Datenschutz — DSGVO-Dokumentation im Mittelstand
Die DSGVO verlangt weniger Papier, als viele befürchten, aber sie verlangt es nachweisbar. Hier steht, welche Dokumente ein Betrieb wirklich braucht und wie sie sich im Alltag pflegen lassen.
Verzeichnis von Verarbeitungstätigkeiten (VVT)
Die Kernpflicht nach Art. 30 DSGVO. Was hineingehört, wer es führen muss und warum die 250-Mitarbeiter-Ausnahme fast nie greift.
Auftragsverarbeitungsvertrag (AVV)
Wann ein AVV nötig ist, welche Pflichtinhalte Art. 28 DSGVO verlangt und wie man Auftragsverarbeitung von gemeinsamer Verantwortlichkeit abgrenzt.
Datenpanne melden (Art. 33)
Die 72 Stunden laufen ab dem Bekanntwerden, nicht ab dem Vorfall. Was in die Meldung gehört, wann sie entfällt und warum trotzdem jede Verletzung dokumentiert werden muss.
TOMs nach Art. 32 DSGVO
Keine Maßnahmenliste, sondern eine Abwägung aus Stand der Technik, Kosten und Risiko. Die vier Beispiele im Text und die Wirksamkeitsprüfung, die am häufigsten fehlt.
Löschkonzept
Die DSGVO verlangt Löschung, andere Gesetze verlangen Aufbewahrung. Wie ein Löschkonzept den Widerspruch je Datenkategorie auflöst.
Betroffenenanfrage beantworten
Ein Monat ab Eingang, verlängerbar um zwei Monate nur mit Unterrichtung. Und auch wer nicht tätig wird, muss antworten.
Verpflichtung auf Vertraulichkeit
§ 5 BDSG heißt seit 2018 Benennung und regelt nicht mehr das Datengeheimnis. Worauf sich die Verpflichtung heute stützt.
Zum Mitnehmen
Bestandsaufnahme Datenschutz
Die Fragen, die beim Lieferantencheck und bei einer Anfrage der Aufsicht zuerst kommen. Zum Durchgehen, bevor jemand anderes sie stellt.
PDF, 3 Seiten, Fragen in 5 Bereichen
- Was im Verzeichnis der Verarbeitungstätigkeiten steht und was fehlt
- Welche Auftragsverarbeiter erfasst sind
- Wie eine Betroffenenanfrage im Haus abläuft
- Woran auffällt, dass das Verzeichnis nicht mehr stimmt
Öffnet das PDF direkt. Oder unten eintragen, dann kommt es per Mail.