen diese berücksichtigt werden, um später Mehraufwände zu vermeiden.

3.Analyse: Dabei wird der aktuelle IST-Zustand zum Thema Datenschutz erhoben. Dies geschieht vor der Einführung des DPMS. Es muss analysiert werden, wie gut die datenschutzrechtlichen Vorgaben wie Risikobewertung (Datenschutz-Folgeabschätzung), Verzeichnispflicht (Führung eines Verarbeitungsverzeichnisses), die Betroffenenrechte, Datenminimierung, vertragliche Regelungen mit Lieferanten und Partnern usw. bereits erfüllt werden. Dann wird der aktuelle IST-Zustand dem Stand, den die DSGVO den Unternehmen vorgibt, gegenübergestellt. Daraus geht hervor, in welchen Bereichen ein Unternehmen noch Handlungsbedarf (Lücken) hat.

Eine Möglichkeit zur Identifizierung von Handlungsbedarf ist die Durchführung einer GAP-­Analyse. Die GAP-Analyse bzw. Lückenanalyse ist ein Instrument der strategischen Planung und beruht auf zwei Größen:

+Zielgrößen werden in einer gewünschten, zu erreichenden Entwicklung abgeschätzt.

+Zielerreichungsgrade werden anhand des aktuellen Stands ermittelt, indem der zukünftige Stand der Größen berechnet wird, wenn keine zusätzlichen Maßnahmen der Organisation umgesetzt werden.[133] Das Ergebnis ist eine detaillierte To-Do-Liste zur Umsetzung der DSGVO.

Wie bei jedem Projekt, müssen auch bei der Umsetzung des DPMS-Projekts zuerst Ziele definiert werden. Oberstes Ziel des DPMS-Projektes ist es, einen unternehmensweiten Datenschutzprozess zu etablieren. Dieser stellt sicher, dass alle Anforderungen der DSGVO umgesetzt werden und Änderungen im Unternehmen effizient so angepasst werden können, dass sie datenschutzkonform sind. Zum Beispiel werden Fehler, wie die Speicherung von redundanten personenbezogenen Daten, in Arbeitsprozessen effizient angepasst. Effizient bedeutet hier beispielsweise, dass das Datum einfach entfernt werden kann, ohne den ganzen Prozess ändern zu müssen.