Datenschutz mit System

00:00:03:

00:00:14: Hallo und herzlich willkommen in der Auslegungssache heute mit Episode onehundertsechzig.

00:00:20: Wir zeichnen bereits auf am siebenzwanzigsten achten zwei tausend sechsten zwanzig, das liegt schlicht daran dass ich in der Woche drauf unser eigentlich sonstigen Aufzeichnungswoche, eine Woche vom Podcast im Urlaub bin und deswegen ein bisschen früher.

00:00:32: Dafür ist aber Jörg im Urlaub beziehungsweise... Aber Jörk meint, ach das kann ich aus dem Urlaub machen und sitzt gemütlich in seinem Ferienhaus in den Niederlanden am See und macht gerade ne kleine Pause vom Urlaub.

00:00:43: Hallo Jörgg!

00:00:45: Genau.

00:00:45: Eine kleine Pause von Urlaub.

00:00:47: Ich bin im schönen Nord.

00:00:48: Das ist im nord Niederlanden südlich von Nimmwegen Groning, Entschuldigung.

00:00:55: Wir sind in Erlebung Groningen und es geht hier ganz gut und ich unterbreche gerne mal meinen Urlaub für anderthalb Stunden und freue mich über Datenschutz-Themen sprechen zu dürfen und dazu haben wir wie immer eine.

00:01:07: So dem Thema berufenden Gast beziehungsweise in Ihrem Fall eine Gästin eingeladen.

00:01:12: herzlich willkommen Regina.

00:01:14: Mühlich.

00:01:15: schön dass du da bist Regina.

00:01:16: vielen Dank für die Einladungen

00:01:18: sehr gerne.

00:01:19: Ich habe wie immer Das Privileg dich vorzustellen, du bist Geschäftsführerin der AdOrga Solutions GmbH.

00:01:26: Du bist von Haus aus Wirtschaftsjuristin, zertifizierter Auditorin, externe Datenschutzbeauftragte – die Liste geht noch viel länger – Compliance Manager, AI Officer, Informationssicherheitsbeauftrage mit langjähriger Datenschutzer- und Managementerfahrung.

00:01:42: du begleitest nationale und internationale Unternehmen an der Schnittstelle von Organisationen, Rechtechnik und Management Und dein Schwerpunkt, und das geht dann schon so in Richtung von unserem Thema liegt auf praxistauglichen Strukturen mit klaren Verantwortlichkeiten nach verziehbaren Entscheidungen.

00:02:00: Wirksaumdekumentationen und Prozesse die funktionieren.

00:02:04: Daneben bist du im Vorstand ehrenamtlich im Berufsverband der Datenschutzbeauftragten, dem BEVDEV.

00:02:13: Und Beirat Smith geht bei der Stiftung datenschutzschöner Größe an die Kollegen bei der Gelegenheit Und wir haben dich eingeladen, weil du schon sehr lange auf unserer Liste stehst.

00:02:22: A und B, weil Du zu einem Thema referierst was uns interessiert und was wir heute mal zum Hauptthema machen möchten nämlich Datenschutzmanagement Systeme.

00:02:36: Wir wollen uns also heute mal anschauen wie man professionell Datenschutzz strukturiert und in ein System einbaut und dazu haben wir Dich eingeladen.

00:02:48: gleich mehr und bevor wir da anfangen, würde ich aber sagen machen wir ein schnelles Bußgeld der Woche.

00:02:56: Nämlich hier kommt unser...

00:02:58: Das Buß Geld der Woche!

00:03:01: Unser Bußgelt der Woche kommt heute aus dem Tätigkeitsbericht der Landesdatenschutzbörde in Niedersachsen.

00:03:09: Holger, da warst du bei der Vorstellung, die waren glaube ich etwas spät, gab es noch bemerkenswerte Erkenntnisse?

00:03:17: Nein, nichts Besonderes.

00:03:18: Nichts was die anderen nicht auch schnell erzählt hätten.

00:03:21: Also ich würde übrigens da auch... Bin da immer ganz gerne weil das ist der Landespressekonferenz hier im Niedersächsischen Landtag und das ist ja ein kurzer Weg für uns.

00:03:30: Und da ich sowieso Landespressekonferenz Mitglied bin, ist das vielleicht nochmal zweimal eingeladen?

00:03:35: Das ist ganz schön!

00:03:36: Diesmal hat Herr Lehmkämper, Dennis Lehm Kämper Niedersächsische LFD die Betonung sehr auf KI gelegt und die Probleme, die mit KI entstehen.

00:03:45: Mit der Aufsicht entstehen meint da passiert noch zu wenig.

00:03:49: aber insbesondere hat auch er nochmal gesagt dass der Anstieg der Beschwerden die KI generiert sind Exorbitant steigen.

00:03:56: also genau das was alle anderen LFDS und LFDI's auch gesagt haben Dass das kaum noch bewältigbar ist.

00:04:03: Also bei denen war auch der anstieg.

00:04:04: Die rechnen Auch im laufenden Jahr mit einem Irrenanstieg nochmal Im Vergleich zu dem Jahr im August.

00:04:11: Also letztes Jahr waren es bis zum Jahresende knapp sieben Tausend, was schon in ihrer Steigerung ist.

00:04:17: aber die sind jetzt schon bei über sechstausend im laufenden Jahr im august und rechnen damit dass es über zehntausend werden wahrscheinlich.

00:04:24: Regina du tue nichts.

00:04:25: also wir sehen uns wir zeigen zwar ohne Bilder auch wir sehen kriegen wir zum Beispiel in meiner ganz Leih ganz viele Anfragen, die alle auf das Gleiche gehen.

00:04:41: Nämlich ich habe gesehen mit dem Datenschutz kann man Geld machen und ich hab mir hier irgendwas passiert meistens was eher Läppisches und ich hätte da gerne wahnsinnig viel Geld raus könnte mich als Anwälte vertreten.

00:04:53: aber ich glaube auch in diesem organisatorischen Bereich merkt man die Ausflugung von Client zwischendurch schon

00:04:57: ganz gut.

00:04:58: Ja man merkt es auch in der Praxis.

00:05:01: also wir haben den einen oder anderen Mandanten der gerade in der Produktion unterwegs ist.

00:05:04: da haben wir eigentlich Seit die es die DSGVO gibt, vielleicht eine einzige Bedroffeneanfrage erhalten.

00:05:11: Mittlerweile kriegen wir also selbst bei solchen Unternehmen bedroffenen Anfragen... Also die Beschäftigten außen vorgelassen von externen irgendwelche Bedroffen an Fragen.

00:05:18: und welche personenbezogene Daten werden über mich verarbeitet?

00:05:22: Klassischerweise Artikel fünfzehn wo man schon allein an der Frage feststellt das genau das was du eben gerade im Sackst.

00:05:29: Es läuft einfach darauf hinaus, Grund zu haben sich irgendwo zu beschweren.

00:05:33: An der anderen Seite haben wir natürlich auch einen anderen.

00:05:35: Da sind betroffenen Anfragen, ich würde sagen ein mehr oder weniger schon Daily Business wo man halt dann auch am Text merkt ja KI generiert in Teilen das eine oder andere ganz gut aber auf den anderen Seiten auch Anfragen die so jenseit von Gut und Böse von Inhaltlich sind und manchmal sagt Ja

00:05:57: Absolut wundert das ein bisschen, weil gerade bei Artikel fünfzehn bei betroffenen Anfragen ist doch da ist auch extrem wenig Form vernöten.

00:06:04: Also da kannst du ja einfach irgendwie kannst du zwei Sätze schreiben unterschreiben und los und raus damit irgendwie und dann musst eigentlich reagiert werden?

00:06:11: Ja ich glaube es ist eher uns Experten bekannt dass es relativ einfach zu gestalten ist durch das es KI gibt sich der eine oder andere sich vielleicht auch eher draut was zu schreiben Und natürlich dann auch sagt, ja, dann dekliniere ich das einmal in meiner Anfrage mit KI durch.

00:06:32: Damit ich im Zweifelsvolle mich im Nachhinein beschweren kann, wenn etwas nicht so ist wie es sein

00:06:39: soll.".

00:06:39: Ich glaube, er hat einfach zwei Seiten.

00:06:41: Ich bin aber vom Prinzip her eigentlich sowieso so ein bisschen der Meinung, dass das Thema mit betroffenen Rechten vielen Bürgern und Verbrauchern eigentlich in dem Maße nicht bewusst ist, dass sie diese Rechte haben.

00:06:53: Das Thema haben wir immer noch.

00:06:55: Also ich meine, als Datenschutzbeauftragte für meinem Teil freue mich natürlich wenn ich nicht so viele Betroffenenanfragen mit beantworten muss.

00:07:01: Aber auf der anderen Seite als Bürgerin oder Verbraucherin ist das mein gutes Recht und das sollen die Leute dann durchaus wahrnehmen.

00:07:07: aber ja die betroffenen Anfragen die mit KI generiert werden sind in Teilen schon eine Herausforderung.

00:07:15: man muss halt schon klar prüfen Ist es tatsächlich eine DSGVO-Anfrage?

00:07:20: Andere Anfrage geht es ins Hinweis Geberschutzgesetz rein oder sonstige thematiken, die dann bei solchen Anfragen auch mit dem Rind gerne vermischt werden.

00:07:29: Das ist ja echt barreis und zumindest keine Erhöhung der Zahlen fest.

00:07:33: Die bleiben auf hohem Divo gleich.

00:07:35: aber Holger man kann wunderbare Zehenseitige anschreiben auch mit KI formulieren wo auch eine halbe gereicht hätte.

00:07:45: Das geht sehr gut und lesen muss man trotzdem.

00:07:47: Wobei ich

00:07:48: das auch das was Celine Camper gesagt hat, also es ist durchaus so dass viele dieser Beschwerden die dann reinkommen schwerer zu bearbeiten sind als die Beschwerde die es vor KI gab weil da wird natürlich sehr sehr sophisticated formuliert und begründet aber teilweise natürlich auch fabuliert und haluziniert von den KIs und von den LLMs Wahrscheinlich noch genauer prüfen, als wenn es eine nicht KI-Generäte Anfrage ist teilweise.

00:08:17: Trotzdem finde ich das aber auch ne Chance weil ich glaube schon dass die Sachen besser sind als das was Leute die keinerlei große Fortbildungen in Sachen KI genossen haben äh entschuldigen Sachen datenschutzgenossen haben formuliert haben.

00:08:30: also da hat man vorher schreckliche Dinge gelesen mit ziemlich viel Bullshit und bin mir nicht sicher ob die Qualität insgesamt abnimmt Da würde ich doch sehr stark answeifeln.

00:08:39: Die Quantitäten nimmt auf jeden Fall zu.

00:08:41: Ich finde, also wenn wir jetzt schon bei dem Thema sind vielleicht ganz kurz noch diese ganze Sprachmodelle und LLMs gerade die großen Mächtigen sind natürlich auch Ermächtigungswerkzeuge.

00:08:52: Also Leute, die vorher sich nie getraut haben zum Beispiel irgendwie mit Jura in Kontakt zu treten für die fällt da natürlich eine Hemmschwelle, die diskutieren dann eine halbe Stunde Problematik mit JetGPT und lassen sich dann halt irgendwas vorformulieren im Anschließend daran Klar, das ist die eine Seite und die andere Seite.

00:09:09: Es führt halt zu mehr Text oder zu mehr Papier und vielleicht auch zu teilweise fabulierter schlechter Qualität weil natürlich derjenige, der es generiert, nicht beurteilen kann und dass dann quasi dem Empfängerwahl ist.

00:09:22: Also die Zunahme der Anfrage haben wir sicherlich nicht nur im Datenschutz, sondern in allen anderen Themen auch.

00:09:28: Wie du sagst, die Hemmschwelle ist einfach jetzt eine ganze andere.

00:09:31: Es ist viel einfacher irgendwas einzufordern oder von seinen Rechten Gebrauch zu machen.

00:09:39: Gerichte sagen ja auch zum Beispiel dass es das immer mehr Menschen klagen, die sich gar kein Recht an den Wald genommen haben, sondern sie sich einfach von JGPD klargeschreiben lassen.

00:09:51: Da muss man allerdings häufig sagen, die werden gar keinen Anwalt finden für ihre Sachen.

00:09:55: Also zum Beispiel in meinem Bereich, kannst du eigentlich keine Chancenanwalt zu finden der Privatsachen macht für fünfhundert Euro oder so?

00:10:02: Das ist einfach ein Riesenminusgeschäft das macht gar keiner und für die ist es dann wirklich häufig die einzige Chance der KI zu benutzen selber zu klagen.

00:10:09: Das finde ich bis vor allem mutig aus einer Anwaltssicht aber es wird sich gar nicht vermeiden lassen weil du ganz viel, das ist einfach wirtschaftlich so schlecht für die Kanzlerin, dass du einfach drauf zahlst und da ist natürlich keine Chance.

00:10:24: Aber dazu kommen wir gleich noch, nämlich insbesondere zu der Frage wie man mithilfe einer so tollen Übergang guten Datenschutzmanagement System auch solchen Anträgen gut her wird und großen Mengen von Anträgungen her wird.

00:10:38: Ich würde ganz kurz noch zum Bußgeld der Woche kommen.

00:10:41: ich fand das ganz interessant.

00:10:42: Es ist relativ übersichtlich Wahnsinn sehr praxisrelevantes.

00:10:45: es ging um Profilbildung und Profilbildung zu Werbezwecken mit Smart Data Verfahren, was war passiert?

00:10:53: Es ging um ein Kreditinstitut.

00:10:56: Und das hat eine Geldbrüse in Höhe von vierhundert achtzigtausend Euro bekommen.

00:11:03: Das Verfahren ist wohl auch abgeschlossen, d. h., die haben jedoch nicht abgeschlossen.

00:11:07: Die ist nicht rechtskräftig.

00:11:08: Entschuldigung, worum geht es?

00:11:12: Es geht darum, dass einzelne Kreditinstitute mit vorhanden personbezogene Daten aktiver Kundinnen und Kundenprofile zur werblichen Ansprache bilden.

00:11:22: Das heißt die kaufen jetzt nicht von außen zusätzliche Informationen der wäre es relativ klar das das rechtswirrig ist sondern sie nehmen interne Daten diese ohnehin haben und scharfen damit ihre Werbeansprachung vorsichtig zu formulieren.

00:11:37: Das kann funktionieren wenn man aber aktive Bankdaten nimmt, ist das glaube ich keine wahnsinnig gute Idee.

00:11:45: Also ausgewertet wurden hier Zahlungsdaten zum Beispiel Gehalt, Zahlung per E-Payment, Grundkosten wie Energieversorgung, Stammdaten wie Altafamilienstand, Dauer der Kundenbeziehungen, Angaben zum Wohnumfeld, z.B.

00:11:59: Anteil der Erwerbstätigen, Anzahl der PKWs und Ähnliches Und das Ziel des Instituts war es anhand der so gebildeten Profile Kunde in den Kunden zu identifizieren, die für spezielle Produkte besonders zugänglich sind.

00:12:15: Da hat das LFD dann nicht sehr überraschend keine Rechtsgrundlage gefunden insbesondere eben kein berechtigtes Interesse weil natürlich ist es direkt Marketing-berechtigteres Interesse.

00:12:29: aber wenn ich dann Interessenausgleich kommen ist, glaube ich, mein Interesse als Kunde relativ gering.

00:12:35: Dass meine Kontodaten dafür ausgewertet werden, dass sich besser mit Werbung gespielt werde also insgesamt eine zwar sehr verbreitete aber in zumindest dieser Form doch sehr schwierige Idee.

00:12:46: oder Regina wie siehst du das war vielleicht nicht so die beste Idee?

00:12:49: Nein es war wirklich nicht die beste idee.

00:12:53: Also ich finde subthemen Werbung im allgemeinen solche Sachen auf berechtigtes Interesse zu stützen, immer mit Risiko behaftet.

00:13:03: Aber und hier sind wir noch zusätzlich im Finanzsektor?

00:13:06: Genau, wir sind ja noch im Finanz- sektor.

00:13:09: Es werden auch noch Daten verarbeitet die nicht für diesen Zweck erhoben worden sind also das Thema Zweckbindung und der Betroffene konnte damit tatsächlich nicht rechtern dass darf es seine Daten verwendet werden?

00:13:21: in dem Fall ist meiner Meinung vollkommen klar, dass berechtigtes Interesse nicht die Rechtsgrundlage ist, die hier genommen werden kann.

00:13:29: Aber wo wir hier die Grenze?

00:13:31: Wir kennen jetzt den Fall nicht im Detail, aber sagen wir mal ich bin in der Bank und ich weiß das meine Kunden, sagen wir einmal Aktien haben so, ne?

00:13:40: Das ist jetzt kein Besonderes.

00:13:41: Ich weiß nicht welche oder so, die habe ich gar nicht ausgewertet.

00:13:43: Was ist ihr Aktienhaben?

00:13:44: dürfte ich dir dann anschreiben?

00:13:46: mit Werbung für Aktienprodukte würde ich jetzt eher sagen ja

00:13:52: Ich stelle mir immer so ein bisschen die Frage warum will ich sie unbedingt anschreiben.

00:13:55: Ich meine, die haben das Aktiendepot bei mir als Bank.

00:13:59: Sie locken sich ein, rufen ja Aktienpaket ab?

00:14:02: Ich kann ja die Werbung wunderbar auch als kleine Spanner oben mit einbinden.

00:14:07: Na

00:14:08: dann würde der glaube ich jeder werbetreibende sagen dass das so eine besonders gute Klickrate nach sich zieht.

00:14:14: aber ist es zumindest sehr sehr praxisorientiert?

00:14:19: also Ja, ich meine es ist immer ein zweischneidiger Schwert.

00:14:24: Ich bin auch Unternehmerin und muss auch irgendwie Werbung machen.

00:14:27: Ich würde gerne Werbungen machen.

00:14:29: Aber ich bin jetzt der Datenschutzbeauftragte!

00:14:32: Da ist auch, wie bei Rechtsanwaltskanzleien muss man doch noch mal ein paar andere Spielregeln einhalten.

00:14:39: Ich habe also schon durchaus Verständnis daß in der Bank oder an Kredite-Institut Wärmungen machen möchte aber für mich macht sich das dann halt einfach auf.

00:14:47: die verwendeten Daten sind Ausschlag geben ja und wenn hier wie du gerade eben auch gesagt hast Gehalt mit dazu packen Familienstand Angaben zum Wohnumfeld Also das Wohnum Feld sagt erstmal nochmal gar nichts aus.

00:15:00: dass die Thematik haben wir anderer Stelle gehabt.

00:15:03: Dann finde ich, dass anhand der Daten schon kritisch das aufberechtigtes Interesse abstellen zu wollen um jetzt mal so meine Kurve zu kriegen.

00:15:12: naja es gibt sicherlich die eine oder andere Situation wo ich vielleicht durchaus auch berechtiges Interesse abstellen könnte.

00:15:18: Ja, will ich auch so sehen.

00:15:19: Also bei diesem Aktienbeispiel er hatte Aktien würde ich schon sagen dass man das machen kann.

00:15:24: also mal vorausgesetzt ist alle anderen Sachen vorliegen da sich ihn anschreiben darf entweder mit einer Einwilligung oder mithalten im bestehenden Geschäftskontakt dann würde ich es schon so sehen.

00:15:33: aber solche Sachen daraus zu werden finde ich schon heftig.

00:15:37: Ich muss sagen jetzt ja.

00:15:39: also aus der Perspektive der Kunden dieser dieses Finanzinstituts sehe ich das vor allem schwierig.

00:15:46: Ich finde, da schießt man sich ins eigene Bein mit.

00:15:49: Wenn man so offen zur Schaut trägt wie man mit eigentlich getrennt erhobenen und zweckgebundenen Daten der Kunden umgeht, indem man sie für den Marketing Zwecke benutzt, es wirft einfach kein gutes Licht auf die Bank.

00:16:00: Und wäre ich da als Kunde würde ich mir dreimal überlegen ob ich überhaupt noch bleiben will wenn ich sehe wie die meinen Daten umgehen?

00:16:05: Wie die dann offensichtlich mal ein paar Puls haben aus denen sich die Marketingabteilungen bedienen können und irgendwelche Produkte stören können wäre mir nicht so recht.

00:16:14: Wobei ich natürlich, wenn ich woanders hingehe wahrscheinlich vom Regen die drauf bekomme muss man auch ganz klar sehen.

00:16:18: Die anderen werden es auch nicht viel anders machen aber trotzdem für mich als Kunde wäre ich unzufrieden wenn ich sowas

00:16:24: müsste.".

00:16:25: Das Vertrauen wird dadurch nicht unbedingt gestärkt und das ist ja nun auch das um was es ja auch geht um jetzt mal so ein bisschen die Kurve zu kriegen.

00:16:35: Vertrauenschaften.

00:16:36: Ja um das geht's ja dann auch als Unternehmen seinen Kunden seine Beschäftigten gegenüber.

00:16:43: Es geht immer um Vertrauen.

00:16:44: Aber gerade wenn es dann um sensible Daten geht, besondere Kategorien von Personen bezogen in den Daten dann erst recht und das Verhältnis zu einer Bank ist dann doch oder auch zu einer Versicherung ist dann noch mal ein anderes als zum Bäcker um die Ecke.

00:16:58: Und vertauen kann man einen tollen Übergang?

00:17:02: Kann man mit Datenschutzmanagementsystemen.

00:17:06: Wir können vorhin nachher noch mal diskutieren, wie wichtig dieses Vertrauensding tatsächlich ist.

00:17:11: Ich bin mir gar nicht so sicher, da rauche ich wirklich große Vertrauen zu meinem Bäcker.

00:17:16: Zu einer Bank auf jeden Fall oder zu meinem Mars.

00:17:18: Aber was ist denn das überhaupt?

00:17:21: Fangen wir mal ganz vorne an und ich glaube dass sich nicht alle Hörer die jetzt nicht hart aus dem Datenschutzbereich kommen mit Datenschutzmanagement-Systemen identifizieren können und genau wissen was das ist vielleicht.

00:17:34: Fangen wir mal ganz vorne an, Regina.

00:17:35: Was ist denn ein Datenschutzmanagement-System?

00:17:38: Ich lese das mal so wunderbar aus meiner Schulungspräsentation ab.

00:17:45: Managementsysteme ermöglichen es Organisationen komplexe Bereichsübergreifende Führungsaufgaben zu bewältigen durch klare Rollenregeln und Abläufe eben Themen strukturiert zu managen.

00:17:59: also ein Managementsystem hilft also dabei dann auch der Organisation, dem Unternehmen Ziele umzusetzen und es ist eigentlich nichts anderes als wie eine systematische Art und Weise ein prozessorientiertes Unternehmensmodell.

00:18:16: Also es bündelt Tätigkeiten, Instrumente und Methoden in einem Unternehmen damit ich sie immer auf die gleiche Art und Weise mit der gleichen Qualität abwickeln kann durchführen kann So im globalen Wald.

00:18:27: Managmentsystem, ich bin immer... Ich zucke mal so ein bisschen, wenn du Managementsysteme sagst also im Plural bist Datenschutz-Management Systeme.

00:18:36: aber im Unternehmen gibt es nur einen sollte es eigentlich nur eins geben.

00:18:41: Aber Managementsystem oder Managementsystem haben wir ja in unterschiedlichen Bereichen.

00:18:46: Wir haben ein Managementsystem in der Umwelt eben in der Informationssicherheit In der Abfallwirtschaft.

00:18:52: Also Managementsystem kann es überall geben Auch im Datenschutz, also wenn ich den Datenschuss im Unternehmen implementiere dann habe ich halt ein System.

00:19:04: Ein Management-System das das widerspiegelt was sich im Hinblick auf die Rechenschaftspflicht zu erfüllen haben.

00:19:12: als Verantwortlicher.

00:19:13: Es ist eigentlich man kann auch einfach formulieren sind es einfach eine saubere Struktur der Prozesse der Vorgänge die ich gemäß der Datenschutzgrundverordnung im Datenschatz zu gewährleisten habe.

00:19:27: Also praktisch gelebte Umsetzung von Compliance-Vorgaben letztendlich?

00:19:33: Genau,

00:19:34: das Datenschussmanagementsystem ist ein Teil des Compliance Management Systems, wobei wir wieder beim Management System

00:19:41: werden.

00:19:42: Und wie ich doch ein wenig erstaunt gelernt habe in unserer Vorbesprechung hat ja dann letztendig jedes Unternehmen ein Datenschutzmanagement System.

00:19:51: Äh, nur können die auch sehr schlecht sein und sehr hemmt.

00:19:54: Genau.

00:19:54: Von sehr wenig strukturiert und äh das gibt dann irgendwie ein System der Beauskunftung von Betroffenen anfragen was da vor sieht dass Frau Meier dann durch alle Abteilungen geht und alle mal nachfragt habt ihr Daten von von Peter Müller hier oder so

00:20:11: was?

00:20:12: Ja Das heißt, wenn der verantwortlich ist und sagt, ich habe ein Datenschutzmanagementsystem.

00:20:15: Ist das im ersten Schritt mal super?

00:20:18: Sagt aber nichts über die Qualität oder die Umsetzung und was funktionieren aus, sondern es ist einfach nur einmal ein Begriff per se.

00:20:25: Dass zu einem Datenschutzen-Managementsystem dann auch eine Überprüfung gehört, eine Überwachung Audits Tests – das ist dann ein anderes Thema.

00:20:36: Das heißt ganz klar, je mehr ich kontrolliere, überwache, audits mache, überprüfe Das zu besser wird dann auch mein System.

00:20:46: Aber per se sagt die Thematik, ich habe ein Management-System, ich hab ein Datenschutzmanagement-Ssystem, auch nicht so über eine Komplein oder über eine Gesetzeskonformität aus.

00:20:54: Also wenn ich jetzt als Laie in dem Bereich wirklich, da kenne ich ihn überhaupt nicht aus.

00:20:58: aber wenn ich nochmal nachfragen darf für mich klingt das jetzt eher so... Also man schreibt, man sammelt Prozesse die notwendig sind und jahrelweise verschriftlicht man das dann vielleicht auch noch.

00:21:09: Und bindet Leute ein.

00:21:10: dazu gehört?

00:21:10: Dann wahrscheinlich auch Schulungen könnte ich mir vorstellen.

00:21:13: aber also ich stelle mir gerade die ganzen Prozeste vor.

00:21:16: es geht um die betroffenen Rechte.

00:21:17: also wie reagiert man auch darauf wenn sich Betroffene melden und ihre Rechte gelten machen?

00:21:22: dazu gehört Da kommen wir ja sicher gleich noch zu diesen ganzen Dokumentationspflichten, die man hat.

00:21:27: Aber gehört dazu zum Beispiel auch so ein Risk-Management?

00:21:30: also zum Beispiel was passiert wenn zum Beispiel Datenleaks stattfinden?

00:21:34: ist da auch diese Prozesse?

00:21:39: wie schnell muss die IT reagieren?

00:21:41: Wie tritt man mit der Datenschutzbehörde in Kontakt, wenn sie sich meldet und sowas?

00:21:46: das ist auch alles Teil eines solchen Managementes.

00:21:49: Das wird dann alles teilen, das Management-System.

00:21:51: Wo kommt es denn eigentlich her?

00:21:52: Es kommt auch aus dem Thema Zertifizierung heraus.

00:21:55: Also wenn wir eine ISO Neu-Tausend Eins haben oder eine Signo-Twenty-Tauend Eins habe ich auch ein Informationssicherheitsmanagement-Ssystem dahinter.

00:22:03: da wäre halt der nächste Schritt dass sich das zertifiziert.

00:22:07: Wenn ich das tue, dass ich einen Management- System welcher Colour auch immer ich zerti- fizieren lasse, dann hab' ich natürlich aus der entsprechenden Norm neuntausend einen oder siebenundzwanzig tausends ein oder was es da nicht alles gibt.

00:22:22: Natürlich Vorgaben wie ich das implementieren soll, wie ich aufziehen soll.

00:22:27: um das jetzt immer umgangssprachlich zu formulieren Es macht natürlich auch im Datenschutzmanagement System Sinn je nachdem was für eine Struktur von Unternehmen dass ich habe in welchem Geschäftszweck Ich unterwegs bin mir Vorgabe aus einer ISO Norm als guideline rauszusuchen, um einfach auch einen durchgenieden Bodenfaden zu haben.

00:22:51: Also wenn ich ein Unternehmen bin das als Dienstleistungsunternehmen unterwegs und ich habe zum Beispiel noch eine Neuntausend Eins Zertifizierung Er macht es natürlich auch Sinn,

00:23:01: dass ganz kurz nur ganz kurz.

00:23:03: du musst doch mal sagen die neun tausend einen Zertifizierung was sie ist.

00:23:05: Entschuldigung,

00:23:07: alle

00:23:07: Zertifikationen, weil ich genau nicht

00:23:10: alle

00:23:10: auswendig bin.

00:23:12: Es sind neuntausends.

00:23:13: eins ist das Qualitätsmanagement System

00:23:15: und wie lässt man sich da zertifiziert werden?

00:23:16: Da geht man zu irgendeiner Stelle Zum TÜV meinetwegen und der kommt dann

00:23:21: rein.

00:23:21: Also sinnvoll ist es da ein DAX-Zertifiziertes Unternehmen deutscher Artkreditierungsstelle zu haben, die das Triemen kommt.

00:23:31: halt mit der Zertifizierer gibt's viele.

00:23:33: du hast gerade eben den TÜF oder DD-Gra genannt DQS.

00:23:37: ganze Latte gibt es davon Kommt dann ins Haus und führt einen Zertifikierung Audit durch und überprüft, inwieweit du die Vorgaben aus der ISU-Norm umgesetzt hast.

00:23:50: Und welche Vorteile habe ich dann davon?

00:23:52: Ich kann damit werben wahrscheinlich...

00:23:53: Du kannst damit werbeln!

00:23:55: Es gibt auch... Wenn man irgendwie ein Kind in Brunnen fällt oder so das sich der Behörde sagen kann.

00:24:00: hier guck aber guck.

00:24:01: ich bin zertifiziert fast nicht mal nicht so hart an oder so.

00:24:04: Also ich kann mir nicht vorstellen, dass allein das Zertifikat einen Eindruck auf die Datenschutzaufsicht zu bewahrten hat.

00:24:11: Aber natürlich ist es wenn ich eine Zertifikierung habe tue ich mich in der Nachweisflicht per se einfacher.

00:24:17: Ja, weil ich habe halt auch eine saubere durchstrukturierte Organisation.

00:24:22: um also ein ganz banales Beispiel zu nennen.

00:24:25: Ich hab' ne Dokumentenlenkung ja?

00:24:27: Also die Qualitätsmanagement, die ist im Moment haus und eins.

00:24:30: Es verlangt auch dass ich ne saubre Dokumentinlenkung habe, ne Designierung habe das sich alte Dokumente auch nochmal archiviere.

00:24:39: an solchen... Dingen scheitern auch schon viele Unternehmen.

00:24:42: Das heißt also, wenn ich hier eine ISO-IXI-Zertifizierung habe im Bereich Qualitätsmanagement dann hab' ich einen Prozess wie ich meine Dokumente lenke?

00:24:52: Wie ich sie visioniere?

00:24:53: Wer erstellt was?

00:24:55: Wer prüft?

00:24:56: Wer gibt's frei?

00:24:57: in welchen Abständen muss denn ein Dokument überprüft werden ob es noch gültig ist oder aktuell ist?

00:25:05: Ja, das nutzt ja natürlich im Datenschutz jetzt relativ wenig und auch glaube ich die ganzen anderen genannten nicht so wahnsinnig viel.

00:25:12: Sie sind sicherlich nicht schädlich.

00:25:14: Das kann man aussagen.

00:25:16: aber alleine diese benannte Zertifizierung zu haben bringt dich nicht wirklich weiter.

00:25:23: Wir gehen mal wieder einen Schritt zurück zum Datenschuttsmanagement System und ich würde sagen wir machen es mal an der ganz praktischen Und wir machen mal einen praktischen Durchgang.

00:25:32: Ich habe ein neues Unternehmen gegründet, ich bin dann produzierender Betrieb.

00:25:38: Ich hab jede Menge Kunden, woher ich die jetzt haben habe?

00:25:40: Aber ich habe jede Menge Kundendaten.

00:25:42: Bin eine Ausgründung vielleicht.

00:25:43: Hab jede Menge Kondentaten.

00:25:44: Jetzt keine neuen Daten also nichts besonders aufregendes aber schon viele Kundendate und ich stehe jetzt vor der Herausforderung das wirst du aus deiner Arbeit kennen.

00:25:54: Das kenn ich auch aus meiner Anwaltsarbeit.

00:25:56: Datenschutz zu befassen und da wäre es natürlich sinnvoll, wenn ich da einen gewissen Grad an Arbeit reinlegen musste mir gleich ein Datenschutzzystem aufzubauen.

00:26:09: Und idealerweise eines was ganz gut funktioniert und da können wir vielleicht mal Regener mal so Schritt für Schritt durchgehen, was sich denn in so einem Datenschützmanagement System einführen müsste.

00:26:23: also womit fange ich an?

00:26:24: meine Unternehmen ist jung freulich neu gegründet.

00:26:26: Ich habe aus komischen Gründen aber schon jede Menge getan

00:26:30: Kommt vorher.

00:26:31: Also wir haben da bei uns mal so zehn Schritte, zehn Steps auch definiert die auch aus der Datenschutz-Grundverordnung herauskommen, die wir einfach auch im Wald tun müssen.

00:26:45: Die Thematik, die du auch angesprochen hast ich habe diverse Kunden wo sie auch immer her kommen Die Thematik, wo ich mir auch im Rahmen des Datenschutzes glauben muss ist das Thema Vertragsmanagement.

00:26:56: Was habe ich an Dienstleister?

00:26:58: Was hab' ich an Auftragsverarbeiter?

00:27:00: Habe ich Auftragssverarbeite in der NUEU?

00:27:02: Hab' ich auf der VertragSverarbeitung in einem Drittland Stichwort Standard Contractual Clauses?

00:27:09: Das heißt also auch hier, wenn ich im Vertragsmanagement drin bin muss ich mal wissen was für personenbezogene Daten verarbeiten.

00:27:16: Diese Dienstleister... ...für welchen Zweck verarbeiten sie?

00:27:21: Ich brauche einen sauberen ordentlichen Vertrag der das abbildet bis dahin dass sich natürlich mit dem Abschluss der Verträge meine technischen und organisatorische Maßnahmen mit definieren in Anforderungen ist.

00:27:32: Also einen Überblick zu haben.

00:27:33: was habe ich denn für Verträge im Hause?

00:27:36: Es ist sowohl aus der Datenschutzsicht wichtig, aber es ist generell wichtig zu wissen was für Verträge ich in einem Unternehmen habe.

00:27:44: Man muss ja auch bedenken aus dem Datenschutzehaus nur – das ist ja nicht nur der Auftragsverarbeitet der personenbezogene Daten von meinen Kunden oder von meinem Beschäftigten verarbeitet.

00:27:55: Ich hab da einen Steuerberater und einen Rechtsanwalt und sonst die Getritte, die hier auch noch personenbezogene Daten von mir verarbeiten.

00:28:05: Für die ich nicht unbedingt verantwortlich bin.

00:28:07: aber um jetzt so ein bisschen wie führen wir das ein zu einem späteren Zeitpunkt?

00:28:11: Ich denke gerade eben an Artikel XIII fortfolge Informationspflichten wird es dann wieder relevant.

00:28:18: Das heißt geliebte Thema dass das Datum auch abgehen muss ist das Verzeichen des der Verarbeitungstätigkeiten.

00:28:26: Ich bin durchaus ein Fan von dem Verzeichnis der Verarbeitungstätigkeiten.

00:28:29: Warum habe ich mit dem Vertragsmanagement angefangen?

00:28:32: Weil natürlich im Verzeichnissen der Verarbeitungstältigkeiten die Dienstleister, die Empfänger der personenbezogene Daten auch eine Rolle spielen.

00:28:40: Also ich muss diese Dienstleisters, diese Empfängern im Verzeichen des Verarbeitungstätigkeiten wiederfinden!

00:28:46: Das wäre... Also wir fassen das mal zusammen unter Vertragsmanagement, glaube ich.

00:28:51: Da kann man das ganz gut zusammenfassen.

00:28:53: Ich werde wahrscheinlich nicht drumherum kommen, jedenfalls nicht ab einer bestimmten Größe von Kunden, gerade wenn es Endkunden sind, nicht drum herumkommen wie hier ein Vertragsmanagement auf.

00:29:04: Dafür brauche ich wahrscheinlich eine Datenbank-Vertragsdatenbank.

00:29:07: Ich würde vielleicht noch einen Schritt vorher anfangen.

00:29:10: Den hast du sicherlich auch mitgedacht, nämlich als allerersten Schritt die Verantwortlichkeiten und die Geschäftsorganisation festlegen.

00:29:17: Also wer ist denn eigentlich für dieses Datenschutz, für diesen Datenschutzzuständig?

00:29:22: Wie ist das mit der Geschäftsführung, wie ist die da integriert?

00:29:26: Wer wird brauche ich einen Datenschütz beauftragten?

00:29:29: Das ist ja auch gerade eine sehr spannende Frage, die sich jetzt vielleicht noch mal oder bald demnächst nochmal ändert.

00:29:34: Brauch ich einen datenschutzbeauftragte?

00:29:36: Und wie sieht es aus mit den Fachabteilungen?

00:29:38: Wie sieht's aus mit der IT?

00:29:39: also vielleicht wäre das der erste Schritt und dann würden wir anfangen... die Verträge durchzusehen, Vertragsdatenbanken zu bauen.

00:29:47: Auch die ganzen Datenkategorien einzuführen, Systeme, Dienstleister, Datenübermittlungen ins Ausland.

00:29:55: Da gibt es ja dann durchaus einiges zu tun und ich glaube wenn man nicht einen sehr guten Datenschutzbeauftragten hat der sich damit gut auskennt ist das wahrscheinlich auch etwas was man besser an externen Dienstleisten rausgibt oder?

00:30:06: Die

00:30:06: Thematik stellt sich immer... Du brauchst natürlich als Datenschutzbeauftragte die entsprechende Fachkunde und auch das entsprechende Know-how.

00:30:18: Okay, ich bin externe Datenschutzbeauftragte.

00:30:19: Dass ich jetzt eine externelle Datenschussbeauftrage empfehle... Ich glaube das liegt gerade ebenso auf der Hand vor allen Dingen wenn es halt kein Fulltime-Job ist.

00:30:29: Wenn das Datenschutzeis Nebenjob in einem Unternehmen gemacht wird dann ist meine Erfahrung und da mache ich jetzt an den internen Kollegen auch gar keinen Vorberuf dass der Datenschütz eher hinten runterfällt Und es scheitert auch dann leider oder vielfach an der Fortbildung, der Weiterbildung und der Qualifizierung.

00:30:50: Da sind doch die ein oder anderen Unternehmen... Daran sparen.

00:30:54: Und da haben wir halt dann als Externe doch den Vorteil, Wir tun an ganzen Tag nichts anderes also wie Datenschutz und haben natürlich Als externer Dienstleister das externe Datenschussbeauftragte Natürlich ein ganz anderen Overview über auch unterschiedliche Branchen.

00:31:09: und Wie kann ich in welchem Unternehmen wie vorgehen?

00:31:12: Ja Also Ich habe zwar gerade eben gesagt wir Haben ja so unsere zehn Punkte mit der fangen wir mal an Aber wieder auch schon gerade eben Gesagt dass der steht überhaupt schon die Unternehmensstruktur.

00:31:21: Es ist natürlich schon einen Unterschied.

00:31:22: gehe ich jetzt in ein Start-up rein, ja jung freulich in Anführungsstrichen wo es auch noch prozessuale Themen gibt um man sich überhaupt erst nochmal finden muss.

00:31:33: In einer Unternehmensorganisation überhaupt?

00:31:36: oder geht man als Datenschutzbeauftragter im Unternehmen unterwegs dass es eigentlich schon mehrere Jahre gibt fünf acht oder zehn jahre und denen es jetzt einfällt?

00:31:47: Ja wir müssen uns eigentlich auch mit den Datenschutzen Da habe ich natürlich schon gewisse Strukturen, die sich in den letzten Monaten oder Jahren schon gelebt haben.

00:31:56: Das ist natürlich eine andere Herangehensweise.

00:31:59: also wenn ich erst noch halt die Prozesse im Unternehmen in einem Startup neu definieren muss wo ich im Zweifelfall immer unabhängig vom Datenschutz diese Struktur in sich nochmal zwei- oder dreimal umschmeißeweilig nach drei Wochen einfach feststellen, dass meine bisherige Struktur und meine bisherigen Abläufe nicht funktioniert haben oder nicht so gut wie ich mir das vorgestellt habe.

00:32:21: Ich bin natürlich hauptberuflich interner Datenschutzbeauftragter.

00:32:24: Den mag ich da ein bisschen anders sehen?

00:32:26: Ich glaube, das ist ein Band was immer zwischen intern- und externen Datenschutze beauftragten jene und her floppt.

00:32:34: Es

00:32:36: kommt drauf an.

00:32:38: Es kommt darauf an, sowieso.

00:32:39: Inzwischen bin ich allerdings tatsächlich jetzt ein paar Ausgründungen bei Heise.

00:32:42: da haben wir andere Systeme eingeführt Da haben wir einen externen Datenschutzbeauftragten und einen internen Koordinator.

00:32:50: Das war eigentlich eine ganz elegante Lösung zum Beispiel gerade wenn das nicht jemand ist der die Rechtsabteilung in einer Rechtsabteilung ist und sich gut mit Datenschutze auskennt.

00:33:00: das ist ja auch ein sehr ungeliebter Fall.

00:33:03: Da finde ich die eben im internen Koordinator, der halt interne Ansprechpartner ist für alle Datenschutzfragen und jemand, der sich aber gut auskennt dann im externen Bereich.

00:33:11: Und er auch so Sachen macht wie durch den Laden ziehen und Verarbeitungstätigkeiten aufzeichnen oder sowas.

00:33:18: Das ist so was, wo ich mich überhaupt nicht nachheisse ehrlich gesagt.

00:33:21: So was die Wunder holen wir auch gerne externe rein.

00:33:24: Sowas finde ich ganz gut so dass man das Beste aus beiden Welten hat quasi.

00:33:28: Ja

00:33:29: also das ist natürlich eine das Beste aus beiden Welten.

00:33:32: Aber als Datenschutzbeauftragter brauchst du, ja okay es kommt wieder drauf an aber du hast in der Regel einen Koordinator, name it how you want auf jeden Fall jemand eine Ansprechperson die dich auch als Datenschutz beauftragt innerhalb des Unternehmens mit unterstützt.

00:33:48: Du kannst als DSB einfach schlichtweg nicht alles wissen.

00:33:53: oder auch bei der Koordination von gewissen Dingen und wie du auch gesagt hast mal bei einer Überprüfung vom Verzeihungs- Klar, je größer das Unternehmen ist.

00:34:02: Je komplizierter das Unternehmen, desto mehr Datenschutzkoordinatoren hast du im Zweifelsfalle auch.

00:34:08: Aber das ist auch etwas was wir erleben gerade in größeren Unternehmen dass eben als einen externen Datenschutzt beauftragten gibt und intern ein kleines Datenschützteam.

00:34:18: Da gibt es dann eben zwei, drei Koordinatoren.

00:34:21: Da gibt's die Legal-Abteilung und da gibt's ihre Vision.

00:34:23: Die halt auch den Datenschutz beauftragen in seiner Tätigkeit oder eigentlich respektive eher den Verantwortlichen dabei unterstützen das Datenschutzmanagementsystem zum Leben zu bringen.

00:34:34: Aber wie gesagt, es hat alles seine Vor- und Nachteile.

00:34:38: Ich bin auch bei manchen Konstellationen der Meinung definitiv der Meinung dass das kein externer Datenschutzbeauftragte mehr machen sollte sondern dann einen internen Datenschuss beauftragten benennen soll und zwar gerade eben dann, wenn es tatsächlich ein Fulltime-Job wird.

00:34:56: Weil alles kann ich nicht an Koordinatoren auslagern und das muss auch die Erreichbarkeit des Datenschussbeauftragten eine einfache leichte Erreichheit des Datenschussbeauftrages sein.

00:35:08: Das sehe ich vielfach gerade eben zum Beispiel in Krankenhäusern.

00:35:12: Ja, also ich halte es im Kliniken immer für sehr sinnvoll da einen internen Datenschutz beauftragen zu haben, der als Ansprechpartner jederzeit erreichbar ist was ja... Es spricht dem Jahr nichts entgegen für das eine oder andere Thema sich eine externe Unterstützung reinzuholen.

00:35:28: die Möglichkeit habe ich hier dann immer

00:35:30: wenn ihr sagt jetzt ihr habt vorhin gesagt ihr seid natürlich auch beide beraten tätig deswegen vielleicht auch nicht ganz ohne Interesse daran beraten zu können.

00:35:42: Aber nehmen wir mal an, ich bin jetzt ein kleines Start-up, Daten getrieben durchaus auch hantiere schon mit durch aus sensiblen Daten, personenbezogenen Daten habe aber jetzt gerade mal zehn Mitarbeiter und hab eigentlich nicht die Muße und die Zeit jetzt vor allem das Geld mir eine große externe Beratungsgesellschaft reinzuholen, die alles organisiert.

00:36:03: Regina wiegelt in den Kopf, aber ich die Frage nochmal... Ich nehme mal an!

00:36:07: dass viele kleine Startups das so machen werden, dass sie sagen gut wir holen uns irgendwo Quellen aus dem Netz.

00:36:13: Es gibt wahrscheinlich irgendwo Leitfäden zur Erstellung eines Datenschutzmanagement Systems könnte ich mir vorstellen.

00:36:20: oder es gibt auch Software die da vielleicht für mich irgendwas keine Ahnung Fragebögen oder sonst irgendwas breit stellt.

00:36:25: was habe ich zu beachten?

00:36:27: und Würdet ihr sagen, das wäre ein schwerer Fehler für so einen Unternehmen dann auf eine externe Beratung zu verzichten?

00:36:35: Ich muss mich mal ganz direkt fragen.

00:36:36: Weil ich meine dass ist das was sich wahrscheinlich viele die Frage werden sich gerade viele kleinen Firmen für ihren Grund erstellen.

00:36:42: Ja sie werden ein Problem bekommen.

00:36:44: Die Frage ist ich habe grad eben so bisschen auch gezuckt bis so ein großes Beratungsunternehmen.

00:36:49: es gibt viele

00:36:50: Ein großes Teil des Mittleres egal aber zumindest

00:36:54: ja.

00:36:54: also

00:36:55: Zeit Organisation und vor allem auch Geld rein investieren

00:37:00: Das ist, glaube ich auch die Kunst eines externen Beraters zu analysieren.

00:37:06: Was braucht das Unternehmen tatsächlich um Risiko zu minimieren?

00:37:10: und was ist das sogenannte Fleißkärtchen?

00:37:12: Es heißt ganz klar wenn ich in einem Fintech unterwegs bin oder wenn ich Artikel neun Daten verarbeitet also Gesundheitsdaten zum Beispiel habe ich natürlich eine ganze andere Herausforderung auch an den Datenschutz aber nicht nur an den datenschutz als wenn ich ein kleines kleiner Auftragsverarbeiter bin.

00:37:28: Das heißt, die Thematik und das ist auch eine Frage, die sich der externe Berater stellen muss.

00:37:35: Wo liegt das Risiko für dieses Unternehmen?

00:37:37: Es heißt dann nicht dass ich in klein klein die Datenschutzgrundverordnung von A bis Z bis ins letzte Komma durchdeklinieren muss sondern ich muss mir halt schon überlegen wo sind die Schwerpunkte bei dem Unternehmen, wo liegt das risiko?

00:37:51: und den muss ich mich mitnehmen.

00:37:52: Das heißt also wenn Ich glaube, es ist bekannt.

00:37:56: Ich bin ein großer Fan von der Datenschutzfolgenabschätzung aber weniger mit der Folgenab schätzung sondern weil sie das per se als gutes Instrument empfinde was ich mir dann halt überlegen muss ist brauche ich denn wirklich für jede thematik eine datenschutz folgen abschätzung oder suche ich mir wirklich nur die schwerpunkte raus und machen risikobewertung um sicherzustellen dass das unternehmer nicht in einen risiko rein rennt?

00:38:19: weiß es sich wirklich nicht gesehen hat Da ist mir dann im Zweifelsfalle ein VVT, ein Verzeihungs- und Verarbeitungstätigkeiten im Finanzbereich durchdekliniert bis in die letzte Ritze wahrscheinlich im BtoB Bereich nicht hilfreich.

00:38:33: Wenn ich aber einen Geschäftszweck habe der Risiko behaftet Stichwort FinTech, da muss ich mir natürlich schon mehr Gedanken machen über den prozessualen Ablauf per se.

00:38:43: Wo sind welche Daten?

00:38:44: Was passiert mit den Daten?

00:38:46: Wo hat wer Zugriff... Welche Maßnahmen habe ich ergriffentechnisch und organisatorische Maßnahmen habe Ich ergriffen dass diese Daten geschützt sind?

00:38:55: weil so toll die Idee eines Start-up sein möge wenn dann mit dem Personen bezogenen Daten oder mit irgendwelchen Daten etwas passiert Dann hat sie es in zweifelsfalle mit dem start up schneller erledigt, als sie an den Exit denken können.

00:39:10: Das heißt und das heisst ja das was wir auch in der DSG vorhin haben diese Risikopäre ist hier die Ansatz.

00:39:15: Und deswegen bin ich immer so am Anfang mit dem Thema Datenschutzmanagement-System.

00:39:22: Das ist nicht teuer, das ist nicht groß es ist einfach ein Begriff und ich muss mir überlegen als Datenschussbeauftragter wie ich das im Unternehmen bei dem Verantwortlichen mit leben fühle dass sich ein Prozess braucht.

00:39:34: für Betroffenenrechte ist klar, dass ich ein Prozess brauche.

00:39:38: Für Datenschutzverletzung ist auch klar aber wie klein und wieder detailliert ich das dann tatsächlich ausfüllen muss?

00:39:45: Das ist meiner Meinung nach vom Leistungsgegenstand, vom Geschäftsgegenstand vielmehr von dem Unternehmen und von dem damit behaupteten Risiko abhängig.

00:39:53: Das weißt du aber ob die das wissen ist meistens jetzt eher nicht so... auf Bemühen uns relativ viele Startups zu beraten, es ist schwierig.

00:40:02: Weil das Budget für Datenschutz ist halt meistens wirklich sehr, sehr gering.

00:40:05: also gut ab vor allem die überhaupt ein Budget für datenschutz einplanen.

00:40:09: aber da kann man dann nicht groß Datenschutzzolgenabschätzung von machen oder so ne?

00:40:13: Dann reden wir für einen kleinen vierstelligen Betrag oder so.

00:40:18: Da kann man eine ganze Menge machen in so einem Grund Gerüst bauen, aber danach wird schon auch schwierig.

00:40:25: Also das ist glaube ich ein großes Problem bei Startups, dass es in der Regel eben nicht eingeplant ist, dass hier große Datenschutzmaßnahmen passieren wie ja viele andere Sachen auch nicht ne?

00:40:35: Die werden ja auch nicht plötzlich sich in Abfallwirtschaft auskennen und steuerlich werden sie wahrscheinlich auch Hilfe brauchen.

00:40:43: Das ist wahrscheinlich in Deutschland ein Startup-Problem auch in Deutschland.

00:40:46: Gerade bei der DSKVO, das ist hier keine... Einschränkungen gibt es zumindest bei harmlosen Startups, ne?

00:40:51: Weil bei vielen Textmarkten ist was anderes.

00:40:53: Aber

00:40:53: ich befürchte nur Jörg und das wird wahrscheinlich auch die Erfahrung sein, die du gemacht hast.

00:40:56: Ich befürchtte nur dass der Datenschutz dann immer in dieser Liste von Beratungskunstenkeiten, die man einkaufen muss, immer ganz unbestimmt.

00:41:04: Ja, ich

00:41:05: glaube...ich denke...ich glaub' ...das liegt auch daran.

00:41:07: Der Datenschuss hat per se irgendwie ein negatives Image.

00:41:11: Wenn wir aber daran denken Und ich hoffe, Jörgg, Du kannst mir dazustimmen und auch beim Startup wenn wir außen aus dem Datenschutz kommen und uns die Verarbeitung, sprich die Prozesse angucken.

00:41:22: Und sehen wo kommt ein Datum rein?

00:41:24: Wo geht es wieder raus?

00:41:26: Begreifen wir ja auch mit Prozessoptimierung.

00:41:29: Also das ist ja auch ein Nebenprodukt in Anführungsstrichen, dass wir da auch haben wenn wir uns angucken wie ein Bananes Beispiel wie ein Auftrag eingeht Dann gucken wir uns ja auch, aus dem Prozessablauf zum Hindersensinieren machen.

00:41:43: Das natürlich auch den Prozesseablauf auf und stellen an der einen oder anderen Stelle fest, dass der eine Mitarbeiter das anders macht als wieder andere Mitarbeiter, dass eben keine Gleichheit der Prozess-Durchführung ist was sich durch die Dokumentation im Verzeihungs der Verarbeitungstätigkeiten dann widerspiegelt.

00:41:59: Aber lass uns das mal... durchgehen weiter.

00:42:01: Also wir sind jetzt bei unserem kleinen Start-up und haben Verantwortlichkeiten, Datenschutzorganisationen, Zuständigkeiten.

00:42:08: Wir haben Datenschutze beauftragten extern mit einem internen Ansprechpartner.

00:42:13: Fahrabteilungen sind gebrieft IT ist gebrieft.

00:42:17: das ist schon mal glaube ich ein ziemlich gutes Stück für einen Start up.

00:42:20: da sind wir glaube ich schon mal in den oberen Drittel vielleicht.

00:42:24: Und dann kommen wir zu diesem formalen Datenschuss also als erstes Datenschutzbestandsaufnahmen, Verarbeitungstätigkeiten.

00:42:33: Da komme ich ja letztendlich nicht rum, jemanden durch alle Abteilungen zu schicken und mal zu gucken was für Daten verarbeitet ihr?

00:42:41: Das macht dir sicher auch Regina würde ich sagen wahrscheinlich gibt es nicht mehr machen aber ihr habt sicher Leute die ihr da durchschickt.

00:42:47: Ich mache das manchmal auch ganz gerne.

00:42:48: Aber ja, dabei sind sogenannte Prozesseaune und wir haben also prozessverantwortliche, wenn wir es gerade bei der Dokumentation der Prozeste sind in den einzelnen Abteilungen die eben für diese Verarbeitung ich bleibe jetzt mal bei dem datenschutzrechtlichen Begriff zuständig sind.

00:43:04: Und dies sind dann auch mit involviert bei der Erhebung der Verarbeitungszeit.

00:43:11: Das heißt von mir damit anfangen haben wir als erstes einen Workshop, ich nenn's mal letzte Workshop.

00:43:17: Wo wir diesen Prozess-Ownern, den Mitarbeitern auch erklären warum wird das überhaupt tun?

00:43:22: Was ist das?

00:43:22: sind Zweck der Sache und auch in Teilen wie es funktioniert also die Begriffsbestimmungen ist im Endeffekt nochmal eine kleine Datenschutzschulung.

00:43:30: Und dann ja gehen wir natürlich mit dem Prozess Aunern diese einzelnen Verarbeitungen durch Mit dem Hinweis geht den Prozess den du abwickelst in deiner Tätigkeit einmal durch und schreibt es auf, wie du davor gehst.

00:43:46: Damit wir eben auch einen guten Prozessablauf haben.

00:43:49: Immer mit dem Hintergrund.

00:43:51: die Frage ist immer, wie detailliert muss ich das denn tatsächlich machen?

00:43:55: Wir sind wieder bei dem Risiko, wir sind wieder dabei, wie sinnhaftigkeit ist es dann wenn ich einen einfachen Prozess in drei Verarbeitungen teile?

00:44:05: Macht keinen Sinn!

00:44:06: Das heißt also die Überlegung, die auch hier immer eine Rolle spielt is', was ist das Risiko hinter der Verarbeitung?

00:44:13: Auch dann dahingehend sind die Löschfristen oder eben auch die Rechtsgrundlage.

00:44:19: Aber ja, wir gehen eigentlich so vor dass wir entsprechende Abteilungen in den Bereichen prozessverantwortlich haben, die für diesen Teilbereich im Verzeihnis der Verarbeitungstätigkeiten verantwortlich sind und auch hier bei der Erhebung und bei der Pflege, bei der Dokumentation unterstützen weil sie wissen wie die Verarbeition mit dem Prozess funktioniert.

00:44:41: Es

00:44:41: gibt sehr unterschiedliche Ansätze zu.

00:44:43: Ich habe bei dir erfahren gemacht, dass es überhaupt nicht funktioniert.

00:44:46: Wahrscheinlich ist das auch abhängig von der Person, ob die da irgendwie Bock drauf hat...

00:44:50: Genau!

00:44:52: Das ist genau das Thema.

00:44:53: wir kriegen Verzeihung dieser Verarbeitungszeltigkeiten, das mache ich auf und ich denke mir okay, das machen wir jetzt noch mal ja?

00:45:00: Und wir kriegen auch, damit wird er auch nicht anders sein und du wir kriegen verzeihungen der Verarbeitung Zeltigkeiten wo ich aufmache Wow!

00:45:07: Jetzt

00:45:07: mal mehr anfangen.

00:45:09: Es ist auch immer eine Thematik, glaube ich, mit wie gut du kommunikativ als Datenschutzbeauftragter unterwegs bist.

00:45:20: Ich will nicht immer sagen, dass wir DSBs die Bösen sind – nein es sind wir nicht!

00:45:24: Aber ganz klar wenn du als DSB das erste Mal in den Unternehmen reinkommst dann ist das erst mal über allen anderen Funktionen ein bisschen Ablehnung aber man muss halt dann auch die Thematika verkaufen.

00:45:37: Man muss halt auch verkaufen, dass Datenschutz wichtig ist.

00:45:40: Dass es Datenschutzen betrifft und das Unternehmen als Verantwortlichheit eigentlich nur die Schnittstelle ist, die der Versorger trägt, dass unseren Daten nix passiert um es mal so ganz plagativ zu sagen.

00:45:51: Und auch etwas was wir auch im Vorgespräch mal kurz angerissen haben Ich bin halt auch kein Fan von bis in die letzte Ritze.

00:45:59: Also die Thematik, die sich halt immer stellt.

00:46:01: Wie kleinteilig muss ich da tatsächlich unterwegs sein?

00:46:06: Wie ausführlich muss ich etwas beschreiben?

00:46:09: Wenn ich gerade in der Finanzbuchhaltung unterwegs bin... Die GOPD und die Steuer gibt uns evor wie wir das zu tun haben.

00:46:16: Da muss ich nicht den Rechnungslebungsprozess in zehn Teilschritte zerlegen.

00:46:20: Das bringt weder dem Datenschutz was noch demjenigen, der den Prozess durchführt.

00:46:26: Bis dahin!

00:46:27: In meinen Verzeihungs- und Verarbeitungstätigkeiten fließt die in Teilen auch wieder in die Informationspflicht rein.

00:46:33: Diese ganzen Informationen brauche ich nicht für die Information zu pflichten.

00:46:38: Da sind wir nämlich jetzt beim nächsten Schritt, also zumindest hier in meiner kleinen Einführung des Datenschutzmanagement Systems FIBEL.

00:46:47: Wir haben die Verantwortlichkeiten, wir haben eine Datenschutzzbestandsaufnahme gemacht.

00:46:52: Nächster Punkt wäre jetzt bei mir das Gleitet natürlich zum Teil ineinander überrechtliche Anforderungen und Risiken bewerten.

00:46:59: Also Rechtsgrundlagen, Informationspflichten auf Bewahrungslöschlichen alles leicht gesagt.

00:47:05: Löschtlichen umzusetzen ist der absolute Horror.

00:47:07: Datenschutzrisiken prüfen erforderlicherweise Datenschutzzolgenabschätzung durchführen einen Punkt wo Mandanten meistens nicht unbedingt begeistert hier schreien.

00:47:17: Ich brauche jetzt eine Datenschützfolge Abschätzung.

00:47:21: Wie gehst du das am besten an?

00:47:22: Also die Themen, wo wir eine Datenschutzfolgeabschätzung tatsächlich brauchen.

00:47:27: Ich glaube das sind überschaubar!

00:47:28: Ich bin von der Risikobewerte...

00:47:30: Naja jede Nutzung von KI.

00:47:32: wenn ich in dem letzten Film voraus...

00:47:33: Ich wusste

00:47:34: dass

00:47:34: du es jetzt kommst!

00:47:36: Aber gut das brauchen wir nicht thematisieren.

00:47:38: Ich habe drauf gewartet und das ist das Punkt.

00:47:41: Lassen wir jetzt mal die KI immer ausservor, sind wir meist ein bisschen im Daily Business von einem KMU.

00:47:49: da hält sich das was eine Datenschutzfolgenabschätzung tatsächlich erforderlich ist aus der DSGVO relativ in Grenzen.

00:47:57: Nichtsdestotrotz ist es natürlich ein gutes Mittel, gerade wenn ich neue Software implementiere.

00:48:03: Wenn's neue Prozesse gibt mich an so einer Datenschutzfolge Abschätzung durch zu hangeln um den Prozess zu beschreiben Zugriffsberechtigungen zu definieren, Lösch- und Aufbewahrungsfressen hast du grade eben auch gesagt Und eben auch eine Risiko zur Bewertung zum Machen in Hinblick auf die technische und organisatorische Maßnahmen Wobei wenn ich natürlich einen Prozess in eine bestehende IT Infrastruktur einbinde dann wird sich aller Wahrscheinlichkeit an den technischen und organisatorischen Maßnahmen auch nichts ändern.

00:48:31: Ist dann relevant, wenn ich einen Dienstleister dafür einbinde?

00:48:34: Dann habe ich noch mal eine andere Konstellation Stichwort AVV.

00:48:41: Immer auch ungern Datenschutzfolgenabschätzung, ich nenne es immer dann ganz gern einfach nur Risikobewertung oder in Teilen auch einfach Interessensbewertungen um einfach mal einen Überblick zu haben.

00:48:52: Wie soll denn der neue Prozess überhaupt ablaufen?

00:48:55: Was ist geplant und was ist der Zweck?

00:48:57: Was soll am Schluss rauskommen?

00:48:59: damit ich auch im Hinblick auf den Datenschutzt auch meine Handlungsbedarf für sie als Datenschuss beauftragte.

00:49:04: Man unabhängig davon dass sich das Verzeichnis der Verarbeitungstätigkeiten ergänzen muss Aber ich muss ja dann auch wissen, ob das eine Relevanz bei Betroffenen anfragen.

00:49:16: Muss ich meine Informationspflichten an der einen oder anderen Stelle anpassen?

00:49:20: Was heißt nicht ich?

00:49:20: Ich musste verantwortliche seine Informations-Flichten an einer oder anderen Stellen anpassen.

00:49:25: Muss sich gegebenenfalls den Mitarbeiter für diese Verarbeitung, für die Anwendung der Prozessowner ist, muss ich denen mehr in einem, den ein oder anderem Prozess mit einbinden.

00:49:38: Dann sind wir dann wieder bei dem Management.

00:49:39: ein System, eine sauberen strukturierten organisierten Ablaufgewehr leisten.

00:49:44: Und du bist eine große Freundin von ausführlichen oder zumindest strukturierenden Verarbeitungsverzeichnissen?

00:49:53: Ich bin ein Freund davon zu haben und die dann nach zwei Jahren mal wieder anzugucken weil ich sie einfach nicht brauche in meiner Arbeit aber sehr andere Herangehensweisen, die ich jetzt gar nicht abwerten will.

00:50:03: Aber da kann man natürlich eine ganze Menge von diesen rechtlichen Anforderungen und Risiken dann auch umsetzen, Rechtsgrundlagen, Informationspflichten auf Bewahrungs- oder Pflichten.

00:50:11: Das kann man alles in die Verarbeitungstätigkeiten mit einbauen und da dann schon mal ein gewisses Stück weiter vorankommen, um zum nächsten Punkt zu kommen, nämlich verbindlicher Prozesse und Richtlinien etablieren, nämlich die Umsätze des Ganzen.

00:50:26: Wir sind ja im Plan, wie heißt das?

00:50:29: Plan-Do-Check-Act

00:50:31: PDCA.

00:50:32: Genau, PDCA da sind wir jetzt im Planbereich noch und da brauchen wir natürlich Prozesse und Richtlinien.

00:50:39: die braucht man glaube ich in jedem Unternehmen,

00:50:41: d.h.,

00:50:41: wie beantwortlich betroffenen Anfragen weil früher oder später kommt einer.

00:50:45: Also es ist sicherlich nicht so üblich wie bei Heise wo ein Dutzend in der Woche kommen aber irgendwann kommen sie Daten, wie geh ich mit Datenschutzvorfällen um?

00:50:55: Wie gehe ich mit neuen Auftragsverarbeitungen um Löschung in riesen Problemen?

00:51:01: Ich seh dich Holger.

00:51:02: Einführung Neuerartysysteme, Einführungen von KI.

00:51:07: Wie setzt sich diese Prozesse um, Holger?

00:51:10: Wie setzt du die Prozese um?

00:51:12: Ich hab kein Unternehmen.

00:51:13: Ist mir alles egal!

00:51:14: Nein, noch eine wichtige Gänzung, die mir schon die ganze Zeit so ein bisschen auf der Zunge lag.

00:51:21: Es gibt ja auch internen Datenschutz also es gibt jetzt zum Beispiel auch eine Personalabteilung unter Umständen aber es gibt zumindest den Umgang mit Personaldaten.

00:51:28: Auch das ist dann wahrscheinlich Bestandteil eines solchen Management-Systems oder?

00:51:32: Natürlich!

00:51:32: Das Datenschussmanagementsystem umfasst das ganze Unternehmen.

00:51:35: Weil wir jetzt die ganzezeit nur von Kunden und von externen Daten gesprochen haben, aber natürlich betrifft das auch.

00:51:42: Ja,

00:51:42: das betrifft das ganze Unternehmen.

00:51:44: Also nicht so wie bei ISO-Zertifizierungen wo ich dann den Scope irgendwie anpasse dass es cool aussieht sondern wenn ich Datenschutz unterwegs bin dann betriffte es also jedes personenbezogene Datum das eingeht bis zu dem Punkt wo das Personen bezogene Datum des Unternehmens verlässt heißt durch Löschung oder durch Vernichtung.

00:52:02: Das alles gehört dann zum Thema.

00:52:04: ja wir kümmern uns um den Datenschutzz und das umfasst auch das Datenschuss meinetwas System.

00:52:09: Also auch das was hier gerade eben angesprochen hat.

00:52:12: Natürlich muss ich mir auch über eine Löschung oder eine Vernichtung von den personenbezogene Daten Gedanken machen im Rahmen eines Datenschutzmanagementsystems.

00:52:20: Das kann ich relativ einfach lösen, ich kann es auch kompliziert löschen.

00:52:24: Der Regeln-Stichwort Aktenvernichte – wir haben misst das zu trotz immer noch ein paar Papierunterlagen die deren Vernichtungen ja auch gewährleistet werden muss.

00:52:33: oder wird die Entsorgung von Notebooks und Smartphones wenn man sie nicht mehr braucht?

00:52:37: bis dahin elektronisch müssen die Daten ja auch irgendwie gelöscht vernichtet werden, wo ich mir manchmal denke Mensch war das einfach das Papier einfach durch einen Aktenvernichter zu lassen.

00:52:48: Wenn es ein guten Aktenvernichter war hat sich das erledigt.

00:52:51: mit elektronischen Daten ist das in Teilen viel komplizierter.

00:52:55: Meinen nehmen wir so die Laschkonzepte.

00:52:58: Das ist furchtbar Wobei ich sie ganz gerne schreibe und es ist ein sehr schönes Erfolgserlebnis, wenn man sie dann hinterher irgendwann mal hat.

00:53:05: Aber der Weg dahin ist jetzt herzlich weil einfach auch alle mitreden wollen.

00:53:09: aber das regieren vielleicht dich für dich nochmal die wie schaffen solche verbindlichen Prozesse Richtlinien zu etablieren so was wie Laschkonzepte betroffenen Rechte umsetzen Umgang Gedanke vor Fällen und sowas.

00:53:23: Also ist es auf allen fall in Kommunikationsthema.

00:53:26: Es ist aber auch ein Schulungsthema.

00:53:28: und um jetzt auch noch mal das reinzubringen, was du auch am Anfang gesagt habt ich muss definieren.

00:53:32: Der Fisch fängt zum Kopf zu stinken an wenn sich natürlich die Geschäftsführung dafür überhaupt nicht interessiert und sich hinstellt dass es alles mühsam und wollen wir nicht.

00:53:40: Das ist natürlich auch schwer gut funktionierende Prozesse dazu implementieren.

00:53:46: Wie komplex wie aufwendig die Prozesses sind kommt natürlich auch auf das Unternehmen, auf das Geschäftszweck an.

00:53:53: Dass ihr bei Heiße hier bedeutend mehr betroffenen Anfrage in einer Woche habt als... Ein Kunde von uns als produzierendes Unternehmen, die haben zwar über sechshundert Beschäftigten.

00:54:05: Ich bin da jetzt seit fünf oder sechs Jahren Datenschutzbeauftragte und ich habe noch keine einzige Betroffenenanfrage erhalten mit dem Unternehmen.

00:54:12: Wir haben natürlich einen Prozess der betroffenen Anfrage heißt und der ist relativ einfach.

00:54:17: alles was irgendwie nach einer Anfrage ausschaut schickt ihr bitte an Regina unsere Datenschussbeauftrage.

00:54:24: Da macht ein anderer Prozess keinen Sinn.

00:54:27: Ich kann dir vorstellen, dass bei euch – Jörg war heiße – die Sachen nicht sofort direkt bei dir auf dem Schreibtisch landen sondern erstmal nochmal die eine oder andere Schleife ziehen!

00:54:37: Wahrscheinlich wird die eine oder andere Anfrage erst gar nicht auf deinem Schreibtisch landen als DSB, weil ihr da genau im Vorfeld definiert habt.

00:54:45: Wenn die Anfrage so aussieht dann gibt es die Antworten.

00:54:48: Genau nur die problematischen.

00:54:51: Das macht in einem Unternehmen das vielleicht einmal im Monat... Alle zwei Monate eine betroffenen Anfrage erhält, deinen Riesenmordsprozess aufzuziehen.

00:54:59: Macht überhaupt gar keinen Sinn!

00:55:01: Weil bis es damals so weit ist hat's der Mitarbeiter oder der Datenschutzkoordinator wahrscheinlich ihr vergessen, wie das zu tun hat.

00:55:07: also ist da der Prozess relativ einfach.

00:55:10: alles was in irgendeiner Form danach aussieht wird an den DSB geroutet und der DSB hat dann seine Abpark-Liste ja?

00:55:18: Also ich hab' ich dann da... Ich weiß wenig im Unternehmen für was ansprechen muss von welchen Systemien wir nachgucken müssen.

00:55:26: Das ist dann der ganze Prozess, den wir da haben.

00:55:28: Also das sind wieder bei der Thematik.

00:55:30: es kommt auch das Risiko darauf an und es kommt einfach auf das Unternehmen drauf an wie komplex ist diese Sache machen muss.

00:55:36: ich habe schon Wir haben schon mal ein Data-Überlehrer übernommen.

00:55:39: Da gab's für Auskunftsersuchen, für Löschersuchen Für Datenportabilität, für Einschränkung der Verarbeitung was hab' ich jetzt gerade vergessen?

00:55:49: jeweils gesonderte Prozesse.

00:55:52: Das macht bei den besagten produzierenden Unternehmen überhaupt gar keinen Sinn.

00:55:55: Da gibt es einen Prozess, der alles abdeckt enden und da hilft natürlich ein Verzeihendes der Verarbeitungstätigkeiten.

00:56:03: wenn dann einmal eins auf dem Tisch kommt Natürlich schon um zu wissen welche aktuellen Anwendungen haben wir, wer sind die Ansprechpartner?

00:56:13: Was für Löschfristen haben wir dahinter definiert.

00:56:16: Ist da natürlich schon mal hilfreich um die ersten Antworten zu generieren für die Antwort und muss ich jetzt bitte noch nachreichen ist es natürlich auch wichtig die Leute dahingehend zur Schulen dass solche Anfragen nicht nur auf den Postwege kommen sondern das halt der Betroffene vielerlei Kommunikations Wege hat, auch nachdem wie das Unternehmen aufgestellt ist.

00:56:42: Und nein es ist nicht so dass jede Anfrage an Datenschutz-Ed oder DSB-Ed gerichtet werden muss und alles was diesen Weg nicht wählt brauche ich nicht beantworten.

00:56:54: Das ist eben nicht so.

00:56:56: Sondern die Herausforderung ist eigentlich bei solchen Prozessen zu gewährleisten, dass egal in welchem Kanal und in welchen E-Mail Account so eine Anfrage reingeht Gesetzeskonform beantwortet wird.

00:57:10: Das ist eine der größten Herausforderungen in Unternehmensstrukturen, die ich mitbekommen habe das man die Leute dazu bringt darauf zu reagieren übrigens auch darauf zu regieren dass ihr Computer vielleicht plötzlich komische Dinge macht und so weiter und nicht einfach auszumachen sondern es weiter zu melden.

00:57:27: oder hier ist irgendwas was nach Datenschutz klingt bitte gibt es weiter.

00:57:31: hier beschwert sich jemand über Spam bitte gibt das weiter.

00:57:34: Da werden wir dann schon beim letzten Punkt nämlich Kontrolle und kontinuierliche Verbesserung sicherstellen.

00:57:40: Also das heißt Audits, wenn man das denn machen will.

00:57:43: ich habe noch nie ein Audit durchgeführt tatsächlich obwohl ich auch zweimal Auditor Fortbildung habe.

00:57:49: aber ich glaube dass liegt mir überhaupt nicht.

00:57:51: Audits Kennzahlen, Kontrollen Maßnahmen dokumentieren und das Datenschutzmanagement System fortlaufen an neue Risiken und Rechtsentwicklungen anpassen auch keine ganz einfache Herausforderung

00:58:03: Ja, da müssen wir aber glaube ich auch nochmal über den Begriff Audit sprechen.

00:58:07: Audit ist eigentlich nichts anderes als wie eine Prüfung.

00:58:10: Man kann Audit glaube ich in sehr klein und sehr sehr sehr beruhigend machen.

00:58:13: Also

00:58:14: unter Leben damit lahmlegen?

00:58:16: Genau also das ganze Unternehmen tagelang dann mit Namen nehmen.

00:58:19: ein Audit is im Zweifelsfalle auch ob ich überprüfe dass bei jedem Arbeitsplatz der Moment nicht besetzt ist der Bildschirm schon aktiviert.

00:58:29: Ja, wäre auch ein Audit.

00:58:32: Ja und klar das Audit ist ob das zeitigste Verarbeitungstätigkeiten noch stimmt?

00:58:37: Das Audit es um einen Prozess für Betroffenenanfragen funktioniert.

00:58:42: also ich schicke dann mal doch gerne mal so eine betroffenen Anfrage in ein Unternehmen rein und warte wann es auf meinem Schreibtisch landet als die ist wie wenn denn der Prozesse ist.

00:58:53: dass es beim Geland mit Land soll ist auch ein audit.

00:58:57: Ich muss als DSB meine Audits nicht selber durchführen.

00:59:00: Gerade wenn es in technischen und organisatorischen Maßnahmen geht, ich freue mich da immer um die Unterstützungen vom Informationssicherheitsbettauftragten also vom ISO.

00:59:09: Wir machen das auch gerne zu zweit oder von der Compliance-Abteilung oder von einer Redition.

00:59:14: Es heißt ja nicht dass ich als DSP meine Audit so alles selbst durchführen muss – ich kann mich ja auch der Kolleginnen und Kollegen Bedienen hört sich jetzt nie wirklich tief an, aber ich kann die ja auch um Unterstützung mit den Faktes.

00:59:28: Allerdings dass ich als verantwortlicher gesetzlich dazu verpflichtet bin das ich es regelmäßig überprüfe.

00:59:34: Jetzt definiere Regina regelmäßig ein sehr weiter Begriff monatlich.

00:59:41: Das sind wir dann wieder beim Risiko Holger.

00:59:44: Ja also ich sage mal ein Verzeihung ist der Bearbeitungszeitigkeiten im Finanzbereich alle zwei Jahre Alle drei Jahre, wenn sich da nicht gerade die Softwareengel ändert ist es ein ziemlich stabiler Prozess sag ich jetzt mal.

00:59:57: Also die Steuergesetze lassen grüßen der Steuerberater sowieso das Finanzamt erst recht.

01:00:03: aber es kann sich natürlich anders verhalten im Personalbereich also gerade mit Personalmanagementsoftware.

01:00:10: und natürlich wir sind wieder beim Geschäftszweck des Das des Unternehmens, wenn das hier natürlich viel mit IT zu tun hat.

01:00:17: Fintech mit Gesundheitsdaten Auftragsverarbeiter ist.

01:00:22: Dann habe ich da noch mal ganz andere Anforderungen auch von den Teilen der Kunden die dann halt durchaus verlangen dass der Auditbericht des Datenschutzbeauftragten einmal im Jahr zur Verfügung gestellt wird.

01:00:37: Das wäre nämlich auch eher meine Herangehensweise muss ich sagen.

01:00:40: Also

01:00:40: wie jemand getan?

01:00:41: Ja, mein

01:00:42: Leben.

01:00:45: Tauschen

01:00:45: wir jetzt!

01:00:49: Es muss ja in diesen Zyklus Veränderungen immer berücksichtigt werden.

01:00:53: und gerade was ins Start-up angeht... Da tut sich in den ersten Jahren, in dem Prozessen glaube ich so viel.

01:01:00: erstens wächst das was Mitarbeiterzahl angeht unter Umständen.

01:01:04: Dann ändern sich Prozesse dann ändert sich harte und Software ziemlich rasant könnte ich mir vorstellen vor allem wenn es um Daten getrieben unternehmen.

01:01:14: Und dafür scheint mir zwei Jahre doch sehr lang zu sein.

01:01:16: also da finde ich sogar ein Jahr schon.

01:01:19: da kann in so einem Start-up sehr viel passieren denke ich

01:01:22: Ja, es kommt auf das Risiko drauf an und es kommt natürlich darauf an.

01:01:26: Sobald sich etwas ändert, eine neue Software macht eigentlich kein Audit aber dann musst du den Prozess sowieso von vorne auf setzen und Risikopassiert.

01:01:36: Wie gesagt die Definition ist immer wie definiere ich Audits?

01:01:39: Was ich mir überlege ist weniger dass ich hier einmal das Unternehmen für drei Tage Laden lege um mein Audit durchzuführen, sondern mir geht es halt dann eher darum zu verstehen wie die Prozesse funktionieren.

01:01:53: Sind die gut dokumentiert?

01:01:55: Kann ich anfangen von Betroffenen beantworten bei einer Datenschutzverletzung, weil wir wissen was wir zu tun haben in Anführungsstrichen und sind wir da up to date.

01:02:06: Ein Audit ist auch eine Prüfung.

01:02:09: Die Thematik mit dem Auditbericht ein Datenschurzbeauftragter sollte das was er prüft dokumentieren Und sollte halt sicherstellen, wir sind wieder bei dem Thema auch der Datenschutzbeauftragte so die frühzeitig eingebunden sein.

01:02:23: Wenn ich bei der Idee, wir möchten eine neue Software anschaffen als DSB eingebundet ist dann habe ich ja eigentlich laufend ein Audit weil ich diesen Einführungsprozess mit Begleitung aus der datenschutzrechtlichen Sicht.

01:02:36: Also ein plädoyerisches Audit und in wie man das jetzt auch mal definieren möchte.

01:02:44: Ich nehme das mal mit, wir haben gerade den Referentar und ich glaube der wird jetzt demnächst mal bei Audits bauen müssen.

01:02:49: Und da mal ein bisschen nachschauen ob zum Beispiel bestimmte Prozesse noch okay sind und Zeit gibt.

01:02:55: Wenn er sich beschwert werde ich ihn an dich verweisen.

01:02:59: Kannst du gerne machen aber auch wie...ich komme nochmal auf die bemerkten Bemerkungen von Holger zurück.

01:03:04: zwei Jahre Es ist eine Frage des Risikos und es ist natürlich ne Frage des Wanders.

01:03:10: Es gibt sicherlich Bereiche, da wird man ja im halbjahres Rhythmus überprüfen ob es noch funktioniert.

01:03:16: Wie gesagt mit dem Beispiel Finance ist auch alle drei Jahre wenn sich da eigentlich nichts ändert in der Software auch vollkommen ausreichend.

01:03:24: die Frage ist wie gesagt immer nach einem Risiko dass dahinter steckt nicht die Erfüllung eines Gesetzes mit Punkt und Komma.

01:03:32: es muss zielführend für das Unternehmen sein.

01:03:35: So bei Heise würde ich auch sagen, dass alle zwei Jahre reichen.

01:03:39: Weil sich hier nicht so viel verändert.

01:03:42: Man schärft immer mal sowas nach im Datenschutzerklärung und sowas aber die Grundstrukturen ändern sich nicht so hart.

01:03:49: Das eine ist passiert mal was wenn?

01:03:51: ein Unternehmen hat sich abgespeichert, abgetrennt heiße Conferences.

01:03:55: Da hat sich dann natürlich ne ganze Menge geändert und da müsste man eben noch daran.

01:03:59: Gut!

01:03:59: Dann sind wir am Ende.

01:04:01: ganz herzlichen Dank Regina für die Einblicke in die wunderbare Welt der Datenschutzmanagement Systeme und ich lerne, dass wir auch eins haben.

01:04:11: Vielleicht nicht das Allerbeste und jetzt vielleicht besser machen können.

01:04:15: Und Holger möchtest du jetzt auch ein Datenschutzen-Management-Systeme haben?

01:04:23: Nein!

01:04:23: Ich lebe hierin in der Haushaltsausnahme.

01:04:29: Lass mich noch mal ganz kurz auf unsere Kontaktmöglichkeiten hinweisen.

01:04:33: bei der Gelegenheit Auch gerne Kommentare zu dieser Episode und allen vergangenen auch.

01:04:39: Ihr findet uns unter ct.de.

01:04:41: slash Auslegungssache, da wird diese Episode hier am vierten neunten erscheinen.

01:04:46: aber dort sind auch alle vergangenen Episoden direkt abrufbar oder auch verlinkt und man kann die auch immer noch kommentieren auch wenn sie schon ein paar Wochen alt sind oder ein paar Monate und auch zu dieser Episode.

01:04:56: hier wird es dann ein eigenes Forum geben an dem ihr euch bitte gerne Rege beteiligen könnt.

01:05:01: Ihr könnt uns aber auch schreiben unter auslegungshacherct.de.

01:05:05: das geht an Jörg und mich direkt Und auch Themenvorschläge, Ideen was euch auf den Nägeln sagen.

01:05:10: Einfach

01:05:10: Rentenvorschläge gerne auch?

01:05:12: Genau und gerne auch.

01:05:14: Positiv oder negative Kritik.

01:05:16: Ja.

01:05:17: Negative geht auch aber wir würden schon auch positive nehmen.

01:05:19: Wir nehmen alles.

01:05:20: Dann sind wir durch!

01:05:21: Ich danke euch nochmal für die Einladung Jörg.

01:05:24: Danke, dass

01:05:24: du da warst.

01:05:25: Es hat

01:05:25: Spaß gemacht.

01:05:26: Ich wünschen das du da wars, Regina.

01:05:27: Vielen Dank, bocken Männer.

01:05:29: Und dann würde ich sagen habt noch einen schönen Restsommer und bis in zwei Wochen.

01:05:34: Bis dann,

01:05:34: tschüss!