Emp­fän­ger per­so­nen­be­zo­ge­ner Daten: Schnitt­stel­le zwi­schen Ver­ar­bei­tung, Ver­ant­wort­lich­keit und Löschung

In Un­ter­neh­men ver­blei­ben per­so­nen­be­zo­ge­ne Daten selten aus­schließ­lich an einem Ort. Sie werden erhoben, ver­ar­bei­tet, intern wei­ter­ge­ge­ben, an externe Stellen über­mit­telt, ge­spei­chert und ar­chi­viert. Nach Ablauf der je­wei­li­gen Ver­­ar­­bei­­tungs- und Auf­be­wah­rungs­zwe­cke müssen sie auch wieder ge­löscht werden („Life­cy­cle“).

Gerade deshalb ist die Frage nach den Emp­fän­gern per­so­nen­be­zo­ge­ner Daten ein zen­tra­ler Bau­stein eines be­last­ba­ren Datenschutzmanagements.

Je nach Prozess können zu den Emp­fän­gern sehr un­ter­schied­li­che Stellen gehören: interne Fach­be­rei­che, Tochter- und Mut­ter­un­ter­neh­men, externe Dienst­leis­ter, Be­hör­den, So­zi­al­ver­si­che­rungs­trä­ger, Be­rufs­ge­nos­sen­schaf­ten, Fi­nanz­dienst­leis­ter, Ver­si­che­run­gen, Kunden, Lie­fe­ran­ten, Un­ter­auf­trag­neh­mer, Wei­ter­bil­dungs­an­bie­ter, Per­so­nal­dienst­leis­ter, In­kas­so­dienst­leis­ter und sons­ti­ge Empfänger.

Rollen der Empfänger

Ent­schei­dend ist dabei nicht allein die Wei­ter­ga­be der Daten. Maß­geb­lich ist auch, in welcher da­ten­schutz­recht­li­chen Rolle der je­wei­li­ge Emp­fän­ger handelt. Handelt er ei­gen­stän­dig als Ver­ant­wort­li­cher? Liegt eine Auf­trags­ver­ar­bei­tung vor? Besteht mög­li­cher­wei­se eine ge­mein­sa­me Ver­ant­wort­lich­keit? Oder handelt es sich um eine sons­ti­ge emp­fan­gen­de Stelle?

Diese Ein­ord­nung hat er­heb­li­che prak­ti­sche Be­deu­tung. Sie be­ein­flusst, welche ver­trag­li­chen Re­ge­lun­gen er­for­der­lich sind, welche In­for­ma­ti­ons­pflich­ten ge­gen­über be­trof­fe­nen Per­so­nen be­stehen, welche tech­ni­schen und or­ga­ni­sa­to­ri­schen Maß­nah­men zu prüfen sind und wie die Ver­ar­bei­tung im Ver­zeich­nis von Ver­ar­bei­tungs­tä­tig­kei­ten zu do­ku­men­tie­ren ist.

Check­lis­te

Für Un­ter­neh­men emp­fiehlt es sich daher, Emp­fän­ger per­so­nen­be­zo­ge­ner Daten struk­tu­riert zu er­fas­sen und re­gel­mä­ßig zu über­prü­fen. Dabei sollten ins­be­son­de­re fol­gen­de Fragen be­ant­wor­tet werden:

• Wer erhält per­so­nen­be­zo­ge­ne Daten?
• Zu welchem Zweck erfolgt die Übermittlung?
• Auf welcher Rechts­grund­la­ge werden die Daten weitergegeben?
• In welcher Rolle handelt der Empfänger?
• Sind er­for­der­li­che Ver­trä­ge, Ver­ein­ba­run­gen und Do­ku­men­ta­tio­nen vorhanden?
• Sind die Emp­fän­ger im Ver­zeich­nis von Ver­ar­bei­tungs­tä­tig­kei­ten nach­voll­zieh­bar abgebildet?
• Welche Aus­wir­kun­gen ergeben sich für Lösch- und Aufbewahrungsfristen?

Lösch- und Archivierungskonzept

Auch für Lösch- und Ar­chi­vie­rungs­kon­zep­te ist die Emp­fän­ger­struk­tur re­le­vant. Denn die Über­mitt­lung per­so­nen­be­zo­ge­ner Daten an Dritte beendet nicht au­to­ma­tisch die eigene Ver­ant­wor­tung des Un­ter­neh­mens. Wei­ter­hin ist zu prüfen, welche Daten intern ge­spei­chert bleiben müssen, welche ge­setz­li­chen oder ver­trag­li­chen Auf­be­wah­rungs­pflich­ten be­stehen und wann Daten in Fach­sys­te­men, Ablagen, E-Mail-Pos­t­­fä­chern, Do­ku­men­ta­tio­nen oder Ar­chi­ven ge­löscht, ge­sperrt oder ar­chi­viert werden können.

Ein pra­xis­taug­li­ches Da­ten­­­schutz- und Lösch­kon­zept sollte daher nicht nur interne Systeme und Spei­cher­or­te be­trach­ten, sondern auch die Wei­ter­ga­be per­so­nen­be­zo­ge­ner Daten an Emp­fän­ger ein­be­zie­hen. Erst dadurch ent­steht ein voll­stän­di­ge­res Bild darüber, wo per­so­nen­be­zo­ge­ne Daten ver­ar­bei­tet werden, wer Zugriff auf sie erhält und welche Ver­ant­wort­lich­kei­ten im wei­te­ren Le­bens­zy­klus der Daten bestehen.

Fazit

Wer Emp­fän­ger, Da­ten­flüs­se, Ver­ant­wort­lich­kei­ten und Lösch­fris­ten zu­sam­men be­trach­tet, schafft eine wich­ti­ge Grund­la­ge für ein nach­voll­zieh­ba­res, prüf­fä­hi­ges und pra­xis­taug­li­ches Datenschutzmanagement.

Bei Fragen zur da­ten­schutz­kon­for­men Er­fas­sung von Emp­fän­gern, Da­ten­flüs­sen und Lösch­fris­ten un­ter­stüt­zen wir Sie gerne. Kon­tak­tie­ren Sie uns unter: consulting@adorgasolutions.de.