Bevor sich Datenschutz sinnvoll organisieren lässt, muss klar sein, was überhaupt verarbeitet wird. Die Bestandsaufnahme erfasst sämtliche Prozesse Ihres Betriebs – strukturiert, nachvollziehbar und ohne dass Sie dafür Fachwissen mitbringen müssen.
Wie wir vorgehen
Wir arbeiten mit Fragebögen, die getrennt an die IT und an die einzelnen Abteilungen gehen. Das hat einen praktischen Grund: Die Fachabteilungen wissen, welche Daten sie tatsächlich erheben und an wen sie sie weitergeben. Die IT weiß, wo diese Daten liegen, wer darauf zugreift und wohin sie technisch abfließen. Erst beides zusammen ergibt ein belastbares Bild.
Aus den Antworten entsteht das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO – die Grundlage für alles Weitere. Gleichzeitig zeigt sich, wo Rechtsgrundlagen fehlen, wo Auftragsverarbeiter ohne Vertrag arbeiten und wo Daten länger gespeichert werden als nötig.
Was geprüft wird
- Sämtliche Verarbeitungsprozesse in allen Abteilungen
- Rechtsgrundlagen der einzelnen Verarbeitungen
- Eingesetzte Software, Cloud-Dienste und Dienstleister
- Bestehende Auftragsverarbeitungsverträge
- Zugriffsberechtigungen und technische Schutzmaßnahmen
- Löschfristen und tatsächliche Löschpraxis
- Übermittlungen in Drittländer
Was Sie am Ende haben
Ein vollständiges Verarbeitungsverzeichnis, eine Dokumentation der technischen und organisatorischen Maßnahmen und eine priorisierte Liste der Punkte, die angefasst werden müssen. Nicht alles auf einmal – sondern in der Reihenfolge, in der es Risiko abbaut.
Wie lange das dauert, hängt vor allem davon ab, wie schnell die Fragebögen zurückkommen. Bei guter Mitarbeit sind kleinere Organisationen in wenigen Wochen erfasst, größere brauchen entsprechend länger.
In den meisten Betreuungspaketen ist die Bestandsaufnahme enthalten. Als Einzelleistung ist sie ebenfalls möglich.