Datenschutz, der im Alltag funktioniert

Ein Datenschutzbeauftragter ist Pflicht, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG). Gezählt wird jede Person, die regelmäßig am Rechner mit Kunden-, Gäste- oder Personaldaten arbeitet, Teilzeitkräfte eingeschlossen. Mit Buchhaltung, Personalbüro und Warenwirtschaft ist die Schwelle schnell erreicht. Unabhängig von der Größe greift die Pflicht auch bei umfangreicher Verarbeitung besonders sensibler Daten als Kerntätigkeit. Für öffentliche Stellen gilt sie immer: Jede Gemeinde und jede Schule braucht nach Art. 37 DSGVO einen Datenschutzbeauftragten, auch mit drei Beschäftigten.

Ein externer Datenschutzbeauftragter übernimmt das gesetzliche Amt, ohne bei Ihnen angestellt zu sein: Er überwacht die Einhaltung der DSGVO, berät bei neuen Verfahren, schult die Beschäftigten und ist Ansprechpartner für Aufsichtsbehörde und Betroffene. Bei uns kommt die Praxis dazu: Wir pflegen das Verzeichnis der Verarbeitungstätigkeiten, dokumentieren die TOM, also die technischen und organisatorischen Schutzmaßnahmen nach Art. 32 DSGVO, und begleiten Datenpannen bis zur Meldung. Als IT-Systemhaus können wir empfohlene Maßnahmen auch umsetzen, von der Firewall-Regel bis zum Backup. Damit niemand die eigene Arbeit kontrolliert, trennen wir Amt und Technik personell.

Der beste Start ist eine Bestandsaufnahme: Welche Daten verarbeiten Sie, wo liegen sie, wer hat Zugriff, was ist schon geregelt? Daraus entsteht das Verzeichnis von Verarbeitungstätigkeiten, das Herzstück jeder DSGVO-Umsetzung. Danach folgen die Punkte mit dem größten Risiko: Verträge zur Auftragsverarbeitung mit Dienstleistern, Informationspflichten auf der Webseite, Zugriffsrechte und Backup. Vieles davon ist in wenigen Wochen erledigt, wenn es jemand strukturiert angeht. Wichtig ist die Reihenfolge: erst die Pflichten mit Frist und Risiko, dann die Kür. Ein Ordner voller Muster-Dokumente, die niemand gelesen hat, hilft bei keiner Prüfung. Genau diese Sortierung ist unser Job.

Bei einer Datenpanne zählt die Frist: Binnen 72 Stunden ab Kenntnis muss sie der Aufsichtsbehörde gemeldet werden, wenn ein Risiko für die Betroffenen besteht (Art. 33 DSGVO). In Bayern ist das für Unternehmen das Landesamt für Datenschutzaufsicht, für Gemeinden und öffentliche Schulen der Landesbeauftragte für den Datenschutz. Zuerst wird eingedämmt: Passwörter ändern, Konten und verlorene Geräte sperren. Dann werden Sachverhalt und Uhrzeiten festgehalten und das Risiko bewertet, denn ein verschlüsselter, verlorener Laptop ist meist nicht meldepflichtig. Auch die Entscheidung gegen eine Meldung wird dokumentiert. Bewertung und Meldung übernehmen wir als Ihre Datenschutzbeauftragten.

Ja: Bayerische Kommunen müssen neben dem Datenschutz ein Informationssicherheitskonzept nach Art. 43 BayDiG betreiben. Datenschutz regelt den Umgang mit personenbezogenen Daten, Informationssicherheit schützt alle Systeme und Informationen der Verwaltung. Beides greift ineinander: Ohne Firewall, Backup und Zugriffskontrolle sind die schönsten Datenschutz-Dokumente wertlos. Für kleinere Gemeinden bietet das Landesamt für Sicherheit in der Informationstechnik ein kostenloses Siegel als erreichbare Messlatte. Wir betreuen Datenschutz und Sicherheitskonzept in der Kommune gemeinsam, damit nichts doppelt und nichts gar nicht gemacht wird. So bleibt der Aufwand für die Verwaltung überschaubar.

Nein, und das sagen wir ehrlich: Rechtsberatung im Einzelfall gehört zum Anwalt, nicht zum Datenschutzbeauftragten. Wir liefern die Praxis dahinter: Konzepte, Dokumentation, Schulungen, Technik und die Begleitung im Ernstfall. In den allermeisten Fällen ist genau das die Arbeit, die tatsächlich anfällt. Wird es juristisch, etwa bei Schadenersatz oder einem Bußgeldverfahren, arbeiten wir dem Anwalt sauber dokumentiert zu. Als Datenschutzbeauftragte betreuen wir Betriebe und Verwaltungen in Ingolstadt, Pfaffenhofen, Kelheim, Eichstätt und Vohburg: mit kurzen Wegen, festen Ansprechpartnern und Terminen vor Ort. Reden wir einfach darüber, was bei Ihnen ansteht.

Ein externer Datenschutzbeauftragter wird üblicherweise über eine feste monatliche oder jährliche Pauschale abgerechnet, deren Höhe vom Aufwand in Ihrem Haus abhängt. Die Treiber sind die Zahl der Beschäftigten und Standorte, Menge und Sensibilität der Daten, etwa Gesundheits- oder Sozialdaten, und der Stand Ihrer Dokumentation. Ein Betrieb mit gepflegtem Verzeichnis braucht weniger Begleitung als eine Verwaltung, die bei null anfängt. Der Einstieg mit Bestandsaufnahme und Grundlagen ist meist aufwendiger als die laufende Betreuung, Sonderfälle wie eine Datenpanne rechnen wir nach Aufwand ab. Nach einem Erstgespräch bekommen Sie ein festes Angebot statt einer Schätzung.