Heute tritt die DSGVO in Kraft. Mit dieser Checkliste hast Du den Überblick, was in Deinem Unternehmen umgesetzt sein sollte oder noch fehlt. Kurz und verständlich zusammengefasst, denn Verwirrung zur DSGVO gibt es schon genug.
Checkliste DSGVO für Unternehmen
- Datenschutzbeauftragten benennen
Gilt für Unternehmen, die personenbezogene (Kunden und Mitarbeiter) Daten elektronisch (EDV) verarbeiten. Also fast alle.
Ausnahme: kleine Betriebe (weniger als 9 Leute arbeiten mit den Daten)
Ausnahme von der Ausnahme: Kleinbetriebe, die mit heiklen Daten arbeiten (ethnische Herkunft/sexuelle Orientierung/Gesundheit…zum Beispiel Psychiatrische Arztpraxen), brauchen doch wieder einen Datenbeauftragten.
- Verzeichnis der Verarbeitungstätigkeiten erstellen: keine Angst – ist nur eine Tabelle. Ob auf Papier oder digital ist egal.
Folgende Infos müssen rein:
- Welche Infos erhalten Betroffene über die Datenspeicherung?
- In welcher Form? AGB/Checkbox Website/persönlich
- Welche Daten werden zu welchem Zweck erhoben und wie weiterverarbeitet?
- Werden Daten anonymisiert oder pseudonymisiert
- Wie lange werden Daten gespeichert?
- Werden die Daten weitergegeben und wenn, an wen?
- Wo werden die Daten gespeichert? EU/ausserhalb? Voraussetzungen Übermittlung Drittländer erfüllt?
- Technische & organisatorische Massnahmen zum Datenschutz?
- Die Dokumentation muss fortlaufend aktualisiert werden.
- Website/Online Shop/Newsletter überprüfen und DSGVO-konform machen:
zum Beispiel Website verschlüsseln mit HTTPS, anonymizeIP bei Google Analytics, Datenschutzerklärung auf Website und mehr. Wie es geht, steht hier.
- Datenschutzerklärung in verständlicher Form auf die Website stellen bzw. bestehende Datenschutzerklärung nachbessern. Hierfür gibt es keine allgemeingültige Erklärung - jedes Unternehmen braucht eine individuelle Datenschutzerklärung. Hier können wir übrigens auch helfen.
- Einwilligung für die Verarbeitung und Nutzung personenbezogener Daten einholen (z.B. per Online-Formular oder elektronischer Auftragsbestätigung) und Widerrufsrecht gewährleisten (bspw. Abmeldebutton im Newsletter o.ä.)
- Datenbezogene Prozesse definieren und im Handbuch festhalten
- Prozess: Wie werden Kunden informiert?
- Prozess: Wie reagiert der Mitarbeiter, wenn Kunden nachfragen, welche Daten gespeichert werden?
- Prozess: Kunde verlangt Datenlöschung
- Prozess: Datenleck oder Verlust (72 Stunden-Plan Landesdatenschutzbehörde)
- Prozess: Datenlöschung nach Ende der zielgebundenen Datensammlung (Bsp. Gewinnspiel)
- Prozess: Schulung der Mitarbeiter über Prozesse (kein Witz ;))
- Datenschutz-Folgeabschätzung für Kunden und Mitarbeitende durchführen
Ziel: Risiken für die Persönlichkeitsrechte abschätzen können und Schutzmassnahmen ableiten.
- Voreinstellungen «privacy by default» und «privacy by design» bei Online Diensten, Software, techn. Angebote. Heisst: Eingabemasken und Bestellformulare nur mit notwendigen Feldern bestücken und mit möglichst wenigen Pflichtfeldern.
- Sicherstellen, dass Eure Lieferanten die DSGVO ebenfalls einhalten.
Falls wir Euer Dienstleister sind: unsere Bestätigung zur Einhaltung findet Ihr hier
- Alle Aktivitäten zum Datenschutz dokumentieren und bei Prüfung vorlegen.
Hier einge Beispiele, was das sein könnte:
- Firewalls/IT-Sicherheit
- Prüfung der Verträge mit Dienstleistern
- Zugriff der eigenen Mitarbeiter auf personenbezogene Daten einschränken
- Besuchte Seminare zum Thema
- Vertraulichkeitserklärungen, etc
- Verschlüsselung der Website, Überarbeitung der Webformulare (Pflichtfelder weglassen…), Einsatz konformer Social Media PlugIns, anonymizeIP,…
Fazit: Die DSGVO ist gar nicht so unüberschaubar und furchteinflössend. Vor allem, wenn das Unternehmen dokumentieren kann, Verbesserungen zum Schutz der Persönlichkeitsrechte seiner Kunden umzusetzen, ist schon viel getan. Die eigene Firmenwebsite zum Beispiel lässt sich schnell vom Profi analysieren und DSGVO-konform machen.
Kleinere Unternehmen und Selbstständige, die die Datenschutzproblematik ernst nehmen und sich bisher schon um datenschutzkonforme Abläufe bemüht haben, sollten keine unüberwindbaren Probleme haben. Alle anderen müssen sich nun kümmern.