Datenschutzanforderungen mit Hilfe von Prozessen umsetzen

Welche Herausforderungen müssen im Hinblick auf den Datenschutz bewältigt werden?

Damit ein Unternehmen als datenschutzkonform gilt, müssen im Hintergrund viele Vorkehrungen getroffen werden. Hier nur ein paar Beispiele:

Verträge mit Lieferanten, Dienstleistern oder sonstigen Drittparteien müssen angepasst werden.
Es muss sauber dokumentiert sein, welche Personendaten warum, wo und wie in Ihrem Unternehmen bearbeitet und an wen sie weitergegeben werden.
Es muss sichergestellt werden, dass die Bearbeitung der Personendaten auf das für den Verwendungszweck nötige Mindestmass beschränkt ist.
Wird die Löschung von Personendaten beantragt, gilt es nachzuweisen, dass diese erfolgt ist.
Kommt es zu einer Verletzung der Datensicherheit, muss sichergestellt werden, dass der Notfallplan ausgeführt wird.

Hinter all diesen Anforderungen verbergen sich zum einen bereits existierende Arbeitsabläufe, zum anderen sind solche Prozesse in der Entstehung oder erst angedacht. Wichtig ist, dass Sie sich intensiv mit dem Thema Datenschutz und den damit verbundenen Prozessen auseinanderzusetzen.

Drei Phasen für eine bessere Konformität

1. Vorbereitungsphase

In der Vorbereitungsphase geht es hauptsächlich darum, zu identifizieren:

WELCHE Personendaten im Unternehmen bearbeitet werden. Welcher Kategorie gehören diese an? Wie heikel ist der Inhalt?
WARUM diese Daten bearbeitet werden. Was sind die Rechtfertigungsgründe?
WO die Bearbeitung durchgeführt wird. Erfolgt eine Auftragsbearbeitung durch Dritte?
WIE die Datensicherheit gewährleistet ist. Welche technischen und organisatorischen Massnahmen (TOM) werden ergriffen?

2. Ausführungsphase

Während der Ausführungsphase ist es wichtig, dass die Einhaltung der Datenschutzbestimmungen ständig gewährleistet ist.

Damit geht es insbesondere um

die Wahrung der Betroffenenrechte (Bearbeitung von Auskunfts-, Herausgabe-, Berichtigungs- und Löschbegehren)
die periodische Prüfung der Risikoabschätzung und adäquater TOM (technische und organisatorische Massnahmen)
die Durchführung von Datenschutz-Folgenabschätzungen

Halten Sie die Prozesse bei diesen repetitiven Aufgaben fest, damit Ihre Mitarbeitenden, die mit Personendaten arbeiten, jederzeit wissen, was wann zu tun ist.

3. Reaktionsphase

In der Reaktionsphase liegt der Fokus auf Verfahren, um angemessen auf Datenschutz-Vorfälle reagieren zu können. Bei Verletzungen der Datensicherheit können Personendaten unbeabsichtigt oder widerrechtlich verloren gehen, gelöscht oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden. Hier gilt es unter anderem, die Einhaltung der Meldepflicht sicherzustellen.

Genau in solchen Situationen zahlen sich schriftlich festgehaltene und zentral zugängliche Notfallpläne aus. Nur so können Sie umgehend handeln und die richtigen Schritte einleiten. Wie die Bezeichnung «Notfall» bereits impliziert, handelt es sich um Arbeitsabläufe, die nicht routinemässig ausgeführt werden und dementsprechend meist nicht in unserem Gedankenprozess verankert sind.

Schluss mit schwerverdaulichen Gesetzestexten