Leistungen
Datenschutzberatung
Unsere Aufgabe sehen wir darin, ein Vorhaben möglich zu machen und den Datenschutz nicht als Bremsklotz zu gestalten. Dafür betrachten wir die Risiken realistisch und senken sie so weit, dass das Vorhaben vertretbar bleibt. Nicht jedes Risiko muss ausgeschlossen werden.
Der Schwerpunkt der Beratung hängt von der Organisation ab
Eine Beratung, die für einen Konzern richtig ist, bleibt für einen Verein unbrauchbar. Umgekehrt gilt dasselbe. Insofern unterscheiden wir drei Lagen.
Wenig Zeit, keine Rechtsabteilung, kein interner Datenschutzbeauftragter. Das Bußgeldrisiko besteht gleichwohl.
Hier zählt, welche Fallstricke sich mit geringem Aufwand beseitigen lassen. Das sind meistens die Dokumente mit Außenwirkung, also Datenschutzinformationen und Einwilligungsformulare, ferner die Absicherung neuer Software, bevor sie in Betrieb geht.
Eine Technik, die noch niemand rechtlich eingeordnet hat, dazu ein Produkt, dessen Gestaltung sich später kaum ändern lässt.
Der Ertrag liegt hier früh. Was in der Entwicklung datenschutzfreundlich angelegt ist, kostet nichts. Was hinterher umgebaut werden muss, kostet zweimal. Unser wissenschaftlicher Hintergrund hilft dort, wo zu einer Technik noch keine gefestigte Meinung vorliegt.
Verteilte Verantwortlichkeiten, konzerninterne Übermittlungen, Betriebsrat, IT-Sicherheit und Einkauf mit eigenen Anforderungen.
Die rechtliche Frage ist hier selten die schwierigste. Schwieriger bleibt, eine Antwort zu finden, die alle beteiligten Stellen mittragen.
Dieselbe Einschätzung muss in drei Sprachen bestehen
Eine Antwort, die juristisch zutrifft, ist damit noch keine Entscheidungsgrundlage. Drei Stellen prüfen sie an drei verschiedenen Maßstäben. Wer nur einen davon bedient, bekommt eine Antwort, die an den beiden anderen scheitert.
Rechtsabteilung
Prüft die Begründung. Sie braucht die Norm, die Fundstelle und die Abwägung, nicht allein das Ergebnis.
Geschäftsführung
Entscheidet über das Vorhaben. Sie braucht das verbleibende Risiko in einem Satz und daneben, was die Alternativen kosten.
IT
Setzt um. Sie braucht die konkrete Anforderung an System und Einstellung, nicht den Verweis auf einen Artikel.
Zwischen diesen Stellen zu vermitteln rechnen wir zur Aufgabe und nicht zu ihren Hindernissen.
Woran ein Vorhaben typischerweise hängt und wie sich das lösen lässt, steht unter Wir haben etwas vor.
Drei Beratungsformate und was sie voneinander unterscheidet
Unsere Methodik hat vier Schritte, nämlich den Sachverhalt festhalten, die Rechtslage einschätzen, Handlungsoptionen vorlegen und die Umsetzung begleiten. Die drei Beratungsformate unterscheiden sich darin, welche dieser Schritte sie abdecken und wo das Ergebnis landet.
Einordnung
Deckt die ersten drei Schritte ab, ohne dass ein Dokument entsteht. Das Format für Entscheidungen im laufenden Betrieb. Zur Einordnung
Gutachten
Deckt die ersten drei Schritte ab und legt sie schriftlich vor. Damit wird die Antwort vorlegbar. Die Verantwortung für die Einschätzung wandert zu uns. Zum Gutachten
Audit
Deckt den ersten Schritt ab. Es stellt den Stand fest und ordnet die Abweichungen nach ihrem Gewicht. Zum Audit
Einordnung im laufenden Betrieb
Die meisten Fragen brauchen keine nennenswerten Formalia, sondern eine Einordnung.
Drei Lagen, in denen eine Einordnung genügt
Liste zu erledigender Punkte
- Ein Vertrag liegt vor und soll unterschrieben werden
- Ein Fachbereich möchte ein Werkzeug einführen
- Eine Anfrage einer betroffenen Person ist eingegangen und die Frist läuft
In diesen Lagen geht es primär um eine schnelle Einschätzung, ggf. auch mündlich oder als formlose E-Mail. Wenn sich abzeichnet, dass eine Frage größer ist als gedacht, sagen wir das ebenfalls und machen Vorschläge zur Vertiefung.
Geht nicht wegen Datenschutz?Meistens geht es doch.
Gutachten
Ein Gutachten schreibt die Antwort auf, macht den Weg dorthin nachvollziehbar und verlagert die Verantwortung für die Einschätzung auf uns. Damit wird es zum Werkzeug, das ein Vorhaben freigibt und das sich vorlegen lässt, gegenüber der Geschäftsführung, einer Aufsichtsbehörde oder einem Vertragspartner.
Der Aufbau, in drei Schritten
Sachverhalt
Gemeinsam halten wir fest, worüber gesprochen wird. Welche Daten, welche Zwecke, welche Beteiligten, welche Systeme.
Rechtslage
Die Prüfung, mit DSGVO, BDSG, den Landesdatenschutzgesetzen und je nach Sachverhalt weiteren Vorschriften.
Handlungsempfehlung
Die Optionen mit ihren jeweiligen Risiken, geordnet nach dem, was wir für vorzugswürdig halten.
3 von 3
Eine ungenaue Beschreibung der Verarbeitung macht jede spätere Bewertung wertlos. Im Datenschutzrecht hängt vieles an Einzelheiten, die zunächst nebensächlich wirken.
Ein neues Geschäftsmodell, ein Wechsel des IT-Systems, eine Übernahme. Häufig liegt schon eine Bedenkenanzeige vor. Das Vorhaben steht. In dieser Lage ist das Gutachten weniger eine Einordnung als eine Freigabe. Es benennt die Bedingungen für das Vorhaben und nimmt die Verantwortung für diese Einschätzung von den Personen, die es voranbringen. Genau das löst die Blockade in den meisten Fällen.
Ein Kurzgutachten zu einer abgegrenzten Frage ist ein anderer Aufwand als die Prüfung eines vollständigen Geschäftsmodells. Wir stimmen den Umfang vorher ab und arbeiten zu einem vereinbarten Festpreis.
Audit
Ein Datenschutz-Audit stellt den Ist-Zustand fest und benennt die Abweichungen von den Anforderungen, die dafür gelten. Es steht am Anfang, wenn niemand in der Organisation den Zustand genau kennt, sowie wiederkehrend, wenn eine Prüfung gewollt ist.
Vier Anlässe, die wir regelmäßig sehen
Liste zu erledigender Punkte
- Der eigene Stand ist unbekannt und soll vor einer Entscheidung bekannt sein
- Ein neues Produkt oder Verfahren soll vor der Einführung geprüft werden
- Ein Vertragspartner oder ein Kunde verlangt einen Nachweis
- Eine Zertifizierung oder eine wiederkehrende Prüfung steht an
Die ersten beiden Fälle sind der häufigere Anlass. Beide teilen dieselbe Lage, nämlich dass eine Entscheidung ansteht und die Grundlage dafür fehlt.
Vier Schritte
Schritt 1
Umfang abstimmen
Was geprüft wird, mit welchem Ziel und gegen welche Anforderungen.
Schritt 2
Erhebung
Vor Ort für die gesamte Organisation, digital für einzelne Verfahren oder Produkte.
Schritt 3
Bewertung
Die Abweichungen werden nach ihrem Gewicht geordnet, nicht nach ihrer Reihenfolge.
Schritt 4
Bericht
Befund und Handlungsempfehlung, verwendbar gegenüber Dritten.
Am Ende steht ein Bericht. Er benennt die Abweichungen mit ihrem Gewicht und unterscheidet damit das Dringende vom Nachrangigen. Zu jeder gibt er eine Handlungsempfehlung. Er lässt sich gegenüber Vertragspartnern und Kunden verwenden.
Wo eine anwaltliche Prüfung gebraucht wird, führen wir Gutachten und Audit in Partnerschaft mit der lexICT legal Rechtsanwaltsgesellschaft durch.
Häufige Fragen
Wie läuft ein Audit ab?
Das hängt vom Umfang ab. Ein Audit der gesamten Datenschutzorganisation findet meistens vor Ort statt. Einzelne Verfahren oder Produkte lassen sich auch digital prüfen.
Wie lange dauert ein Audit?
Ein kurzes Audit ist in etwa zwei Stunden möglich, ein vollständiges dauert mehrere Tage. Maßgeblich sind der Umfang und die Größe der Organisation.
Was steht am Ende eines Audits?
Ein Bericht, der die Abweichungen mit ihrem Gewicht benennt und konkrete Handlungsempfehlungen gibt. Er lässt sich gegenüber Vertragspartnern und Kunden verwenden.
Woran unterscheiden sich Einordnung, Gutachten und Audit?
Am Ausgangspunkt und am Ergebnis. Ein Audit stellt den Ist-Zustand fest, wo er unbekannt ist. Ein Gutachten prüft eine bestimmte Frage und legt die Antwort schriftlich vor. Die Einordnung im laufenden Betrieb beantwortet eine Frage mündlich oder kurz schriftlich, ohne dass ein Dokument entsteht.
Verwandte Seiten
Wir haben etwas vor
Warum die Auswahl schon die datenschutzrechtliche Entscheidung ist und welche Zeitpunkte ein Projektplan nicht verschieben kann.
Datenschutz-Folgenabschätzung
Warum die Entscheidung gegen eine Folgenabschätzung selbst begründungsbedürftig ist, wann sie zu spät kommt und wessen Risiko sie bewertet.
Transfer Impact Assessment
Woher die Pflicht kommt, obwohl der Name in keiner Vorschrift steht, wo der Drittlandbezug tatsächlich sitzt und wie weit die Prüfung reichen muss.
Auftragsverarbeitungsverträge prüfen
Warum die Rolle sich aus der Sache ergibt und nicht aus dem Vertrag, wie weit die Kette der Unterauftragsverarbeiter reicht und was eine Anlage leistet.
Kontaktieren Sie uns!
Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!
Kontakt aufnehmenAlternativ können Sie um einen Rückruf bitten.