Die Pflicht fängt nicht bei zehn Leuten an.

Die Zahl, die alle im Kopf haben, ist zehn Mitarbeiter. Seit 2019 sind es zwanzig, und die Kopfzahl ist ohnehin nur einer von drei Gründen. Wir übernehmen die Rolle als externer Datenschutzbeauftragter, und weil wir ein IT-Systemhaus sind, sehen wir dabei auch die Systeme, in denen eure Daten liegen.

Jetzt unverbindliches Erstgespräch vereinbaren

Wie viele Mitarbeiter beschäftigt ihr aktuell?

Weniger als 20 20 bis 50 50 bis 250 Mehr als 250

Dann greift die Schwelle aus § 38 BDSG wahrscheinlich nicht. Achtung: sie zählt nicht eure Mitarbeiter, sondern die Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Wichtiger ist ohnehin der zweite Weg hinein: Art. 37 DSGVO verlangt einen Datenschutzbeauftragten unabhängig von jeder Größe, sobald eure Kerntätigkeit besondere Datenkategorien umfasst oder systematisch überwacht. Praxen, Pflegedienste und Medizintechnik fallen regelmäßig darunter, auch mit fünf Leuten. Und alle übrigen Pflichten der DSGVO gelten, ob ihr jemanden benennt oder nicht.

Die zwölf Fragen ansehen

Dann fast sicher ja. § 38 BDSG greift, sobald in der Regel mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, und in dieser Größe trifft das praktisch jeden: Vertrieb mit CRM, Buchhaltung, Personal, Empfang. Teilzeit zählt als Person und nicht anteilig. Intern ist die Rolle in dieser Größe selten besetzbar, weil die Kandidaten dieselben Systeme betreiben, die sie prüfen müssten.

Dann ja, und die Benennung ist der kleinere Teil. In dieser Größe wachsen die Unterlagen mit: das Verzeichnis der Verarbeitungstätigkeiten, die Verträge mit jedem Werkzeug, das Löschkonzept, die Schulung. Dazu kommen die ersten Kunden, die im Sicherheitsfragebogen nach dem Datenschutzbeauftragten fragen, und die wollen einen Namen und eine Meldung bei der Aufsichtsbehörde sehen.

Dann ist die Frage nicht mehr, ob, sondern wer. Intern ist die Rolle in dieser Größe grundsätzlich machbar, scheitert aber an zwei Dingen: Art. 38 Abs. 6 DSGVO verbietet den Interessenkonflikt, und das schließt IT-Leitung, Personalleitung und Geschäftsführung aus. Und wer intern benannt wird, bekommt einen Kündigungsschutz, den ihr nicht mehr auflöst, wenn die Person wechselt oder die Rolle nicht passt.

Der Kollege, der es nebenbei macht

Er darf es meistens gar nicht.

Art. 38 Abs. 6 DSGVO verbietet Interessenkonflikte. Wer die Systeme betreibt, kann nicht prüfen, ob sie datenschutzkonform betrieben werden. Und wer einmal intern benannt ist, hat Kündigungsschutz, auch wenn die Rolle nicht mehr passt.

Das Verarbeitungsverzeichnis von 2018

Seitdem sind drei Systeme dazugekommen.

Art. 30 DSGVO verlangt ein Verzeichnis, das dem aktuellen Stand entspricht. In der Praxis ist es eine Excel-Datei, die einmal für die Einführung gebaut wurde und seitdem in einem Ordner liegt, den niemand mehr öffnet.

Die Auftragsverarbeiter, die nie gezählt wurden

Jedes Werkzeug mit Login ist einer.

Das Newsletter-Werkzeug, die Zeiterfassung, das CRM, der Cloud-Speicher, das Bewerbungsportal. Für jeden davon braucht ihr einen Vertrag nach Art. 28 DSGVO. Die meisten Firmen kennen ihre eigene Liste nicht.

72 Stunden

So lange habt ihr nach einer Datenpanne Zeit.

Art. 33 DSGVO. Die Frist läuft ab Kenntnis, nicht ab Feierabend, und sie läuft auch über das Wochenende. Wer erst dann anfängt zu klären, wer meldet und was gemeldet wird, verliert den halben Zeitraum mit Organisieren.

Die Auskunftsanfrage des Ex-Mitarbeiters

Ein Monat, und die Uhr läuft schon.

Art. 15 DSGVO gibt jedem das Recht auf eine Kopie aller Daten, die ihr über ihn habt. Das heißt: Personalakte, Mailpostfach, Chatverlauf, Zeiterfassung, Zugangsprotokolle. Meistens kommt die Anfrage kurz nach einer Kündigung, und selten allein.

Post von der Aufsichtsbehörde

Ein Fragebogen, vier Wochen Frist.

Die Landesbeauftragte für Datenschutz und Informationsfreiheit in NRW prüft auch ohne Beschwerde. Der Rahmen dafür steht in Art. 83 Abs. 4 DSGVO: bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Allein die fehlende Benennung fällt darunter.

Eine Kanzlei liest eure Verträge. Wir sehen eure Systeme.

Der größte Teil dessen, was im Datenschutz schiefgeht, ist keine Rechtsfrage. Es ist ein Ordner im Cloud-Speicher, auf den alle Zugriff haben, weil es vor vier Jahren mal schneller ging. Es ist ein Postfach, das nach dem Austritt nicht geschlossen wurde. Es ist ein Backup in einem Land, das im Vertrag nicht steht.

Das sieht man nicht im Vertrag. Das sieht man in der Konsole. Wir sind ein IT-Systemhaus, das den Datenschutz mitmacht, und nicht eine Beratung, die die IT vom Hörensagen kennt. Wenn wir sagen, dass eine Berechtigung falsch gesetzt ist, dann haben wir sie nachgesehen, und wir können sie auch gerade ziehen.

Wir prüfen die Berechtigungen im System, nicht die Beschreibung im Vertrag
Wir wissen, wo die Daten physisch liegen, weil wir die Server betreiben
Für die rein juristischen Fragen arbeiten wir mit Fachanwälten zusammen

Zwei Mitarbeiter von Klauke Enterprises vor einem Bildschirm

Bestandsaufnahme

Welche Systeme verarbeiten personenbezogene Daten, wer hat Zugriff, welche Verträge gibt es schon. Am Ende steht eine Liste mit dem, was fehlt, nach Dringlichkeit sortiert.

Benennung und Meldung

Wir werden als externer Datenschutzbeauftragter benannt und bei der Aufsichtsbehörde gemeldet. Ab diesem Tag sind die Kontaktdaten öffentlich, und Anfragen laufen bei uns auf, nicht bei euch.

Die Unterlagen aufbauen

Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen, Auftragsverarbeitungsverträge, Löschkonzept, Betroffenenrechte. Wir schreiben sie, ihr prüft sie, sie gehören euch.

Die Leute mitnehmen

Eine Schulung, die im Kalender steht und nachweisbar ist. Ohne sie sind die besten Unterlagen ein Ordner, der niemandem hilft.

Laufender Betrieb

Jährliche Prüfung, Änderungen am System werden eingepflegt, und im Ernstfall führen wir die Meldung innerhalb der 72 Stunden. Ihr habt eine Nummer, die rangeht.

Ein Verarbeitungsverzeichnis entsteht nicht am Schreibtisch. Es entsteht in den Systemen, die ihr benutzt: im Postfach, im Dateiablagesystem, im Verzeichnisdienst, in der Sicherung, auf der Firewall. Wir betreuen diese Systeme im Tagesgeschäft, und das ist der Grund, warum die Bestandsaufnahme bei uns Tage dauert und nicht Monate.