Datenschutzkonzept für Unternehmen: Was ist das?

Was ist ein Datenschutzkonzept?

Das Datenschutzkonzept ist ein Dokument, das sämtliche datenschutzrechtlichen Aspekte deines Unternehmens übersichtlich erfasst. Ein Datenschutzkonzept für kleine Unternehmen enthält alle Vorschriften, Verantwortlichkeien und Dokumentationspflichten, die im Zusammenhang mit der Erhebung, Verarbeitung und Speicherung von Daten im Unternehmen gelten.

Das Datenschutzkonzept dient in erster Linie als Sammeldokument und Nachweis gegenüber Behördern, Geschäftspartnern und Mitarbeitenden.

Je nach Größe deines Unternehmens und der Anzahl der Beschäftigten sind die Anforderungen an den Aufbau und Inhalte eines Datenschutzkonzepts unterschiedlich gelagert. Datenschutzkonzepte für kleine Unternehmen müssen mindestens die folgenden Informationen enthalten: 

1. Allgemeine Rechenschaftspflichten nach Art. 5 (2) DSGVO
2. Weisungsbindung des Auftragsverarbeiters nach Art. 28 DSGVO
3. Dokumentation und Einholung von Einwilligungen nach Art 7 DSGVO
4. Dokumentation der technischen und organisatorischen Maßnahmen (TOM) nach Art. 24 DSGVO
5. Erstellung eines Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO

Warum brauche ich ein Datenschutzkonzept?

Mit einem guten Datenschutzkonzept können sich Unternehmerinnen und Unternehmer sicher sein, den vielfältigen Regelungen der europäischen Datenschutz-Grundverordnung (DSGVO) gerecht zu werden. Im Streitfall mit Kunden, externen Partnern oder Auftraggebern ist das Datenschutzkonzept dein „Versicherungsschein“ und gibt Auskunft darüber wie die DSGVO im Unternehmen eingehalten wird.

Das Datenschutzkonzept dient außerdem Schulungszwecken gegenüber Mitarbeitenden und in der Zusammenarbeit mit B2B-Partnern, indem es die Datenschutzziele des Unternehmens aufschlüsselt. 

Wer braucht ein Datenschutzkonzept?

Sobald du als Unternehmerin und Unternehmer personenbezogene Daten verarbeitest, unterliegt diese Erhebung den Richtlinien der Datenschutzgrundverordnung und muss in einem Datenschutzkonzept erfasst werden. Unterschiede bestehen lediglich in der Art des Umfangs und der Inhalte eines Datenschutzkonzepts.

Für ein Einzelunternehmen ist es ausreichend, ein allgemeines Datenschutzkonzept zu erstellen. Ein Datenschutzkonzept für die GmbH mit wachsender Beschäftigtenzahl fällt deutlich komplexer aus. Hinzu kommt die Pflicht zur Benennung eines Datenschutzbeauftragten, sobald sich in der Regel mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten im Unternehmen beschäftigen.

Was genau sind personenbezogene Daten?

Als personenbezogene Daten gemäß DSGVO gelten u.a.:

• Vorname, Name
• Anschrift
• E-Mail-Adresse
• Geburtstage
• Kontoverbindungen
• Standortdaten
• IP-Adressen 
• Cookie ID

Beipiele für die Erhebung personenbezogener Daten 

Beispiele für die Verarbeitung von relevanten Daten gemäß DSGVO auf Webseiten & Online-Shops sind u.a.:

• die Übermittlung bzw. Speicherung von IP-Adressen von Website-Besucher*innen
• das Vorhandensein einer Kommentarfunktion (mit E-Mail-Angabe)
• das Vorhandensein eines Kontaktformulars
• Integration von Abo-Lösungen oder Newsletter-Anmeldungen
• Nutzung von Analysetools (z.B. Google Analytics; Matomo) zur Untersuchung des Nutzerverhaltens
• Setzen von Cookies
• Social Media Plugins ohne 2-Klick-Lösung 

Wann muss ein Datenschutzkonzept erstellt werden?

Die Pflicht zur Erstellung eines Datenschutzkonzepts ergibt sich aus den umfangreichen Rechenschafts- und Dokumentationspflichten gemäß DSGVO. Unternehmen müssen festhalten, wie sie Daten verarbeiten, speichern und löschen. Das Datenschutzkonzept ist die zentrale Dokumentationshilfe, um diesen Pflichten nachzukommen.

Wie sieht ein Datenschutzkonzept aus?

Aufbau und Inhalt eines Datenschutzkonzepts sind immer individuell an die Anforderungen des Unternehmens anzupassen. Im Zuge der fortschreitenden Digitalisierung und der wachsenden Gefahr von Cyberangriffen empfehlen Datenschutzexperten unbedingt die Beschreibung der getroffenen technisch-organisatorischen Maßnahmen (TOM) im Datenschutzkonzept. 

Datenschutzkonzept für Unternehmen als Vorlage

➔ In der ZANDURA Vorlagen App findest du ein rechtssicheres Datenschutzkonzept Muster als PDF zum Download. Die Dokumentation technisch-organisatorischer Maßnahmen (TOM) sowie weitere DSGVO-Muster und Vorlagen (u.a. zur Bestellung eines Datenschutzbeauftragten kannst du hier ebenfalls herunterladen. 

Was enthält ein Datenschutzkonzept?

Ein Datenschutzkonzept für kleine Unternehmen sollte mindestens die folgenden Inhalte auflisten:

1. Datenschutzpolitik und Verantwortlichkeiten im Unternehmen
2. Rechtliche Rahmenbedingungen im Unternehmen
3. Dokumentation
4. Bestehende technische und organisatorische Maßnahmen (TOM)
5. Organisatorische Mindestregelungen

Datenschutzkonzept erstellen: Checkliste

Mit dieser 7-Punkte-Checkliste erstellst du Schritt-für-Schritt ein Datenschutzkonzept:

1. Datenschutzdokumentation vorbereiten: Wichtige Dokumente wie ein Verzeichnis von Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen und AV-Verträge (Auftragsverarbeitung) müssen gemäß Datenschutzkonzept im Unternehmen vorliegen und bei Bedarf jederzeit zugänglich sein.
2. Verantwortlichkeiten klären: Wer verantwortet den Datenschutz im Unternehmen? Hast du einen Datenschutzbeauftragten ernannt oder verfügst du über anwaltliche Hilfe/eine eigene Rechtsabteilung? Diese Personenkreise sind für die Erstellung eines Datenschutzkonzeptes mitverantwortlich.
3. DSGVO-Schulung durchführen: Mitarbeitende müssen die Regeln gemäß Datenschutzkonzept kennen und darin geschult sein. Im Datenschutzkonzept ist darzulegen, wann Mitarbeitende zuletzt geschult wurden.
4. Datenschutzkonzept gemeinsam ausformulieren: Diskutiere das Datenschutzkonzept mit allen beteiligten Verantwortlichen, nutze eine Datenschutzkonzept Vorlage als praktisches Muster.
5. Datenschutzkonzept fertigstellen: Mit Briefkopf und Unterschrift versehen ist das Datenschutzkonzept ein valides Unternehmensdokument.
6. Datenschutzkonzept veröffentlichen: Für noch mehr Transparenz kannst du dein Datenschutzkonzept veröffentlichen (z.B. als Aushang), eine Pflicht hierzu besteht jedoch nicht.
7. Termin zur Überprüfung festlegen: Das Datenschutzkonzept sollte regelmäßig auf seine Aktualität hin überprüft werden. Lege am besten gleich einen Termin zur nächsten Wiedervorlage fest.

Wie oft muss ein Datenschutzkonzept aktualisiert werden?

Datenschutzgesetz, ePrivacy & Cookies, die Anforderungen des Datenschutzes haben sich in den vergangenen Jahren stetig weiterentwickelt. Ziel ist eine bessere Anwendbarkeit der DSGVO im europäischen Kontext und mehr Schutz im digitalen Raum. Kleine Unternehmen sollten ihr Datenschutzkonzept deshalb einmal pro Jahr überprüfen und aktualisieren. So stellst du sicher, dass die gefundenen Maßnahmen weiterhin ihren Zweck erfüllen.

Webinar: Datenschutz - was ist wichtig und wie setze ich es um?

Im neuen LIVE-Webinar von ZANDURA geht es ebenfalls um das Thema: Online, aber sicher! Datenschutz - was ist wichtig und wie setze ich es um? Am Dienstag, 31.05.2022 um 10:00 Uhr (ca. 1h inkl. Q&A) erfährst du alles rund um eine rechtssichere Website. 

Datenschutzexperte Daniel John Ferris ist zertifizierter Datenschutzbeauftragter (TÜV) und erklärt im Webinar:

• die wichtigsten Aufgaben und Anforderungen der DSGVO
• welche Grundsätze der DSGVO für dich relevant sind und wie du sie praktisch umsetzt
• wie deine Website automatisch rechtssicher aktuell bleibt

➔ Hier kannst du dich zum Datenschutz-Webinar anmelden.