Die Pflichten, die jeden treffen
Jeder Betrieb verarbeitet personenbezogene Daten: Kunden, Beschäftigte, Lieferanten. Daraus folgen Pflichten, die unabhängig von der Größe gelten – ein Datenschutzbeauftragter ist dagegen erst ab einer bestimmten Zahl von Personen nötig, die ständig mit der Verarbeitung befasst sind.
- Verzeichnis der Verarbeitungstätigkeiten – welche Daten, wofür, wie lange, wer bekommt sie
- für jede Verarbeitung eine Rechtsgrundlage: Vertrag, gesetzliche Pflicht, berechtigtes Interesse oder Einwilligung
- Informationspflicht gegenüber Kunden und Beschäftigten (Datenschutzhinweise)
- Auftragsverarbeitungsverträge mit allen Dienstleistern, die Daten verarbeiten
- technische und organisatorische Maßnahmen: Rechte, Verschlüsselung, Sicherungen, Protokolle
- Löschkonzept mit Fristen – auch gegenüber den steuerlichen Aufbewahrungspflichten abgegrenzt
- Meldewege für Datenschutzverstöße: Meldung an die Aufsichtsbehörde binnen 72 Stunden
Wo es im Alltag praktisch wird
Drei Stellen fallen in Prüfungen und Beschwerden auf: Werbung an Kunden ohne Grundlage, Standortdaten von Beschäftigten in Fahrzeugen und Apps, und Fotos von Baustellen oder Veranstaltungen mit erkennbaren Personen. Alle drei brauchen eine Entscheidung vorab, nicht eine Erklärung hinterher.
Hilfreich ist der Grundsatz der Datenminimierung als Arbeitsregel: Was nicht erhoben wird, muss nicht geschützt, nicht beauskunftet und nicht gelöscht werden.