Datenschutz-Grundverordnung

Sie legen die Zwecke und Mittel der Verarbeitung personenbezogener Daten fest. Im Klartext: Sie entscheiden, warum und wie personenbezogene Daten verwendet werden. Wenn Sie derjenige sind, der gesagt hat: „Sammeln wir E-Mail-Adressen für unseren Newsletter“, dann herzlichen Glückwunsch – Sie sind der Verantwortliche.

Ihre Pflichten

• Schaffen Sie für jede Verarbeitungsmaßnahme eine Rechtsgrundlage (Art. 6) – „weil wir es dürfen“ reicht als Begründung nicht aus
• Führen Sie ein Verzeichnis der Verarbeitungsvorgänge (RoPA), in dem dokumentiert wird, welche Daten Sie verarbeiten und zu welchem Zweck (Art. 30)
• Führen Sie Datenschutz-Folgenabschätzungen (DSFA) für Verarbeitungen mit hohem Risiko durch – wie beispielsweise Profiling oder Überwachung in großem Umfang (Art. 35)
• Melden Sie Datenschutzverletzungen innerhalb von 72 Stunden Ihrer Aufsichtsbehörde (Art. 33) – einschließlich Wochenenden und Feiertagen
• Stellen Sie sicher, dass betroffene Personen ihre Rechte ausüben können: Auskunftsrecht, Recht auf Berichtigung, Recht auf Löschung („Recht auf Vergessenwerden“), Recht auf Datenübertragbarkeit und Widerspruchsrecht (Art. 15–22)
• Ergreifen Sie geeignete technische und organisatorische Maßnahmen, um die Datensicherheit zu gewährleisten (Art. 32) – ein Post-it-Zettel mit dem Passwort für die Datenbank reicht dafür nicht aus
• Bestellen Sie gegebenenfalls einen Datenschutzbeauftragten (DSB) (Art. 37)
• Beauftragen Sie nur Auftragsverarbeiter, die ausreichende Garantien bieten – und halten Sie dies in einer Auftragsverarbeitungsvereinbarung fest (Art. 28)

Wichtige Artikel

Sie verarbeiten personenbezogene Daten im Auftrag eines Verantwortlichen. Denken Sie beispielsweise an einen Cloud-Hosting-Anbieter, einen Lohnbuchhaltungsdienst oder eine E-Mail-Marketing-Plattform. Sie entscheiden nicht selbst, was mit den Daten geschieht – Sie führen lediglich die Anweisungen des Verantwortlichen aus. So wie ein sehr gut bezahlter Assistent mit strengen Anweisungen.

Ihre Pflichten

• Verarbeiten Sie Daten ausschließlich gemäß den dokumentierten Anweisungen des Verantwortlichen (Art. 28) – eigenmächtiges Handeln im Umgang mit personenbezogenen Daten wird nicht geschätzt
• Führen Sie Ihr eigenes Verzeichnis der Verarbeitungsvorgänge (Art. 30 Abs. 2)
• Geeignete Sicherheitsmaßnahmen umsetzen (Art. 32)
• Informieren Sie den Verantwortlichen unverzüglich, wenn Sie eine Datenschutzverletzung feststellen (Art. 33 Abs. 2) – „Ich war im Urlaub“ gilt nicht als unverzügliche Benachrichtigung
• Unterstützung des für die Verarbeitung Verantwortlichen bei Datenschutz-Folgenabschätzungen und Anfragen von betroffenen Personen, sofern darum gebeten wird (Art. 28 Abs. 3)
• Unterauftragsverarbeiter dürfen nur mit vorheriger Zustimmung des Verantwortlichen beauftragt werden (Art. 28 Abs. 2)
• Löschen oder Rückgabe aller personenbezogenen Daten bei Beendigung des Verarbeitungsverhältnisses (Art. 28 Abs. 3 Buchstabe g)

Wichtige Artikel

Sie sind der unabhängige Datenschutzexperte der Organisation. Sie beraten, überwachen die Einhaltung der Vorschriften und fungieren als Ansprechpartner für die Aufsichtsbehörde. Sie berichten direkt an die oberste Führungsebene, und niemand kann Ihnen vorschreiben, zu welchem Ergebnis Sie kommen sollen. Sie sind im Grunde genommen der Datenschutzprüfer – auf Partys nicht gerade der beliebteste Gast, aber jeder ruft Sie an, wenn etwas schiefgeht.

Ihre Pflichten

• den Verantwortlichen bzw. den Auftragsverarbeiter über seine bzw. dessen Verpflichtungen gemäß der DSGVO zu informieren und zu beraten (Art. 39 Abs. 1 Buchstabe a)
• Überwachung der Einhaltung der DSGVO und der internen Datenschutzrichtlinien (Art. 39 Abs. 1 Buchstabe b)
• Beratung zu Datenschutz-Folgenabschätzungen und Überwachung ihrer Durchführung (Art. 39 Abs. 1 Buchstabe c)
• Als Ansprechpartner für die Aufsichtsbehörde fungieren (Art. 39 Abs. 1 Buchst. d–e)
• Stellen Sie Ihre Unabhängigkeit sicher – Sie dürfen keine Anweisungen zur Ausführung Ihrer Aufgaben erhalten (Art. 38.3)
• Sich über die aktuellen Entwicklungen im Datenschutzrecht und in der Datenschutzpraxis auf dem Laufenden halten (Art. 37.5)
• Für betroffene Personen, die Bedenken äußern möchten, erreichbar sein (Art. 38 Abs. 4)

Wichtige Artikel

Sie sind ein lebender, atmender Mensch, dessen personenbezogene Daten verarbeitet werden. Das ist alles – es bedarf keiner besonderen Bescheinigung. Wenn eine Organisation Ihren Namen, Ihre E-Mail-Adresse, Ihre IP-Adresse oder sogar Ihre Cookie-Einstellungen gespeichert hat, sind Sie eine betroffene Person. Das bedeutet, dass Sie Rechte haben. Und zwar eine ganze Menge.

Ihre Pflichten

• Sie haben das Recht, Ihre personenbezogenen Daten einzusehen und eine Kopie davon zu erhalten (Art. 15) – bitten Sie höflich darum, aber Sie sind nicht dazu verpflichtet
• Sie können die Berichtigung unrichtiger Daten verlangen (Art. 16) – Ihr Name lautet nicht „Sehr geehrter Kunde“
• Sie können die Löschung Ihrer Daten beantragen – das sogenannte „Recht auf Vergessenwerden“ (Art. 17)
• Sie können die Verarbeitung in bestimmten Fällen einschränken (Art. 18)
• Sie haben das Recht auf Datenübertragbarkeit – Sie können Ihre Daten mitnehmen und an einen anderen Ort übertragen (Art. 20)
• Sie können der Verarbeitung, einschließlich Profiling und Direktmarketing, widersprechen (Art. 21) – ja, Sie können sich abmelden
• Sie haben das Recht, nicht einer ausschließlich automatisierten Entscheidungsfindung, einschließlich Profiling, unterworfen zu werden (Art. 22)
• Sie können bei einer Aufsichtsbehörde Beschwerde einlegen, wenn Ihre Rechte verletzt werden (Art. 77)

Wichtige Artikel

Verfügbare Tools

• Verarbeitungsprotokoll (RoPA) – Dokumentieren Sie jede Verarbeitungsaktivität mithilfe integrierter Vorlagen
• DPIA mit Risikomatrix – Bewertung und Einstufung von Risiken anhand von 7 Dimensionen
• Vorfallmanagement – Verfolgen Sie Sicherheitsverletzungen mit automatischen Erinnerungen zur 72-Stunden-Frist
• Rechte betroffener Personen – durchgängige Verwaltung von Anträgen auf Auskunft, Löschung und Datenübertragbarkeit
• Einwilligungsmanagement – Nachverfolgung der Einholung und des Widerrufs von Einwilligungen sowie der Prüfpfade
• Datenabbildung – Visualisierung von Datenflüssen zwischen Systemen und Drittanbietern
• Datenverarbeitungsvereinbarungen – Verwaltung der Beziehungen zu Auftragsverarbeitern und Unterauftragsverarbeitern
• Prüfung der Rechtsgrundlage – Dokumentation und Überprüfung der Rechtsgrundlage für jede Verarbeitungsaktivität
• Folgenabschätzung bei Datenübermittlungen (TIA) – Bewertung internationaler Datenübermittlungen

KI-gestützte Funktionen

• Beratungsassistent (gdpr_readiness) – 5-stufige, schrittweise Bewertung mit KI-Analyse pro Schritt und Verweisen auf einschlägige Artikel
• Von der KI generiertes Compliance-Urteil: konform / bedingt konform / nicht konform
• Semantische Suche in den Artikeln der DSGVO, den Leitlinien des EDPB und der Rechtsprechung