Datenschutzkonzept

Die einzelnen Unterlagen sind meist irgendwo vorhanden – nur weiß niemand, ob sie zusammen ein vollständiges Bild ergeben. Ein Datenschutzkonzept ist das Dokument, das diese Frage beantwortet: Es beschreibt an einer Stelle, wie Datenschutz in Ihrem Haus organisiert ist.

Erstgespräch vereinbaren

Wofür das Datenschutzkonzept gebraucht wird

Vorgeschrieben ist es nicht – jedenfalls nicht mit diesem Namen. Was die DSGVO verlangt, ist der Nachweis: Nach Art. 5 Abs. 2 müssen Sie belegen können, dass Sie die Grundsätze einhalten, und nach Art. 24 müssen Sie geeignete Maßnahmen treffen und sie darlegen können. Ein Konzept ist der übliche Weg, beides in einem Dokument zu erledigen.

Gebraucht wird es typischerweise von drei Seiten:

Von der Aufsichtsbehörde. Kommt eine Anfrage, wird nicht nach einzelnen Maßnahmen gefragt, sondern nach dem System dahinter. Wer nur Einzelnachweise nachreicht, wirkt unorganisiert – auch wenn sachlich alles vorhanden ist.

Von Geschäftspartnern. In Ausschreibungen und Lieferantenprüfungen wird zunehmend nach einem Datenschutzkonzept gefragt. Es lässt sich auf einer Ebene halten, die ohne Angaben zu Systemen, Versionen und Schwachstellen auskommt – und eignet sich deshalb zur Herausgabe, anders als die vollständige Maßnahmendokumentation.

Von den eigenen Mitarbeitenden. Wer wissen will, wer zuständig ist und was im Zweifel gilt, findet es dort. Diese Funktion wird am häufigsten unterschätzt und wirkt im Alltag am stärksten.

Die zwölf Inhalte

Die zwölf Inhalte
#	Inhalt	Grundlage
1	Ziele und Datenschutzgrundsätze	Art. 5 DSGVO
2	Verantwortlichkeiten: Geschäftsleitung, Datenschutzbeauftragter, Ansprechpartner in den Fachbereichen	Art. 24, 37 ff. DSGVO
3	Anwendbare Rechtsgrundlagen einschließlich BDSG und branchenspezifischer Vorschriften	–
4	Verzeichnis von Verarbeitungstätigkeiten	Art. 30 DSGVO
5	Technische Maßnahmen: Verschlüsselung, Zugriffssteuerung, Sicherung	Art. 32 DSGVO
6	Organisatorische Maßnahmen: Schulung, interne Prüfungen, Richtlinien	Art. 32 DSGVO
7	Verfahren für Betroffenenrechte	Art. 15–22 DSGVO
8	Auftragsverarbeitung und Dienstleistersteuerung	Art. 28 DSGVO
9	Datenschutz-Folgenabschätzung und Schwellwertprüfung	Art. 35 DSGVO
10	Meldewege bei Datenschutzvorfällen	Art. 33, 34 DSGVO
11	Löschkonzept mit Fristen je Datenart	Art. 17 DSGVO
12	Dokumentation und Ablage aller Nachweise	Art. 5 Abs. 2 DSGVO

Wie umfangreich es sein muss

Kürzer, als die meisten annehmen. Ein Konzept von fünfzig Seiten liest niemand, und niemand pflegt es – nach zwei Jahren beschreibt es einen Zustand, den es nicht mehr gibt.

Der Maßstab ist nicht der Umfang, sondern ob alle zwölf Punkte nachvollziehbar beantwortet sind. Für ein Unternehmen mit vierzig Beschäftigten und überschaubarer IT sind das oft zwölf bis zwanzig Seiten. Was darüber hinausgeht, gehört meist in die Anlagen: Verzeichnis, Maßnahmenkatalog, Löschfristen.

Wichtiger als die Länge ist die Aktualität. Ein Konzept mit einem Prüfdatum aus dem laufenden Jahr überzeugt mehr als ein dickeres von 2021.

Der häufigste Fehler

Das Konzept wird als Text geschrieben, der die anderen Dokumente beschreibt, statt auf sie zu verweisen. Dann steht die Löschfrist an zwei Stellen, das Verzeichnis wird zusammengefasst, die Maßnahmen werden nacherzählt – und mit der ersten Änderung laufen die Fassungen auseinander.

Besser ist die schlanke Form: Das Konzept erklärt, wie Datenschutz organisiert ist und wo die Nachweise liegen. Die Inhalte selbst bleiben dort, wo sie gepflegt werden. Im Datenschutzmanagementsystem ist genau das der Aufbau: Das Konzept ist die Klammer, die Module tragen die Inhalte.

Was wir übernehmen

Bestandsaufnahme. Was ist vorhanden, was fehlt, was ist veraltet. Meist ist mehr da, als die Beteiligten glauben – nur unverbunden.

Erstellung. Wir schreiben das Konzept auf Ihre Verhältnisse zu, nicht als Musterakte. Vorhandene Unterlagen werden eingebunden statt ersetzt.

Fortschreibung. Sind wir als externer Datenschutzbeauftragter benannt, wird das Konzept im laufenden Betrieb aktuell gehalten – das ist der Teil, an dem Eigenerstellungen scheitern.

Alle Beratungsthemen im Überblick: Datenschutzberatung.

Kontakt

Ein Kunde verlangt Ihr Datenschutzkonzept und Sie haben keines? Dann ist die Frage zuerst, was Sie bereits haben – häufig fehlt nur die Klammer.