Datenschutzberatung: die DSGVO in Abläufe übersetzen, die im Alltag halten

Datenschutzberatung ordnet die Verarbeitung personenbezogener Daten in einem Unternehmen entlang von drei Fragen: Wofür wurden die Daten erhoben, worauf stützt sich die Verarbeitung, und wann endet sie. Praktisch heißt das: Verarbeitungen aufnehmen, wie sie tatsächlich laufen; je Verarbeitung eine Rechtsgrundlage benennen; Aufbewahrung und Löschung als Frist je Datenart festlegen; Auftragsverarbeiter und Transfers außerhalb der EU regeln; technische und organisatorische Maßnahmen dem Risiko zuordnen; und für neue Vorhaben früh klären, ob eine Datenschutz-Folgenabschätzung nötig ist. Das Ergebnis sind keine Ordner, sondern Abläufe, Systemeinstellungen und Verträge, die den Anforderungen im Alltag standhalten.

Die Bestellpflicht folgt aus der Verordnung und, in Deutschland, zusätzlich aus dem Bundesdatenschutzgesetz. Sie greift unter anderem, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, wenn Verarbeitungen einer Datenschutz-Folgenabschätzung unterliegen, oder wenn geschäftsmäßig Daten zur Übermittlung, zur anonymisierten Übermittlung oder für Markt- und Meinungsforschung verarbeitet werden. Behörden sind grundsätzlich verpflichtet. Wichtiger als die Zählgrenze ist in der Praxis die Frage der Vereinbarkeit: Wer die Verarbeitung selbst verantwortet — IT-Leitung, HR-Leitung, Geschäftsführung — darf sie nicht kontrollieren. Das ist der häufigste Grund, die Rolle extern zu besetzen.

Nach Artikel 30 je Verarbeitung: Name und Kontaktdaten des Verantwortlichen und, falls bestellt, des Datenschutzbeauftragten; der Zweck der Verarbeitung; die Kategorien betroffener Personen und der Datenarten; die Empfänger, an die Daten weitergegeben werden, einschließlich Auftragsverarbeiter; Übermittlungen in Drittländer samt Grundlage; die vorgesehenen Löschfristen; und eine Beschreibung der technischen und organisatorischen Maßnahmen. In der Praxis lohnt es sich, zusätzlich die verwendeten Systeme und die Rechtsgrundlage je Verarbeitung zu führen — beides steht nicht ausdrücklich im Gesetz, wird aber in jeder Prüfung gebraucht. Entscheidend ist, dass das Verzeichnis den gelebten Ablauf beschreibt: Weicht es davon ab, ist es kein Nachweis, sondern ein datierter Widerspruch.

Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt. Artikel 35 nennt drei Regelfälle: umfangreiche Bewertung persönlicher Aspekte einschließlich Profilbildung als Grundlage automatisierter Entscheidungen, umfangreiche Verarbeitung besonderer Kategorien wie Gesundheitsdaten, und systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Die Aufsichtsbehörden führen darüber hinaus Listen mit Verarbeitungen, für die sie eine Folgenabschätzung verlangen. Sinnvoll ist sie früh im Entwurf: Dann gestaltet sie Datenfelder, Zugriffe und Aufbewahrung mit, statt eine schon getroffene Entscheidung nachträglich zu bewerten.

Datensicherheit fragt, wer an Daten kommt und wie sie vor Verlust und Zugriff geschützt sind — Verschlüsselung, Berechtigungen, Angriffserkennung, Ausfallsicherheit. Datenschutz fragt vorher, ob die Daten überhaupt vorhanden sein dürfen: mit welchem Zweck sie erhoben wurden, auf welcher Rechtsgrundlage sie verarbeitet werden und wann sie zu löschen sind. Beides greift ineinander, denn die technischen und organisatorischen Maßnahmen nach Artikel 32 sind Sicherheitsmaßnahmen im Dienst des Datenschutzes. Aber sie ersetzen sich nicht: Ein perfekt verschlüsselter Datenbestand ohne Rechtsgrundlage bleibt rechtswidrig, und eine einwandfreie Rechtsgrundlage schützt keinen ungesicherten Server.

Abgerechnet wird nach Tagessatz. Für den Fachbereich Compliance & Legal liegen die auf unseren Rollenseiten ausgewiesenen Spannen aktuell zwischen 750 € und 1.600 € pro Tag, je Rolle enger gefasst — ein externer Datenschutzbeauftragter etwa zwischen 800 € und 1.400 €. Wie viele Tage ein Vorhaben braucht, hängt nicht an der Mitarbeiterzahl, sondern an der Zahl der Fachbereiche und Systeme, dem Stand der vorhandenen Unterlagen und daran, ob besondere Kategorien oder Drittlandtransfers im Spiel sind. Eine Standortbestimmung ist deutlich kleiner als der Aufbau eines vollständigen Verzeichnisses; eine Bestellung nach Artikel 37 läuft nicht über ein Projektbudget, sondern über ein Jahreskontingent.

Von fünf Größen. Erstens Seniorität und Prüfungserfahrung — wer mehrere Aufsichtsverfahren begleitet hat, wird anders bewertet als jemand mit Zertifikat und wenig Praxis. Zweitens die Ausrichtung: juristische Bewertung, technische Umsetzung oder beides. Drittens die Branche mit ihren Zusatzregeln, etwa Landeskrankenhausrecht, Finanzaufsicht oder öffentliches Fachrecht. Viertens die Sprachanforderung, sobald mehrere Landesgesellschaften mit eigenem nationalem Datenschutzrecht dazukommen. Und fünftens die Rolle: Eine Bestellung mit Außenwirkung gegenüber der Aufsichtsbehörde trägt mehr Verantwortung als Mitarbeit an einer Bestandsaufnahme und wird entsprechend eingeordnet.

Das hängt am Zuschnitt, aber die Reihenfolge der Wirkung ist stabil. Zuerst zeigt sich Wirkung dort, wo eine Frist läuft: ein eingespielter Ablauf für Auskunfts- und Löschverlangen und ein funktionierender Meldeweg für Datenpannen sind schnell hergestellt und sofort messbar an der Zahl der eingehaltenen Fristen. Danach wirkt die Bestandsaufnahme, weil sie Streit im Haus beendet. Am längsten braucht die Umsetzung in Systeme — Löschroutinen und Berechtigungskonzepte hängen an Releasezyklen und an Anwendungen, die Löschen nie vorgesehen haben. Gemessen wird der Erfolg an nachprüfbaren Größen: Anteil der Verarbeitungen mit benannter Rechtsgrundlage und Frist, Anteil der Dienstleister mit vollständigem Vertrag und bewertetem Transfer, eingehaltene Fristen bei Betroffenenanfragen, und bestandene Kundenfragebögen oder Prüfungen.