Welche Grundsätze leiten die Verarbeitung personenbezogener Daten im Unternehmen

01

Die sechs Grundsätze der Datenverarbeitung

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Die Verarbeitung muss rechtmäßig, fair und transparent gegenüber der betroffenen Person sein.
• Zweckbindung: Daten werden für festgelegte, eindeutige und legitime Zwecke erhoben.
• Datenminimierung: Es werden nur Daten verarbeitet, die für den Zweck angemessen, relevant und notwendig sind.
• Richtigkeit: Daten müssen sachlich richtig und auf dem neuesten Stand sein, mit Maßnahmen zur Berichtigung oder Löschung.
• Speicherbegrenzung: Daten werden nur so lange gespeichert, wie es für den Zweck notwendig ist.
• Integrität und Vertraulichkeit: technische und organisatorische Maßnahmen schützen Daten vor unbefugter Verarbeitung oder Verlust.

02

Wer dies nachweisen muss

Der Verantwortliche ist für die Einhaltung dieser Grundsätze zuständig und muss dies nachweisen können: Dies ist der Grundsatz der Rechenschaftspflicht. In der Praxis bedeutet das, Zwecke, Rechtsgrundlagen und getroffene Maßnahmen zu dokumentieren, um bei Prüfungen durch Behörden oder betroffene Personen antworten zu können.

03

Wie diese Grundsätze im Alltag angewendet werden

Schritte

1. Der Verantwortliche weist den Auftragsverarbeiter schriftlich in die zulässigen Vorgehensweisen ein.
2. Zur Verarbeitung befugte Personen verpflichten sich zur Vertraulichkeit oder unterliegen einer entsprechenden gesetzlichen Verpflichtung.
3. Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen zum Schutz der verarbeiteten Daten.
4. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen und bei Sicherheitspflichten.
5. Nach Beendigung der Dienstleistung löscht oder gibt der Auftragsverarbeiter die Daten zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht.

04

Hypothetisches Beispiel: Kundenrechnungsstellung

Hypothetisches Beispiel: Ein Unternehmen, das die Kundenrechnungsstellung verwaltet, erhebt nur die für die Rechnungsausstellung notwendigen Daten und wendet damit die Datenminimierung an, und speichert sie nur für die vom Zweck geforderte Zeit, unter Einhaltung der Speicherbegrenzung. Beauftragt es einen Cloud-Anbieter mit der Verarbeitung, weist es ihn schriftlich in die zulässigen Vorgehensweisen ein; der Anbieter verpflichtet sich zur Vertraulichkeit und schützt die Daten mit geeigneten technischen Maßnahmen.

05

Prüfungen vor Beginn einer Verarbeitung

• Prüfen, dass jede Verarbeitung einen festgelegten, eindeutigen und legitimen Zweck hat.
• Kontrollieren, dass die erhobenen Daten angemessen, relevant und auf den Zweck beschränkt sind.
• Aufbewahrungsfristen festlegen, die dem Zweck der Verarbeitung entsprechen.
• Die schriftlichen Anweisungen an Auftragsverarbeiter dokumentieren.
• Die Folgenabschätzung überprüfen, wenn sich das Risikoniveau der Verarbeitung ändert.

06

Wie man die Software-Unterstützung organisiert

Ein Unternehmen kann gemeinsam mit seinem Software-Partner ein Register der Zwecke und Aufbewahrungsfristen für jede Verarbeitung einrichten, getrennte Rollen zwischen denen, die die Zwecke festlegen, und denen, die die Verarbeitung durchführen, sowie die Nachverfolgbarkeit der Anweisungen an externe Lieferanten. Ein regelmäßiger Überprüfungsprozess, der an Risikoänderungen gekoppelt ist, kann als betriebliche Option vorgesehen werden. Dies sind vorgeschlagene organisatorische Optionen, keine erklärten Funktionen eines bestimmten Produkts.

07

Häufige Klarstellungen zu den Grundsätzen

• Die Datenminimierung verhindert nicht die Erhebung nützlicher Daten, verlangt aber, sie auf das für den erklärten Zweck Notwendige zu beschränken.
• Die Rechenschaftspflicht betrifft den Verantwortlichen, der jederzeit die Einhaltung der Grundsätze nachweisen können muss.
• Der Auftragsverarbeiter handelt nur auf dokumentierte Anweisung des Verantwortlichen, sofern gesetzlich nichts anderes vorgeschrieben ist.

08

Nächster Schritt

Bevor Sie eine Verarbeitung personenbezogener Daten beginnen oder überprüfen, erfassen Sie Zwecke, erhobene Daten und Aufbewahrungsfristen und stellen Sie sicher, dass die Anweisungen an Lieferanten schriftlich dokumentiert sind.