FRAMEWORKS

DSGVO Art 30: KI-basierte Automatisierungen für das Verzeichnis der Verarbeitungstätigkeiten (VVT)

VORSTELLUNG DER DSGVO Art 30

Die Datenschutz-Grundverordnung (DSGVO) trat im Mai 2018 in Kraft. Sie gilt für jede Organisation, die personenbezogene Daten von Personen in der Europäischen Union (EU) verarbeitet, unabhängig davon, wo sich die Organisation befindet.

Artikel 30 der Datenschutz-Grundverordnung verpflichtet Unternehmen dazu, detaillierte VVTs zu führen. Diese Anforderung, die oft als Register oder Verzeichnis der Verarbeitungstätigkeiten bezeichnet wird, ist ein Eckpfeiler der Einhaltung der Datenschutzbestimmungen. Aber wer genau braucht ein VVT? Und welche Informationen sollte es enthalten? Lassen Sie uns eintauchen.

Wer braucht ein VVT?

Während die Datenschutz-Grundverordnung im Allgemeinen von Organisationen mit 250 oder mehr Mitarbeitern verlangt, ein VVT zu pflegen, gibt es Ausnahmen. Auch kleinere Organisationen müssen die Bestimmungen einhalten, wenn sie Daten verarbeiten:

a) Wenn die Verarbeitung ein hohes Risiko für die betroffenen Personen birgt, muss unabhängig von der Anzahl der Mitarbeiter eine Datenschutzfolgenabschätzung durchgeführt werden. Dies gilt zum Beispiel für die Verwendung von Scoring-Modellen durch Kreditauskunfteien.

b) Wenn besondere Kategorien von personenbezogenen Daten verarbeitet werden (z.B. Gesundheitsdaten), die unter Art. 9 DSGVO

c) Wenn die Verarbeitung von personenbezogenen Daten nicht nur gelegentlich erfolgt.

In der Praxis sind Unternehmen, die nur gelegentlich personenbezogene Daten verarbeiten, selten anzutreffen. Daher sind Unternehmen mit weniger als 250 Mitarbeitern fast immer verpflichtet, ein Verzeichnis der Verarbeitungstätigkeiten zu führen, selbst wenn die Verarbeitung kein hohes Risiko darstellt und keine besonders sensiblen Daten betroffen sind.

Welche Informationen sollte ein VVT enthalten?

Gemäß Art 30 DSGVO sollten die VVT Folgendes enthalten:

a) Name und Kontaktinformationen des für die Verarbeitung Verantwortlichen: Die für die Verarbeitung verantwortliche Organisation.
b) Zwecke der Verarbeitung: Eine klare Beschreibung, warum die Daten verarbeitet werden.
c) Kategorien von betroffenen Personen: Eine Liste mit den Arten von Personen, deren Daten verarbeitet werden.
d) Kategorien von personenbezogenen Daten: Eine detaillierte Liste der Arten von Daten, die verarbeitet werden.
e) Empfänger von personenbezogenen Daten: Eine Liste von Personen oder Organisationen, die die Daten erhalten.
f) Aufbewahrungsfristen für Daten: Wie lange die Daten gespeichert werden sollen.
g) Technische und organisatorische Maßnahmen: Sicherheitsmaßnahmen zum Schutz der Daten.
h) Rechtsgrundlage für die Verarbeitung: Die rechtliche Begründung für die Verarbeitung der Daten (z.B. Zustimmung, Vertrag, berechtigtes Interesse).
i) Rechte der betroffenen Person: Informationen über die Rechte der betroffenen Personen (z. B. Auskunft, Berichtigung, Löschung).
j) Datenübertragungen: Einzelheiten über die Weitergabe von Daten an Drittländer oder internationale Organisationen.

Durch die Führung eines VVT erfüllt das Unternehmen seine Rechenschaftspflicht in erheblichem Maße. Durch die Bereitstellung eines umfassenden Überblicks über alle Prozesse, die mit der Verarbeitung personenbezogener Daten verbunden sind, ermöglicht er Transparenz - sowohl gegenüber den betroffenen Personen als auch gegenüber den Aufsichtsbehörden.

Risiken und Sanktionen im Falle der Nichteinhaltung

Die DSGVO birgt erhebliche Risiken und Sanktionen bei Nichteinhaltung. Dazu gehören:

Geldbußen bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes: Der höhere der beiden Beträge wird angewendet.
Faktoren, die bei der Festsetzung der Geldbuße berücksichtigt werden: Art, Schwere und Dauer des Verstoßes; der vorsätzliche oder fahrlässige Charakter des Verstoßes; etwaige Maßnahmen zur Abmilderung der Folgen des Verstoßes; die Zusammenarbeit des für die Verarbeitung Verantwortlichen oder des Auftragsverarbeiters mit der Aufsichtsbehörde.

Kosten für die Compliance: Unternehmen, die die Vorschriften nicht einhalten, müssen möglicherweise mit höheren Kosten rechnen, um ihre Verstöße zu beheben.

Reputationsschaden:

Verlust von Vertrauen: Die Nichteinhaltung von Vorschriften kann den Ruf eines Unternehmens schädigen und das Vertrauen der Kunden untergraben.
Negative Publicity: Das öffentliche Bekanntwerden von Datenschutzverletzungen oder anderen Verstößen kann zu negativer Berichterstattung in den Medien führen und den Ruf schädigen.

Rechtliche Schritte:

Individuelle Ansprüche: Betroffene Personen können das Recht haben, Schadenersatz für die Nichteinhaltung zu verlangen.
Sammelklagen: Mehrere Einzelpersonen können sich zusammenschließen, um eine Sammelklage gegen eine nicht konforme Organisation einzureichen.

Betriebliche Unterbrechungen: Die Nichteinhaltung von Vorschriften kann zu Betriebsstörungen führen, z. B. zu Systemausfällen oder Datenverletzungen.

WIE KI HELFEN KANN

1. Integration von KI in Unternehmenssysteme

Eine SaaS-Lösung wie die Smart Integrity Platform von DISS-CO mit KI-gestützter Automatisierung kann, wenn sie nahtlos in die bestehenden Systeme eines Unternehmens wie Marketing-Tools, CRM und CMS integriert wird, die Effizienz der Einhaltung der DSGVO drastisch verbessern. Diese Integration ermöglicht es der KI, auf Echtzeitdaten aus verschiedenen Quellen zuzugreifen und diese zu analysieren, wodurch ein umfassenderes und genaueres Verständnis der Datenverarbeitungsaktivitäten entsteht.

EFFIZIENZ VERBESSERN UND KOSTEN SPAREN

2. Automatisierte VVT-Generierung

a) Ausfüllen von Vorlagen: KI kann VVT-Vorlagen auf der Grundlage der zugeordneten Datenflüsse mit relevanten Informationen füllen und so den manuellen Aufwand reduzieren.

b) Regelmäßige Aktualisierungen: KI kann Änderungen bei der Datenverarbeitung überwachen und das VVT automatisch aktualisieren, um die Genauigkeit zu gewährleisten.

DIE COMPLIANCE MIT BEWÄHRTEN METHODEN VERBESSERN

3. Verbesserte TOM-Implementierung und Überwachung

a) Risikobasierte TOMs: KI kann Daten aus Marketing-Tools, CRM und CMS analysieren, um spezifische Risiken zu identifizieren und maßgeschneiderte TOMs zu empfehlen.

b) Anpassungsfähige TOMs: Wenn sich die Datenverarbeitungsaktivitäten weiterentwickeln, kann die KI Anpassungen der TOMs vorschlagen, um die fortlaufende Konformität sicherzustellen.

VERTRAUEN SCHAFFEN UND ZERTIFIZIERT WERDEN

4. Präzisere DSFA

a) Effizienz: Durch die Automatisierung der Datenzuordnung, die Analyse von Verarbeitungsaktivitäten und die Bewertung der Einhaltung von Rechtsvorschriften kann KI den Zeit- und Ressourcenaufwand für Datenschutzrisikobewertungen und Datenschutzfolgenabschätzungen erheblich reduzieren.

b) Durch die Nutzung von Datenmustern kann KI proaktiv Schwachstellen und Bedrohungen erkennen.

DIE COMPLIANCE MIT BEWÄHRTEN METHODEN VERBESSERN

5. Reaktion auf Datenschutzverletzungen und Risikominderung

a) KI ermöglicht es Unternehmen, Risiken effektiv zu priorisieren, indem sie deren Wahrscheinlichkeit und potenzielle Auswirkungen bewerten.

b) Durch die Analyse von Daten kann KI Unternehmen dabei helfen, Risiken nach ihrem Schweregrad und ihrer Dringlichkeit einzustufen. Sie kann wertvolle Erkenntnisse für die Entwicklung maßgeschneiderter Strategien zur Risikominderung liefern.