Ein Teil dessen, was ein Auftraggeber oder Versicherer fragt, können Sie selbst vorbereiten: einen Überblick über welche personenbezogenen Daten Sie verarbeiten, welche Tools Sie dafür nutzen und welche Vereinbarungen Sie mit Lieferanten haben. Was schwieriger selbst zu tun ist, ist den Überblick vollständig und aktuell zu halten und nachzuweisen, dass die ergriffenen Maßnahmen tatsächlich angemessen zu dem sind, was Sie verarbeiten. Letzteres erfordert eine Struktur, die mit der Zeit wächst, nicht nur eine Momentaufnahme.
Ob Eigenarbeit ausreicht, hängt stark davon ab, was genau gefragt wird. Ein Versicherer, der einen Fragebogen zu grundlegenden Sicherheitsmaßnahmen schickt, ist etwas anderes als eine Dienststelle, die ein vollständiges Verarbeitungsverzeichnis, Datenverarbeitungsverträge und eine DPIA (Datenschutz-Folgenabschätzung) sehen will. Je umfassender die Frage, desto mehr Arbeit kostet es, das selbst in Ordnung zu bringen und zu halten.
Was ein Auftraggeber oder Versicherer eigentlich fragt
Die Frage "weisen Sie nach, dass Sie die DSGVO einhalten" gibt es in der Praxis selten buchstäblich so. Normalerweise wird nach konkreten Dokumenten gefragt: ein Verarbeitungsverzeichnis, Nachweis von Datenverarbeitungsverträgen mit Lieferanten, eine Beschreibung technischer und organisatorischer Maßnahmen und manchmal eine Erklärung, wie mit Datenschutzverletzungen umgegangen wird. Die DSGVO selbst verpflichtet Organisationen, über ihre Verarbeitungstätigkeiten Rechenschaft ablegen zu können; was ein einzelner Auftraggeber oder Versicherer darüber hinaus fragt, ist eine eigene, zusätzliche Anforderung, die pro Partner unterschiedlich sein kann.
Es ist daher wichtig, zuerst klar zu erfassen, was genau gefragt wird, bevor Sie entscheiden, wie viel Arbeit es selbst zu übernehmen kostet. Ein kurzer Fragebogen ist mit einem Nachmittag Recherche zu beantworten; eine vollständige Überprüfung erfordert systematisch gepflegte Dokumentation.
Was Sie selbst vorbereiten können
Eine erste Bestandsaufnahme können die meisten Unternehmer selbst machen: welche SaaS-Tools nutzen Sie, welche davon verarbeiten personenbezogene Daten, und haben Sie von jedem Lieferanten einen Datenverarbeitungsvertrag. Auch eine allgemeine Beschreibung der Sicherheitsmaßnahmen — Passwortrichtlinien, wer Zugang zu welchen Systemen hat, oder ob es Sicherungen gibt — lässt sich mit gesundem Verstand ohne externe Hilfe erstellen. die Wissensdatenbank mit Erklärungen pro Thema gibt je nach Situation eine kurze Antwort und die Fundstelle im offiziellen Text, damit Sie wissen, woher eine Anforderung stammt, bevor Sie daran arbeiten.
Wer unsicher ist, ob eine gemeldete Datenschutzverletzung aus der Vergangenheit hätte gemeldet werden müssen, kann das selbst überprüfen: in wenigen Fragen sehen, wo Sie ungefähr stehen gibt einen ersten Hinweis, unabhängig davon, ob dieser spezifische Fall damals hätte gemeldet werden müssen oder nicht.
Wo Eigeninitiative schwieriger wird
Die Komplexität liegt normalerweise nicht in einem einzelnen Dokument, sondern in der Zusammenhang und Aktualität derselben. Ein Verzeichnis von Verarbeitungstätigkeiten, das vor einem Jahr erstellt und seitdem nicht aktualisiert wurde, ist bei einem neuen SaaS-Tool oder einem geänderten Anbieter bereits veraltet. Auftragsverarbeitungsverträge, die Sie einmal unterzeichnet haben, müssen dem entsprechen, was Sie jetzt tatsächlich mit diesem Anbieter tun. Und ein Versicherer oder eine beschaffende Stelle fragt oft nicht nur nach dem Vorhandensein von Unterlagen, sondern nach einer konsistenten Darstellung: Verzeichnis, Verträge und Maßnahmen, die logisch aufeinander abgestimmt sind.
Genau diese Wartung ist es, die eigenständige Verwaltung für viele KMU-Betriebe Zeit kostet, die nicht vorhanden ist. Ein System, das das Verzeichnis aus einer Bibliothek bekannter Tools füllt und überwacht, ob Auftragsverarbeitungsverträge noch korrekt sind, nimmt diese Wartung ab, ohne dass Sie selbst ein Jurist werden müssen.
Was bleibt, auch wenn Sie es selbst angehen
Kein Werkzeug nimmt Ihnen die abschließende Bewertung ab: Sie bestimmen selbst, was Sie einem Auftraggeber oder Versicherer vorlegen und ob das für die geforderte Anforderung ausreicht. Struktur und Erläuterung können die Arbeit jedoch erheblich erleichtern. Auf der Seite, von der die Informationen stammen wird erläutert, wie gdpria.eu Inhalte auf die DSGVO selbst und auf Richtlinien des EDPB und der Autoriteit Persoonsgegevens stützt, mit der Fundstelle, sodass Sie sich nicht auf unser Wort verlassen müssen, sondern die Quelle selbst nachprüfen können.
Die Grenze in der Praxis
Als Faustregel gilt: Eine einmalige, begrenzte Anfrage können Sie oft selbst mit einem Tag Recherche beantworten. Sobald es um ein laufendes Register, mehrere Anbieter mit unterschiedlichen Datenverarbeitungsverträgen oder wiederkehrende Anfragen mehrerer Auftraggeber geht, wird die Verwaltung zum Engpass, nicht die erstmalige Erstellung. An diesem Punkt ist die Auslagerung an ein System oder einen Berater oft weniger ein Luxus und eher eine Möglichkeit, Zeit zurückzugewinnen.
Sind Sie neugierig, was das in Ihrer Situation ausmachen würde? Machen Sie den kostenlosen Quick-Scan oder blättern Sie durch die häufig gestellten Fragen zu diesem Thema um zu sehen, welcher Schritt für Sie am naheliegendsten ist.