Datenschutz
Ein interner Datenschutzbeauftragter kostet Sie Fachkunde, Fortbildung, Sonderkündigungsschutz und einen Interessenkonflikt, sobald die Person noch etwas anderes im Haus macht.
Ein externer kostet einen monatlichen Betrag und bringt Fachkunde mit, die sich über mehrere Mandate finanziert. Ich übernehme das Mandat vollständig remote – als TÜV-zertifizierter Datenschutzbeauftragter mit Fachkunde in ISO 27701, Europrivacy-Qualifikation und juristischem Grundstudium.
Drei Dinge gehören zusammen, und ich mache alle drei: das Mandat, die Dokumentation, die der Prüfung standhält – und die Prüfung, ob das Beschriebene auch gelebt wird.
Das Mandat
- Bestellung und Meldung bei der zuständigen Aufsichtsbehörde
- Laufende Beratung von Geschäftsführung und Fachbereichen
- Prüfung von Auftragsverarbeitungsverträgen und Datenschutzhinweisen
- Anlaufstelle für Betroffenenanfragen
- Jährlicher Datenschutzbericht an die Geschäftsleitung
| Stufe | Passt zu | Umfang |
|---|---|---|
| S | bis 50 Mitarbeitende, geringe Komplexität | 3 Stunden |
| M | 50–150 Mitarbeitende oder erhöhte Komplexität | 5 Stunden |
| L | 150–400 Mitarbeitende, Gruppenstruktur, KI- oder Gesundheitsdaten | 8 Stunden |
| XL | Konzerntochter, Prüfbranche, mehrere Gesellschaften | ab 12 Stunden |
Mindestlaufzeit 12 Monate, danach 3 Monate Kündigungsfrist zum Quartalsende. Nicht genutzte Stunden verfallen monatlich. Den monatlichen Betrag nennen wir im Erstgespräch, sobald die Stufe feststeht.
Dokumentation, die der Prüfung standhält
Nicht jedes Datenschutzthema braucht ein Mandat. Häufig fehlt genau eine Sache: ein Verzeichnis, das prüfungsfest ist. Ein Löschkonzept, das die IT tatsächlich umsetzen kann. Eine Folgenabschätzung, bevor das Projekt live geht. Diese Leistungen gibt es einzeln, mit festem Preis und Lieferdatum.
- Verarbeitungstätigkeit im Verzeichnis – Interview, Rechtsgrundlage, Empfänger, Löschfrist, Dokumentation
- TOM-Dokumentation nach Art. 32
- Datenschutzhinweis (Website, Kunden, Bewerber, Beschäftigte, Videoüberwachung)
- Löschkonzept
- Interne Richtlinie (E-Mail-Nutzung, Homeoffice, KI-Nutzung, Social Media)
- AVV-Prüfung nach Art. 28 inklusive Änderungsvorschlag
- Joint-Controller-Vereinbarung nach Art. 26
- Schwellwertanalyse nach Art. 35 Abs. 1
- Datenschutz-Folgenabschätzung, vollständig
- Datenpanne: Ersteinschätzung und Risikobewertung, Meldung nach Art. 33, Betroffeneninformation nach Art. 34
- Betroffenenanfrage nach Art. 15–21, Standardfall
Prüfen, ob es auch gelebt wird
Die meisten Datenschutzorganisationen scheitern nicht an fehlenden Dokumenten, sondern daran, dass die Dokumente nicht beschreiben, was tatsächlich passiert. Ein Datenschutz-Audit vergleicht beides und hält das Ergebnis so fest, dass Sie es der Geschäftsleitung oder einer Aufsichtsbehörde vorlegen können.
- Datenschutz-Audit-Interview je Fachbereich, inklusive Nachweisprüfung und Feststellungen
- Consent- und Trackingprüfung nach § 25 TDDDG, je Website oder App
- Europrivacy-Vorprüfung, je Kriteriengruppe
- Wirksamkeitsnachprüfung von Korrekturmaßnahmen
- Datenschutz-Jahresbericht an die Geschäftsleitung
Europrivacy ist das einzige vom Europäischen Datenschutzausschuss gebilligte Zertifizierungsverfahren nach Art. 42 DSGVO. Ich bin dafür als Auditor und als Implementer qualifiziert.