Die DSGVO verlangt nicht nur, dass Sie richtig handeln – sondern dass Sie es belegen können. Diese Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO ist der Grund, warum Datenschutz ohne Dokumentation nicht funktioniert.
Verzeichnis von Verarbeitungstätigkeiten
Das VVT nach Art. 30 DSGVO ist das erste, was eine Aufsichtsbehörde anfordert. Es listet jede Verarbeitung mit Zweck, Rechtsgrundlage, betroffenen Personengruppen, Empfängern und Löschfrist. Wir erstellen es aus der Bestandsaufnahme und halten es aktuell, wenn sich Prozesse ändern.
Technische und organisatorische Maßnahmen
Die TOM-Dokumentation nach Art. 32 DSGVO beschreibt, wie Sie Daten tatsächlich schützen – Zutritt, Zugang, Zugriff, Weitergabe, Eingabe, Verfügbarkeit, Trennung. Hier trennt sich Vorlagenware von brauchbarer Arbeit: Ein Dokument, in dem noch Platzhalter oder Angaben zu Systemen stehen, die Sie gar nicht betreiben, ist im Prüfungsfall schlechter als keines.
Auftragsverarbeitungsverträge
Jeder Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet, braucht einen Vertrag nach Art. 28 DSGVO – vom Cloud-Anbieter über die Lohnbuchhaltung bis zur Aktenvernichtung. Wir prüfen bestehende Verträge, fordern fehlende an und verhandeln nach, wo die Vorlage des Anbieters zu Ihren Lasten geht.
Ein wiederkehrender Fall: US-Anbieter, deren Zertifizierung nach dem Data Privacy Framework fehlt oder abgelaufen ist. Dann braucht die Übermittlung eine eigene Grundlage, und die entsteht nicht dadurch, dass man den Vertrag unterschreibt.
Weitere Unterlagen
- Datenschutzhinweise nach Art. 13 und 14 DSGVO
- Verpflichtung der Beschäftigten auf die Vertraulichkeit
- Löschkonzept mit Fristen je Datenart
- Verfahren für Betroffenenanfragen
- Meldeprozess für Datenschutzverletzungen
- Datenschutz-Folgenabschätzung, wo erforderlich
In den meisten Paketen ist die Dokumentation enthalten. Bei einer reinen Bestellung als Datenschutzbeauftragter lässt sie sich einzeln beauftragen.