- 1. Das Verarbeitungsverzeichnis (VVT) nach Art. 30
- Gesetzliche Pflicht: Wer muss ein VVT führen? (Ausnahmen und Realität).
- Struktur: Pflichtangaben für Verantwortliche vs. Auftragsverarbeiter.
- Inhalt: Zweckbestimmung, Datenkategorien, Empfänger und Drittlandtransfers.
- 2. Typische Verarbeitungstätigkeiten identifizieren
- Bestandsaufnahme: Erfassung von Prozessen in HR, Vertrieb, IT und Marketing.
- Detaillierungsgrad: Wie feinmaschig muss ein VVT sein? (Bündelung vs. Einzelauflistung).
- Aktualisierung: Prozesse zur fortlaufenden Pflege des Verzeichnisses.
- 3. Auftragsverarbeitung (AVV) nach Art. 28
- Abgrenzung: Auftragsverarbeitung vs. Gemeinsame Verantwortlichkeit (Art. 26).
- Pflichtinhalte: Weisungsgebundenheit, Vertraulichkeit und Sicherheit der Verarbeitung.
- Unterauftragnehmer: Genehmigungsprozesse und Informationspflichten in der Kette.
- 4. Kontroll- und Prüfrechte im AVV
- TOMs: Prüfung der Technischen und Organisatorischen Maßnahmen des Dienstleisters.
- Audits: Gestaltung von Einsichtsrechten und Vor-Ort-Kontrollen.
- Haftung: Risikoverteilung zwischen Auftraggeber und Auftragsverarbeiter.
- 5. Das Löschkonzept nach DIN 66398
- Grundlagen: Das Spannungsfeld zwischen Löschpflicht und Aufbewahrungspflicht.
- Löschregeln: Definition von Startzeitpunkten und Regelfristen für Datenarten.
- Löschklassen: Gruppierung von Daten mit ähnlichen Fristen zur Komplexitätsreduktion.
- 6. Gesetzliche Aufbewahrungsfristen (HGB/AO)
- Steuer & Handel: 6- und 10-Jahresfristen für Buchungsbelege und Korrespondenz.
- Spezialfristen: Arbeitsrechtliche Fristen, Verjährungsfristen und Beweissicherung.
- Harmonisierung: Erstellung einer konsolidierten Fristenmatrix für das Unternehmen.
- 7. Technische Umsetzung der Löschung
- Löschung vs. Sperrung: Wann ist eine Anonymisierung ausreichend?
- Legacy-Systeme: Herausforderungen bei der Löschung in alten Datenbanken und Backups.
- Automatisierung: Implementierung von Löschroutinen in ERP- und CRM-Systemen.
- 8. Dokumentation und Nachweisbarkeit
- Löschprotokolle: Wie man die erfolgte Löschung revisionssicher dokumentiert.
- Rechenschaftspflicht: Vorbereitung auf Anfragen der Aufsichtsbehörden.
- Prozesskontrolle: Überwachung der AVV-Laufzeiten und Löschfristen.
- 9. Drittlandtransfers und Standardvertragsklauseln
- TIs: Transfer Impact Assessments bei Dienstleistern außerhalb der EU (z.B. USA).
- SCCs: Integration der Standard-Contractual-Clauses in den AV-Vertrag.
- Risikomanagement: Umgang mit Cloud-Anbietern und internationalen Konzernstrukturen.
- 10. Praxis-Workshop: "The Compliance Factory"
- Workshop: Erstellung eines VVT-Eintrags für einen komplexen Marketing-Prozess.
- AVV-Task: Prüfung eines Provider-Vertrags auf DSGVO-Lücken.
- Lösch-Task: Entwurf einer Löschregel-Matrix für Mitarbeiterdaten.
- Final Roadmap: Checklist für den nächsten Datenschutz-Audit.
LernzieleDie Teilnehmenden erlernen die eigenständige Erstellung und Pflege der gesetzlich geforderten Datenschutzdokumentation. Ziel ist es, ein Verarbeitungsverzeichnis nach Art. 30 DSGVO aufzubauen, AV-Verträge auf Pflichtinhalte zu prüfen und ein praxisnahes Löschkonzept zu entwerfen, das gesetzliche Aufbewahrungsfristen und Löschpflichten harmonisiert.
Zielgruppen- Datenschutzbeauftragte & Auditoren: Zur Vertiefung der operativen Umsetzung.
- IT-Leiter & Systemadministratoren: Zur technischen Realisierung von Löschkonzepten.
- HR- & Marketing-Manager: Als Verantwortliche für umfangreiche Datenverarbeitungen.
- Geschäftsführer & Compliance-Officer: Zur Absicherung der Rechenschaftspflicht.
