Compliance und Datenschutz-Governance

Nach Art. 5 Abs 2 DSGVO muss der Verantwortliche die Einhaltung der Grundsätze nicht nur sicherstellen, sondern auch nachweisen können. Art. 24 DSGVO verlangt geeignete technische und organisatorische Maßnahmen und eine Überprüfung, ob diese Maßnahmen wirksam sind. Datenschutz wird damit zu einer Leitungs- und Organisationsaufgabe, nicht zu einem isolierten Projekt der IT.

Praktisch braucht es eine klare Zuordnung: Wer entscheidet über Zwecke und Mittel einer Verarbeitung? Wer liefert die fachlichen Informationen? Wer prüft Verträge, Risiken und Sicherheitsmaßnahmen? Und wer entscheidet, wenn ein neues System schnell eingesetzt werden soll? Diese Fragen sollten in einer internen Verantwortungsmatrix beantwortet werden. Sie ersetzt keine rechtliche Prüfung, verhindert aber, dass wichtige Entscheidungen zwischen Abteilungen verloren gehen.

Art. 30 DSGVO verlangt für viele Unternehmen ein Verzeichnis der Verarbeitungstätigkeiten. Auch wenn eine Ausnahme im Einzelfall geprüft werden kann, ist ein aktuelles Verzeichnis in der Praxis ein wichtiges Organisationsinstrument. Es macht sichtbar, welche Prozesse existieren, wo Datenflüsse beginnen und enden und welche Stellen an einer Verarbeitung beteiligt sind.

Ein brauchbarer Eintrag beschreibt zumindest Zweck, Kategorien betroffener Personen und Daten, Empfänger, Übermittlungen in Drittländer, Löschfristen und die allgemeinen technischen und organisatorischen Maßnahmen. Die Qualität zeigt sich bei Änderungen: Wird ein neues CRM, eine Lohnverrechnungsplattform oder ein Analysewerkzeug eingeführt, muss erkennbar sein, wer die Prüfung auslöst und wie der Eintrag aktualisiert wird.

Verknüpfen Sie das Verzeichnis mit einem Änderungsprozess. Ein Einkaufsvorgang, ein IT-Ticket oder eine Datenschutzprüfung kann als Signal dienen. So wird aus einer statischen Tabelle eine laufende Übersicht. Bei Fragen zum Einsatz externer Anbieter ist die Prüfung von Auftragsverarbeitung und Dienstleistern der passende nächste Schritt.

Richtlinien sind nur dann hilfreich, wenn sie konkrete Entscheidungen im Arbeitsalltag unterstützen. Eine allgemeine Vorgabe, Daten sicher zu behandeln, beantwortet noch nicht, wer ein neues SaaS-Tool freigibt, wie ein Datenexport geprüft wird oder wann ein Vorfall an die zuständige Stelle gemeldet werden muss. Gute Richtlinien verbinden deshalb ein klares Ziel mit einer erreichbaren Handlung.

Typische Themen sind der Einsatz neuer Software, Berechtigungen, mobile Arbeit, Aufbewahrung und Löschung, der Umgang mit Auskunftsbegehren, Marketing, Fotos, Video und die Meldung möglicher Datenschutzverletzungen. Bei Beschäftigtendaten kommen arbeitsrechtliche und mitbestimmungsrechtliche Fragen hinzu. Diese werden im Schwerpunkt Beschäftigtendatenschutz gesondert behandelt.

Schulungen und kurze Entscheidungshilfen sind oft wirksamer als lange Regelwerke. Halten Sie außerdem fest, wann eine Richtlinie geprüft wird und welches Ereignis eine außerplanmäßige Aktualisierung auslöst.

Governance zeigt sich besonders bei risikoreichen Verarbeitungen. Art. 25 DSGVO verlangt Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen. Art. 32 DSGVO verlangt ein dem Risiko angemessenes Sicherheitsniveau. Je nach Verarbeitung kann zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich sein.

Eine Risikoentscheidung sollte nicht bei einem Schlagwort stehen bleiben. Beschreiben Sie, welche Verarbeitung betroffen ist, welche Folgen für Menschen eintreten können, welche Eintrittswahrscheinlichkeit angenommen wird und welche Maßnahmen das Risiko reduzieren. Bleibt ein Risiko offen, braucht es eine zuständige Stelle, eine Priorität und einen nachvollziehbaren nächsten Schritt.

Für die laufende Steuerung genügt meist ein übersichtliches Risikoregister. Es sollte mit dem Verzeichnis, technischen Maßnahmen, Verträgen und Vorfallmanagement verknüpft sein. Bei einer Datenschutzverletzung muss die Dokumentation außerdem so organisiert sein, dass Bewertung und Reaktion zeitnah nachvollziehbar bleiben.

Eine Governance ist nicht erst dann wirksam, wenn jedes Dokument perfekt ist. Entscheidend ist, ob das Unternehmen regelmäßig prüft, ob seine Annahmen noch stimmen. Dazu können Stichproben zu Berechtigungen, Löschläufen, Dienstleisterunterlagen, Schulungen oder Einträgen im Verzeichnis gehören. Der Prüfumfang sollte zum Risiko passen und nicht bloß die leichtesten Dokumente abdecken.

Dokumentieren Sie Ergebnis, Datum, geprüften Bereich, Abweichung und Folgemaßnahme. Ein negativer Befund ist kein Scheitern, wenn das Unternehmen ihn erkennt und bearbeitet. Problematisch wird es, wenn Kontrollen nur behauptet werden oder niemand nachweisen kann, wie eine Entscheidung zustande kam.

Bei Marketing, Cookies und Tracking sollten die Einwilligungs- und Änderungssignale in den Governance-Prozess eingebunden sein. Der Schwerpunkt Marketing, Cookies und Tracking vertieft diese besondere Schnittstelle.

Externe Unterstützung kann sinnvoll sein, wenn mehrere Gesellschaften, komplexe Datenflüsse, neue Technologien, internationale Anbieter oder ein erhöhtes Risiko zusammenkommen. Auch bei einer Umorganisation, einer Übernahme oder einem größeren IT-Projekt sollte die Datenschutz-Governance nicht erst nach dem Go-live geprüft werden.

Für eine gezielte Prüfung sind meist das aktuelle Verzeichnis, Organigramm oder Verantwortungsmatrix, relevante Richtlinien, Dienstleisterverträge, Risiko- und Folgenabschätzungen, Sicherheitskonzept, Löschregeln sowie Prüf- und Schulungsnachweise hilfreich. Daraus lässt sich ableiten, ob das Problem bei der Rollenverteilung, dem Prozess, der Dokumentation oder der tatsächlichen Umsetzung liegt.

Die Kanzlei kann die rechtliche Einordnung und die organisatorische Struktur gemeinsam mit den verantwortlichen Personen prüfen. So bleibt die Lösung auf den konkreten Betrieb zugeschnitten und wird nicht zu einer Sammlung von Vorlagen ohne Bezug zum Arbeitsalltag.