Ihre Dokumente

Automatische Ersteinschätzung anhand Ihrer ausgewählten Tätigkeiten, kein Ersatz für eine förmliche DSFA-Prüfung. Prüfen Sie erneut bei neuen Systemen, größeren Datenmengen oder neuen Datenkategorien.

Was tun: bei als DSFA-relevant markierten Tätigkeiten eine förmliche Folgenabschätzung durchführen (ggf. extern), bevor Sie die Tätigkeit aufnehmen oder wesentlich ändern.

Jede betroffene Person kann Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch verlangen. Ihr Prozess:

1. Eingang dokumentieren – Datum der Anfrage festhalten, Identität der anfragenden Person plausibel prüfen (keine überzogenen Anforderungen an den Nachweis).
2. Innerhalb 1 Monat beantworten (Art. 12 Abs. 3 DSGVO) – bei komplexen/zahlreichen Anfragen einmalige Verlängerung um 2 Monate möglich, muss aber innerhalb der ersten Frist begründet mitgeteilt werden.
3. Zuständigkeit:
4. Unentgeltlich bearbeiten, außer bei offensichtlich unbegründeten oder exzessiven Anfragen (Art. 12 Abs. 5 DSGVO).
5. Löschanfragen nur ablehnen, wenn eine gesetzliche Aufbewahrungspflicht entgegensteht (siehe Löschfristen im Verzeichnis oben) – dann stattdessen einschränken/sperren statt löschen.

Was tun: diese Schritte an die genannte zuständige Person weitergeben – ausgedruckt oder intern verlinkt, damit sie im Ernstfall sofort griffbereit sind, nicht erst gesucht werden müssen.

Eine „Datenschutzverletzung" ist jeder Vorfall, der zu Vernichtung, Verlust, Veränderung oder unbefugter Offenlegung personenbezogener Daten führt – auch ein verlorenes Firmenhandy oder eine falsch versendete E-Mail zählt.

1. Sofort intern melden – jede:r Mitarbeitende an , unabhängig davon, wie klein der Vorfall erscheint.
2. Risiko einschätzen: Besteht ein Risiko für die Rechte und Freiheiten der Betroffenen?
3. Falls ja – binnen 72 Stunden ab Kenntnis Meldung an die zuständige Landes-Aufsichtsbehörde (Art. 33 DSGVO), auch wenn die interne Aufklärung noch nicht abgeschlossen ist (Nachmeldung ist zulässig).
4. Bei hohem Risiko zusätzlich unverzüglich Benachrichtigung der betroffenen Personen selbst (Art. 34 DSGVO), verständlich und in einfacher Sprache.
5. Dokumentationspflicht: Jede Verletzung – auch nicht meldepflichtige – intern mit Hergang, Auswirkungen und Abhilfemaßnahmen festhalten (Art. 33 Abs. 5 DSGVO), unabhängig von einer Meldung.

Was tun: zusammen mit den Namen aus Ihrer Meldekette (Fragebogen) ausgedruckt oder digital griffbereit halten – im Vorfall selbst ist keine Zeit, erst danach zu suchen, wer zuständig ist.

Was tun: an alle Mitarbeitenden aushändigen oder aushängen/im Intranet bereitstellen – idealerweise mit kurzer Kenntnisnahme-Bestätigung.