Unternehmen auf der ganzen Welt werden bald gemeinsam aufatmen, wenn die bevorstehende DSGVO-Frist endlich in Kraft tritt. In diesem Beitrag stellen wir Ihnen eine DSGVO-Checkliste für die
Nach all den Planungen und Vorbereitungen, die in den letzten zwei Jahren stattgefunden haben, tritt die DSGVO am 25. Mai offiziell in Kraft und wird die derzeitigen Datenschutzvorschriften grundlegend neu gestalten, wodurch die EU-Bürger mehr Kontrolle über ihre Daten erhalten.
Es gab in letzter Minute viel hektisches Treiben, da Unternehmen sich beeilen, sicherzustellen, dass sie die neue Verordnung einhalten und nicht mit den hohen Geldbußen belegt werden, die bei Nichteinhaltung verhängt werden. Es wird eine Reihe von Organisationen geben, die sich die Zeit genommen haben, ihre DSGVO-Planung systematisch durchzuarbeiten, und andere, die alles bis zur letzten Minute aufgeschoben haben.
Ganz gleich, in welcher Phase Ihrer DSGVO-Umsetzung Sie sich gerade befinden – unsere abschließende Checkliste bietet Ihnen einige Leitlinien dazu, was Sie tun müssen, um sicherzustellen, dass Sie auf die bevorstehenden Änderungen vorbereitet sind, sowie zu den Schritten, die Sie unternehmen müssen, um künftig die Einhaltung der Vorschriften nachweisen zu können.
1. Ermitteln Sie alle personenbezogenen Daten, über die Sie verfügen
Die EU definiert „personenbezogene Daten“ als alle Informationen, anhand derer eine natürliche Person (betroffene Person) direkt oder indirekt identifiziert werden kann. Dazu gehören unter anderem Namen, E-Mail-Adressen, IP-Adressen und Bilder. Ebenfalls dazu zählen sensible personenbezogene Daten wie biometrische oder genetische Daten, die zur Identifizierung einer natürlichen Person verarbeitet werden könnten.
Falls Ihre Organisation Daten europäischer Bürger verarbeitet, müssen Sie ein Audit durchführen und Folgendes ermitteln:
- Welche Daten werden erfasst?
- Woher stammen die Daten?
- Warum werden diese Daten erhoben?
- Wie wird es verarbeitet?
- Wer hat Zugriff?
- Wie lange werden die Daten aufbewahrt?
- Wohin werden die Daten übertragen?
- Werden alle Daten benötigt?
2. Schulen Sie Ihre mit personenbezogenen Daten befassten Mitarbeiter
Ein Verantwortlicher für personenbezogene Daten ist jede Person innerhalb Ihrer Organisation, die befugt ist, personenbezogene Daten zu bearbeiten und zu verarbeiten. Die Zuständigkeiten werden häufig auf Abteilungsebene zugewiesen. Im Idealfall verfügt jeder Geschäftsbereich über einen Datenschutzbeauftragten – eine Person, die sich mit dem Umgang mit personenbezogenen Daten, deren Verarbeitung sowie den Datenschutzpraktiken auskennt. Die Ernennung eines Verantwortlichen für personenbezogene Daten trägt dazu bei, die Einhaltung der Vorschriften innerhalb Ihrer Organisation zu erleichtern.
3. Die Einwilligung der betroffenen Person verstehen
Die DSGVO schreibt vor, dass eine ausdrückliche Einwilligung des Nutzers vorliegen muss. Diese Einwilligung muss für Berichts- und Prüfungszwecke dokumentiert werden. Beruht die Verarbeitung auf der Einwilligung einer betroffenen Person, kann diese ihre Einwilligung jederzeit widerrufen. Sie hat zudem das Recht zu erfahren, wie lange ihre personenbezogenen Daten für die zukünftige Verarbeitung aufbewahrt werden. Falls Ihre Organisation Daten von minderjährigen betroffenen Personen verarbeitet, müssen Sie sicherstellen, dass Sie über geeignete Systeme verfügen, um das Alter der einzelnen Personen zu überprüfen und die Einwilligung der Erziehungsberechtigten einzuholen.
Die betroffenen Personen sollten klare und leicht verständliche Informationen erhalten. Sie sollten zudem das Recht haben, zu erfahren, welche Sicherheitsvorkehrungen zum Schutz ihrer personenbezogenen Daten getroffen wurden und ob Dritte an der Verarbeitung ihrer Daten beteiligt sind.
4. Aktualisierung der Verfahren zur Bearbeitung von Anträgen betroffener Personen
Organisationen müssen über Verfahren zur Bearbeitung von Anträgen betroffener Personen verfügen. Betroffene Personen müssen die Möglichkeit haben, ihre Rechte kostenlos auszuüben, und Organisationen müssen den Anträgen innerhalb eines Monats nach Eingang nachkommen; je nach Komplexität und Anzahl der Anträge ist eine Verlängerung um maximal zwei Monate zulässig.
5. Plan zur Erkennung von Datenschutzverletzungen und zur Reaktion darauf
Sobald Unternehmen feststellen, dass eine Datenschutzverletzung vorliegt, besteht das vorrangige Anliegen darin, die Fortsetzung der Verletzung zu verhindern. Die DSGVO schreibt vor, dass Unternehmen jede Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden nach ihrer Feststellung der zuständigen Aufsichtsbehörde melden müssen.
Führt die Datenschutzverletzung zu einem hohen Risiko für die Rechte und Freiheiten einer betroffenen Person, so muss diese unverzüglich benachrichtigt werden.
Unternehmen sollten über einen Plan zur Reaktion auf Vorfälle verfügen, in dem dargelegt wird, wie Vorfälle erkannt werden, welche Personen einbezogen werden, wie die Bedrohung eingedämmt und beseitigt wird und wie das Unternehmen den Vorfall dokumentiert und meldet.
6. Nachweis des Verständnisses des Datenschutzes
Unternehmen müssen nachweisen, dass ihre Mitarbeiter die DSGVO-Richtlinien sowohl gelesen als auch verstanden haben. Durch die Vorlage dieses Nachweises können Unternehmen überzeugend darlegen, dass der „Datenschutz“ zu einem festen Bestandteil ihres täglichen Geschäftsbetriebs geworden ist. E-Learning ist eine der besten Methoden, um sicherzustellen, dass die Mitarbeiter die DSGVO-Richtlinien vollständig verstehen.
Ein E-Learning-Programm gewährleistet nicht nur die Wirksamkeit der Lernerfahrung, sondern ermöglicht es Organisationen auch, auf aussagekräftige und messbare Weise nachzuweisen, dass die Richtlinien ordnungsgemäß verbreitet wurden.
7. Bericht über laufende Maßnahmen zur Einhaltung der Vorschriften
Die DSGVO schreibt vor, dass Organisationen die Wirksamkeit ihrer betrieblichen Praktiken im Zusammenhang mit personenbezogenen Daten bewerten müssen. Durch die regelmäßige Bewertung der Compliance-Maßnahmen und die Einrichtung einer Berichtsstruktur können Unternehmen bei Bedarf gegenüber der Geschäftsleitung, den Interessengruppen und den Aufsichtsbehörden ihre Rechenschaftspflicht nachweisen. Die Wirksamkeit eines laufenden Compliance-Programms setzt voraus, dass messbare Kennzahlen verfolgt und Prozesse angepasst werden, sobald Unstimmigkeiten festgestellt werden.
8. Führen Sie eine Überprüfung der Cybersicherheit durch
Die Cyberkriminalität entwickelt sich weiter und nimmt rasant zu; sie stellt eine echte Gefahr für Unternehmen weltweit dar. Unternehmen müssen prüfen, wie sicher ihr Netzwerk ist, wie leicht es angegriffen werden könnte, ob Daten verschlüsselt sind und ob die Mitarbeiter darin geschult sind, die Risiken zu erkennen.
Die meisten Datenpannen beginnen mit einer einfachen Phishing-E-Mail; daher ist es von entscheidender Bedeutung, dass Unternehmen in die Schulung ihrer Mitarbeiter investieren, damit diese solche Bedrohungen erkennen und angemessen darauf reagieren können.
Die bevorstehende Frist für die DSGVO ist keineswegs der Endpunkt der Compliance. Die DSGVO wird sich im Laufe der Zeit weiterentwickeln, und Unternehmen müssen ihre Prozesse und Systeme kontinuierlich anpassen, um die Verordnung einzuhalten.
Wenn Sie weitere Informationen darüber wünschen, wie Ihr Unternehmen seinen Ansatz zur Einhaltung der DSGVO verbessern kann, klicken Sie bitte hier, um zu erfahren, wie MetaCompliance Ihnen dabei helfen kann.
Leicht verständliche DSGVO-Mitarbeiterschulung
Unsere kurzen Nano-Videos ermöglichen es Ihren Mitarbeitern, die wichtigsten Aspekte der DSGVO zu verstehen. Dies ist das hochwertigste Schulungsprogramm zur DSGVO, das derzeit verfügbar ist. Erfahren Sie, warum unsere Kunden bei ihren DSGVO-Projekten Fortschritte erzielen.
HAFTUNGSAUSSCHLUSS: Die Inhalte und Meinungen in diesem Blog dienen ausschließlich zu Informationszwecken. Sie stellen keine rechtliche oder sonstige fachliche Beratung dar und sollten nicht als Grundlage herangezogen oder als Ersatz für eine spezifische Beratung in Bezug auf bestimmte Umstände, das Datenschutzgesetz oder sonstige geltende oder künftige Rechtsvorschriften angesehen werden. MetaCompliance übernimmt keine Haftung für Fehler, Auslassungen oder irreführende Angaben sowie für etwaige Verluste, die durch das Vertrauen auf die in diesem Blog enthaltenen Informationen entstehen könnten.