DSGVO-Checkliste fuer KMU

Die DSGVO (Datenschutz-Grundverordnung) verpflichtet Organisationen, sorgfaeltig und nachweisbar mit personenbezogenen Daten umzugehen. Fuer KMU muss das nicht kompliziert sein: mit einigen Basismassnahmen kommen Sie schon weit und zeigen bei einer Kontrolle, dass Sie es ernst nehmen.

Die Kernprinzipien der DSGVO

• Zweckbindung: erheben Sie Daten nur fuer einen klaren, gerechtfertigten Zweck.
• Datenminimierung: speichern Sie nicht mehr als noetig und nicht laenger als noetig.
• Rechtmaessigkeit: sorgen Sie fuer eine gueltige Rechtsgrundlage (zum Beispiel Einwilligung oder einen Vertrag).
• Sicherheit: treffen Sie angemessene technische und organisatorische Massnahmen.
• Rechenschaftspflicht: koennen Sie nachweisen, dass Sie die DSGVO einhalten?

Die praktische Checkliste

1. Haben Sie ein Verzeichnis von Verarbeitungstaetigkeiten, in dem steht, welche personenbezogenen Daten Sie verarbeiten, warum und wie lange?
2. Haben Sie eine aktuelle, verstaendliche Datenschutzerklaerung auf Ihrer Website?
3. Gibt es Auftragsverarbeitungsvertraege mit Dienstleistern, die in Ihrem Auftrag Daten verarbeiten (etwa Ihr Hosting- oder Softwareanbieter)?
4. Haben Sie einen Prozess, um Anfragen betroffener Personen (Auskunft, Berichtigung, Loeschung) fristgerecht zu bearbeiten?
5. Koennen Sie ein Datenleck erkennen und innerhalb von 72 Stunden bei der niederlaendischen Datenschutzbehoerde melden?
6. Sind Daten technisch gesichert (Zugriffsverwaltung, MFA, Verschluesselung, Backups)?
7. Wissen Sie, wo Ihre Daten gespeichert sind und ob sie innerhalb der EU bleiben?
8. Haben Sie beurteilt, ob Sie eine DPIA (Datenschutz-Folgenabschaetzung) oder einen Datenschutzbeauftragten benoetigen?
9. Sind Mitarbeiter sich bewusst, wie sie mit personenbezogenen Daten umgehen?

DSGVO und Sicherheit gehoeren zusammen

Die DSGVO fordert "angemessene Sicherheit", legt aber nicht genau fest, was das ist. In der Praxis ueberschneiden sich DSGVO und Cybersecurity stark: Zugriffsverwaltung, Verschluesselung, Backups und die Erkennung von Vorfaellen sind sowohl Datenschutz- als auch Sicherheitsmassnahmen. Wer seine Sicherheit im Griff hat, hat einen grossen Teil der technischen Seite der DSGVO bereits geregelt.