DSGVO-Checkliste für kleine Unternehmen
DSGVO-Checkliste für kleine Unternehmen: Verarbeitungsverzeichnis, AV-Verträge, Datenschutzerklärung, Betroffenenrechte und Datenpannen jährlich prüfen.
- Typischer Rhythmus jährlich
- Die Checkliste 6 Abschnitte, 24 Punkte
- Variablen
{{year}}
Datenschutz ist kein einmaliges Projekt. Neue Tools kommen dazu, Dienstleister wechseln, die Website bekommt ein neues Tracking. Diese Checkliste ist für den jährlichen Datenschutz-Check in kleinen Unternehmen gedacht, die keine eigene Rechtsabteilung haben. Sie orientiert sich an der DSGVO und nennt, wo es passt, das Schweizer revDSG, das seit September 2023 gilt.
Wer verantwortlich ist
Verantwortlich bleibt immer die Geschäftsleitung, auch wenn sie Aufgaben delegiert. Den Durchlauf führt die oder der Datenschutzbeauftragte, falls einer benannt ist, sonst die Person, die intern für Datenschutz zuständig ist. Einzelne Punkte wie Website oder IT-Sicherheit werden an die jeweiligen Fachleute vergeben.
Typische Fehler
- Verzeichnis einmal angelegt, nie gepflegt. Das Verarbeitungsverzeichnis veraltet mit jedem neuen SaaS-Tool. Neue Tools sollten ohne Eintrag gar nicht erst eingeführt werden.
- AV-Verträge fehlen. Jeder Dienstleister, der personenbezogene Daten im Auftrag verarbeitet, braucht einen Auftragsverarbeitungsvertrag. Das betrifft auch Newsletter-Tool, Hosting und Buchhaltungssoftware.
- Kein Plan für Datenpannen. Wenn es passiert, ist keine Zeit, den Prozess zu erfinden. Die Meldefrist unter der DSGVO beträgt in der Regel 72 Stunden.
- Auskunftsanfragen bleiben liegen. Für die Antwort gilt in der Regel eine Frist von einem Monat.
Passen Sie die Checkliste an Ihre Rechtsordnung an; sie ersetzt keine Rechtsberatung. Ein abgeschlossener Durchlauf ist ein guter Nachweis, dass geprüft wurde, aber keine Bestätigung, dass alles rechtskonform ist.
Die Checkliste: Datenschutz-Check {{year}}
Überblick und Zuständigkeiten
-
Interne Zuständigkeit für Datenschutz festgelegt und bekannt gemacht
-
Pflicht zur Benennung einer oder eines Datenschutzbeauftragten geprüft
In Deutschland greift die Pflicht unter anderem ab einer bestimmten Zahl von Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG).
-
Pflicht zu einer Vertretung in der EU (Art. 27 DSGVO) bzw. in der Schweiz geprüft, falls dort kein Sitz besteht optional
Verarbeitungen dokumentieren
-
Verzeichnis von Verarbeitungstätigkeiten auf Stand
{{year}}gebrachtFür jede Verarbeitung: Zweck, Datenkategorien, Betroffene, Empfänger, Löschfristen, Rechtsgrundlage.
-
Neue Tools und Dienstleister seit dem letzten Check erfasst
-
Rechtsgrundlage für jede Verarbeitung dokumentiert
-
Löschfristen festgelegt und Löschung tatsächlich durchgeführt
-
Datenschutz-Folgenabschätzung für Verarbeitungen mit hohem Risiko geprüft optional
Dienstleister und Drittländer
-
AV-Verträge mit allen Auftragsverarbeitern vorhanden und abgelegt
-
Datenübermittlungen in Drittländer geprüft und abgesichert
Z. B. über Angemessenheitsbeschluss, EU-US Data Privacy Framework oder Standardvertragsklauseln.
-
Nicht mehr genutzte Dienstleister gekündigt und Datenlöschung bestätigt
Website und Kommunikation
-
Datenschutzerklärung mit tatsächlich eingesetzten Tools abgeglichen
-
Cookie-Einwilligung geprüft: keine nicht notwendigen Cookies oder Tracker vor der Zustimmung
-
Newsletter-Anmeldung mit Double-Opt-in und dokumentierter Einwilligung
-
Kontaktformulare erheben nur die nötigen Daten
Betroffenenrechte und Datenpannen
-
Prozess für Auskunft, Berichtigung und Löschung dokumentiert und getestet
-
Eingegangene Anfragen des Jahres fristgerecht beantwortet und dokumentiert
-
Prozess für Datenpannen mit Meldewegen und Verantwortlichen dokumentiert
-
Kontaktdaten der zuständigen Aufsichtsbehörde bzw. des EDÖB hinterlegt
Technik und Mitarbeitende
-
Technische und organisatorische Maßnahmen (TOMs) überprüft und aktualisiert
-
Zugriffsrechte auf personenbezogene Daten geprüft und bereinigt
-
Mitarbeitende zum Datenschutz geschult oder Schulung aufgefrischt
-
Neue Mitarbeitende auf Vertraulichkeit verpflichtet
-
Ergebnisse und offene Maßnahmen an die Geschäftsleitung berichtet
Checkliste als Markdown
Häufige Fragen
Was muss ein kleines Unternehmen für die DSGVO mindestens tun?
Zu den Grundlagen gehören ein Verzeichnis der Verarbeitungstätigkeiten, eine korrekte Datenschutzerklärung, AV-Verträge mit Dienstleistern, angemessene technische und organisatorische Maßnahmen sowie Prozesse für Betroffenenanfragen und Datenpannen. Welche Pflichten im Einzelfall gelten, hängt von Art und Umfang der Verarbeitung ab. Bei Unsicherheit lohnt sich eine Beratung durch Fachleute.
Gilt die DSGVO auch in der Schweiz?
Die DSGVO gilt für Schweizer Unternehmen, wenn sie zum Beispiel Waren oder Dienstleistungen an Personen in der EU anbieten oder deren Verhalten beobachten. Unabhängig davon gilt in der Schweiz das revidierte Datenschutzgesetz (revDSG). Es ist der DSGVO in vielen Punkten ähnlich, unterscheidet sich aber im Detail.
Wie oft sollte man einen Datenschutz-Check machen?
Ein jährlicher Check ist ein sinnvoller Rhythmus für kleine Unternehmen. Zusätzlich sollte jede Einführung eines neuen Tools oder Dienstleisters einen kurzen Eintrag ins Verzeichnis und eine Prüfung des AV-Vertrags auslösen. Mit einem Zeitplan in Runbook entsteht der jährliche Durchlauf automatisch.
Aktualisiert