Interne Kontrolle über die Verarbeitung personenbezogener Daten

Im digitalen Zeitalter wird der Schutz personenbezogener Daten zu einer der Hauptaufgaben für Unternehmen, die mit zahlreichen Einzelpersonen sowie den Daten von Stellenbewerbern und Mitarbeitern zu tun haben. Die interne Kontrolle über die Verarbeitung personenbezogener Daten gehört zu den zentralen Aufgaben des Datenschutzbeauftragten (DSB bzw. DPO). In diesem Artikel betrachten wir, wie der DSB die interne Kontrolle über die Verarbeitung personenbezogener Daten ausübt, und beleuchten die wichtigsten Schritte, die ihn in dieser verantwortungsvollen Rolle unterstützen.

DSB-Funktionen im Zusammenhang mit der internen Kontrolle der Verarbeitung personenbezogener Daten

Es ist für den DSB unmöglich, seine wichtige Funktion der internen Kontrolle der Datenverarbeitung auszuüben, ohne weitere Aufgaben wahrzunehmen, insbesondere:

1. Die Analyse der Datenverarbeitungsprozesse und Bestimmung der damit verbundenen Risiken.
2. Die Entwicklung von Dokumenten zur Verarbeitung personenbezogener Daten und deren rechtzeitige Aktualisierung.
3. Die Beratung von Führungskräften in Datenschutzfragen und die Kooperation mit beauftragten Personen.
4. Die Sensibilisierung der Mitarbeiter für die Anforderungen zum Schutz personenbezogener Daten und die internen Unternehmensdokumente.
5. Die Organisation von Schulungen für Mitarbeiter, die personenbezogene Daten verarbeiten, sowie die Wissenskontrolle.
6. Die Mitwirkung bei der Prüfung von Beschwerden von Privatpersonen über die Verarbeitung ihrer Daten.
7. Die Interaktion mit dem Nationalen Zentrum für den Schutz personenbezogener Daten.

Schritte des DSB nach seiner Ernennung

Nach seiner Ernennung nimmt der DSB in der Regel die interne Kontrolle über die Verarbeitung der Unternehmensdaten auf. Dazu kann er schrittweise nach einem Plan (in einer sequenziellen Abfolge) vorgehen. Zum Beispiel:

Schritt 1. Bewertung der Wirksamkeit der gewählten Methode zur Verarbeitung personenbezogener Daten.
Der DSB kann einen Zeitraum (z. B. ein Kalenderjahr) festlegen, in dem er die Verarbeitung personenbezogener Daten in allen Unternehmensabteilungen überwacht.
Schritt 2. Analyse der Geschäftsprozesse im Zusammenhang mit der Verarbeitung personenbezogener Daten.
Bei der Umsetzung dieses Schritts kann es erforderlich sein, das Verfahren für die Interaktion mit den Abteilungen festzulegen (das Register der Datenverarbeitung). Darin können insbesondere die Verarbeitungsprozesse und die zuständigen Abteilungen definiert werden. Zudem ist es logisch, für jeden Prozess den Zweck, die Kategorien der Daten, die Herkunftsquelle und die Aufbewahrungsfrist festzulegen.
Schritt 3. Erstellung von Dokumentenentwürfen oder Prüfung vorhandener Dokumente
In dieser Phase entwirft der DSB Dokumente, die die Richtlinie des Betreiberunternehmens oder einer beauftragten Person für die Datenverarbeitung definieren, oder prüft vorhandene Dokumente auf Konformität. Der DSB prüft auch, ob eine unbegrenzte Anzahl von Personen Zugang zu der Richtlinie hat.
Für verschiedene Geschäftsprozesse können separate Richtlinien erforderlich sein – beispielsweise bezüglich der Mitarbeiterdaten, der Videoüberwachung oder von Cookies. 
In der bzw. den Richtlinien müssen Zweck und Rechtsgrundlage der Datenverarbeitung, die betroffenen Personen, die Datenkategorien und die Verarbeitungsdauer klar (z. B. tabellarisch) dargestellt werden.
Der unbeschränkte Zugang zu einer Richtlinie ist dann gerechtfertigt, wenn sie die Daten von Website-Besuchern oder Nutzern betrifft (Veröffentlichung auf der Website).
Die Richtlinie zur Verarbeitung von Mitarbeiterdaten muss nicht auf der Website veröffentlicht werden; es reicht aus, die Mitarbeiter im Unternehmen (z. B. über das Intranet) damit vertraut zu machen.
Schritt 4. Prüfung, ob Mitarbeiter und andere Datenverarbeiter mit den Schutzanforderungen und Richtlinien vertraut sind und Schulungen durchgeführt wurden
Dies betrifft festangestellte Mitarbeiter ebenso wie Praktikanten und Auftragnehmer.
Die Schulung erfolgt meist intern, kann aber auch über spezialisierte Einrichtungen wie das Nationale Zentrum für den Schutz personenbezogener Daten erfolgen.
Im Anschluss führt das Unternehmen eine Wissensprüfung durch (z. B. mittels Test oder Interview).
Schritt 5. Prüfung, ob die dienstlichen Pflichten der Datenverarbeiter um Bestimmungen zum Datenschutz und zur disziplinarischen Verantwortung ergänzt wurden
Es wird geprüft, ob die Stellenbeschreibungen Klauseln enthalten, die die Einhaltung der staatlichen und unternehmensinternen Datenschutzvorgaben zur Pflicht machen.
Schritt 6. Ist das Zugriffsverfahren auf personenbezogene Daten geregelt?
Das Zugriffsverfahren kann in einem oder mehreren Dokumenten niedergelegt sein, je nachdem, ob eigenständige Geschäftsprozesse (wie z. B. Videoüberwachung oder Informationssysteme) vorliegen.
Schritt 7. Existiert ein technischer und kryptografischer Informationsschutz?
Falls das Unternehmen über Informationsressourcen mit personenbezogenen Daten verfügt, ist zu prüfen, ob die entsprechenden Verzeichnisse und Datenkategorien aktuell gehalten werden.
Schritt 8. Ist die Liste der beauftragten Personen aktuell?
Die Liste der beauftragten Personen wird häufig in einer Tabelle geführt, die insbesondere die beauftragten Personen, die von ihnen verarbeiteten Daten und die Verarbeitungszwecke aufführt.
Schritt 9. Besteht die Pflicht zur Registrierung im Register der Betreiber personenbezogener Daten?
Nicht jedes Unternehmen muss seine Systeme zwingend im Register der Betreiber eintragen. Eine Registrierung ist nur in bestimmten Fällen erforderlich:

• Bei grenzüberschreitender Datenübermittlung in ein Land, das kein adäquates Schutzniveau bietet.
• Bei der Verarbeitung biometrischer und genetischer personenbezogener Daten.
• Bei der Verarbeitung personenbezogener Daten von mehr als 100.000 Personen.
• Bei der Verarbeitung personenbezogener Daten von mehr als 10.000 Personen unter 16 Jahren.

Schritt 10. Prüfung der Protokollierung von Datenübermittlungen an Dritte.
Dies dient dazu, betroffenen Personen Auskunft über die Verwendung ihrer Daten erteilen zu können. Hierfür werden elektronische Tabellen oder Systemprotokolle geführt, aus denen hervorgeht, an wen, wann und auf welcher Grundlage Daten übermittelt wurden.
Schritt 11. Ist das Verfahren zur Meldung von Datenschutzvorfällen an das Nationale Zentrum definiert?
Der Betreiber muss Verstöße gegen Schutzsysteme unverzüglich, spätestens jedoch innerhalb von drei Werktagen nach Kenntnisnahme, dem Nationalen Zentrum für den Schutz personenbezogener Daten melden.
Führte ein Verstoß nicht zur unrechtmäßigen Verbreitung, Veränderung oder Vernichtung von Daten, ist keine Meldung erforderlich.
Schritt 12. Ist das Verfahren zur Speicherung, Löschung und Sperrung von Daten festgelegt?
Die Löschung umfasst die physische Vernichtung von Datenträgern oder Maßnahmen, die eine Wiederherstellung unmöglich machen. Das Verfahren hängt vom Speichermedium ab; zudem sind gesetzliche Aufbewahrungsfristen zu beachten.

Wie man feststellt, ob zum Schutz der Daten genug getan wurde

Die Befolgung aller Schritte zeigt, dass die Datenverarbeitung im Wesentlichen den Anforderungen entspricht. Es gibt jedoch keinen pauschalen Ansatz für alle Unternehmen. Jedes Unternehmen hat eigene Risiken, weshalb im Rahmen der internen Kontrolle ein risikobasierter Ansatz („Risk-Based Approach“) verfolgt werden muss, der die getroffenen Maßnahmen mit den unternehmensspezifischen Risiken abgleicht.

Durch die interne Kontrolle der Verarbeitung personenbezogener Daten kann der Datenschutzbeauftragte (DPO) Risiken in einzelnen Geschäftsprozessen erkennen. Auch Überprüfungen durch das Nationale Zentrum für den Schutz personenbezogener Daten und Beschwerden von Privatpersonen über die Verarbeitung ihrer Daten können Risiken aufdecken.

Auf dieser Basis informiert der DSB die Geschäftsführung über Risiken und schlägt zusätzliche Maßnahmen zu deren Minimierung vor.

Wie wir bei der Organisation der internen Kontrolle der Datenverarbeitung helfen können

Unsere Anwälte und IT-Sicherheitsspezialisten sind erfahrene Experten auf dem Gebiet der internen Kontrolle und des Schutzes personenbezogener Daten.

Wir können: 

1. Sie bei der Implementierung der internen Kontrolle beraten.
2. Ein internes Audit der Geschäftsprozesse durchführen und Empfehlungen zum Datenschutz aussprechen.
3. Datenverarbeitungsprozesse analysieren und optimale Wege für die interne Kontrolle vorschlagen.
4. Stellenbeschreibungen für Datenverarbeiter und den DSB ausarbeiten.
5. Ein Dokumentenpaket zur internen Kontrolle der Datenverarbeitung entwickeln.
6. Ihre Interessen vor staatlichen Behörden vertreten.

Kontaktieren Sie uns

Wenn Sie Fragen oder Streitigkeiten bezüglich der internen Kontrolle der Verarbeitung personenbezogener Daten haben, helfen wir Ihnen gerne weiter! Unsere langjährige Erfahrung in diesem Bereich unterstützt Sie bei der Beilegung jeglicher Streitigkeiten.

• +375 29 505 10 51 (WhatsApp, Viber, Telegram);
• info@ambylegal.by.