Eine Datenschutzprüfung im eigenen Haus scheitert selten am Wissen und fast immer an der Reihenfolge. Wer mit der Datenschutzerklärung beginnt, arbeitet an einem Ergebnis, bevor die Grundlage steht.
Die tragfähige Reihenfolge geht von der Realität zur Darstellung, nicht umgekehrt.
Erstens: erheben, was tatsächlich passiert
Der Ausgangspunkt ist eine Liste aller Bearbeitungen — nicht aus der Erinnerung, sondern aus der Realität. Zwei Quellen sind ergiebig: die tatsächlich eingesetzten Systeme und die Abläufe der Fachbereiche.
Der Blick in die Konfiguration der Produktivumgebung fördert regelmässig Dienste zutage, die in keiner Liste stehen. Das Gespräch mit dem Personalwesen und dem Vertrieb fördert Abläufe zutage, die niemand als Datenverarbeitung wahrgenommen hat.
Diese Erhebung ist der aufwendigste Teil und derjenige, der über den Wert der gesamten Prüfung entscheidet.
Zweitens: je Bearbeitung die Grundfragen beantworten
Zu welchem Zweck. Auf welcher Grundlage. Welche Datenkategorien. Welche Personengruppen. Wie lange gespeichert. Wer hat Zugriff. An wen werden Daten weitergegeben. In welche Länder.
Diese acht Angaben bilden den Kern des Verzeichnisses. Wo eine Antwort fehlt, ist das kein Formfehler, sondern ein inhaltliches Ergebnis: Eine Bearbeitung ohne benannten Zweck oder ohne bestimmbare Aufbewahrungsdauer ist in dieser Form nicht haltbar.
Drittens: Dienstleister und Verträge
Jeder Dienst, der personenbezogene Daten im Auftrag bearbeitet, braucht eine vertragliche Grundlage. Die Liste ist bei den meisten Unternehmen unvollständig, weil kleine Werkzeuge im Alltag eingebunden wurden.
Zu prüfen ist je Dienstleister: Liegt ein Vertrag vor, ist die Liste der Unterauftragsverarbeiter bekannt, wo wird bearbeitet, und ist eine Bearbeitung für eigene Zwecke des Anbieters vertraglich zugelassen.
Der letzte Punkt wird selten geprüft und ist der folgenreichste — eine Klausel, die die Nutzung zur Produktverbesserung erlaubt, verlässt den Rahmen der reinen Auftragsverarbeitung.
Viertens: Betroffenenrechte praktisch durchspielen
Die entscheidende Prüfung ist nicht, ob ein Ablauf beschrieben ist, sondern ob er funktioniert. Ein Auskunftsersuchen einmal vollständig durchzuspielen, deckt mehr auf als jede Dokumentenprüfung.
Dabei zeigt sich regelmässig, dass Daten an Orten liegen, die in keinem Verzeichnis stehen, und dass eine Löschung Backups, Protokolle und Analysewerkzeuge nicht erreicht.
Fünftens: technische und organisatorische Massnahmen
Zu prüfen sind Zugriffsverwaltung, Verschlüsselung bei Übertragung und Speicherung, Protokollierung von Zugriffen auf personenbezogene Daten, Sicherungskonzept und die Frage, ob eine Wiederherstellung je getestet wurde.
Der häufigste Befund in kleineren Organisationen sind Zugänge von Personen, die das Unternehmen verlassen haben. Ein Abgleich der aktiven Konten mit der Personalliste ist eine Prüfung von Minuten mit regelmässig unangenehmem Ergebnis.
Sechstens: Meldeweg für Verletzungen
Wer meldet an wen, in welcher Frist, und wer entscheidet über die Bewertung des Risikos. Diese Frage ist in ruhigen Zeiten in zehn Minuten geklärt und im Ernstfall nicht mehr.
Ein Meldeweg, der nur in einem Dokument existiert, das niemand kennt, ist keiner. Ein kurzer Durchgang mit den Beteiligten ist wirksamer als eine ausführliche Richtlinie.
Erst zuletzt: die Darstellung
Datenschutzerklärung, Einwilligungsverwaltung und Informationstexte werden aus dem Verzeichnis abgeleitet, nicht umgekehrt. Wenn die Grundlage stimmt, ist die Erklärung ein Ableitungsschritt.
Wer mit der Erklärung beginnt, beschreibt einen Zustand, den er nicht geprüft hat — und schafft damit ein Dokument, das im Zweifel gegen ihn spricht.
Was danach kommt
Eine Prüfung ist eine Momentaufnahme. Wirksam wird sie erst durch einen Auslöser für die Aktualisierung: ein neuer Drittdienst, ein neues Datenfeld, ein neuer Ablauf. Ohne diesen Auslöser ist das Ergebnis in zwei Quartalen wieder unvollständig.