MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Die Erstellung einer Datenschutzerklärung beinhaltet die Festlegung in einem internen Dokument, wer innerhalb Ihres Unternehmens für personenbezogene Daten verantwortlich ist, welche Verfahren gelten, wie lange Daten gespeichert werden und welche Sicherheitsmaßnahmen getroffen werden. Die Datenschutzerklärung ist ein Leitfaden für Ihre Mitarbeiter und nicht die externe Erklärung auf Ihrer Website. Ihr Inhalt basiert auf der Rechenschaftspflicht gemäß Artikel 5 Absatz 2 DSGVO und der Pflicht zum Ergreifen geeigneter Maßnahmen gemäß Artikel 24. Im Folgenden werden die Bestandteile der Datenschutzerklärung sowie die Vorgehensweise zur Erstellung eines praktikablen Dokuments erläutert.
Die kurze Antwort
- Rollen zuweisen: Wer ist der Datenverantwortliche und wer ist intern rechenschaftspflichtig?
- Link zum Verarbeitungsverzeichnis: Welche Verarbeitungsvorgänge führen Sie gemäß Artikel 30 durch?
- Für jede Datenkategorie werden Aufbewahrungsfristen festgelegt
- Beschreiben Sie die Sicherheitsmaßnahmen gemäß Artikel 32.
- Fügen Sie ein Verfahren für den Fall einer Datenschutzverletzung gemäß Artikel 33 und 34 hinzu.
- Organisieren Sie Schulungen , damit die Mitarbeiter die Richtlinien kennen und befolgen.
Erstellung einer Datenschutzerklärung: die Standardkomponenten
Eine Datenschutzerklärung ist nur dann sinnvoll, wenn sie mit den Arbeitsweisen Ihres Unternehmens übereinstimmt. Sie besteht im Wesentlichen aus folgenden Komponenten:
- Rollen und Verantwortlichkeiten: Wer entscheidet über die Verarbeitung, wer verwaltet die Systeme und wer ist der Ansprechpartner für Fragen oder Vorfälle?
- Grundsätze aus Artikel 5: Zweckbindung, Datenminimierung, Genauigkeit und Speicherbegrenzung, umgesetzt in konkrete Arbeitsregeln.
- Aufbewahrungsfristen nach Kategorien, gegebenenfalls einschließlich gesetzlicher Fristen.
- Sicherheit gemäß Artikel 32: Zugriffskontrolle, Passwortrichtlinie, Verschlüsselung und Datensicherung.
- Verfahren bei Datenschutzverletzungen gemäß Artikel 33 und 34: Wie man eine Datenschutzverletzung erkennt, meldet und registriert.
- Auftragsverarbeiter: Mit welchen externen Parteien arbeiten Sie zusammen und welche Datenverarbeitungsvereinbarungen bestehen?
- Rechte der betroffenen Personen: Wie man mit Anfragen auf Auskunft oder Löschung umgeht.
Rollen und das Verarbeitungsregister
Zunächst sollten Sie klären, wer wofür verantwortlich ist. In einem KMU ist in der Regel die Geschäftsleitung der Datenverantwortliche, wobei ein oder mehrere Mitarbeiter als interne Ansprechpartner fungieren. Ein Datenschutzbeauftragter ist nur in bestimmten Fällen, wie beispielsweise bei der Verarbeitung besonderer Kategorien personenbezogener Daten in großem Umfang, zwingend erforderlich; Sie können aber auch freiwillig einen benennen.
Verknüpfen Sie anschließend die Richtlinie mit dem Verarbeitungsregister aus Artikel 30. Dieses Register listet auf, welche Verarbeitungsvorgänge Sie zu welchem Zweck und auf welcher Rechtsgrundlage durchführen. Ohne dieses Verzeichnis ist eine Richtlinie vage, da Sie nicht genau wissen, was Sie verwalten müssen. Das Register ist das Verzeichnis, die Richtlinie die dazugehörigen Regeln.
Sicherheit und Datenlecks
Artikel 32 fordert angemessene technische und organisatorische Maßnahmen. Angemessen bedeutet verhältnismäßig zu den Risiken; daher ergreift eine Organisation mit sensiblen Daten strengere Maßnahmen als ein Unternehmen, das lediglich Adressdaten verarbeitet. Beispiele hierfür sind rollenbasierte Zugriffskontrolle, sichere Passwörter, Laptop-Verschlüsselung, verifizierte Datensicherungen und eine klare Richtlinie für die Nutzung privater Geräte.
Fügen Sie außerdem ein Verfahren für Datenschutzverletzungen hinzu. Artikel 33 verpflichtet Sie, eine Datenschutzverletzung grundsätzlich innerhalb von 72 Stunden der niederländischen Datenschutzbehörde zu melden, es sei denn, das Risiko für die betroffenen Personen ist gering. Im Falle eines hohen Risikos müssen Sie die betroffenen Personen gemäß Artikel 34 ebenfalls informieren. Dokumentieren Sie, wie ein Mitarbeiter eine vermutete Datenschutzverletzung meldet, wer diese prüft und wer die Meldung bearbeitet.
Vom Papier zur Praxis
Eine Richtlinie, die in einer Schublade verstaubt, nützt Ihnen bei einer Prüfung nichts und verhindert keine Vorfälle. Stellen Sie sicher, dass Ihre Mitarbeitenden sie kennen, besprechen Sie sie bei der Einstellung und wiederholen Sie die Kernprinzipien regelmäßig. Dokumentieren Sie dies kurz und halten Sie den Zeitpunkt fest, denn auch dies gehört zu Ihrer Rechenschaftspflicht.
Ein kurzes Beispiel: Eine Zahnarztpraxis in Breda mit acht Mitarbeitern verarbeitet sensible medizinische Daten. Die Datenschutzrichtlinie legt fest, dass nur die behandelnden Ärzte Zugriff auf die Patientenakten haben, dass das System automatisch abmeldet, dass die Daten gemäß der Aufbewahrungsfrist für Patientenakten gespeichert werden und dass jeder Verdacht auf eine Datenschutzverletzung noch am selben Tag der Praxisleitung gemeldet wird. Im Rahmen einer Prüfung kann die Praxis nachweisen, dass die Richtlinie der Sensibilität der Daten angemessen ist.
Ehrliche Empfehlung
Wenn Sie allein oder in einem kleinen Team arbeiten und nur Standarddaten verarbeiten, können Sie Ihre Datenschutzerklärung problemlos selbst erstellen. Halten Sie sie kurz und prägnant, stimmen Sie sie mit Ihrem Verarbeitungsverzeichnis ab und stellen Sie sicher, dass die Aufbewahrungsfristen und das Vorgehen bei Datenschutzverletzungen der gängigen Praxis entsprechen. Dafür benötigen Sie keinen Anwalt.
Ziehen Sie umgehend Unterstützung hinzu, sobald Sie mit sensiblen Daten arbeiten, Mitarbeiter an mehreren Standorten beschäftigen, viele Prozessoren nutzen oder Videoaufnahmen speichern. Die Herausforderung besteht dann darin, Rollen, Sicherheitsniveaus und Verfahren den Risiken anzupassen. Ein Rechtsexperte hilft Ihnen, eine praktikable Richtlinie zu entwickeln, die Ihren Rechenschaftspflichten vollumfänglich gerecht wird.
Möchten Sie mehr erfahren oder dies sofort in die Wege leiten? Sehen Sie sich die Datenschutzrichtlinie von MKB Juristen, lesen Sie zunächst, was eine Datenschutzrichtlinie ist , und sehen Sie, was die Erstellung einer Datenschutzrichtlinie .
Häufig gestellte Fragen
Weisen Sie Rollen und Verantwortlichkeiten zu, verknüpfen Sie die Richtlinie mit Ihrem Verarbeitungsverzeichnis gemäß Artikel 30, legen Sie Aufbewahrungsfristen fest, beschreiben Sie Sicherheitsmaßnahmen gemäß Artikel 32 und fügen Sie ein Verfahren für Datenschutzverletzungen gemäß den Artikeln 33 und 34 hinzu. Stellen Sie schließlich sicher, dass die Mitarbeiter mit der Richtlinie vertraut sind.
Es gibt keine gesetzliche Vorlage, aber eine praktikable Richtlinie enthält Rollen, die Grundsätze von Artikel 5, Aufbewahrungsfristen, Sicherheitsvorkehrungen gemäß Artikel 32, das Verfahren bei Datenschutzverletzungen, den Umgang mit Auftragsverarbeitern und die Wahrung der Rechte betroffener Personen. Zusammen erfüllen diese die Rechenschaftspflicht.
Nur in bestimmten Fällen, etwa bei der Verarbeitung besonderer Datenkategorien in großem Umfang oder bei systematischen Beobachtungen. Außerhalb dieser Fälle können Sie freiwillig eine Kontaktperson benennen. Für die meisten KMU genügt eine interne verantwortliche Person.
Für jede Datenkategorie gilt der in Artikel 5 festgelegte Grundsatz der Speicherbegrenzung. Sofern eine gesetzliche Aufbewahrungsfrist gilt, wie beispielsweise die siebenjährige Aufbewahrungspflicht für Rechnungen zur Steuererhebung, ist diese anzuwenden. Für andere Daten ist eine Frist oder ein konkretes Kriterium festzulegen.
Wie ein Mitarbeiter einen vermuteten Verstoß erkennt und meldet, wer diesen bewertet und wer die Meldung an die niederländische Datenschutzbehörde vornimmt. Artikel 33 sieht grundsätzlich eine Meldefrist von 72 Stunden vor; im Falle eines hohen Risikos informieren Sie zusätzlich die betroffenen Personen gemäß Artikel 34.
Ja. Eine Richtlinie funktioniert nur, wenn sie bekannt ist und befolgt wird. Besprechen Sie sie bei der Einstellung, sorgen Sie dafür, dass die wichtigsten Punkte leicht zu finden sind, und wiederholen Sie sie regelmäßig. Dokumentieren Sie kurz, dass Sie dies tun, denn auch das gehört zur Rechenschaftspflicht.
Die Datenschutzrichtlinie ist intern und beschreibt die Vorgehensweise Ihres Unternehmens. Die externe Datenschutzerklärung informiert Besucher und Kunden. Ihre internen Regelungen müssen mit Ihren externen Zusagen übereinstimmen, dennoch handelt es sich um zwei separate Dokumente mit unterschiedlichen Zielgruppen.
