Datenschutzkonzepts

Datenschutzkonzept bezeichnet im deutschsprachigen Datenschutzwesen einen dokumentierten Plan, der beschreibt, wie eine Organisation personenbezogene Daten schützt und welche Maßnahmen zur Einhaltung der Datenschutzgesetze ergriffen werden. Es dient der Rechenschaftspflicht, der Risikoabwägung und der Umsetzung von Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Grundeinstellungen.

Ein Datenschutzkonzept umfasst typischerweise den Verarbeitungsumfang: Welche Daten werden verarbeitet, zu welchen Zwecken, auf welcher Rechtsgrundlage und gegenüber welchen Kategorien von betroffenen Personen. Es benennt die Empfänger und gegebenenfalls internationale Datenübermittlungen, Aufbewahrungsfristen und Löschfristen. Es beschreibt außerdem die technischen und organisatorischen Maßnahmen, die Verantwortlichkeiten, Verfahren zur Wahrung von Betroffenenrechten, den Umgang mit Sicherheitsvorfällen sowie den Prozess einer Datenschutz-Folgenabschätzung (DSFA bzw. DPIA). Berücksichtigt wird zudem das Verzeichnis von Verarbeitungstätigkeiten (VVT) und der Vertrag mit Auftragsverarbeitern.

Prozessual wird ein Datenschutzkonzept meist von dem Datenschutzbeauftragten oder einer verantwortlichen Stelle erstellt, geprüft und regelmäßig aktualisiert. Es wird in das Informationssicherheitskonzept integriert und bildet eine Grundlage für Trainings, Audits sowie für die Kommunikation mit Aufsichtsbehörden. Es dient damit der Transparenz, dem Risikomanagement und der Erfüllung gesetzlicher Anforderungen.