Die Gesellschaft für Datenschutz und Datensicherheit e. V. (GDD) veröffentlicht im Rahmen der Einführung der EU-Datenschutzgrundverordnung eine Reihe von Praxishilfen, die dabei helfen sollen, sich für 2018 zu wappnen. Im dritten Teil widmen sich die Experten den To Dos für die Übergangsfrist bis zur Geltung der DSGVO.
PHASE 1 – KOMMUNIKATIONSPLAN
Der Praxisleitfaden empfiehlt für eine optimale Vorbereitung 3 Phasen. In Phase 1 ist dabei ein Kommunikationsplan zu erstellen. Die neuen Anforderungen sollten analysiert und der Änderungsbedarf kommuniziert werden:
„Gewährleistung einer effizienten, zielgruppengerechten Information durch allgemeine und spezielle Informationsmodule nach folgender Gliederung:
- Allgemeingültige Informationen zum Thema, z.B. Geltungszeitpunkt, unmittelbare Geltung in Deutschland, Anwendungsbereich
- Wichtige Themen zur DS-GVO, z. B. erhöhte Risiken durch immens gestiegene Bußgeldrahmen, Accountability-Ansatz, Zuständigkeiten und Verantwortlichkeiten nach der DS-GVO
- Konsequenzen für den Adressatenkreis
- Diskussion und Erarbeitung von Handlungsempfehlungen“
PHASE 2 – AKTIONSPLAN
In Phase 2 Soll ein Aktionsplan gefertigt werden. Dies soll im optimalsten Fall mithilfe einer GAP-Analyse (Soll/Ist-Vergleich) geschehen, wobei folgende Faktoren zu berücksichtigen sind: „Feststellung der neuen gesetzlichen Anforderungen (Soll-Zustand), Bestandsaufnahme des betrieblichen Ist-Zustands, Bestimmung des Handlungs- und Umsetzungsbedarfs, Risikoanalyse und Accountability“ Auch sind zu diesem Zeitpunkt die erforderlichen Ressourcen für einen möglicherweise erhöhten Bedarf zur Umsetzung zu beschaffen.
PHASE 3 – UMSETZUNG
Die dritte und aufwendigste Phase ist schließlich die Umsetzung. So müssen beispielsweise Prozesse angepasst, Betriebsvereinbarungen überarbeitet, Dokumentationspflichten abgedeckt und Folgeabschätzungen durchgeführt werden. Aber auch IT-Systeme müssen möglicherweise angepasst werden. Auch in der Produktentwicklung sollten schnellstmöglich „Geeignete technische und organisatorische Maßnahmen zur Umsetzung der Datenschutzgrundsätze“ Einzug halten und schon durch Voreinstellung den Datenschutz sicherstellen (privacy-by-default). Nicht zu vergessen Transparenzpflichten bei der Datenerhebung zu beachten und Verträge zu überprüfen. Hier weist der Praxisleitfaden explizit auf Auftragsverarbeitung hin.