Rolle
Datenschutzbeauftragter
Was wissen Sie über Ihre personenbezogenen Daten nicht, bis jemand einen Löschantrag stellt? Meist, an wie vielen Stellen diese Daten liegen - und dass das Verarbeitungsverzeichnis nur einen Teil davon beschreibt.
Erstgespräch
Vier Fragen, mit denen wir beginnen würden
Was wissen Sie darüber, wo Daten liegen, nicht, bis ein Antrag kommt?
Wenn die Antwort auf "wo liegen die Daten dieser Person" bedeutet, fünf Abteilungen anzurufen, ist die gesetzliche Frist bei jedem Antrag ein Risiko.
Wie schnell erfahren Sie von einer Verletzung?
Die Verordnung gibt zweiundsiebzig Stunden ab Kenntniserlangung. Die Frage ist, wie viel Zeit zwischen dem Ereignis und der Kenntniserlangung vergeht.
Wer bemerkt zuerst, dass eine Abteilung begonnen hat, neue Daten zu erheben?
Wenn niemand, beschreibt das Verarbeitungsverzeichnis den Stand des Vorjahres statt den aktuellen.
Was passiert, wenn ein Dienstleister Daten ohne Auftragsverarbeitungsvertrag verarbeitet?
Ob es jemand beim Vertragsschluss auffängt oder erst bei einer Überprüfung.
Wir übernehmen Verzeichnis und Fristen, Sie behalten Urteil und Entscheidungen
Das Verzeichnis zu führen, Anträge zu bearbeiten, Fristen zu überwachen und Auftragsverarbeiter zu beaufsichtigen, lässt sich vom Schreibtisch nehmen. Die Beurteilung, ob eine Verletzung vorlag und ob zu melden ist, bleibt beim Beauftragten.
- Das Verarbeitungsverzeichnis lebt mit den Prozessen. - Ein neuer Prozess oder ein neues System meldet sich als zu beschreibende Tätigkeit, statt auf die jährliche Überprüfung zu warten.
- Ein Betroffenenantrag hat seine überwachte Frist. - Vom Eingang bis zur Antwort, mit einer Übersicht der Stellen, an denen die Daten dieser Person vorkommen.
- Ein Auftragsverarbeitungsvertrag ist eine Bedingung, keine Formalie. - Ein Dienstleister, der ohne einen solchen Daten verarbeitet, wird vor Arbeitsbeginn aufgezeigt, nicht danach.
Umfang
Was sich aus dem Datenschutz herausnehmen lässt
Zweiundzwanzig Aufgaben als Beispiel. Jede hat einen Punkt menschlicher Freigabe. Unten eine Auswahl; den Umfang passen wir an Ihre Prozesse an.
Das Verarbeitungsverzeichnis
- Ein Register der Tätigkeiten mit Zweck, Rechtsgrundlage und Datenkategorien
- Verknüpfung einer Tätigkeit mit Systemen und Abteilungen
- Ein Signal, wenn einem neuen System keine Tätigkeit zugeordnet ist
- Eine Durchsicht der lange unveränderten Tätigkeiten
- Hinweis auf Tätigkeiten ohne angegebene Aufbewahrungsfrist
Rechtsgrundlagen und Einwilligungen
- Ein Register der Rechtsgrundlagen je Tätigkeit
- Eine Spur der Einwilligungen mit Datum und Umfang
- Ein Signal, wenn eine Einwilligung widerrufen wird, und was daraus folgt
- Hinweis auf Tätigkeiten auf Einwilligungsbasis, bei denen eine andere Grundlage möglich ist (Einschätzung: der Beauftragte)
Betroffenenanträge
- Ein Weg für den Eingang eines Antrags
- Eine Übersicht der Stellen, an denen die Daten einer Person vorkommen
- Überwachung der gesetzlichen Frist
- Ein Antwortentwurf (Freigabe: der Beauftragte)
- Ein Register der Anträge mit Art und Erledigung
Vorfälle und Verletzungen
- Ein Weg zur Meldung eines Vorfalls aus jeder Abteilung
- Sammeln der für die Beurteilung nötigen Fakten
- Zählung der Frist ab Kenntniserlangung von der Verletzung
- Eine Beurteilung und eine Empfehlung, ob die Verletzung meldepflichtig ist (Empfehlung: der Beauftragte, Entscheidung: der Verantwortliche)
Auftragsverarbeitungsverträge
- Ein Register der Auftragsverarbeiter
- Ein Signal, wenn ein Dienstleister Daten ohne Vertrag verarbeitet
- Eine Überprüfung des Vertragsumfangs gegenüber der tatsächlichen Verarbeitung
- Termine und Änderungen in den Auftragsverarbeitungsverträgen
Ein Arbeitstag
Heute
- Sie aktualisieren das Verarbeitungsverzeichnis einmal im Jahr, indem Sie Abteilungen fragen
- Von einem neuen System erfahren Sie, wenn es bereits läuft
- Bei einem Betroffenenantrag rufen Sie Abteilungen an und suchen die Daten
- Die gesetzliche Frist überwachen Sie in einem Kalender
- Von einem Vorfall hören Sie von jemandem, der davon gehört hat
- Welche Dienstleister Daten verarbeiten, stellen Sie bei einer Überprüfung fest
Mit AI-Unterstützung
- Ein neues System oder ein neuer Prozess meldet sich als zu beschreibende Tätigkeit
- Das Register zeigt Tätigkeiten ohne Rechtsgrundlage oder ohne Aufbewahrungsfrist
- Bei einem Antrag sehen Sie eine Übersicht der Stellen, an denen die Daten vorkommen
- Die Frist wird gezählt und erinnert
- Ein Vorfall hat einen Meldeweg aus jeder Abteilung
- Ein Dienstleister ohne Auftragsverarbeitungsvertrag wird vor dem Start aufgezeigt
- Ein vollständiges Register
das Register beschreibt den aktuellen Stand, nicht den des Vorjahres
neue Systeme und Prozesse melden sich selbst
- Bearbeitungszeit eines Antrags
weniger Anträge, die am Rand der Frist bearbeitet werden
die Stellen, an denen die Daten vorkommen, sind zusammengefasst
- Verletzungen erkennen
eine kürzere Zeit zwischen Ereignis und Kenntniserlangung
einen Vorfall zu melden hat einen Weg
- Kontrolle über Auftragsverarbeiter
weniger Dienstleister verarbeiten Daten ohne Vertrag
ein fehlender Vertrag wird vor dem Start aufgezeigt
Wir beginnen mit dem Verarbeitungsverzeichnis, weil jede andere Pflicht darauf beruht.
- Schritt 1
Ein Register, verknüpft mit Systemen und Abteilungen
Tätigkeiten, Rechtsgrundlagen, Aufbewahrung, Systeme. Lücken werden als Lücken sichtbar.
- Schritt 2
Antragsbearbeitung mit Frist
Ein Weg, eine Übersicht der Fundstellen, die überwachte Frist.
- Schritt 3
Vorfälle
Meldung aus jeder Abteilung, Sammeln der Fakten, Zählung der Frist.
- Schritt 4
Auftragsverarbeiter
Ein Register der Auftragsverarbeiter und Signale über Lücken. Zuletzt, weil es das Register aus Schritt 1 voraussetzt.
Häufige Fragen
Fragen, die beim ersten Treffen aufkommen
Wer verantwortet die Beurteilung einer Verletzung?
Zwei Dinge lohnt es sich zu trennen, denn ihre Verwechslung fällt bei einer Prüfung meist auf. Eine Verletzung meldet der Verantwortliche, also Ihre Organisation - so wie auch der Verantwortliche das Verarbeitungsverzeichnis führt. Der Beauftragte berät, überwacht und bereitet die Beurteilung vor, entscheidet aber nicht für den Verantwortlichen; ihm das zuzuweisen stünde tatsächlich im Konflikt mit seiner Rolle. Das System sammelt die Fakten, zählt die Frist und erinnert - die Empfehlung gehört dem Beauftragten, die Entscheidung dem Verantwortlichen.
Wird der Beauftragte weniger gebraucht?
Die Rolle des Beauftragten ist durch Vorschriften festgelegt und besteht im Beraten und Überwachen - das lässt sich nicht auf ein Werkzeug verschieben und wir versuchen es nicht. Wir übernehmen das Führen des Registers, das Überwachen von Fristen und das Zusammentragen der Daten für Anträge. Ein Beauftragter, der das nicht von Hand macht, hört auf, eine formale Rolle zu sein, und beginnt zu sehen, was mit den Daten tatsächlich geschieht.
Fällt das unter die KI-Verordnung?
Den Beauftragten zu unterstützen ist keine Hochrisiko-Anwendung, aber der Bereich betrifft seiner Natur nach personenbezogene Daten, deshalb führen wir das Projekt nach dem Grundsatz der Datenminimierung: Das Werkzeug sieht Metadaten über Tätigkeiten und Systeme, und der Zugriff auf die personenbezogenen Daten selbst beschränkt sich auf das bei der Bearbeitung eines konkreten Antrags Notwendige.
Ihre Frage steht nicht dabei? Gespräch vereinbaren
Nächster Schritt
Wie lange würden Sie heute brauchen, um jede Stelle zu benennen, an der die Daten einer Person liegen?
Wir zeigen Ihnen, wie Datenschutz aussieht, wenn das Register mit den Prozessen lebt und die Frist eines Antrags überwacht wird.