DSGVO-Compliance-Checkliste

Warum eine strukturierte DSGVO-Überprüfung hilft

Die DSGVO legt Pflichten dazu fest, wie Sie personenbezogene Daten erheben, verwenden, speichern und löschen. Diese Pflichten stehen nicht in einem einzigen Dokument, und sie gelten abteilungs-, system- und dienstleisterübergreifend. Hier liegt der Wert einer Checkliste: Sie verwandelt eine breite Verordnung in eine feste Reihe von Fragen, die Sie jedes Mal auf dieselbe Weise beantworten können, sodass Lücken früh sichtbar werden statt während eines Vorfalls oder einer Prüfung. Die Checkliste nennt ihren Zweck in ihrer eigenen Formulierung klar: Die Durchführung eines Compliance-Audits kann dazu beitragen, die Exposition gegenüber regulatorischen Sanktionen zu verringern. Das ist das praktische Argument für ihre Anwendung, doch der stärkere Grund ist, dass die meisten dieser Fragen alltägliche betriebliche Entscheidungen beschreiben – was Sie aufzeichnen, wer darauf zugreifen kann, wie Sie einen Löschantrag bearbeiten, was ein Anbietervertrag aussagt – Entscheidungen, die leichter richtig getroffen werden, wenn sie planmäßig überprüft werden. Diese Checkliste deckt nur die DSGVO ab. Wo ein anderes Regelwerk für Sie gilt, etwa Beschäftigungsunterlagen, Finanzunterlagen, Branchenvorschriften oder die Datenschutzgesetze anderer Jurisdiktionen, müssen Sie diese separat berücksichtigen.

Was die Checkliste abdeckt

Die Checkliste umfasst 19 Punkte in fünf Abschnitten: Prüfung, Rechtsgrundlage und Transparenz, Datensicherheit, Rechenschaftspflicht und Governance sowie Recht auf Privatsphäre. Der erste Abschnitt erfasst Prüfdetails, die übrigen Abschnitte decken den inhaltlichen Kern der Überprüfung ab. Jede Frage wird mit Ja, Nein oder N/A beantwortet. Der Abschnitt zu Rechtsgrundlage und Transparenz fragt, ob Sie eine Rechtsgrundlage für Ihre Datenverarbeitungstätigkeiten haben, mit Verweis auf Artikel 6, und ob Ihre Datenschutzerklärung klare Informationen über Ihre Verarbeitung und diese Grundlage bietet. Er fragt auch, ob Sie die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen einhalten. Der Abschnitt zur Datensicherheit fragt, ob Sie Verschlüsselung wie Pseudonymisierung und Anonymisierung implementieren und ob Sie eine interne Richtlinie erstellt haben, um das Bewusstsein der Teammitglieder für den Datenschutz zu schärfen, mit Bereichen wie E-Mail-Sicherheit, Passwörter, Zwei-Faktor-Authentifizierung, Geräteverschlüsselung und VPNs. Der Abschnitt zu Rechenschaftspflicht und Governance fragt, ob Sie eine Datenschutz-Folgenabschätzung (DPIA) durchführen und ob Sie einen Prozess haben, um eine solche durchzuführen; ob Sie einen Prozess haben, um im Falle einer Datenverletzung Behörden und betroffene Personen zu benachrichtigen; ob Personal benannt ist, um die DSGVO-Compliance in der gesamten Organisation sicherzustellen; ob Auftragsverarbeitungsverträge zwischen der Organisation und Drittanbietern unterzeichnet sind, die personenbezogene Daten in Ihrem Auftrag verarbeiten; und ob ein Datenschutzbeauftragter benannt ist, wo dies erforderlich ist. Der Abschnitt zum Recht auf Privatsphäre fragt, ob es für Kunden einfach ist, die Löschung ihrer personenbezogenen Daten zu verlangen.

Die Überprüfung durchführen

Arbeiten Sie die Checkliste der Reihe nach durch, damit die Antworten aufeinander aufbauen, und beziehen Sie die Personen ein, die tatsächlich für den jeweiligen Bereich verantwortlich sind, statt aus dem Gedächtnis zu antworten. Beginnen Sie mit dem Informationsaudit, denn Sie können Ihre Rechtsgrundlage oder Ihre Sicherheitsmaßnahmen nicht beurteilen, bevor Sie wissen, welche personenbezogenen Daten Sie besitzen, wo sie liegen und wer darauf zugreifen kann. Bestätigen Sie dann Ihre Rechtsgrundlage und wie sie kommuniziert wird; überprüfen Sie Ihre technischen und organisatorischen Schutzmaßnahmen; und schließen Sie mit Ihren Governance-Regelungen ab. Notieren Sie für jeden Punkt, den Sie nicht mit Ja beantworten können, was fehlt und wer dafür verantwortlich ist. Eine unbeantwortete Frage oder ein Nein mit einer klaren Notiz ist nützlicher als ein bequemes Ja, das Sie nicht belegen können, und es gibt Ihnen etwas, worauf Sie aufbauen können. Bevor Sie die Prüfung abschließen, zeichnen Sie sie ab: Erfassen Sie das Datum, wer sie vorbereitet hat, den Ort sowie die Start- und Endzeiten der Prüfung, damit die Überprüfung zuordenbar ist und später erneut aufgegriffen werden kann.

Weitere Rahmenwerke, die Sie möglicherweise daneben benötigen

Diese Checkliste ist spezifisch für die DSGVO. Sie deckt keine Branchenanforderungen, Vorschriften zur Führung von Beschäftigtenunterlagen oder die Datenschutzgesetzgebung anderer Jurisdiktionen ab. Wenn eines davon für Ihre Organisation gilt, behandeln Sie diese Überprüfung als einen Teil eines umfassenderen Compliance-Programms und nicht als das Ganze.

Häufig gestellte Fragen

**Was ist eine DSGVO-Compliance-Checkliste?** Eine DSGVO-Compliance-Checkliste ist ein Arbeitsinstrument zur Bewertung, wie Ihre Organisation personenbezogene Daten im Vergleich zu den Kernanforderungen der Datenschutz-Grundverordnung (DSGVO) handhabt. Diese Checkliste ist in Abschnitte gegliedert, die die Prüfdetails, Rechtsgrundlage und Transparenz, Datensicherheit, Rechenschaftspflicht und Governance sowie das Recht auf Privatsphäre abdecken. Sie hilft Ihnen, die praktischen Pflichten der Verordnung strukturiert durchzugehen, ohne jede Anforderung gleichzeitig im Kopf behalten zu müssen. **Was sagt die Checkliste über Artikel 6?** Artikel 6 der DSGVO wird in dieser Checkliste als die Bestimmung genannt, die von Ihnen verlangt, eine Rechtsgrundlage für Ihre Datenverarbeitungstätigkeiten zu haben. Die Checkliste benennt oder paraphrasiert die konkreten Rechtsgrundlagen nicht, daher sollten Sie von der Verordnung selbst ausgehen, wenn Sie entscheiden, welche Grundlage für jeden Verarbeitungsvorgang gilt. **Welche Antwortoptionen verwendet die Checkliste?** Jeder Punkt wird mit Ja, Nein oder N/A beantwortet. Wo eine Anforderung nicht auf Ihre Organisation zutrifft – zum Beispiel die Benennung eines Datenschutzbeauftragten, wo die Checkliste anmerkt, dass dies nur in bestimmten Fällen erforderlich ist –, können Sie mit N/A diese Einschätzung festhalten, statt eine irreführende Antwort zu erzwingen. **Was ist eine DPIA und warum verlangt die Checkliste eine solche?** Eine Datenschutz-Folgenabschätzung, oder DPIA, wird in dieser Checkliste als etwas genannt, das durchzuführen ist, zusammen mit einem Prozess zu ihrer Durchführung und der Anforderung, die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen einzuhalten. Eine DPIA hilft Ihnen, Datenschutzrisiken zu erkennen und zu beheben, bevor sie in ein System oder einen Prozess eingebaut werden.

Häufig gestellte Fragen

Eine DSGVO-Compliance-Checkliste ist ein Arbeitsinstrument zur Bewertung, wie Ihre Organisation personenbezogene Daten im Vergleich zu den Kernanforderungen der Datenschutz-Grundverordnung (DSGVO) handhabt. Diese Checkliste ist in Abschnitte gegliedert, die die Prüfdetails, Rechtsgrundlage und Transparenz, Datensicherheit, Rechenschaftspflicht und Governance sowie das Recht auf Privatsphäre abdecken. Sie hilft Ihnen, die praktischen Pflichten der Verordnung strukturiert durchzugehen, ohne jede Anforderung gleichzeitig im Kopf behalten zu müssen.

Artikel 6 der DSGVO wird in dieser Checkliste als die Bestimmung genannt, die von Ihnen verlangt, eine Rechtsgrundlage für Ihre Datenverarbeitungstätigkeiten zu haben. Die Checkliste benennt oder paraphrasiert die konkreten Rechtsgrundlagen nicht, daher sollten Sie von der Verordnung selbst ausgehen, wenn Sie entscheiden, welche Grundlage für jeden Verarbeitungsvorgang gilt.

Jeder Punkt wird mit Ja, Nein oder N/A beantwortet. Wo eine Anforderung nicht auf Ihre Organisation zutrifft – zum Beispiel die Benennung eines Datenschutzbeauftragten, wo die Checkliste anmerkt, dass dies nur in bestimmten Fällen erforderlich ist –, können Sie mit N/A diese Einschätzung festhalten, statt eine irreführende Antwort zu erzwingen.

Eine Datenschutz-Folgenabschätzung, oder DPIA, wird in dieser Checkliste als etwas genannt, das durchzuführen ist, zusammen mit einem Prozess zu ihrer Durchführung und der Anforderung, die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen einzuhalten. Eine DPIA hilft Ihnen, Datenschutzrisiken zu erkennen und zu beheben, bevor sie in ein System oder einen Prozess eingebaut werden.

Verfasst von

Marion Heinz

Editor

Content writer with a background in Information Management, translating complex industrial and digital transformation topics into clear, actionable insights. Keen on international collaboration and multilingual exchange.

LinkedIn-Profil ansehen