Phasenmodell EU-DSGVO

(zwischen 5 und 10 Tagen je nach Größe des Unternehmens im ersten Jahr)

Phase I:  Daten­schutz Pre-Audit

• Im Zuge der Beauf­tra­gung wird der erste Schritt sein, die Organ­i­sa­tion Ihres Unternehmens ken­nen­zuler­nen und daten­schutzrel­e­vante Stellen bzw. bere­its vorhan­dene Daten­schutzrichtlin­ien und –doku­mente zu sichten.
• Nach ein­er ersten Analyse wer­den dann Inter­views mit den ver­ant­wortlichen Ansprech­part­nern und Bere­ichen geplant
• Gespräche mit der MAV, dem Betriebsrat
• Auf­nahme vorhan­den­er Betrieb­svere­in­barun­gen und TOM‘s
• Bes­tim­mung der daten­schutzrechtlichen Ziele
• Strate­gis­ch­er Rah­men und Leit­doku­ment des Datenschutzmanagements
• Analyse und Ver­ar­beitung der Informationen
• Erstel­lung und Präsen­ta­tion ein­er ersten Einschätzung
• Erste Beschlüsse der ver­ant­wortlichen Stelle zur Vorge­hensweise und Kom­mu­nika­tion ins Unternehmen, in die Ein­rich­tung in den Verein

Phase II: Kom­mu­nika­tions- und Dokumentationsphase

• Iden­ti­fizierung der Adres­sat­en ger­ade im Bere­ich Auftragsdatenverarbeitung
• Kom­mu­nika­tion und Ein­hol­ung der Verpflichtungen
• Mitar­bei­t­er­in­for­ma­tion zur EU-DSGVO
• Risiko­analyse und Auf­nahme der beste­hen­den Anweisun­gen bzw. Vorschläge zur Erstellung
• Diskus­sion und Erar­beitung von Hand­lungsempfehlun­gen und drin­gen­den Maßnahmen
• Beschlussvor­la­gen für die ver­ant­wortliche Stelle

Phase III: Maßnahmenplanung

• Bes­tim­mung des Hand­lungs­be­darfs und der damit ver­bun­de­nen Maßnahmen
• Verpflich­tung aller Mitar­beit­er und Auftragsdatenverarbeiter
• Erstel­lung Ver­ar­beitungsverze­ich­nis bzw. Überarbeitung
• Benen­nung der erforder­lichen Ressourcen und der zeitlichen Planung
• Erstel­lung erster Hand­lungsan­weisun­gen und tech­nis­ch­er organ­isatorisch­er Maß­nah­men (TOM’s)
• Abstim­mung mit dem Vorstand/der Geschäftsleitung
• Auf­gaben­zuweisung und Überwachung sowie klare Def­i­n­i­tion der Verantwortlichkeiten

Phase IV: Begleitung der Umsetzung

• Anpas­sung unternehmensin­tern­er Regularien
• Prü­fung bzw. Erstel­lung der Hand­büch­er zu den The­men ITK-Sicher­heit, Daten­schutzrichtlin­ien, ADV Ver­tragsüber­sicht, Verarbeitungsverzeichnis
• Prü­fung bzw. Beschrei­bung der Prozesse, Pro­duk­te und Dien­stleis­tun­gen (Pri­va­cy by Design/Privacy by Default)
• Entwick­lung der notwendi­gen Formulare
• Daten­schutzsen­si­bil­isierung der Mitar­beit­er durch Schu­lun­gen und Handreichungen
• Prü­fung der Betrieb­svere­in­barun­gen hin­sichtlich Art.l 88 Abs. 2/Art. 5/Art. 9 und Art. 12 ff. der EU-DSGVO
• Risikobe­w­er­tun­gen/­Daten­schutz-Fol­gen­ab­schätzung
• Prozessen­twick­lung bei Datenschutzvorfällen
• Nach­fol­geregelun­gen zu §5 BDSG – Verpflich­tung auf das Datengeheimnis
• Auf­stel­lung der notwendi­gen Anpas­sun­gen im IT Umfeld
• Beschrei­bung der Datenportabilität
• Prü­fung elek­tro­n­is­ch­er Zugänge
• Trans­paren­zpflicht­en und Einwilligungsmanagement
• Prü­fung der Web­site und intern bere­it­gestell­ter Informationssysteme
• Prü­fung der Ablage und abzulei­t­ende Maßnahmen
• Regelmäßige Infor­ma­tion und Präsen­ta­tion der Ergeb­nisse bzw. über notwendi­ge Entscheidungen

Phase V: Datenschutzaudit

• Abschließen­des Daten­schutza­u­dit nach Umsetzung
• Präsen­ta­tion Datenschutzmanagementsystemhandbuch
• Diskus­sion und Pla­nung der näch­sten Schritte