Die Einführung neuer IT-Systeme gehört in vielen Unternehmen zum Alltag. Dass dabei auch datenschutzrechtliche Anforderungen zu beachten sind, ist wenig überraschend – doch in der Praxis stellt sich schnell eine entscheidende Frage: Wie geht man strukturiert mit den Änderungen um, die ein neues IT-System für bestehende Prozesse und Verarbeitungstätigkeiten mit sich bringt?
Verarbeitungsverzeichnis: Die gesetzliche Grundlage
Gemäß Art. 30 Abs. 1 DSGVO ist jeder datenschutzrechtlich Verantwortliche verpflichtet, ein Verzeichnis aller Verarbeitungstätigkeiten zu führen – also aller Prozesse, in denen personenbezogene Daten verarbeitet werden. Für jede Verarbeitungstätigkeit sind dabei neben der Darstellung der Verarbeitung unter anderem folgende Informationen zu dokumentieren:
Zwecke der Verarbeitung
Kategorien betroffener Personen und personenbezogener Daten
Empfänger der Daten
Drittlandübermittlungen und die dafür geltenden Garantien
Löschfristen
Schritt 1: Bestandsaufnahme und Analyse
Am Anfang steht eine sorgfältige Bestandsaufnahme. Dabei sollten zunächst die Module des neuen IT-Systems identifiziert werden, die eingeführt werden sollen – ebenso wie die davon betroffenen Personengruppen (z. B. Mitarbeiter, Kunden, Bewerber) und die künftigen Systemnutzer, ob intern oder extern.
Für diesen Schritt ist eine enge Zusammenarbeit zwischen IT, den betroffenen Fachbereichen, dem Produktteam und dem betrieblichen Datenschutzbeauftragten essenziell. Gleichzeitig sind Schnittstellen zu anderen Systemen zu klären und zu dokumentieren sowie potenzielle Drittlandübermittlungen zu identifizieren – etwa durch die Frage, wo die Rechenzentren des Anbieters betrieben werden und wo dieser seinen Unternehmenssitz hat.
Im nächsten Schritt gilt es, alle betroffenen Abteilungen und Fachbereiche – z. B. Controlling, Finanzen oder Personal – zu erfassen. Bei Unternehmensgruppen sind auch die jeweils betroffenen Gesellschaften einzubeziehen. Abschließend sollte klar herausgearbeitet werden, welche bisherigen Systeme und Prozesse durch das neue System abgelöst, ergänzt oder neu eingeführt werden.
Schritt 2: Kategorisierung und Abgleich
Sobald die Bestandsaufnahme abgeschlossen ist, wird es konkreter: Für jedes neue Systemmodul ist die zugehörige Verarbeitungstätigkeit zu beschreiben. Bewährt haben sich hierfür gezielte Interviews oder Workshops mit den Fachbereichen und dem Produktteam, um ein vollständiges und praxisnahes Bild zu erhalten.
Auf dieser Basis lässt sich ein strukturierter Abgleich zwischen bestehenden und neuen Verarbeitungstätigkeiten vornehmen. Der daraus resultierende Anpassungsbedarf im Verarbeitungsverzeichnis wird ermittelt und umgesetzt. Sind alle Änderungen eingearbeitet, sollten abschließend auch die bestehenden Datenschutzhinweise auf Aktualität geprüft und bei Bedarf überarbeitet werden.
Schritt 3: Weitere datenschutzrechtliche Pflichten
Neben dem Verarbeitungsverzeichnis gibt es weitere Punkte, die nicht übersehen werden sollten, insbesondere:
Auftragsverarbeitungsverträge (AVV): Welche Dienstleister oder Hosting-Partner sind beteiligt? Bestehende Verträge nach Art. 28 DSGVO sind zu prüfen, fehlende abzuschließen.
Rollen- und Rechtekonzept: Wer darf im neuen System auf welche Daten zugreifen? Dieses Konzept ist zu prüfen und zu dokumentieren.
Löschkonzept: Löschfristen sind nicht nur im Verarbeitungsverzeichnis festzuhalten, sondern auch technisch im System zu hinterlegen.
Fazit
Die Einführung eines neuen IT-Systems ist aus datenschutzrechtlicher Perspektive ein ernstzunehmender Prozess, der sorgfältige Planung erfordert. Der häufigste Fehler: Der Datenschutzbeauftragte wird zu spät einbezogen. Unsere klare Empfehlung lautet daher: Den DSB von Anfang an in den Einführungsprozess einbinden – so lassen sich Nachbesserungen, Verzögerungen und rechtliche Risiken zuverlässig vermeiden.
Keine Kommentare