DSGVO.

Die Datenschutz-Grundverordnung ist unmittelbar geltendes EU-Recht zum Schutz natürlicher Personen bei der Verarbeitung ihrer personenbezogenen Daten. Die Verordnung (EU) 2016/679 gilt seit dem 25. Mai 2018; GDPR ist ihre englische Kurzbezeichnung. In Deutschland ergänzen insbesondere das Bundesdatenschutzgesetz und bereichsspezifische Vorschriften den europäischen Rahmen.

Die DSGVO fragt zuerst, ob und wofür eine Verarbeitung zulässig ist. Eine sichere Datenbank beantwortet noch nicht, ob die erhobenen Informationen erforderlich sind oder wie lange sie gespeichert werden dürfen. Art. 5 und 6 DSGVO verbinden Grundsätze und Rechtsgrundlagen; Art. 32 betrifft innerhalb dieses Rahmens die Sicherheit der Verarbeitung.

Datenschutz bleibt eine laufende Aufgabe, weil sich Zwecke, Datenflüsse und eingesetzte Dienste verändern. Der Verantwortliche muss nach Art. 24 DSGVO geeignete Maßnahmen treffen, deren Angemessenheit prüfen und sie erforderlichenfalls aktualisieren. Ein einmal ausgefülltes Dokument ersetzt diese fortlaufende Bewertung nicht.

Die DSGVO gilt nach Art. 2 für die dort erfasste Verarbeitung personenbezogener Daten, unabhängig davon, ob ein Unternehmen groß oder klein ist. Dazu gehören beispielsweise Kundendaten, Bewerbungsunterlagen oder personenbezogene Supportinhalte. Auch pseudonymisierte Daten bleiben personenbezogen, wenn eine Person mit zusätzlichen Informationen identifiziert werden kann; tatsächlich anonyme Informationen sind anders einzuordnen.

Der räumliche Anwendungsbereich ergibt sich aus Art. 3 DSGVO. Neben Verarbeitungen im Rahmen einer EU-Niederlassung können bestimmte Angebote an Personen in der EU oder deren Verhaltensbeobachtung durch Unternehmen außerhalb der EU erfasst sein. Der bloße Serverstandort oder die Erreichbarkeit einer Website entscheidet darüber nicht allein.

Die Rolle wird für die konkrete Tätigkeit bestimmt: Verantwortliche entscheiden über Zwecke und Mittel, Auftragsverarbeiter verarbeiten Daten im Auftrag. Eine Organisation kann je nach Tätigkeit verschiedene Rollen haben. Art. 26 und 28 DSGVO verlangen bei gemeinsamer Verantwortlichkeit beziehungsweise Auftragsverarbeitung passende Regelungen; eine Vertragsüberschrift allein klärt die tatsächliche Rolle nicht.

Rechenschaft bedeutet nach Art. 5 Abs. 2 DSGVO, die Einhaltung der Grundsätze erklären und belegen zu können. Geeignete Unterlagen können Verarbeitungsverzeichnisse, begründete Rechtsgrundlagen, Verträge, Datenschutzinformationen, DSFA und Prüfungen der Schutzmaßnahmen umfassen. Entscheidend ist, ob sie die reale Verarbeitung abbilden und erkennen lassen, welche Entscheidung auf welcher Grundlage getroffen wurde.

Die Datenschutzaufsicht hat Untersuchungs- und Abhilfebefugnisse nach Art. 58 DSGVO. Dokumentation sollte deshalb auffindbar, verständlich und aktuell sein. Die Verordnung begründet keinen allgemeinen Zertifikatszwang, mit dem ein Unternehmen seine gesamte Datenschutzarbeit abschließend erledigen könnte; die Verantwortung bleibt beim Verantwortlichen und bei den jeweils verpflichteten Beteiligten.

Eine Zertifizierung nach Art. 42 DSGVO ist freiwillig und bezieht sich auf Verarbeitungsvorgänge anhand genehmigter Kriterien. Nach Abs. 4 mindert sie die gesetzliche Verantwortung nicht; Abs. 7 begrenzt ihre Laufzeit auf höchstens drei Jahre mit möglicher Verlängerung. Ein Informationssicherheitszertifikat ist nicht automatisch eine solche datenschutzrechtliche Zertifizierung.

Die Entscheidung, eine Datenschutzverletzung zu melden, ist gesondert nachzuweisen. Art. 33 sieht eine Meldung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden vor, sofern die Risikoausnahme nicht greift. Die Dokumentation nach Abs. 5 erfasst auch nicht gemeldete Verletzungen; die Benachrichtigung nach Art. 34 folgt ihrer eigenen Risikoschwelle und den dort geregelten Ausnahmen.

ISO 27001 unterstützt die Organisation der Informationssicherheit, ersetzt aber keine Prüfung von Rechtsgrundlagen und Betroffenenrechten. NIS2 hat eigene Adressaten und Meldepflichten; ein Vorfall kann getrennte Bewertungen nach beiden Rechtsrahmen erfordern. Der EU AI Act ergänzt die Anforderungen an bestimmte KI-Systeme, ohne die Datenschutzprüfung personenbezogener Verarbeitungen zu ersetzen.

Secani bietet ein Datenschutz-Profil für Rollen, Verarbeitungskontext und Übermittlungen sowie einen redaktionellen DSGVO-Prüfkatalog. Das Profil hält Unternehmensangaben fest und unterstützt die strukturierte Bestandsaufnahme. Die fachliche Bewertung der tatsächlichen Verarbeitung und ihrer Rechtmäßigkeit bleibt eine eigenständige Aufgabe; das Profil ist keine behördliche Freigabe und keine automatische Rechtsprüfung.

Beginnen Sie mit einer klar abgegrenzten Verarbeitung, etwa der Bearbeitung von Supportanfragen. Beschreiben Sie Zweck, Daten, betroffene Personen, beteiligte Dienste und Empfänger und prüfen Sie gemeinsam mit den zuständigen Fachpersonen die passende Rechtsgrundlage. Halten Sie anschließend fest, welche Schutzmaßnahmen und Verfahren für Rechte und Vorfälle dafür tatsächlich benötigt werden.