L-04 · DSGVO
Datenschutz Beratung: DSGVO umsetzen und nachweisen
Datenschutz-Beratung übersetzt die Pflichten der Datenschutz-Grundverordnung (DSGVO) in Abläufe und Dokumente, mit denen Sie sie gegenüber der Datenschutzbehörde nachweisen können. SecTec übernimmt das für Unternehmen in ganz Österreich, auf Wunsch auch als externer Datenschutzbeauftragter.
Art. 5 Abs. 2 DSGVO
Datenschutz heißt Rechenschaft.
Die DSGVO verlangt nicht nur, dass Sie personenbezogene Daten rechtmäßig verarbeiten. Sie müssen es auch belegen können: mit Verarbeitungsverzeichnis, Verträgen, technischen und organisatorischen Maßnahmen und dokumentierten Abläufen für Auskünfte und Datenpannen.
Datenschutz und Informationssicherheit greifen dabei ineinander. Die Sicherheit der Verarbeitung nach Art. 32 DSGVO ist dieselbe Arbeit wie ein Teil des ISMS nach ISO 27001. Wir machen sie einmal und nutzen sie für beides.
Leistungsumfang
Was wir mit Ihnen umsetzen.
Bestandsaufnahme
Welche personenbezogenen Daten Sie wofür verarbeiten und was schon dokumentiert ist
Ist-Stand
Verarbeitungsverzeichnis
Vollständig, aktuell und so geführt, dass es die Behörde vorgelegt bekommen kann
Art. 30
Technische und organisatorische Maßnahmen
Zugriffsschutz, Verschlüsselung, Sicherung, passend zum Risiko
Art. 32
Auftragsverarbeitung
Verträge mit Dienstleistern prüfen und abschließen
Art. 28
Datenschutz-Folgenabschätzung
Wo sie Pflicht ist und wie sie aufgebaut wird
Art. 35, DSFA-V
Datenpannen
Ablauf für Bewertung, Meldung und Dokumentation
Art. 33, 34
Betroffenenrechte
Auskunft, Berichtigung, Löschung: wer antwortet wie und bis wann
Art. 15 bis 22
Externer Datenschutzbeauftragter
Wir übernehmen die Rolle, wo sie Pflicht oder sinnvoll ist
Art. 37 bis 39
Ablauf
Vom Überblick zum gelebten Datenschutz.
Bestandsaufnahme.
Verarbeitungen, Systeme, Dienstleister und vorhandene Dokumente erfassen.
Lücken schließen.
Verzeichnis, Verträge, Maßnahmen und Informationspflichten nach Priorität ergänzen.
Abläufe festlegen.
Wer reagiert wie auf Auskunftsersuchen und Datenpannen, mit Vorlagen und Fristen.
Laufend betreuen.
Änderungen einpflegen, Team schulen, auf Wunsch als externer Datenschutzbeauftragter.
Wann ein Datenschutzbeauftragter Pflicht ist
| Situation | Datenschutzbeauftragter | Fundstelle |
|---|---|---|
| Behörde oder öffentliche Stelle (außer Gerichte in justizieller Tätigkeit) | Pflicht | Art. 37 Abs. 1 lit. a |
| Kerntätigkeit ist die umfangreiche, regelmäßige und systematische Überwachung von Personen | Pflicht | Art. 37 Abs. 1 lit. b |
| Kerntätigkeit ist die umfangreiche Verarbeitung besonderer Kategorien (etwa Gesundheitsdaten) oder von Strafdaten | Pflicht | Art. 37 Abs. 1 lit. c |
| Andere Unternehmen | freiwillig, oft sinnvoll | Art. 37 Abs. 4 |
Ein externer Datenschutzbeauftragter muss unabhängig arbeiten können und darf keine Aufgaben mit Interessenkonflikt übernehmen (Art. 38 DSGVO).
Datenpanne: was in 72 Stunden passieren muss
Führt eine Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem Risiko für Betroffene, meldet der Verantwortliche sie unverzüglich und möglichst binnen 72 Stunden der Datenschutzbehörde (Art. 33 DSGVO). Informationen dürfen schrittweise nachgereicht werden. Bei hohem Risiko sind auch die Betroffenen zu benachrichtigen (Art. 34). Jede Panne wird dokumentiert, auch wenn sie nicht meldepflichtig ist. Wie das in der Praxis abläuft, beschreibt der Ratgeber Datenpanne melden.
Weiterlesen
Ratgeber und verwandte Leistungen.
TOMs nach DSGVO
Technische und organisatorische Maßnahmen mit Beispielen
Ratgeber
Auftragsverarbeitungsvertrag
Was in einen AVV nach Art. 28 gehört
Ratgeber
Datenschutz-Folgenabschätzung
Wann die DSFA Pflicht ist und wie sie abläuft
Ratgeber
Betroffenenrechte
Auskunft und Kopie nach Art. 15 richtig beantworten
Ratgeber
ISO 27001 Beratung
Managementsystem für Informationssicherheit aufbauen und zur Zertifizierung führen
Leistung · L-02
KI-Security Beratung
Governance für den sicheren KI-Einsatz im Einklang mit europäischem Recht
Leistung · L-09
Häufige Fragen zur Datenschutz Beratung
Braucht mein Unternehmen einen Datenschutzbeauftragten?
Pflicht ist er für öffentliche Stellen und für Unternehmen, deren Kerntätigkeit in der umfangreichen Überwachung von Personen oder in der umfangreichen Verarbeitung besonderer Datenkategorien besteht (Art. 37 Abs. 1 DSGVO). In anderen Fällen ist er freiwillig. Wir klären das anhand Ihrer Verarbeitungen.
Brauchen wir unter 250 Beschäftigten kein Verarbeitungsverzeichnis?
In der Regel doch. Die Ausnahme in Art. 30 Abs. 5 DSGVO greift nur, wenn die Verarbeitung lediglich gelegentlich erfolgt, kein Risiko birgt und keine besonderen Kategorien betrifft. Lohnverrechnung und Kundendaten sind nicht gelegentlich.
Wie schnell muss ich eine Datenpanne melden?
Unverzüglich und möglichst binnen 72 Stunden ab Bekanntwerden, wenn sie voraussichtlich zu einem Risiko für die Betroffenen führt (Art. 33 DSGVO). Eine spätere Meldung ist zu begründen.
Welche Geldbußen sieht die DSGVO vor?
Bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, etwa bei Verstößen gegen Art. 28, 30 oder 33, und bis 20 Mio. Euro oder 4 % bei Verstößen gegen Grundsätze und Betroffenenrechte, jeweils der höhere Betrag (Art. 83 Abs. 4 und 5).
Passt Datenschutz zu ISO 27001 und NIS2?
Ja. Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO überschneiden sich stark mit ISO 27001 und den Maßnahmen nach § 32 NISG 2026. Auch Meldewege für Vorfälle lassen sich gemeinsam aufbauen.
Datenschutz, der hält.
Wir sagen Ihnen, wo Sie stehen und was noch fehlt.
- Telefon
- +43 1 3058463
- kontakt@sectec.at