Die sieben Grundsätze der Datenverarbeitung: ein rollenbasiertes Verfahren

01

Die Grundsätze, die Artikel 5 der DSGVO der Verarbeitung vorschreibt

Artikel 5 der DSGVO listet sechs Grundsätze auf: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise; Zweckbindung; Datenminimierung; Richtigkeit; Speicherbegrenzung; Integrität und Vertraulichkeit. Ein siebter Grundsatz, die Rechenschaftspflicht, verlangt vom Verantwortlichen, für die Einhaltung der ersten sechs zuständig zu sein und dies nachweisen zu können.

02

Warum die Rechenschaftspflicht die Organisation der Rollen verändert

Artikel 5 Absatz 2 verlangt nicht nur die Einhaltung der Grundsätze, sondern deren Nachweis. Dies verschiebt die Arbeit von einer Absichtserklärung zu einer Reihe von Nachweisen: Wer entscheidet über die Zwecke, wer verarbeitet die Daten, wer bewahrt die Nachweise der getroffenen Entscheidungen auf. Die DSGVO sieht außerdem vor, dass der Verantwortliche die Folgenabschätzung überprüft, wenn sich das Risiko der Verarbeitung ändert.

03

Ein Verfahren nach Rolle, vom Verantwortlichen zum Auftragsverarbeiter

Schritte

1. Der Verantwortliche legt festgelegte, eindeutige und legitime Zwecke fest, bevor Daten erhoben werden.
2. Der Verantwortliche überprüft, dass die erhobenen Daten dem Zweck angemessen, erheblich und auf das notwendige Maß beschränkt sind.
3. Wer die Daten im Laufe der Zeit verwaltet, aktualisiert oder löscht ungenaue Informationen unverzüglich.
4. Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Anweisung des Verantwortlichen, sofern keine andere rechtliche Verpflichtung besteht.
5. Der Verantwortliche überprüft die Folgenabschätzung, wenn sich das Risikoniveau der Verarbeitung ändert.

04

Hypothetisches Beispiel: ein KMU, das die Lohnabrechnung an einen externen Dienstleister auslagert

Hypothetisches Beispiel. Ein Unternehmen überträgt die Lohnabrechnung an einen externen Dienstleister. Der Verantwortliche dokumentiert die dem Dienstleister erteilten Anweisungen, der als Auftragsverarbeiter handelt. Der Auftragsverarbeiter gewährleistet die Vertraulichkeit des autorisierten Personals, trifft die erforderlichen Sicherheitsmaßnahmen und löscht oder gibt die Daten am Ende des Vertrags gemäß der Wahl des Verantwortlichen zurück.

05

Prüfungen vor der Einstufung einer Verarbeitung als konform

• Die Zwecke der Verarbeitung sind schriftlich festgehalten und kommuniziert, nicht nur angenommen.
• Die erhobenen Daten sind auf das für diesen Zweck Notwendige beschränkt.
• Es gibt ein Verfahren zur Korrektur oder Löschung ungenauer Daten.
• Der Vertrag mit jedem Auftragsverarbeiter enthält dokumentierte Anweisungen.
• Der Auftragsverarbeiter kann mit Dokumenten die Einhaltung seiner Pflichten nachweisen.

06

Wie eine Verwaltungssoftware dieses Verfahren unterstützen kann

Ein Unternehmen kann seinen Software-Partner bitten, eine Nachverfolgung einzurichten, wer personenbezogene Daten eingibt, ändert oder löscht, mit getrennten Rollen für Verantwortlichen und Auftragsverarbeiter. Dies ist eine betriebliche Entscheidung, keine gesetzliche Pflicht, die an ein bestimmtes Werkzeug gebunden ist.

Es kann außerdem ein internes Verzeichnis der Zwecke und Speicherfristen aufbauen, mit regelmäßiger Überprüfung im Zusammenhang mit Risikoänderungen der Verarbeitung, um bei einer Prüfung Nachweise bereit zu haben.

07

Häufige Klärungen zu den Grundsätzen von Artikel 5

• Die Grundsätze gelten für jede Verarbeitung, unabhängig von der Unternehmensgröße, da Artikel 5 keine Größenschwellen einführt.
• Die Rechenschaftspflicht erfordert konkrete Nachweise: Verträge, Verzeichnisse, dokumentierte Entscheidungen, nicht nur allgemeine Richtlinien.
• Die Überprüfung der Folgenabschätzung erfolgt nicht automatisch jährlich, sondern wenn sich das Risiko der Verarbeitung ändert.

08

Praktischer nächster Schritt

Erfassen Sie heute die im Unternehmen aktiven Verarbeitungstätigkeiten, indem Sie jeder einen Verantwortlichen, einen Auftragsverarbeiter (falls extern) und einen schriftlichen Zweck zuweisen: Dies ist der erste Schritt, um die Rechenschaftspflicht überprüfbar zu machen.