Wie fülle ich den Datenschutzfragebogen eines Kunden aus?

Der Fragebogen fragt nach dem, was Sie bereits in Ihrem Verarbeitungsverzeichnis dokumentieren

Ein Datenschutz-Fragebogen eines Auftragsgebers befasst sich normalerweise mit denselben Themen wie das Verarbeitungsverzeichnis: welche personenbezogenen Daten verarbeitet werden, zu welchem Zweck, wie lange sie aufbewahrt werden, wer Zugriff darauf hat und ob ein Auftragsverarbeiter beteiligt ist. Wer dieses Verzeichnis bereits in Ordnung hat, kann die meisten Fragen direkt daraus beantworten. Fragen zur Sicherheit — Verschlüsselung, Zugriffskontrolle, Sicherungen — gehören zu den technischen und organisatorischen Maßnahmen, die der Auftraggeber sehen möchte, bevor er Daten mit Ihnen teilt.

Ein Teil des Fragebogens befasst sich oft mit der Organisation rundherum: ist ein Datenschutzbeauftragter benannt worden, gibt es ein Verfahren für eine Datenpanne, und bei wem wird so etwas angemeldet. Letzteres unterscheidet sich je nach Land: in den Niederlanden ist das die Autoriteit Persoonsgegevens, in Deutschland die Aufsichtsbehörde des Bundeslandes, in dem sich die Betriebsstätte befindet. Die Verpflichtung, selbst einen Datenschutzbeauftragten zu benennen, kennt in den Niederlanden keinen Schwellenwert auf der Grundlage der Mitarbeiterzahl — dieser ergibt sich aus Artikel 37 DSGVO — während Deutschland mit § 38 BDSG tatsächlich eine Mitarbeiterzahl als Grenzwert verwendet. Für einen Leser, der in mehreren Ländern tätig ist, ist es daher wichtig, pro Betriebsstätte zu prüfen, welche Ebene anwendbar ist, anstatt eine einzige Antwort für die gesamte Organisation zu geben.

Begründung: die Rechenschaftspflicht nach Artikel 5 DSGVO

Dass ein Auftraggeber diese Art von Fragen stellt und dass Sie sie beantworten können, ergibt sich aus der Rechenschaftspflicht nach Artikel 5 DSGVO: Eine Organisation muss nicht nur die Grundsätze der Verordnung erfüllen, sondern auch nachweisen können, dass sie dies tut. Ein Fragebogen ist im Grunde der Auftraggeber, der seine eigene Rechenschaftspflicht teilweise auf Sie überträgt. Die Autoriteit Persoonsgegevens veröffentlicht allgemeine Erläuterungen zu diesen Grundsätzen, ohne dass daraus ein Format für einen Kundfragebogen folgt — diesen füllt jeder Auftraggeber selbst aus.