1. Allgemeine Informationssicherheit

Existieren auf der Leitungsebene unternehmensweit geltende datenschutzrechtliche Regelungen?

Sind die datenschutzrechtlichen Regelungen standardmäßig dokumentiert, beispielsweise im Rahmen von Richtlinien und Handbüchern oder in Form eines Informationssicherheitsmanagementsystems (ISO-Zertifizierung)?

Erfolgt eine Risiko- und Gefährdungsklassifizierung der einzelnen Unternehmensbereiche aufgrund von Sicherheitsanforderungen bzw. eine Einteilung der verarbeiteten Daten in einzelne Vertraulichkeitsstufen?

2. Allgemeine Datenschutzrechtliche Regelungen

Ist ein Datenschutzbeauftragter in Ihrem Unternehmen bestellt oder haben die Mitarbeiter zumindest eine fachliche Ansprechperson für datenschutzrechtliche Fragen?

Wird die innerbetriebliche Organisation den datenschutzrechtlichen Anforderungen, den gesetzlichen Regularien (insb. BDSG) und der Datenschutzaufsichtsbehörde (z.B. Verfahrensregister, Vorabkontrollen, Technische und organisatorische Maßnahmen, Auftragsdatenverarbeitungen, Datenschutzkonzept) gerecht?

Sind im Unternehmen Rahmenbedingungen und Vorgehensweisen etabliert, welche sich mit der Bearbeitung von Rechten des Betroffenen z.B. Auskunft und Anfrage zur Datennutzung befassen?

Wird bei der Erhebung, Verarbeitung und Nutzung von personenbezogenen Daten insbesondere für Werbemaßnahmen eine gesetzliche Erlaubnis oder eine Einwilligung der betroffenen Person vorausgesetzt?

Wird dafür Sorge getragen, dass die Löschung von Dokumenten und Datenträgern ordnungsgemäß geschieht (z.B. Partikelschnittaktenvernichter, Entsorgung durch zertifizierte Dienstleister)?

3. Mitarbeiter

Werden die Mitarbeiter vor der erstmaligen Arbeitsaufnahme in ausreichendem Maße zur Einhaltung der Informationssicherheit und des Datenschutzes verpflichtet (gesondert zu den arbeitsvertraglichen Regelungen)?

Werden die Mitarbeiter in regelmäßigen Abständen weitestgehend im datenschutzrechtlichen Umgang sensibilisiert (insbesondere durch Schulungen)?

Gibt es im Personalwesen Anweisungen oder Checklisten, welche bei Neueinstellung bzw. Ausscheiden von Mitarbeitern z.B. Änderung von Zugriffsberechtigungen, Rückgabe von mobilen Datenträgern zu beachten sind?

4. Auftragsdatenverarbeitung

Wird vor einer Auftragsvergabe an Fremdfirmen eine Risikoanalyse der personellen und organisatorischen Risiken durchgeführt?

Werden datenschutzrechtliche Verpflichtungserklärungen bzw. gesonderte Auftragsdatenverarbeitungsvereinbarungen mit externen Dienstleistern abgeschlossen, die in Ihrem Auftrag tätig sind (z.B. IT-Hosting, Reinigungsservice, Lohnbuchhaltung)?

Werden zu Auftragserfüllung herangezogene externe Dienstleister regelmäßig auf die datenschutzkonforme Handlungsweise überprüft (Kontrollen)?

5. Technische und organisatorische Maßnahmen

Werden angemessene Maßnahmen auf dem Betriebsgelände ergriffen, um den Zugang für unberechtigte Dritte einzuschränken z.B. Zaun, besetzter Empfangsbereich?

Werden Änderungen im Rahmen von Zutritts-, Zugangs- und Zugriffs- Rechten oder Berechtigungen verwaltet und dokumentiert?

Wird die Weitergabe von Daten eingeschränkt oder ausreichend abgesichert z.B. eMail-Verschlüsselung?

Gibt es niedergeschriebene Mitarbeiteranweisungen für die Verwendung von dienstlichen Kommunikationsmitteln z.B. Telefon, eMail, CD, USB-Stick?

6. IT-Sicherheit

Gibt es bei der Konfigurierung und Beschaffung von Hard- und Software eine Überprüfung der Anforderung an die Informationssicherheit?

Gibt es eine Störfallvorsorge für informationsrechtliche Systemfehler oder Systemangriffe?

Werden die Computersystemzugänge ausreichend abgesichert, um unbefugte Zugriffe zu vermeiden z.B. Remote, Passwortregeln?

Werden die Administrationsprotokolle ausgewertet und im Hinblick auf die Informationssicherheit und datenschutzrechtliche Einhaltung überprüft?

7. Compliance

Gibt es im Unternehmen etablierte Überprüfungsmechanismen, die die Einhaltung von Gesetzen und des Compliancegedankens sicherstellen (z.B. Korruption, Meldepflichten und aufsichtsrechtliche Bedingungen, Branchenverbandsvorgaben, Archivierungsfristen)?

Werden Sperrungs-, Löschungs- und Archivierungsvorschriften von Informationen definiert und eingehalten?

Optimierungsmöglichkeiten im Datenschutz vorhanden

Ihre Auswertung:

Die Anforderungen an das Thema Datenschutz sind Ihnen nicht fremd und Sie haben bereits erste Maßnahmen getroffen, um die gesetzlichen und praktischen Vorgaben in Ihrem Unternehmen zu etablieren.

Eine konkrete Analyse des Umgangs mit Kunden-, Mitarbeiter- und Geschäftspartnerdaten ist gleichwohl zu empfehlen. Deren Zielstellung ist es eine Datenschutzorganisation zu schaffen, welche die praktische Tätigkeit Ihres Unternehmens in Einklang bringt mit gesetzlichen Mindestanforderungen und etablierten Best-Practise-Maßnahmen. Mithin ist ein Umsetzungsplan zur Aufdeckung von Schwachstellen in organisatorischer, technischer, dokumentarischer oder vertraglicher Hinsicht zu erstellen. Um abzuschätzen, welche konkrete branchenspezifische Ausgestaltung zur Wahrung eines angemessenen Datenschutzniveaus für Ihr Unternehmen sinnvoll ist, sollten Sie eine datenschutzrechtliche Prozessanalyse durchführen.

Wir als datarea GmbH stehen Ihrem Unternehmen bei der Umsetzung der datenschutzrechtlichen Meilensteine begleitend und beratend zur Seite.

Grundlegendes Datenschutzniveau mit Gestaltungsspielraum zum Erfolgsfaktor ausbauen

Ihre Auswertung:

Sie haben bereits ein Gespür für eine grundlegende Betrachtung datenschutzrechtlicher Aspekte in Ihrem Unternehmen. Die allgemeinen Grundsätze der Datenverarbeitung werden in Ihrem Unternehmen größtenteils bewerkstelligt. Im Rahmen Ihrer Geschäftstätigkeit sind Sie zudem bestrebt, eine Datenschutzorganisation zu schaffen, um den alltäglichen Umgang mit personenbezogenen Daten rechtskonform auszugestalten.

Gleichwohl haben Sie das Potential durch eine ganzheitliche Sensibilisierung Ihr Unternehmen in die Lage zu versetzen, die organisatorischen Vorteile des Datenschutzes – auch in Abgrenzung zu Wettbewerbern – zu nutzen. Zielstellung ist es eine Datenschutzorganisation zu schaffen, welche die praktische Tätigkeit Ihres Unternehmens in Einklang bringt mit gesetzlichen Mindestanforderungen und etablierten Best-Practise-Maßnahmen. Die gegenwärtigen getroffenen Maßnahmen lassen sich in einem unternehmensweitem Datenschutz-Audit analysieren. Anhand eines konkreten Umsetzungsplanes zur Aufdeckung von Schwachstellen in organisatorischer, technischer, dokumentarischer oder vertraglicher Hinsicht lässt sich abzuschätzen, welche konkreten weiteren branchenspezifische Ausgestaltungen zur Wahrung eines angemessenen Datenschutzniveaus für Ihr Unternehmen sinnvoll ist.

Wir als datarea GmbH stehen Ihrem Unternehmen bei der Umsetzung der datenschutzrechtlichen Meilensteine begleitend und beratend zur Seite.

Solides Datenschutzniveau und gelebte Praxis perspektivisch verankern

Ihre Auswertung:

Sie legen Wert auf einen datenschutzkonformen Umgang mit personenbezogenen Daten von eigenen Mitarbeitern, Kunden und Geschäftspartnern. Um Ihre unternehmensstrategische Entwicklung weiterhin aufrechtzuerhalten und aktuelle datenschutzrechtliche Schwerpunkte einzubeziehen, ist es sinnvoll eine detaillierte datenschutzrechtliche Analyse der Gesamtprozesse als auch künftiger Anpassungen vorzunehmen.

Wir als datarea GmbH stehen Ihrem Unternehmen bei der Umsetzung der datenschutzrechtlichen Meilensteine begleitend und beratend zur Seite.