Was bedeutet DSGVO-konform?
DSGVO-konform heißt, dass eine konkrete Verarbeitung personenbezogener Daten die Anforderungen der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) erfüllt und der Verantwortliche das belegen kann. Konform ist also eine Verarbeitung bei einem bestimmten Unternehmen, kein Produkt: Eine Software kann eine rechtmäßige Nutzung ermöglichen, die Verantwortung für die Verarbeitung bleibt beim Verantwortlichen.
Der Nachweis gehört zur Pflicht. Nach Art. 5 Abs. 2 DSGVO muss der Verantwortliche die Einhaltung der Grundsätze nachweisen können („Rechenschaftspflicht“). Art. 24 Abs. 1 verlangt technische und organisatorische Maßnahmen, die die Einhaltung sicherstellen und belegbar machen, und deren Überprüfung und Aktualisierung, wo erforderlich.
Ergänzend gilt in Deutschland das Bundesdatenschutzgesetz (BDSG). Die Pflichten im Zusammenhang ordnet der DSGVO-Leitfaden.
Was gehört zur DSGVO-Konformität?
Neben den Grundsätzen des Art. 5, etwa der Speicherbegrenzung, gehören zur Konformität diese zehn Pflichtbereiche, jeder mit eigener Fundstelle und eigenem Nachweis.
| Pflicht | Fundstelle | Nachweis |
|---|---|---|
| Rechtsgrundlage je Verarbeitung | Art. 6 Abs. 1 | Eintrag im Verarbeitungsverzeichnis, Einwilligungsnachweise |
| Verzeichnis von Verarbeitungstätigkeiten | Art. 30 | Verzeichnis; Ausnahme nach Abs. 5 nur mit Prüfung der Gegenausnahmen |
| Informationspflichten | Art. 13 und 14 | Datenschutzhinweise |
| Betroffenenrechte | Art. 15 bis 22, Frist nach Art. 12 Abs. 3 | Prozess mit Antwort binnen eines Monats, verlängerbar um zwei Monate |
| Datenschutz durch Technikgestaltung und Voreinstellungen | Art. 25 | Vorgaben für Beschaffung und Entwicklung |
| Sicherheit der Verarbeitung | Art. 32 | Dokumentation der technischen und organisatorischen Maßnahmen, Wirksamkeitsprüfung |
| Auftragsverarbeitung | Art. 28 | Auftragsverarbeitungsverträge |
| Datenschutz-Folgenabschätzung | Art. 35 | DSFA bei voraussichtlich hohem Risiko |
| Datenpannen | Art. 33 und 34 | Meldeprozess; Meldung binnen 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko |
| Datenschutzbeauftragter | Art. 37, § 38 BDSG | Benennung und Mitteilung an die Aufsichtsbehörde |
Für das Verzeichnis nach Art. 30 gibt es eine Vorlage für das Verarbeitungsverzeichnis mit den Pflichtangaben.
Gibt es ein DSGVO-Zertifikat?
Ein amtliches Zertifikat, das ein Unternehmen insgesamt als DSGVO-konform ausweist, gibt es nicht. Art. 42 DSGVO sieht freiwillige Zertifizierungen, Datenschutzsiegel und Prüfzeichen für Verarbeitungsvorgänge vor. Sie werden für höchstens drei Jahre erteilt (Abs. 7) und mindern die Verantwortung des Verantwortlichen nicht (Abs. 4).
Ein Zertifikat nach ISO/IEC 27001 belegt ein Informationssicherheits-Managementsystem, nicht die Rechtmäßigkeit einer Verarbeitung. Gemeinsam haben beide die Maßnahmen nach Art. 32 DSGVO: Pseudonymisierung und Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, rasche Wiederherstellung und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit.
Diese Maßnahmen lassen sich für ISMS und Datenschutz einmal dokumentieren. Wo sich die Disziplinen trennen, zeigt der Vergleich Datenschutz vs. Informationssicherheit.
DSGVO-Check: eine Verarbeitung prüfen
Ein DSGVO-Check, auch Datenschutzaudit genannt, vergleicht eine Verarbeitung, wie sie tatsächlich läuft, mit den Grundsätzen und den zehn Pflichtbereichen. Prüfen Sie dabei im System, nicht nur in Dokumenten: Ein Verzeichnis kann eine Löschfrist nennen, die niemand umsetzt. Intern gehört die Überwachung der Einhaltung nach Art. 39 Abs. 1 Buchst. b DSGVO zu den Aufgaben des Datenschutzbeauftragten.
Beispiel (fiktiv): Check der Verarbeitung „Kundenservice über ein Ticketsystem“. Die Zahlen sind frei gewählt und dienen ausschließlich der Veranschaulichung.
| Pflicht | Prüfschritt | Befund | Nachweis |
|---|---|---|---|
| Rechtsgrundlage (Art. 6 Abs. 1) | Eintrag im Verarbeitungsverzeichnis lesen | Buchst. b (Vertrag) dokumentiert | Verzeichniseintrag |
| Information (Art. 13) | Datenschutzhinweis mit Zweck und Empfängern abgleichen | Ticketanbieter als Empfänger genannt | Hinweis mit Stand |
| Auftragsverarbeitung (Art. 28) | Vertrag mit dem Softwareanbieter prüfen | Vertrag unterzeichnet, Liste der Unterauftragsverarbeiter liegt vor | Vertrag mit Datum |
| Speicherbegrenzung (Art. 5 Abs. 1 Buchst. e) | im System nach Tickets suchen, die älter sind als die festgelegte Frist von drei Jahren nach Abschluss | 1.240 Tickets über der Frist | Abfrageergebnis |
| Auskunft (Art. 15, Art. 12 Abs. 3) | Testauskunft für ein Testkonto: alle Tickets und Anhänge exportieren | vollständig, Aufwand zwei Stunden | Protokoll |
| Sicherheit (Art. 32) | Administratorzugänge auf Multi-Faktor-Authentifizierung prüfen | 2 von 9 Administratoren ohne zweiten Faktor | Export der Kontoeinstellungen |
Ergebnis: Rechtsgrundlage, Information, Vertrag und Auskunft sind belegt. Zwei Befunde werden zu Maßnahmen mit verantwortlicher Person und Termin: die automatische Löschung nach Fristablauf und der zweite Faktor für alle Administratoren. Wiederholen Sie die Stichproben nach der Umsetzung und legen Sie die Ergebnisse zum Verzeichniseintrag.
Datenschutzkonzept: was hineingehört
Ein Datenschutzkonzept ist die zusammenhängende Dokumentation, mit der ein Unternehmen beschreibt und belegt, wie es die DSGVO einhält. Der Begriff steht nicht in der Verordnung; die Pflicht dahinter folgt aus Art. 5 Abs. 2 und Art. 24 Abs. 1. Wie das Dokument heißt und gegliedert ist, entscheidet das Unternehmen. Diese Gliederung deckt die Nachweise aus dem Check ab:
- Geltungsbereich und Zuständigkeiten
- Verzeichnis von Verarbeitungstätigkeiten mit Zweck, Rechtsgrundlage und Löschfrist
- Technische und organisatorische Maßnahmen nach Art. 32, mit Verweis auf vorhandene ISMS-Nachweise
- Löschkonzept
- Prozesse für Betroffenenrechte, Datenpannen und die Prüfung neuer Dienstleister
- Liste der Auftragsverarbeiter
- Ergebnisse der letzten Checks und der Termin der nächsten Überprüfung
DSGVO-konforme Software: fünf Prüffragen
Im Sprachgebrauch heißt Software DSGVO-konform, wenn sie eine rechtmäßige Nutzung ermöglicht. Fragen Sie vor der Auswahl:
- Bietet der Anbieter einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO an?
- Sind seine technischen und organisatorischen Maßnahmen dokumentiert?
- Werden Daten in Drittländer übermittelt, und auf welcher Grundlage?
- Lassen sich Daten gezielt löschen, exportieren und für eine Auskunft zusammenstellen?
- Erlauben die Voreinstellungen eine datensparsame Nutzung im Sinne von Art. 25 Abs. 2?
Wie sich diese Fragen auf KI-Dienste übertragen lassen, zeigt der Beitrag ChatGPT und Datenschutz.
Welche Folgen hat fehlende Konformität?
Fehlende Konformität kann Bußgelder, Anordnungen der Aufsichtsbehörde und Schadenersatzansprüche nach sich ziehen. Art. 83 Abs. 4 DSGVO sieht bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes vor, unter anderem für Verstöße gegen Art. 25 bis 39. Für Verstöße gegen die Grundsätze, die Rechtsgrundlagen und die Betroffenenrechte sind es nach Abs. 5 bis zu 20 Mio. Euro oder 4 %, jeweils je nachdem, welcher Betrag höher ist. Betroffene Personen können nach Art. 82 Ersatz materieller und immaterieller Schäden verlangen.
DSGVO in Rizzqo
In Rizzqo erfassen Sie jede Verarbeitungstätigkeit als Prozess, kennzeichnen, ob sie personenbezogene Daten betrifft, und benennen eine verantwortliche Person. Die Systeme und Dienste externer Dienstleister dahinter zeigen dann, dass sie personenbezogene Daten enthalten. So haben Sie eine Liste aller Stellen, an denen personenbezogene Daten liegen.