Ratgeber zur Dokumentation nach DSGVO Weniger Dokumentationsaufwand im Datenschutz

Anbieter zum Thema

FAST LTA GmbH

FTAPI Software GmbH

Dokumentation ist eine unbeliebte Aufgabe. Im Datenschutz sehen Unternehmen darin einen viel zu hohen Aufwand. Doch ganz verzichten kann man nicht darauf. Was aber möglich ist, ist die Dokumentationsarbeit deutlich zu begrenzen, ohne die Datenschutz-Grundverordnung (DSGVO) zu verletzen. Wir geben Tipps, wie sich der Aufwand für Dokumentation im Datenschutz verringern lässt.

„Vor lauter Dokumentation komme ich nicht zum Datenschutz“, so denkt so manches Unternehmen. Nun ist Dokumentation generell schon keine Tätigkeit, die bei den meisten Beschäftigten Begeisterung auslöst. Kommen Dokumentation und Datenschutz zusammen, sieht es oft noch unerfreulicher aus: Die Umsetzung von Vorgaben, die zum Beispiel die Nutzung von Daten einschränken und so aus Sicht vieler Unternehmen Geschäftschancen blockieren, müssen auch noch ausführlich beschrieben und dargelegt werden.

Dabei sollte man Dokumentation nicht so negativ sehen, es geht nicht um unnötige Beschreibungen und Aufzeichnungen. Vielmehr gehört Dokumentation immer zum Geschäft und auch zum Datenschutz, aus vielerlei Gründen. Wie im Folgenden gezeigt wird, ist die Datenschutzdokumentation wirklich nützlich für ein Unternehmen und nicht einfach eine lästige Pflicht.

Was die Aufsichtsbehörden zur Dokumentationspflicht sagen

Viele Unternehmen fürchten, sie müssten Berge an Unterlagen bereitstellen, wenn es einmal eine Prüfung durch die zuständige Aufsichtsbehörde gibt oder eine Datenpanne auftritt. Deshalb lohnt es sich, einmal die Erläuterung der Dokumentationspflichten durch die Aufsichtsbehörden anzusehen.

Diese erklären: Die DSGVO verpflichtet den Verantwortlichen zum Nachweis, dass personenbezogene Daten rechtmäßig verarbeitet werden (Rechenschaftspflicht). Zusätzlich sieht die DSGVO an unterschiedlichen Stellen Dokumentationspflichten vor, zum Beispiel für das Verarbeitungsverzeichnis, für die Dokumentation von Datenschutzvorfällen oder für die Dokumentation von Weisungen im Rahmen der Auftragsverarbeitung. Die Datenschutz-Folgenabschätzung (DSFA), eine Art Risikoanalyse, erfordert ebenfalls eine umfangreiche Dokumentation.

Leider ist es also nicht so, dass das sogenannte Verzeichnis von Verarbeitungstätigkeiten, also die Liste der Verarbeitungen personenbezogener Daten, eine Art Gesamtdokumentation ist, sie ist vielmehr ein Herzstück der Dokumentation im Datenschutz, aber nicht alles.

Die Aufsichtsbehörden betonen: Mit der Erstellung des Verzeichnisses der Verarbeitungstätigkeiten sind keinesfalls alle von der DSGVO geforderten Dokumentationspflichten erfüllt. So müssen beispielsweise auch das Vorhandensein von Einwilligungen, die Ordnungsmäßigkeit der gesamten Verarbeitung und das Ergebnis von Datenschutz-Folgenabschätzungen durch entsprechende Dokumentationen nachgewiesen werden.

Warum das notwendig ist: Die Rechenschaftspflicht

Ein wesentlicher Grund, all das dokumentieren zu müssen, ist die sogenannte Rechenschaftspflicht. Diese gibt es aber nicht nur im Datenschutz. Der Europäische Datenschutzbeauftragte sagt dazu: Die Rechenschaftspflicht ist ein allgemeiner Grundsatz für Organisationen in vielen verschiedenen Bereichen. Durch sie soll sichergestellt werden, dass Organisationen die in sie gesetzten Erwartungen – etwa in Bezug auf die Lieferung ihrer Produkte und das Verhalten gegenüber den Akteuren, mit denen sie interagieren – erfüllen. In der Datenschutz-Grundverordnung (DSGVO) äußert sich die Rechenschaftspflicht als Grundsatz, wonach Organisationen geeignete technische und organisatorische Maßnahmen ergreifen und in der Lage sein müssen, auf Anfrage nachzuweisen, was sie getan haben, und die Wirksamkeit ihrer Handlungen zu belegen.

Dies umfasst unter anderem folgende Maßnahmen: angemessene Dokumentation darüber, welche Daten auf welche Weise, zu welchem Zweck und für wie lange verarbeitet werden, dokumentierte Prozesse und Verfahren zur frühzeitigen Lösung von Datenschutzproblemen beim Aufbau von Informationssystemen oder zur Reaktion auf Datenschutzverletzungen und die Einbindung eines oder einer Datenschutzbeauftragten in die organisatorische Planung und Betriebsabläufe.

Was wirklich erwartet wird: Eine angemessene Dokumentation

Auch wenn sich die Forderungen, die die Aufsichtsbehörden darlegen, sehr umfangreich anhören: Kommt es zum Beispiel zu einer Prüfung durch die Aufsicht, erwartet niemand, dass es ein Aktenlager voller Datenschutzaufzeichnungen gibt.

Vielmehr haben die Aufsichtsbehörden ganz klare Vorstellungen, was unbedingt vorhanden sein muss. Ein gutes Beispiel ist eine Prüfung des vorhandenen Ransomware-Schutzes, den Aufsichtsbehörden durchaus gegenwärtig untersuchen.

Als Dokumentation sollte dann insbesondere vorliegen: ein vollständiger und aktueller Überblick über alle eingesetzten IT-Systeme und IT-Komponenten (wie Clients, Server, Firewall, Switches, VPN-Endpunkte, IT in den Homeoffices nicht zu vergessen), also ein IT-Inventar und Netzplan, eine regelmäßige Auswertung von Informationen zu Sicherheitslücken der eingesetzten Komponenten sowie eine Beschreibung des Patchmanagements, ein Backup-Konzept, Protokolle zur Überprüfung des Datenverkehrs, ein Protokollierungs- und Analysekonzept, Schulungsdokumentationen zu Datenschutz und Datensicherheit, ein Berechtigungskonzept, das sind wesentliche Bestandteile der Dokumentation, die eine Aufsichtsbehörde hier erwartet.

Zugegeben, das ist durchaus eine Menge an Dokumenten, die vorhanden sein sollten. Aber diese Dokumentation ist kein Selbstzweck und auch nichts, was etwa nur für den Datenschutz getan werden muss. Vielmehr sollten diese Dokumente auch aus Sicht der IT-Abteilung und IT-Sicherheit vorhanden sein. Diese Erkenntnis birgt bereits einen Schlüssel, wie sich der Aufwand bei der Datenschutzdokumentation senken lässt.

Das Wichtigste: Doppelaufwand vermeiden, Synergien nutzen, Vorteile sehen

Die wenig geliebten Dokumentationen machen Unternehmen in vielen Bereichen, auch in solchen, deren Bedeutung für das Marketing und das Image beim Kunden viel stärker gesehen wird als im Fall des Datenschutzes.

So erfordert auch das Qualitätsmanagement eine umfangreiche Dokumentation. Hier sollte man schauen, welche Synergien es mit den Dokumenten gibt, die der Datenschutz fordert. Wenn man einen Prozess beschreibt, dann sollte man am besten beide Brillen aufsetzen, die des Qualitätsmanagements und die des Datenschutzes.

Dann sollte man auch die Vorteile einer guten Dokumentation sehen, denn sie kann nicht nur als Nachweis dienen, bei Prüfungen der Aufsicht oder im Fall einer Datenpanne. Gute Beschreibungen, die nicht vertrauliche Bereiche betreffen, eignen sich zum Beispiel für die Einarbeitung und Schulung von Mitarbeiterinnen und Mitarbeitern.

Nicht zuletzt kann eine gute Dokumentation auch dabei helfen, Lücken in Abläufen und Prozessen aufzudecken, denn wenn man etwas beschreibt, werden Fehlstellen leichter sichtbar. Konzeptarbeit zum Backup zum Beispiel hilft nicht nur bei der Einhaltung der Rechenschaftspflicht nach DSGVO, sondern kann auch zu besseren Backup-Prozessen führen.

Dokumentation sollte deshalb nie als Selbstzweck gesehen werden, sondern als Teil eines angemessenen Datenschutzes und guten Unternehmensführung.

(ID:48662251)