Datenschutz: Was muss ich wie dokumentieren?

Um Datenschutz ganz einfach und pragmatisch zu organisieren, nimm dir ein DIN A4-Blatt quer oder ein kleines Notizbuch und mach eine Tabelle mit Spalten. Nimm dir einen Monat Zeit und jedes Mal, wenn du am Rechner ein Programm öffnest, egal ob Outlook, Excel, Canva, Github oder was auch immer, schreibst du in die erste Spalte das Tool, das du gerade nutzt (z.B. Outlook). In die zweite Spalte kommt, was du gerade damit machst (z.B. „E-Mail geschrieben“ oder „Rechnung erstellt“). Mach das wirklich nur so simpel, keine großen Analysen, einfach nur festhalten, was du wann benutzt und wozu. Nach etwa drei bis vier Wochen hast du so schon eine gute Übersicht über deine genutzten Tools und die dazugehörigen Arbeitsprozesse.

Als nächstes ergänzt du in weiteren Spalten, welche Daten du in den Tools bearbeitest. Zum Beispiel: E-Mail-Adresse, Telefonnummer, Bankverbindung, Kundendaten, Quellcode. Auch wichtig: Wessen Daten sind das? Kund/innendaten, Mitarbeiter/indaten, Lieferantendaten? So entsteht eine Dokumentation von Datenkategorien und den betroffenen Personen.

Dann überlegst du, wie lange du diese Daten aufbewahren musst: Stichwort Aufbewahrungspflichten und Löschfristen. Hier helfen dir Online-Übersichten (z.B. von Haufe), wie lange welche Daten rechtlich aufbewahrt werden müssen. Nach Ablauf der Frist müssen die Daten gelöscht werden.

Wenn du Daten an Dritte weitergibst (z.B. Steuerkanzlei, Kund/innen, Projektpartner/innen), dokumentiere auch das. Beispiel: Du hast eine E-Mail mit Lebenslaufdaten deiner Mitarbeiter/innen an eine/n Kund/in geschickt, notiere, warum und an wen.

Idealerweise kommen die Daten von den Personen selbst (Mitarbeiter/in, Kund/in, Newsletter-Empfänger/in). Wenn du Daten von anderen Quellen nutzt (z.B. Social Media wie LinkedIn oder Xing), solltest du die Betroffenen darauf hinweisen, z.B. in der Datenschutzerklärung.

Technischen und organisatorischen Maßnahmen (TOM) sind ein wichtiger Teil der Dokumentation. Dazu gehört z.B.:

• Wie kommen Mitarbeiter/innen ins Büro (Schlüsselsystem, Ausweise)?
• Wie sieht das Passwortkonzept aus?
• Was passiert, wenn ein Handy verloren geht?
• Welche Verschlüsselungen nutzt du?
• Welche Regeln gelten auf Dienstreisen?

Es gibt praktische Checklisten (PDF/Word) zum Abhaken, die dir helfen, die TOM systematisch zu erfassen. Wenn du richtig professionell sein willst, schreib zu jedem Punkt kurz, wie der Prozess genau abläuft.

Gerade wenn du Auftragsverarbeiter/in bist oder bei Ausschreibungen mitmachst, bist du mit einer guten TOM- und AV-Vertrags-Dokumentation gut aufgestellt. Viele Unternehmen haben da Lücken, du kannst mit transparenter, ehrlicher Dokumentation punkten. Auch wenn dein Büro z.B. ein Coworking-Space oder Homeoffice ist, sei offen damit, das ist okay. Wichtig ist die Ehrlichkeit und Übersicht.