die Autoriteit Persoonsgegevens führt eine Kontrolle durch, was muss ich vorweisen können

Das Verarbeitungsverzeichnis steht bei einer Kontrolle im Mittelpunkt

Bei einer Kontrolle der Autoriteit Persoonsgegevens dreht sich in den meisten Fällen alles um ein Dokument als Ausgangspunkt: das Verarbeitungsverzeichnis. Darin ist dokumentiert, welche personenbezogenen Daten verarbeitet werden, zu welchem Zweck, wer darauf Zugriff hat, wie lange sie aufbewahrt werden und ob sie mit anderen geteilt werden. Dieses Verzeichnis ist nicht optional — Artikel 30 der DSGVO beschreibt, welche Inhalte es haben muss und für wen diese Pflicht gilt. Neben dem Verzeichnis fragt eine Kontrollbehörde üblicherweise auch nach den Auftragsverarbeitungsverträgen mit den Lieferanten, die im Namen des Unternehmens Daten verarbeiten, und nach der Art und Weise, wie die Sicherheit dieser Daten gewährleistet ist.

Was eine Kontrolle darüber hinaus ergibt, hängt davon ab, auf welche Verarbeitungen sich das Unternehmen konzentriert. So kann nach der Datenschutzerklärung gefragt werden, die an Kunden oder Website-Besucher gerichtet ist, nach dem Nachweis, dass eine Datenpanne damals rechtzeitig bewertet wurde, oder nach der Abwägung, die bei einer riskanten Verarbeitung vorgenommen wurde. Für denjenigen, der festlegen muss, was genau ins Verarbeitungsverzeichnis gehört, bietet was muss in ein Verarbeitungsverzeichnis? einen Überblick über die Komponenten. Und weil sich eine Kontrolle auch auf die Vereinbarungen mit SaaS-Anbietern oder anderen Parteien erstreckt, die Daten verarbeiten, ist die Antwort auf was muss in einen Auftragsverarbeitungsvertrag? relevant für das, was nachgewiesen werden können muss.

Woraus das folgt: Artikel 30 und Artikel 32 DSGVO

Die Verpflichtung, ein Verzeichnis zu führen, ergibt sich aus Artikel 30 der DSGVO, und dieses Verzeichnis ist in der Praxis das erste Dokument, das bei einer Kontrolle auf den Tisch kommt. Artikel 32 der DSGVO beschreibt die Verpflichtung, angemessene technische und organisatorische Maßnahmen zu ergreifen, um Daten zu schützen, und eine Kontrollbehörde kann fragen, wie diese Maßnahmen umgesetzt wurden. Diese beiden Artikel gelten unmittelbar in der gesamten Europäischen Union, daher ist der Kern dessen, was nachgewiesen werden kann, überall gleich. Wer die Kontrolle durchführt und wo diese angefordert oder abgewickelt wird, unterscheidet sich jedoch je nach Land: In den Niederlanden ist dies die Autoriteit Persoonsgegevens, in anderen Mitgliedstaaten eine andere nationale Aufsichtsbehörde mit eigenen Verfahrensweisen. Weitere Informationen zur Rolle der niederländischen Aufsichtsbehörde finden Sie auf der Website der Autoriteit Persoonsgegevens.