In diesem Artikel stellen wir Ihnen einige nützliche DSGVO-Tools vor, die Ihnen helfen können, die Einhaltung der DSGVO zu erreichen und aufrechtzuerhalten. Wir werden uns auf Tools konzentrieren, die einfach zu implementieren sind. Die meisten sind kostenlos oder haben ein sehr günstiges Preisniveau. Möglicherweise haben Sie bereits Zugriff auf einige der Software-Tools in Ihrem aktuellen Software-Stack und müssen sie nur noch nutzen. Wir haben auch eine Liste mit bewährten Verfahren und Tipps zusammengestellt, die Sie bei der Zusammenstellung Ihres eigenen Toolkits berücksichtigen sollten.
Inhaltsverzeichnis
Das Wichtigste zuerst: Was ist die DSGVO?
DSGVO steht für Datenschutz-Grundverordnung, die am 25. Mai 2018 in Kraft trat. Das Ziel der DSGVO ist es, den Benutzern mehr Kontrolle über ihre personenbezogenen Daten zu geben. Diese Datenschutzverordnung zielt darauf ab, dem Einzelnen mehr Transparenz zu verschaffen und ihm bewusst zu machen, wie Unternehmen seine personenbezogenen Daten verwenden, und sicherzustellen, dass sie nicht missbraucht werden. Die Bestimmungen der DSGVO gelten für jedes Unternehmen, das Daten von EU-Bürgern besitzt.
Was ist Software zur Einhaltung der DSGVO?
Die Software zur Einhaltung der DSGVO ist eine Reihe von Tools, mit denen Sie die wichtigsten Grundsätze der DSGVO einhalten können. Dabei kann es sich um Audit-Tools, Tools für das Mapping personenbezogener Daten, Software für die Verwaltung von Einwilligungen, Sicherheitssoftware, Bewertungstools, Tools für die Datenminimierung und die Verwaltung von Betroffenenanfragen handeln.
Grundsätze der DSGVO, die Sie vor der Auswahl der Software kennen sollten
Mit der DSGVO wurden auch sieben Datenschutzgrundsätze eingeführt, die Unternehmen und öffentliche Einrichtungen befolgen müssen, um die Vorschriften einzuhalten.
Grundsatz 1 – Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz
Grundsatz 2 – Zweckbindung
Grundsatz 3 – Datenminimierung
Grundsatz 4 – Richtigkeit
Grundsatz 5 – Speicherbegrenzung
Grundsatz 6 – Integrität und Vertraulichkeit (Sicherheit)
Grundsatz 7 – Rechenschaftspflicht
Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz
Dieser Grundsatz verlangt, dass alle Organisationen sicherstellen müssen, dass alle Verarbeitungsaktivitäten den geltenden Gesetzen und Vorschriften entsprechen. Mit anderen Worten: Wenn Sie personenbezogene Daten von Personen verarbeiten, müssen Sie sicherstellen, dass Sie die von der Gesetzgebung festgelegten Regeln einhalten.
Die wichtigsten Komponenten dieses Grundsatzes sind:
- Nachweis einer Rechtsgrundlage für die Beschaffung und Verarbeitung personenbezogener Daten. Die DSGVO definiert sechs Rechtgrundlagen: Einwilligung, Erfüllung eines Vertrags, berechtigtes Interesse, lebenswichtige Interessen, rechtliche Verpflichtung und öffentliches Interesse. Mehr über die Rechtsgrundlagen können Sie in unserem Artikel hier lesen.
- Die Erhebung von personenbezogenen Daten muss auf faire Weise erfolgen. Fair bedeutet, dass die Art und Weise der Datenerhebung transparent und für die Person, die ihre personenbezogenen Daten zur Verfügung stellt, vollständig erklärbar sein muss.
- Transparenz bedeutet, dass eine Person immer darüber informiert werden muss, ob sie um die Angabe ihrer personenbezogenen Daten gebeten wird. Das „Recht auf Bestätigung“ ist ein Kernelement dieses Grundsatzes. Beispiele für Transparenzgrundsätze könnten Datenschutzerklärungen und -hinweise auf Ihrer Website, Cookie-Richtlinien und andere Dokumente sein, die den betroffenen Personen ein klares Verständnis darüber vermitteln, wie personenbezogene Daten gesammelt und verarbeitet werden.
Zweckbindung
Zweckbindung bedeutet, dass die Organisation ihre Verarbeitungstätigkeit auf das beschränken muss, was notwendig ist, um die Zwecke zu erfüllen, für die die Daten ursprünglich erhoben wurden. Wenn Sie beispielsweise E-Mail-Adressen von Personen sammeln, um ihnen Angebote zu schicken, können Sie diese E-Mails nicht ewig aufbewahren und ohne deren Zustimmung für Marketingkampagnen verwenden.
Datenminimierung
Datenminimierung bedeutet, dass die Organisation die Menge der verarbeiteten personenbezogenen Daten minimieren muss. Wenn Sie jemanden bitten, ein Formular auszufüllen, müssen Sie nicht jedes einzelne Detail über ihn/sie speichern. Speichern Sie nur das Minimum an Daten, das zur Erfüllung des Zwecks der Anfrage erforderlich ist.
Bevor Sie die Minimierung personenbezogener Daten in Angriff nehmen, sollten Sie eine angemessene Analyse der personenbezogenen Daten durchführen. Zunächst einmal wäre es gut, mit der Datenermittlung zu beginnen, um zu verstehen, welche Art von personenbezogenen Daten Sie in welchen IT-Systemen speichern.
Richtigkeit
Die DSGVO schreibt vor, dass personenbezogene Daten richtig sein und gegebenenfalls auf dem neuesten Stand gehalten werden müssen. Es müssen alle angemessenen Maßnahmen getroffen werden, um sicherzustellen, dass personenbezogene Daten, die im Hinblick auf die Zwecke, für die sie verarbeitet werden, unrichtig sind, unverzüglich gelöscht oder berichtigt werden.
Speicherbegrenzung
Speicherbegrenzung bedeutet, dass die Organisation den Zeitraum begrenzen muss, für den personenbezogene Daten gespeichert werden. Die Dauer hängt von der Art der personenbezogenen Daten und ihrer Sensibilität ab. Wenn Sie zum Beispiel Finanzdaten sammeln, können Sie diese bis zu 7 Jahre lang aufbewahren. Wenn Sie jedoch Gesundheitsdaten sammeln, sollten Sie diese nicht länger als nötig aufbewahren.
Integrität und Vertraulichkeit (Sicherheit)
„Integrität und Vertraulichkeit“ bedeutet, dass Sie sicherstellen müssen, dass Sie über angemessene Sicherheitsmaßnahmen verfügen, um die von Ihnen gespeicherten personenbezogenen Daten zu schützen. Personenbezogene Daten müssen gegen unbefugte oder unrechtmäßige Verarbeitung, versehentlichen Verlust, Zerstörung oder Beschädigung geschützt werden.
Rechenschaftspflicht
Der Grundsatz der Rechenschaftspflicht verlangt von Organisationen, dass sie die Verantwortung dafür übernehmen, was sie mit personenbezogenen Daten tun und wie sie die anderen Grundsätze einhalten. Um diesen Grundsatz einzuhalten, muss eine Organisation über geeignete Maßnahmen und Aufzeichnungen verfügen, um bei der ersten Aufforderung durch die Behörden die Einhaltung der Vorschriften nachweisen zu können. Das bedeutet, dass eine Reihe von Dokumenten abgeschlossen werden muss.
Hier finden Sie eine (nicht vollständige) Liste der Dokumente, die Sie benötigen, um die Einhaltung der DSGVO nachzuweisen:
- Verzeichnisse von Verarbeitungstätigkeiten;
- Richtlinie zum Schutz personenbezogener Daten;
- Datenschutzhinweise (für Mitarbeiter, Website-Besucher usw.);
- Mit Ihren Dienstleistern unterzeichnete Auftragsverarbeitungsverträge;
- Richtlinie und Zeitpläne zur Datenaufbewahrung;
- Einverständniserklärungen;
- Reaktion auf und Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten;
- Register für Verletzungen des Schutzes personenbezogener Daten;
- Verfahren zur Bearbeitung von Betroffenenanfragen;
- Datenschutz-Folgenabschätzung;
- Bewertung der berechtigten Interessen;
- Risikobewertung von Lieferanten;
- Datentransfer-Folgenabschätzung.
Software zur Einhaltung der DSGVO
Wie Sie vielleicht aus den oben beschriebenen Grundsätzen der Datenschutz-Grundverordnung erfahren haben, ist die Einhaltung solcher Anforderungen keine leichte Aufgabe. Es wird viel Arbeit erfordern und Sie werden einige Werkzeuge benötigen, um die Einhaltung der DSGVO zu erreichen und aufrechtzuerhalten.
Es gibt viele verschiedene Arten von DSGVO-Softwarelösungen, die heute auf dem Markt erhältlich sind. Einige von ihnen sind sehr einfach, während andere komplex sind und viel Pflege benötigen. Bevor Sie sich also für eines dieser Tools entscheiden, ist es wichtig, die Besonderheiten der Verarbeitung personenbezogener Daten in Ihrem Unternehmen zu verstehen, die damit verbundenen Risiken einzuschätzen und eine geeignete Lösung zu wählen, die diese Risiken angemessen abmildert.
Um diese Aufgabe zu vereinfachen, werden wir versuchen, einige spezifische Beispiele für jeden der oben beschriebenen Grundsätze der DSGVO zu betrachten.
DSGVO-Audittools
Die erste Aufgabe im Rahmen des Projekts zur Einhaltung der DSGVO besteht darin, die aktuelle Situation der Organisation in Bezug auf den Schutz personenbezogener Daten zu verstehen und eine Lückenanalyse durchzuführen. Mit Audittools können Sie überprüfen, ob Ihre Organisation personenbezogene Daten gemäß den Anforderungen der DSGVO verarbeitet. Sie enthalten in der Regel eine Reihe von Kontrollen, die bei Audits durchgeführt werden müssen.
ICO-Datenschutz-Selbstbewertung
Das UK Information Commissioner‘s Office (ICO) hat eine Reihe von Selbstbewertungsinstrumenten für für die Verarbeitung Verantwortliche und Auftragsverarbeiter zusammengestellt. Diese einfachen Fragebögen sind für kleine bis mittlere Unternehmen gedacht. Die Bewertungen enthalten Anleitungen und Empfehlungen. Daher finden Sie hier, was Sie tun müssen, um sicherzustellen, dass die Verarbeitung Ihrer personenbezogenen Daten im Einklang mit der DSGVO steht. Das Toolkit enthält die folgenden Checklisten:
- Checkliste für kleine und mittelständische Unternehmen und Einzelunternehmer;
- Checklisten zur Gewährleistung des Datenschutzes für für die Verarbeitung Verantwortliche und Auftragsverarbeiter;
- Informationssicherheitsrichtlinie;
- Direktmarketing-Checkliste;
- Checkliste zur Verwaltung von Aufzeichnungen;
- Checkliste zur Einhaltung der CCTV-Vorschriften.
Die ICO-Selbstbewertungen zum Datenschutz finden Sie hier.
Gartner-Checkliste zur Prüfung der Einhaltung der DSGVO
Gartner hat eine etwas formellere, aber gut strukturierte Checkliste zur Selbsteinschätzung veröffentlicht, die zur Vorbereitung auf Audits zur Einhaltung der DSGVO gedacht ist. Jede Anforderung bezieht sich auf einen relevanten DSGVO-Artikel. Mit diesem Tool können Sie nachverfolgen, ob Sie die Vorschriften einhalten oder nicht, und den Fortschritt der Einhaltung verfolgen. Die Checkliste umfasst die folgenden Anforderungen:requirements:
- Verwaltung der Rechenschaftspflicht;
- Verarbeitungsgrundsätze;
- Privacy by Design und Default;
- Datenschutz-Folgenabschätzung;
- Verzeichnisse von Verarbeitungstätigkeiten;
- Rechte der betroffenen Person;
- Einwilligung und Mitteilungen;
- Verwaltung von Verletzungen des Schutzes personenbezogener Daten;
- Auftragsverarbeiter;
- Datenübertragungen
Sie können die Gartner-Checkliste für die Prüfung der Einhaltung der DSGVO hier herunterladen.
GDPR Register
Mit GDPR Register können Sie eine Kartierung Ihrer personenbezogenen Daten durchführen und Verzeichnisse von Verarbeitungstätigkeiten führen, die die wichtigsten Informationen über Ihre personenbezogenen Daten, die Zwecke der Verarbeitung, die Rechtsgrundlagen, das Vorfallsmanagement und vieles mehr enthalten. Es ist sowohl für kleine Unternehmen geeignet als auch mit fortschrittlichen Funktionen ausgestattet, die von multinationalen Konzernen dringend benötigt werden. Es handelt sich um eine Lösung zur Einhaltung der DSGVO, die keine komplizierte Einrichtung erfordert und Zeit spart, da sie professionelle Vorlagen für verschiedene Aktivitäten und Dokumente bietet.