Privacy Program Richtlinien & Prozesse

Eine DSGVO-konforme Datenschutzrichtlinie muss mehrere Kernbereiche abdecken, die sich aus den Anforderungen der Art. 5, 24 und 32 DSGVO ergeben. Dazu gehören: Geltungsbereich und Zielsetzung der Richtlinie, Rollen und Verantwortlichkeiten (Datenschutzbeauftragter, Fachbereiche, Geschäftsleitung), Grundsätze der Datenverarbeitung (Zweckbindung, Datenminimierung, Speicherbegrenzung), Rechtsgrundlagen für Verarbeitungstätigkeiten, Verfahren zur Wahrung von Betroffenenrechten (Art. 15 bis 22 DSGVO) und technisch-organisatorische Maßnahmen gemäß Art. 32 DSGVO.

Zusätzlich sollte die Richtlinie Regelungen zu Auftragsverarbeitung (Art. 28 DSGVO), Datenschutz-Folgenabschätzung (Art. 35 DSGVO), Meldepflichten bei Datenschutzverletzungen (Art. 33 bis 34 DSGVO) und internationalen Datentransfers (Art. 44 bis 49 DSGVO) umfassen. ADVISORI entwickelt individuelle Richtlinienarchitekturen, die alle regulatorischen Anforderungen abdecken und gleichzeitig für Mitarbeitende verständlich und umsetzbar bleiben.

Die interne Datenschutzrichtlinie und die Datenschutzerklärung erfüllen unterschiedliche Zwecke und richten sich an verschiedene Zielgruppen. Die Datenschutzerklärung (Privacy Notice) gemäß Art. 13 bis 14 DSGVO ist ein externes Dokument, das betroffene Personen über die Verarbeitung ihrer Daten informiert. Sie wird auf der Website veröffentlicht und muss für Außenstehende verständlich sein.

Die interne Datenschutzrichtlinie ist dagegen ein internes Governance-Dokument, das verbindliche Vorgaben für alle Mitarbeitenden definiert. Sie regelt konkrete Arbeitsanweisungen, Prozesse und Verantwortlichkeiten im Umgang mit personenbezogenen Daten. Typische Inhalte umfassen Vorgaben zur IT-Nutzung, Passwortmanagement, Datenträgerhandhabung, E-Mail-Kommunikation und Löschkonzepte.

Unternehmen benötigen beide Dokumente: Die Datenschutzerklärung für die Transparenzpflichten nach außen, die interne Richtlinie als Nachweis angemessener organisatorischer Maßnahmen im Sinne der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Die DSGVO erfordert die Einrichtung mehrerer dokumentierter Kernprozesse. Der wichtigste ist das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO), das alle Datenverarbeitungen systematisch erfasst. Darüber hinaus sind Prozesse für die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich, die bei Verarbeitungen mit hohem Risiko für die Rechte betroffener Personen durchzuführen ist.

Weitere Pflichtprozesse umfassen: Bearbeitung von Betroffenenanfragen innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO), Meldung von Datenschutzverletzungen an die Aufsichtsbehörde innerhalb von 72 Stunden (Art. 33 DSGVO), Prüfung und Steuerung von Auftragsverarbeitern (Art. 28 DSGVO) sowie Löschkonzepte mit definierten Aufbewahrungsfristen.

ADVISORI unterstützt bei der Konzeption und Implementierung aller erforderlichen Datenschutzprozesse, einschließlich der Integration in bestehende Managementsysteme und der Automatisierung wiederkehrender Abläufe.

Die wirksame Einführung einer Datenschutzrichtlinie erfordert einen strukturierten Change-Management-Ansatz. Zunächst muss die Richtlinie durch die Geschäftsleitung formal in Kraft gesetzt werden, idealerweise als Betriebsvereinbarung oder verbindliche Arbeitsanweisung. Alle Mitarbeitenden müssen die Richtlinie nachweislich zur Kenntnis nehmen und deren Einhaltung bestätigen.

Entscheidend für den Erfolg ist die Begleitung durch Schulungsmaßnahmen: allgemeine Datenschutzschulungen für alle Beschäftigten sowie rollenspezifische Vertiefungen für Bereiche mit erhöhtem Datenschutzrisiko (HR, Marketing, IT, Kundenservice). Die Schulungen sollten mindestens jährlich wiederholt werden.

Für die nachhaltige Wirksamkeit empfiehlt sich die Einrichtung eines Datenschutz-Managementsystems mit regelmäßigen internen Audits, KPI-Tracking (Schulungsquote, Bearbeitungszeit von Betroffenenanfragen, Anzahl gemeldeter Vorfälle) und einem definierten Review-Zyklus für die Richtlinie selbst. ADVISORI begleitet den gesamten Einführungsprozess und etabliert nachhaltige Governance-Strukturen.

Die DSGVO sieht gestaffelte Bußgelder vor, die auch bei fehlenden oder mangelhaften Datenschutzrichtlinien und -prozessen verhängt werden können. Verstöße gegen die Pflicht zu technisch-organisatorischen Maßnahmen (Art. 32 DSGVO) oder die Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) können mit Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden.

Bei schwereren Verstößen, etwa gegen die Verarbeitungsgrundsätze (Art. 5 DSGVO) oder Betroffenenrechte (Art. 12 bis 22 DSGVO), beträgt der Rahmen bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes. Deutsche Aufsichtsbehörden haben in den vergangenen Jahren Bußgelder in zweistelliger Millionenhöhe verhängt, unter anderem wegen fehlender Löschkonzepte, unzureichender Dokumentation und mangelhafter Auftragsverarbeitersteuerung.

Neben Bußgeldern drohen Reputationsschäden, zivilrechtliche Schadensersatzansprüche betroffener Personen und Anordnungen der Aufsichtsbehörde, die bis zum Verarbeitungsverbot reichen können.

Die Integration von Datenschutzprozessen in bestehende Unternehmensabläufe folgt dem Prinzip „Privacy by Design" (Art. 25 DSGVO). Statt parallele Datenschutzstrukturen aufzubauen, werden Datenschutzanforderungen direkt in Geschäftsprozesse eingebettet. Konkret bedeutet das: Datenschutz-Checkpunkte in Projektmanagement-Methoden (z. B. DSFA-Prüfung bei neuen IT-Systemen), Integration in Beschaffungsprozesse (Auftragsverarbeiter-Prüfung vor Vertragsschluss) und Einbindung in HR-Prozesse (Schulung bei Onboarding, Zugriffsrechte-Entzug bei Offboarding).

Bewährt hat sich die Nutzung eines Datenschutz-Managementsystems (DSMS), das sich an bestehende Managementsysteme wie ISO 27001 oder ISO 9001 anlehnt. Der PDCA-Zyklus (Plan-Do-Check-Act) ermöglicht eine kontinuierliche Verbesserung der Datenschutzprozesse.

ADVISORI analysiert bestehende Prozesslandschaften und identifiziert Integrationspunkte, an denen Datenschutzanforderungen mit minimalem Zusatzaufwand in den Arbeitsalltag eingebunden werden können.

ADVISORI bietet einen ganzheitlichen Beratungsansatz für die Entwicklung und Implementierung von Datenschutzrichtlinien und -prozessen. Der Prozess beginnt mit einer Bestandsaufnahme: Analyse vorhandener Richtlinien, Prozesse und Dokumentationen, Gap-Analyse gegen DSGVO-Anforderungen und Bewertung der Organisationsstruktur.

Auf dieser Basis entwickeln wir eine maßgeschneiderte Richtlinienarchitektur, die typischerweise eine übergeordnete Datenschutzleitlinie, bereichsspezifische Richtlinien (IT-Nutzung, Datenklassifizierung, Löschkonzept) und operative Arbeitsanweisungen umfasst. Parallel dazu konzipieren wir die erforderlichen Datenschutzprozesse und integrieren diese in bestehende Abläufe.

Unsere Beratung umfasst auch die Implementierungsbegleitung: Schulungskonzepte, Change-Management, Aufbau eines Monitoring-Systems mit definierten KPIs und die Vorbereitung auf Audits durch Aufsichtsbehörden. Durch regelmäßige Reviews stellen wir sicher, dass Richtlinien und Prozesse an regulatorische Änderungen und organisatorische Entwicklungen angepasst werden.