Checkliste Datenschutzcompliance

Das neue Datenschutzgesetz tritt im Jahr 2022 in Kraft. Ob Du ein Unternehmen führst, in einem Vereinsvorstand sitzt oder eine Internetseite mit einem öffentlichen Forum betreibst, das neue Datenschutzgesetz setzt Dich als verantwortliche Person in die Pflicht.

Diese Checkliste soll Dich dabei unterstützen, Deine Prozesse zu überprüfen, damit Du im Jahr 2022 die gesetzlichen Vorgaben erfüllst. Folgende Fragen musst Du Dir stellen:

Bereich Datenbeschaffung

• Habe ich bereits eine Datenschutzerklärung, die ich Kunden, Lieferanten und Nutzern aushändigen kann oder die auf meiner Webseite/App aufgeschaltet ist?

• Falls ich eine Website, eine App oder eine sonstige Onlinedienstleistung betreibe: Habe ich die Dienste so konfiguriert, dass sie möglichst wenig Nutzerdaten erfassen (sog. datenschutzfreundliche Voreinstellungen)?

• Biete ich gewisse Dienste, Dienstleistungen oder Produkte aufgrund von sog. automatisierten Einzelentscheidungen an, habe ich die betroffenen Personen darüber informiert?

Bereich Dokumentation

• Führe ich ein Verzeichnis über die Datenbearbeitungstätigkeiten meines Unternehmens, meines Vereins, meiner Webseite (etc.)?

• Habe ich für heiklere Bearbeitungen eine sog. Datenschutz-Folgenabschätzung durchgeführt?

Bereich Prozesse

• Habe ich Personen bestimmt, die Auskunfts-, Berichtigungs- und Löschgesuche der betroffenen Personen beantworten und habe ich bestimmt, innert welcher Frist und wie dies erfolgen muss?

• Habe ich mit meinen Subunternehmern und IT-Lieferanten, die in meinem Auftrag Personendaten bearbeiten, sog. Auftragsdatenverarbeitungsverträge oder, wenn nötig, Standardvertragsklauseln abgeschlossen, die mein Weisungsrecht und meine Kontrollrechte sicherstellen?

• Habe ich einen Prozess bestimmt, der sich mit der Sperrung und Löschung bzw. Archivierung von nicht mehr benötigen Daten befasst?

• Habe ich sichergestellt, dass meine Mitarbeitenden die Vorgaben des Datenschutzes einhalten (bspw. mittels Schulungen oder Datenschutzrichtlinien)?

• Habe ich mit den beteiligten Akteuren, welche Zugriff auf Personendaten haben, die notwendigen Geheimhaltungsvereinbarungen geschlossen?

Bereich Datensicherheit

• Habe ich angemessen technische und organisatorische Massnahmen implementiert, welche die Datensicherheit gewährleisten?

• Habe ich geprüft, ob nur diejenigen Personen (intern und extern) Zugriff auf Personendaten haben, die diesen auch unbedingt brauchen (Zugriffskonzept)?

• Habe ich überprüft, ob mein Datenbearbeitungssystem und meine internen Prozesse ausgelegt sind, dass möglichst wenig Daten bearbeitet und sie möglichst nur für kurze Zeit aufbewahrt werden (sog. Datenminimierung)?

Bereich externe Ressourcen

• Habe ich bereits geprüft, ob ich einen externen Datenschutzberater beauftragen soll?

Zu den einzelnen Punkten haben wir Erklärungen verfasst. Mehr Informationen findest Du in unserem Beitrag Erläuterungen zur Checkliste Datenschutzcompliance.