Datenschutz-Dokumentation · DSGVO Nachweise · Unternehmen · Österreich
Datenschutz-Dokumentation für Unternehmen in Österreich
Datenschutz muss nicht nur umgesetzt, sondern auch nachvollziehbar dokumentiert werden.
Dazu gehören je nach Unternehmen unter anderem Verarbeitungstätigkeiten,
Datenschutzinformationen, technische und organisatorische Maßnahmen,
Löschregeln, Verträge und interne Abläufe.
Dr. Thomas Ollinger verbindet als zertifizierter Datenschutzbeauftragter
und Unternehmensberater die Dokumentation mit den tatsächlichen Unternehmensprozessen.
Rechtsanwältin Dr. Nina Ollinger, LL.M. ergänzt bei rechtlichen Fragen,
Informationspflichten und Vertragsgestaltung.
- Verzeichnis · TOMs · Informationspflichten · Prozesse
- auf die tatsächliche Unternehmenspraxis abgestimmt
- Datenschutz · Recht · Unternehmensorganisation
Kurzantwort
Welche Datenschutz-Dokumentation braucht ein Unternehmen?
Welche Datenschutz-Unterlagen erforderlich sind, hängt von den tatsächlichen
Verarbeitungstätigkeiten, Systemen, Risiken und Unternehmensprozessen ab.
Häufig relevant sind ein Verzeichnis von Verarbeitungstätigkeiten,
Datenschutzinformationen, technische und organisatorische Maßnahmen,
Auftragsverarbeitungsverträge sowie interne Prozesse für Betroffenenrechte,
Löschung und Datenschutzverletzungen.
Entscheidend ist nicht eine möglichst große Zahl an Dokumenten.
Gute DSGVO-Dokumentation muss die Realität des Unternehmens abbilden,
verständlich gepflegt werden können
und im Bedarfsfall nachvollziehbar zeigen, wie Datenschutz organisiert ist.
Das Wichtigste in sechs Punkten
DSGVO-Dokumentation auf einen Blick
- Datenschutz-Dokumentation muss zur tatsächlichen Datenverarbeitung passen.
- Das Verzeichnis von Verarbeitungstätigkeiten ist für viele Unternehmen ein zentrales Dokument.
- Informationspflichten gegenüber Kunden, Mitarbeitern, Bewerbern und Website-Nutzern müssen aktuell sein.
- Technische und organisatorische Maßnahmen sollten nachvollziehbar beschrieben und gepflegt werden.
- Auch Löschung, Betroffenenrechte und Datenschutzvorfälle brauchen dokumentierte Abläufe.
- Neue Systeme, Dienstleister und Prozesse müssen in der Dokumentation laufend berücksichtigt werden.
Rechenschaftspflicht
Warum ist Datenschutz-Dokumentation überhaupt notwendig?
Die DSGVO verlangt von Verantwortlichen nicht nur,
Datenschutzanforderungen einzuhalten,
sondern die Einhaltung auch nachvollziehbar nachweisen zu können.
Dokumentation schafft deshalb Transparenz darüber,
welche personenbezogenen Daten verarbeitet werden,
auf welcher Grundlage dies geschieht,
wer Zugriff erhält und welche Schutzmaßnahmen bestehen.
Sie dient außerdem als Arbeitsgrundlage:
Betroffenenanfragen, Datenschutzverletzungen,
neue Software oder Änderungen bei Dienstleistern
lassen sich wesentlich leichter bearbeiten,
wenn Datenflüsse und Zuständigkeiten bereits strukturiert erfasst sind.
Dokumentation soll Datenschutz steuerbar machen.
Sie ist kein Selbstzweck und kein einmaliges Projekt.
Art. 30 DSGVO
Verzeichnis von Verarbeitungstätigkeiten
Das Verzeichnis von Verarbeitungstätigkeiten ist eines der wichtigsten
Strukturdokumente der Datenschutzorganisation.
Es zeigt, welche personenbezogenen Daten
in welchen Unternehmensprozessen verarbeitet werden.
Zweck der Verarbeitung
Für jede Verarbeitung sollte klar sein,
warum personenbezogene Daten überhaupt benötigt werden.
Daten und Personengruppen
Welche Kategorien personenbezogener Daten
und welche betroffenen Personengruppen sind beteiligt?
Empfänger
Welche internen Stellen,
Dienstleister oder sonstigen Empfänger erhalten Daten?
Löschfristen
Wie lange werden Daten benötigt
und wann sollen sie gelöscht oder anonymisiert werden?
Datenübermittlungen
Gibt es Übermittlungen in Drittländer
oder internationale Dienstleisterstrukturen?
Sicherheitsmaßnahmen
Welche technischen und organisatorischen Maßnahmen
schützen die jeweilige Verarbeitung?
Das Verarbeitungsverzeichnis sollte nicht aus abstrakten Standardprozessen bestehen,
sondern die konkrete Unternehmensrealität abbilden.
KMU und Art. 30 DSGVO
Braucht jedes kleine Unternehmen ein Verarbeitungsverzeichnis?
Art. 30 DSGVO enthält für Unternehmen oder Einrichtungen
mit weniger als 250 Beschäftigten eine begrenzte Ausnahme.
Diese greift jedoch nicht automatisch allein aufgrund der Mitarbeiterzahl.
Die Ausnahme gilt insbesondere dann nicht,
wenn die Verarbeitung ein Risiko für Rechte und Freiheiten mit sich bringt,
nicht nur gelegentlich erfolgt
oder besondere Kategorien personenbezogener Daten
beziehungsweise strafrechtliche Daten verarbeitet werden.
Viele typische Unternehmensprozesse –
etwa Personalverwaltung, Kundenverwaltung oder laufende Buchhaltung –
erfolgen regelmäßig und nicht bloß gelegentlich.
Deshalb sollte die konkrete Situation geprüft werden.
Informationspflichten
Datenschutzinformationen richtig dokumentieren
Unternehmen müssen betroffene Personen
über die Verarbeitung ihrer personenbezogenen Daten informieren.
Welche Informationen erforderlich sind,
richtet sich insbesondere danach,
ob Daten direkt bei der betroffenen Person erhoben werden
oder aus anderen Quellen stammen.
Häufig braucht ein Unternehmen mehrere unterschiedliche Informationen,
weil Kunden, Mitarbeiter, Bewerber und Website-Nutzer
nicht dieselben Verarbeitungssituationen haben.
- Datenschutzinformation für Kunden und Interessenten
- Datenschutzinformation für Mitarbeiter
- Datenschutzinformation für Bewerber
- Datenschutzerklärung für die Website
- Informationen für besondere Geschäftsprozesse
- Hinweise bei Videoüberwachung oder speziellen Systemen
Technische und organisatorische Maßnahmen
TOMs nachvollziehbar dokumentieren
Unternehmen müssen personenbezogene Daten
mit geeigneten technischen und organisatorischen Maßnahmen schützen.
Welche Maßnahmen angemessen sind,
hängt von Risiko, Verarbeitung und Stand der Technik ab.
Zugriffsschutz
Rollen, Berechtigungen,
Passwörter und Mehrfaktor-Authentifizierung strukturieren.
Systemschutz
Updates, Patchmanagement,
Endgeräteschutz und sichere Konfiguration dokumentieren.
Datensicherung
Backups, Wiederherstellung
und Verfügbarkeit wichtiger Systeme nachvollziehbar beschreiben.
Organisation
Zuständigkeiten, Schulungen,
Geheimhaltung und interne Datenschutzregeln festhalten.
Dienstleisterkontrolle
Sicherheitsanforderungen an Auftragsverarbeiter
und externe Systeme berücksichtigen.
Vorfallmanagement
Meldewege und Reaktionsprozesse
für Sicherheits- und Datenschutzvorfälle definieren.
Speicherdauer und Löschung
Warum braucht Datenschutz klare Löschregeln?
Personenbezogene Daten sollen grundsätzlich
nicht länger gespeichert werden,
als es für den jeweiligen Zweck erforderlich ist.
In der Praxis treffen dabei verschiedene Anforderungen aufeinander:
gesetzliche Aufbewahrungspflichten,
mögliche Rechtsansprüche,
technische Speicherorte und unterschiedliche Fachbereiche.
Eine belastbare Dokumentation sollte deshalb festhalten,
welche Datenkategorien wann gelöscht,
anonymisiert oder gesperrt werden sollen
und wer für die Umsetzung verantwortlich ist.
Fristen definieren
Gesetzliche und betriebliche Anforderungen
je Datenkategorie einordnen.
Systeme zuordnen
Festhalten, in welchen Systemen,
Archiven und Backups Daten tatsächlich gespeichert werden.
Verantwortung klären
Bestimmen, welcher Bereich
Löschung und Fristen überwacht.
Umsetzung prüfen
Dokumentierte Löschregeln
müssen auch technisch und organisatorisch funktionieren.
Interne Datenschutzprozesse
Welche Abläufe sollten dokumentiert sein?
Manche Datenschutzsituationen treten selten auf,
müssen dann aber schnell und strukturiert bearbeitet werden.
Deshalb reichen allgemeine Zuständigkeiten oft nicht aus.
Besonders wichtig sind klare Abläufe
für Betroffenenrechte und Datenschutzverletzungen.
Mitarbeiter sollten wissen,
an wen sie eine Anfrage oder einen Vorfall weiterleiten müssen.
Auch bei neuen IT-Systemen oder Dienstleistern
sollte ein definierter Prüfprozess bestehen,
damit Datenschutz nicht erst nach Einführung betrachtet wird.
Datenschutzverletzungen
Wie sollte ein Datenschutzvorfall dokumentiert werden?
Datenschutzverletzungen müssen schnell bewertet werden.
Die DSGVO sieht dafür konkrete Pflichten
und bei meldepflichtigen Vorfällen kurze Fristen vor.
Vorfall erfassen
Was ist passiert,
wann wurde der Vorfall erkannt
und welche Daten sind betroffen?
Risiko bewerten
Welche möglichen Folgen
bestehen für betroffene Personen?
Entscheidung dokumentieren
Warum wurde eine Meldung
oder Nichtmeldung als erforderlich beurteilt?
Maßnahmen festhalten
Welche Sofortmaßnahmen und
langfristigen Verbesserungen wurden umgesetzt?
Datenschutz-Verträge
Gehören Verträge zur Datenschutz-Dokumentation?
Ja. Wenn externe Unternehmen personenbezogene Daten verarbeiten
oder mehrere Unternehmen gemeinsam an Datenverarbeitungen beteiligt sind,
sind Verträge ein wesentlicher Teil der Datenschutzorganisation.
Wichtig ist dabei zuerst die richtige rechtliche Einordnung.
Nicht jeder Dienstleister ist automatisch Auftragsverarbeiter
und nicht jede Zusammenarbeit lässt sich mit derselben Standardvereinbarung abbilden.
- Auftragsverarbeitungsverträge nach Art. 28 DSGVO
- Vereinbarungen bei gemeinsamer Verantwortlichkeit
- datenschutzrechtliche Klauseln in Verträgen
- Übersicht relevanter Dienstleister
- Unterauftragnehmer und Datenübermittlungen
- vertraglich zugesagte Sicherheitsmaßnahmen
Laufende Aktualisierung
Wie bleibt Datenschutz-Dokumentation aktuell?
Datenschutz-Dokumentation veraltet,
wenn Änderungen im Unternehmen nicht systematisch berücksichtigt werden.
Änderungen erkennen
Neue Software, Dienstleister,
Prozesse und Geschäftsmodelle frühzeitig erfassen.
Auswirkungen prüfen
Klären, welche Dokumente,
Verträge und Informationspflichten betroffen sind.
Unterlagen aktualisieren
Änderungen nachvollziehbar einarbeiten
und verantwortliche Bereiche informieren.
Datenschutz sollte Teil von Beschaffung,
Digitalisierung und Projektmanagement sein.
Dann entsteht Aktualisierung automatisch aus dem Prozess heraus.
Typische Fehler
Was läuft bei DSGVO-Dokumentation häufig schief?
Viele Schwächen entstehen nicht,
weil überhaupt keine Unterlagen vorhanden sind,
sondern weil Dokumentation und Unternehmenspraxis auseinanderlaufen.
Vorlagen ohne Anpassung
Standardtexte nennen Prozesse und Systeme,
die im Unternehmen gar nicht existieren.
Veraltete Verzeichnisse
Neue Tools und Dienstleister
wurden nicht in die Dokumentation aufgenommen.
Unklare Zuständigkeiten
Dokumente existieren,
aber niemand ist für deren Pflege verantwortlich.
Nur Website betrachtet
Die Datenschutzerklärung ist gepflegt,
interne Kunden- und Mitarbeiterprozesse aber nicht.
Verträge isoliert abgelegt
Auftragsverarbeitungsverträge bestehen,
sind aber nicht mit dem Dienstleisterverzeichnis verknüpft.
Löschung nur theoretisch
Fristen stehen auf dem Papier,
werden technisch aber nicht umgesetzt.
Dokumentation mit Praxisbezug
Datenschutz-Dokumentation mit Unternehmens- und Rechtsperspektive
Dr. Thomas Ollinger ist zertifizierter Datenschutzbeauftragter
und Unternehmensberater. Sein Fokus liegt darauf,
Datenschutzstrukturen so zu dokumentieren,
dass sie auch im Unternehmensalltag funktionieren.
Rechtsanwältin Dr. Nina Ollinger, LL.M.
ergänzt bei rechtlichen Fragen,
Datenschutzinformationen und vertraglichen Dokumenten.
Dadurch entsteht keine isolierte Sammlung von Unterlagen,
sondern eine Dokumentation,
die rechtliche Anforderungen und betriebliche Prozesse zusammenführt.
Verzeichnis, Prozesse und Nachweise
Dokumentation passend zu realen Abläufen
Informationspflichten und Verträge
Persönlich, telefonisch oder per Videokonferenz
Passende Vertiefung
Weitere Themen rund um DSGVO-Dokumentation
Bestehende Dokumentation prüfen
Unterlagen, Prozesse
und tatsächliche Datenverarbeitungen miteinander abgleichen.
Datenschutz strukturiert aufbauen
Recht, Organisation
und Dokumentation gemeinsam weiterentwickeln.
Dienstleister sauber dokumentieren
Auftragsverarbeitung
und weitere Datenschutzrollen vertraglich abbilden.
Informationspflichten aktuell halten
Website und weitere Datenverarbeitungen
transparent und rechtlich passend beschreiben.
Dokumentation laufend begleiten
Datenschutzorganisation
kontinuierlich überprüfen und weiterentwickeln.
Dokumentation angemessen gestalten
Schlanke und belastbare DSGVO-Strukturen
für kleine und mittlere Unternehmen.
Häufige Fragen
FAQ zur Datenschutz-Dokumentation
Welche Datenschutz-Dokumente braucht ein Unternehmen?
Das hängt von den tatsächlichen Verarbeitungen ab.
Häufig relevant sind Verzeichnis von Verarbeitungstätigkeiten,
Datenschutzinformationen, TOMs, Auftragsverarbeitungsverträge,
Löschregeln und Prozesse für Betroffenenrechte und Datenschutzvorfälle.
Was ist ein Verzeichnis von Verarbeitungstätigkeiten?
Es dokumentiert die wesentlichen Verarbeitungstätigkeiten eines Unternehmens
und enthält insbesondere Angaben zu Zwecken,
Datenkategorien, betroffenen Personen, Empfängern,
Löschfristen und Sicherheitsmaßnahmen.
Brauchen Unternehmen mit weniger als 250 Mitarbeitern ein Verarbeitungsverzeichnis?
Art. 30 DSGVO enthält eine begrenzte Ausnahme für kleinere Unternehmen.
Sie greift jedoch unter anderem nicht,
wenn Verarbeitungen nicht nur gelegentlich erfolgen,
Risiken bestehen oder besondere Datenkategorien verarbeitet werden.
Eine pauschale Befreiung für Unternehmen unter 250 Beschäftigten gibt es daher nicht.
Was sind technische und organisatorische Maßnahmen?
Das sind Maßnahmen zum Schutz personenbezogener Daten,
beispielsweise Zugriffsregelungen, IT-Sicherheit,
Backups, organisatorische Zuständigkeiten und Schulungen.
Muss ein Unternehmen ein Löschkonzept haben?
Unternehmen müssen Speicherdauern und Löschung
ihrer personenbezogenen Daten nachvollziehbar organisieren.
Ob dafür ein eigenes Dokument mit der Bezeichnung „Löschkonzept“ erforderlich ist,
hängt von der konkreten Organisation ab.
Entscheidend ist, dass Löschregeln definiert und umgesetzt werden.
Wie oft muss Datenschutz-Dokumentation aktualisiert werden?
Jedenfalls bei relevanten Änderungen,
etwa neuen Systemen, Dienstleistern,
Prozessen oder Verarbeitungszwecken.
Zusätzlich sind regelmäßige Überprüfungen sinnvoll.
Gehört die Datenschutzerklärung zur DSGVO-Dokumentation?
Ja. Sie bildet die Informationspflichten für Website-Nutzer
und gegebenenfalls weitere online stattfindende Verarbeitungen ab.
Sie ersetzt jedoch nicht die interne Datenschutz-Dokumentation.
Müssen Datenschutzvorfälle dokumentiert werden?
Ja. Datenschutzverletzungen sind nachvollziehbar zu dokumentieren,
unabhängig davon, ob am Ende eine Meldung an die Datenschutzbehörde erforderlich ist.
Kann Datenschutz-Dokumentation aus Vorlagen erstellt werden?
Vorlagen können als Strukturhilfe dienen.
Sie müssen jedoch an tatsächliche Datenverarbeitungen,
Systeme, Dienstleister und Unternehmensprozesse angepasst werden.
Wer sollte Datenschutz-Dokumentation im Unternehmen pflegen?
Die Zuständigkeit sollte klar festgelegt sein.
Fachbereiche müssen Änderungen melden,
während eine zentrale Datenschutzfunktion
oder verantwortliche Stelle die Gesamtdokumentation koordinieren kann.
Offizielle Rechtsgrundlagen
DSGVO-Nachweis und Datenschutz-Dokumentation
Zentrale Grundlagen finden sich insbesondere in der
Datenschutz-Grundverordnung (DSGVO)
.
Für das Verzeichnis von Verarbeitungstätigkeiten ist insbesondere
Art. 30 DSGVO
relevant.
Informationen und Entscheidungen zur österreichischen Datenschutzpraxis
stellt die
Österreichische Datenschutzbehörde
bereit.
Datenschutz nachvollziehbar dokumentieren
DSGVO-Dokumentation für Ihr Unternehmen
Sie möchten Ihre Datenschutz-Unterlagen neu aufbauen,
aktualisieren oder an tatsächliche Prozesse anpassen?
Wir verbinden Datenschutzexpertise, Recht und Unternehmensorganisation.