Datenschutz-Selbstauskunft für Kleinbetriebe

Hinweis: Papier-Unterlagen mit personenbezogenen Daten sollten nur dann über die Mülltonne entsorgt werden, wenn sie zuvor mit einem Aktenvernichter (empfehlenswert ist mindestens Sicherheitsstufe 3) vernichtet worden sind. Alte Festplatten mit personenbezogenen Daten sollten nur dann entsorgt werden, wenn die Daten zuvor verlässlich und vollständig gelöscht worden sind (z.B. mit einem speziellen Software-Tool). Es empfiehlt sich, zusätzlich zur Löschung der Daten auch die Festplatte vor der Entsorgung manuell zu beschädigen (z.B. mit einem Hammer).

Hinweis: Kein weiterer Handlungsbedarf. Diese Umsetzung ist datenschutzkonform. Achten Sie darauf, dass der Dienstleister eine Datenschutzvereinbarung mit Ihnen abgeschlossen hat.

Hinweis: Sämtliche Papier-Unterlagen mit personenbezogenen Daten sollten ausschließlich datenschutzkonform vernichtet werden, z.B. über den Einsatz von Aktenvernichtern oder „Datentonnen“. Alte Festplatten mit personenbezogenen Daten sollten ausschließlich datenschutzkonform vernichtet werden, z.B. über den Einsatz von Lösch-Software oder die Hinzuziehung externer Dienstleister.

Hinweis: Die Vernichtung von datenschutzrelevanten Unterlagen ist gesetzlich erforderlich, soweit kein sachgerechter Grund vorliegt, die Unterlagen weiter aufzubewahren. Als Grundsatz könnte gelten, Unterlagen nach Ablauf der gesetzlichen Mindestaufbewahrungsfristen zu vernichten.

Hinweis: Kein weiterer Handlungsbedarf. Diese Umsetzung ist datenschutzkonform.

Hinweis: Die Vernichtung von datenschutzrelevanten Unterlagen ist gesetzlich erforderlich, soweit kein sachgerechter Grund vorliegt, die Unterlagen weiter aufzubewahren. Als Grundsatz könnte gelten, Unterlagen nach Ablauf der gesetzlichen Mindestaufbewahrungsfristen zu vernichten.

Hinweis: Kein weiterer Handlungsbedarf. Diese Umsetzung ist datenschutzkonform. Die Datenschutz-Aufsichtsbehörden empfehlen zudem, die Datenschutzerklärung von jeder Unterseite aus zugänglich zu verlinken.

Hinweis: Dies ist in der Regel nicht ausreichend. Sie sind gesetzlich verpflichtet, sämtliche Verarbeitungsvorgänge auf Ihrer Webseite mit Bezug zu personenbezogenen Daten transparent in einer Datenschutzerklärung zu beschreiben. Die Datenschutz-Aufsichtsbehörden empfehlen zudem, die Datenschutzerklärung von jeder Unterseite aus zugänglich zu verlinken.

Hinweis: Sie sind gesetzlich verpflichtet, sämtliche Verarbeitungsvorgänge auf Ihrer Webseite mit Bezug zu personenbezogenen Daten transparent in einer Datenschutzerklärung zu beschreiben. Die Datenschutz-Aufsichtsbehörden empfehlen zudem, die Datenschutzerklärung von jeder Unterseite aus zugänglich zu verlinken.

Hinweis: Das Datenschutzrecht fordert, Personen nur in dem Umfang Zugriff auf IT-Systeme zu gewähren, wie dies für die Durchführung der jeweiligen Tätigkeiten erforderlich ist. Die Umsetzung dieser Vorgabe muss nicht zwingend schriftlich erfolgen. Es hat sich aber in der Praxis bewährt, aus Gründen der Transparenz und Übersichtlichkeit die entsprechenden Zugriffsrechte schriftlich zu fixieren.

Hinweis: Diese Umsetzung ist datenschutzkonform, soweit gewährleistet ist, dass Personen nur in dem Umfang Zugriff auf IT-Systeme erhalten, wie dies für die Durchführung der jeweiligen Tätigkeiten erforderlich ist.

Hinweis: Das Datenschutzrecht fordert, Personen nur in dem Umfang Zugriff auf IT-Systeme zu gewähren, wie dies für die Durchführung der jeweiligen Tätigkeiten erforderlich ist. Die Umsetzung dieser Vorgabe muss nicht zwingend schriftlich erfolgen. Es hat sich aber in der Praxis bewährt, aus Gründen der Transparenz und Übersichtlichkeit die entsprechenden Zugriffsrechte schriftlich zu fixieren.

Hinweis: Diese Umsetzung ist datenschutzkonform, soweit im Fall der so genannten „Auftragsverarbeitung“ die gesetzlichen Vorgaben eingehalten werden, insbesondere die Regelungen in Art. 28 EU-DSGVO.

Hinweis: Das Datenschutzrecht fordert externe Dienstleister hinsichtlich datenschutzrechtlicher Vorgaben zu binden, die personenbezogene Daten verarbeiten oder auf Systeme mit personenbezogenen Daten zugreifen können. Die genauen Vorgaben finden sich insbesondere in Art. 28 EU-DSGVO.

Hinweis: Das Datenschutzrecht fordert externe Dienstleister hinsichtlich datenschutzrechtlicher Vorgaben zu binden, die personenbezogene Daten verarbeiten oder auf Systeme mit personenbezogenen Daten zugreifen können. Die genauen Vorgaben finden sich insbesondere in Art. 28 EU-DSGVO.

Hinweis: Es ist empfehlenswert, zur Erfüllung der Rechenschaftspflicht Beschäftigte eine Datenschutzerklärung unterzeichnen zu lassen. Es ist insbesondere aus Gründen der Nachweisbarkeit empfehlenswert, diese Erklärung schriftlich zu gestalten. Ferner ist erforderlich, die bei der Verarbeitung von Daten tätigen Beschäftigten regelmäßig im Datenschutz zu schulen.

Hinweis: Diese Umsetzung ist datenschutzkonform.

Hinweis: Es ist empfehlenswert, zur Erfüllung der Rechenschaftspflicht Beschäftigte eine Datenschutzerklärung unterzeichnen zu lassen. Es ist insbesondere aus Gründen der Nachweisbarkeit empfehlenswert, diese Erklärung schriftlich zu gestalten. Ferner ist erforderlich, die bei der Verarbeitung von Daten tätigen Beschäftigten regelmäßig im Datenschutz zu schulen.

Hinweis: Unternehmen sind unter der EU-DSGVO verpflichtet, die datenschutzrechtlichen Anforderungen nicht nur punktuell sondern strukturell zu erfüllen. Das heißt konkret: ein Unternehmen muss im Audit-Fall nicht nur nachweisen können, dass es zu einem bestimmten Zeitpunkt datenschutzkonform gearbeitet hat. Es muss vielmehr der Nachweis geführt werden, dass man die datenschutzrechtlichen Anforderungen laufend in der Unternehmenspraxis erfüllt. Die gesetzliche Basis hierfür findet sich in Artikel 5 Absatz 2 EU-DSGVO. Daher lautet die einheitliche Empfehlung auch der Datenschutz Aufsichtsbehörden, dass Unternehmen eine Datenschutzrichtlinie oder ein Datenschutzhandbuch erlassen sollten, um die datenschutzrechtlichen Anforderungen adressieren zu können.

Hinweis: Diese Umsetzung ist datenschutzkonform.

Hinweis: Unternehmen sind unter der EU-DSGVO verpflichtet, die datenschutzrechtlichen Anforderungen nicht nur punktuell sondern strukturell zu erfüllen. Das heißt konkret: ein Unternehmen muss im Audit-Fall nicht nur nachweisen können, dass es zu einem bestimmten Zeitpunkt datenschutzkonform gearbeitet hat. Es muss vielmehr der Nachweis geführt werden, dass man die datenschutzrechtlichen Anforderungen laufend in der Unternehmenspraxis erfüllt. Die gesetzliche Basis hierfür findet sich in Artikel 5 Absatz 2 EU-DSGVO. Daher lautet die einheitliche Empfehlung auch der Datenschutz Aufsichtsbehörden, dass Unternehmen eine Datenschutzrichtlinie oder ein Datenschutzhandbuch erlassen sollten, um die datenschutzrechtlichen Anforderungen adressieren zu können.

Hinweis: Diese Umsetzung ist datenschutzkonform.

Hinweis: Das Datenschutzrecht setzt dem Stand der Technik entsprechende Schutzmaßnahmen Ihres IT-Systems voraus. Daher ist erforderlich, nicht nur auf dem Server sondern auf allen Systemen aktuelle Virenschutzprogramme zu installieren. Es ist ferner empfehlenswert, zumindest den Server mit einer unabhängigen Stromversorgung gegen Stromausfälle zu schützen.

Hinweis: Das Datenschutzrecht setzt dem Stand der Technik entsprechende Schutzmaßnahmen Ihres IT-Systems voraus. Daher ist erforderlich, auf allen Systemen aktuelle Virenschutzprogramme zu installieren. Es ist ferner empfehlenswert, zumindest zentrale Systeme mit einer unabhängigen Stromversorgung gegen Stromausfälle zu schützen.

Hinweis: Dies ist häufig nicht ausreichend: sichern Sie Ihr System lediglich mit einem Kennwort, verschlüsseln aber die Daten nicht, könnten Dritte im Verlustfall relativ einfach auf Ihre Daten zugreifen.

Hinweis: Diese Umsetzung ist datenschutzkonform. Es ist darauf zu achten, dem Stand der Technik entsprechende Verschlüsselungsverfahren einzusetzen.

Hinweis: Das Datenschutzrecht empfiehlt die Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren. Sie sollten Ihre Notebooks daher sowohl mit Kennwörtern als auch mit Verschlüsselungssoftware gegen den unberechtigten Zugriff durch Dritte schützen.

Hinweis: Unternehmen sind verpflichtet, ihre Verarbeitungstätigkeiten in einem Verzeichnis zu dokumentieren. In anderen Worten: ein mit ihren Verarbeitungstätigkeiten nicht im Detail vertrauter Mitarbeiter einer Aufsichtsbehörde sollte nach Durchsicht des Verzeichnisses der Verarbeitungstätigkeiten einen groben Überblick erhalten, wer im Unternehmen wie und welche Daten verarbeitet, wann diese gelöscht werden und wie sie technisch gesichert sind. Gesetzliche Grundlage hierfür bildet Artikel 30 EU-DSGVO. Aufgrund der Vorgaben der Rechenschaftspflicht gilt dies in der Praxis unabhängig von der Unternehmensgröße.

Hinweis: Diese Umsetzung ist datenschutzkonform.

Hinweis: Unternehmen sind verpflichtet, ihre Verarbeitungstätigkeiten in einem Verzeichnis zu dokumentieren. In anderen Worten: ein mit ihren Verarbeitungstätigkeiten nicht im Detail vertrauter Mitarbeiter einer Aufsichtsbehörde sollte nach Durchsicht des Verzeichnisses der Verarbeitungstätigkeiten einen groben Überblick erhalten, wer im Unternehmen wie und welche Daten verarbeitet, wann diese gelöscht werden und wie sie technisch gesichert sind. Gesetzliche Grundlage hierfür bildet Artikel 30 EU-DSGVO. Aufgrund der Vorgaben der Rechenschaftspflicht gilt dies in der Praxis unabhängig von der Unternehmensgröße.