Zum Hauptinhalt springen

DSGVO-Dokumentation mit preeco aufbauen (Auftakt der Reihe)

Auftakt der Video-Reihe "DSGVO-Dokumentation mit preeco": Die Velomanufaktur Kaltenbach baut ihre Datenschutzdokumentation in preeco | datenschutz neu auf, von den Systemen über das Verzeichnis und die Informationspflichten bis zum Vertrag zur Auftragsverarbeitung.

Letzte Aktualisierung:
Transkript des Videos
In dieser Reihe baut die Velomanufaktur Kaltenbach ihre Datenschutzdokumentation mit preeco | datenschutz neu auf, vom ersten System bis zum unterschriebenen Vertrag. Kaltenbach baut E-Bikes in Freiburg. Ein mittelständischer Hersteller mit Webshop, drei eigenen Stores mit Werkstatt und einem Netz von Fachhändlern. Die Dokumentation besteht aus einer alten Word-Datei und einer halb ausgefüllten Excel-Liste. Welche Dienstleister Daten verarbeiten, weiß niemand genau. Lea Brandner ist seit drei Wochen Datenschutzkoordinatorin. Unterstützt wird sie vom externen Datenschutzbeauftragten Thomas Wendler. Wer personenbezogene Daten verarbeitet, muss nachweisen können, dass er die Grundsätze der DSGVO einhält. Das ist die Rechenschaftspflicht. Fragt eine Aufsichtsbehörde nach, will sie meist zuerst das Verzeichnis der Verarbeitungstätigkeiten sehen. Kaltenbach geht in fünf Schritten vor: Systeme, Schutzmaßnahmen, Verarbeitungstätigkeiten, Informationspflichten und Verträge. Zuerst erfasst Kaltenbach seine Systeme, die Daten darin und die technischen und organisatorischen Maßnahmen. Darauf baut das Verzeichnis auf. Die Datenkategorien kommen aus den Systemen, die KI macht aus der alten Liste einen Entwurf, die Fachbereiche liefern zu. Dann wird geprüft und freigegeben. Aus dem Verzeichnis entstehen sieben Informationspflichten für Kunden, Bewerber und Beschäftigte, veröffentlicht auf der Website, der Karriereseite und im Store. Zum Schluss zeigt preeco, mit welchen Dienstleistern ein Vertrag zur Auftragsverarbeitung fehlt. Den ersten schließt Kaltenbach mit dem Lohnbüro. So sieht das Verzeichnis am Ende aus: zwölf Verarbeitungstätigkeiten, geprüft und freigegeben. Und im Reiter Beziehungen ist auf einen Blick zu sehen, wo noch ein Vertrag fehlt. In Staffel 2 folgen Schutzbedarf, Löschkonzept, Folgenabschätzung, Drittlandtransfer und Kaltenbach als Auftragsverarbeiter für seine Händler. Staffel 3 zeigt den Alltag mit Anfragen, Datenpannen und Schulungen. Im nächsten Teil richtet Lea die Grundlagen ein: Organisation, Datenschutzbeauftragter und Kontakte.

Wer personenbezogene Daten verarbeitet, muss nachweisen können, dass er die Grundsätze der DSGVO einhält (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO). In der Video-Reihe "DSGVO-Dokumentation mit preeco" baut die fiktive Velomanufaktur Kaltenbach ihre Datenschutzdokumentation in preeco | datenschutz neu auf, vom ersten System bis zum unterschriebenen Vertrag zur Auftragsverarbeitung. Dieser Artikel ist der Auftakt der Reihe.

Die Ausgangslage

Kaltenbach baut E-Bikes in Freiburg: ein mittelständischer Hersteller mit Webshop, drei eigenen Stores mit Werkstatt und einem Netz von Fachhändlern. Die Dokumentation besteht aus einer alten Word-Datei und einer halb ausgefüllten Excel-Liste. Welche Dienstleister Daten verarbeiten, weiß niemand genau.

Lea Brandner ist seit drei Wochen Datenschutzkoordinatorin. Unterstützt wird sie vom externen Datenschutzbeauftragten Thomas Wendler.

Warum das Verzeichnis zuerst kommt

Fragt eine Aufsichtsbehörde nach, will sie meist zuerst das Verzeichnis der Verarbeitungstätigkeiten sehen. Sie können es auf Anfrage vorlegen müssen (Art. 30 Abs. 4 DSGVO). Auf dem Verzeichnis bauen die Informationspflichten und die Verträge zur Auftragsverarbeitung auf.

Der Weg in fünf Schritten

  1. Systeme und Schutzmaßnahmen (Teil 1 bis 4): Grundlagen einrichten, Systeme mit ihren Datenfeldern und Datenflüssen erfassen, die technischen und organisatorischen Maßnahmen beschreiben.
  2. Verzeichnis der Verarbeitungstätigkeiten (Teil 5 bis 7): Die Datenkategorien kommen aus den Systemen, die KI macht aus der alten Liste einen Entwurf, die Fachbereiche liefern zu. Dann wird geprüft und freigegeben.
  3. Informationspflichten (Teil 8 und 9): Aus dem Verzeichnis entstehen sieben Informationspflichten für Kunden, Bewerber und Beschäftigte, veröffentlicht auf der Website, der Karriereseite und im Store.
  4. Verträge zur Auftragsverarbeitung (Teil 10 und 11): preeco zeigt, mit welchen Dienstleistern ein Vertrag fehlt. Den ersten schließt Kaltenbach mit dem Lohnbüro.

Am Ende stehen zwölf Verarbeitungstätigkeiten im Verzeichnis, und im Reiter Beziehungen jeder Verarbeitungstätigkeit ist auf einen Blick zu sehen, wo noch ein Vertrag fehlt.

Wie es weitergeht

In Staffel 2 folgen Schutzbedarf, Löschkonzept, Datenschutz-Folgenabschätzung, Drittlandtransfer und Kaltenbach als Auftragsverarbeiter für seine Händler. Staffel 3 zeigt den Alltag mit Anfragen, Datenpannen und Schulungen.

Nächster Schritt

Im nächsten Teil richtet Lea die Grundlagen ein: Organisation, Datenschutzbeauftragter und Kontakte.

Alle Teile der Reihe

Teil 1: Organisation, Datenschutzbeauftragter, Kontakte →

  1. Auftakt: DSGVO-Dokumentation aufbauen (dieser Artikel)
  2. Teil 1: Organisation, Datenschutzbeauftragter, Kontakte
  3. Teil 2: Systeme erfassen
  4. Teil 3: Datenfelder und Datenflüsse
  5. Teil 4: TOMs nach Art. 32
  6. Teil 5: Die erste Verarbeitungstätigkeit
  7. Teil 6: Verzeichnis mit KI und Team füllen
  8. Teil 7: Prüfen, freigeben, vorlegen
  9. Teil 8: Informationspflichten nach Art. 13 und 14
  10. Teil 9: Veröffentlichen
  11. Teil 10: Fehlende AV-Verträge erkennen
  12. Teil 11: AV-Vertrag erstellen und unterzeichnen

Änderungen und Irrtümer können vorkommen. Die Angaben in diesem Artikel wurden sorgfältig zusammengestellt, erheben jedoch keinen Anspruch auf Vollständigkeit oder Richtigkeit.

Weitere Kurzanleitungen

Vertrag zur Auftragsverarbeitung erstellen und unterzeichnen (Teil 11 der Reihe DSGVO-Dokumentation) Fehlende Verträge zur Auftragsverarbeitung erkennen (Teil 10 der Reihe DSGVO-Dokumentation) Informationspflichten auf der Website veröffentlichen (Teil 9 der Reihe DSGVO-Dokumentation) Informationspflichten nach Art. 13 und 14 DSGVO erstellen (Teil 8 der Reihe DSGVO-Dokumentation)

Passende Glossarbegriffe

Informationspflichten
Zurück zu den Kurzanleitungen