Nur benötigte Daten verarbeiten
Die DSGVO nennt unter anderem Zweckbindung, Datenminimierung und Speicherbegrenzung als Grundsätze. Artikel 32 betrifft angemessene technische und organisatorische Schutzmaßnahmen. Welche Maßnahmen erforderlich sind, hängt vom konkreten Verarbeitungskontext ab. Grundlage: DSGVO, insbesondere Artikel 5 und 32.
Zugänge nach Aufgaben vergeben
Nutzen Sie persönliche Konten und prüfen Sie, welche Informationen ein Mitarbeiter für seine Arbeit braucht. Ändert sich eine Aufgabe oder verlässt jemand das Büro, müssen die Zugänge überprüft werden. Verwenden Sie individuelle starke Passwörter und schützen Sie auch die Geräte, mit denen auf die Software zugegriffen wird.
Unterlagen vor der Weitergabe kontrollieren
Prüfen Sie Grundrisse, Fotos und Dokumente vor dem Versand auf Namen, Kontaktdaten und andere Angaben Dritter. Ein interner Ablageort ist keine automatische Erlaubnis zur Veröffentlichung. Achten Sie besonders auf E-Mail-Anhänge und Empfängerlisten: Eine richtige Datei beim falschen Empfänger bleibt ein Problem.
Externe Dienste bewusst einrichten
Portale, Kalender, Mailserver und KI-Dienste haben eigene Zugänge und Datenflüsse. Klären Sie vor der Verbindung, welche Informationen übertragen werden und wer verantwortlich ist. Geben Sie keine vertraulichen Kontakt- oder Eigentümerdaten unnötig in KI-Anfragen ein. Prüfen Sie die passenden Vereinbarungen mit den beteiligten Dienstleistern.
Aufbewahrung, Auskunft und Löschung organisieren
Legen Sie fest, wer Anfragen betroffener Personen bearbeitet und wie gespeicherte Informationen gefunden werden. Klären Sie erforderliche Aufbewahrungsfristen und den Umgang mit nicht mehr benötigten Daten. Auch Exporte, lokale Downloads und E-Mail-Kopien gehören in diese Betrachtung.
Eine kurze Teamprüfung durchführen
Gehen Sie einen fiktiven Vorgang vom Eingang bis zur Ablage durch: Wer sieht die Daten, wohin werden sie übertragen und welche Kopien entstehen? Notieren Sie offene Fragen und Zuständigkeiten. Die Verwendung einer Software allein macht einen Ablauf nicht automatisch datenschutzkonform; organisatorische und vertragliche Fragen müssen ebenfalls geklärt sein.