So hat Ihr Vorgehen Hand und Fuß
Für die Aufgabenwahrnehmung nach Art. 39 Abs. 1 Datenschutz-Grundverordnung und insbesondere das Beraten in Datenschutzfragen müssen Sie wissen, was Sache ist.
Um einen Sachverhalt umfassend zu ermitteln, hilft es jedoch wenig, wenn Sie planlos in Besprechungen oder Termine gehen. Das können Sie besser. Damit Sie sich die Sache leichter machen, versuchen Sie am besten, die folgenden sieben Schritte umzusetzen:
Schritt 1: Bringen Sie Licht ins Dunkel
Ausgangspunkt für jeden Hausbau ist das Fundament. Nicht anders ist es bei Ihrer Beratung. Damit diese felsenfest steht und nichts wackelt, brauchen Sie ein gutes Informationsfundament.
Egal, was man Ihnen an Informationen bereits zur Verfügung gestellt hat: Fragen Sie nach und lassen Sie sich alles erklären. Dabei sollten die Kollegen „bei Adam und Eva“ anfangen.
Setzen Sie am besten auf Fragen, die Ihre Gesprächspartner nicht einfach mit einem Ja oder Nein beantworten können. Solche offenen Fragen zwingen Ihre Gesprächspartner dazu zu erzählen.
Das verhindert zugleich, dass Sie Ihrem Gesprächspartner Antworten in den Mund legen und dieser eher die Antwort wählt, die Sie vermutlich hören wollen.
Damit Sie hinsichtlich des Sachverhalts noch etwas mehr Fleisch an die Knochen bekommen, können Sie auf diese typischen Fragen setzen:
- Worum geht es konkret?
- Wer möchte personenbezogene Daten verarbeiten?
- Welche personenbezogenen Daten spielen eine Rolle?
- Woher stammen die betreffenden Daten?
- Auf wen beziehen sich die Daten?
- Warum sollen die betreffenden Daten verarbeitet werden?
- Wieso soll die Verarbeitung in dieser Form erlaubt sein?
Schritt 2: Klären Sie relevante Rahmenbedingungen
Mitunter kann es ziemlich knifflig sein, dass Sie die relevanten Rahmenbedingungen ausmachen. Hierzu können Sie auch ein mündliches Brainstorming machen.
Sie stellen Fragen in die Runde und denken gemeinsam mit den Kollegen laut über mögliche Antworten nach:
- Welche datenschutzrechtlichen Rahmenbedingungen spielen eine Rolle?
- Inwieweit sind Interessengruppen oder Interessenvertreter zu berücksichtigen?
- Welche Dimension hat die Verarbeitung?
- Wie sieht der Zeitplan aus?
- Inwieweit gibt es alternative Szenarien?
Schritt 3: Hinterfragen Sie den Stand der Dinge
Hier sollten Sie in zwei Richtungen aktiv werden: Einerseits sollten Sie für sich klären, wo das Vorhaben steht. So kann man noch in der Ideenphase sein.
In der will man vielleicht auch nur ein Gespür dafür bekommen, welche Herausforderungen im Datenschutz zu bewältigen sind.
Ist die Sache ggf. bereits weiter vorangeschritten, können viele Weichen schon gestellt sein. Das kann für Sie als Datenschutzbeauftragten auch bedeuten, dass Ihre Beratung herausfordernder wird, weil manche Alternativen nicht mehr machbar sind.
Schritt 4: Nutzen Sie alle verfügbaren Informationsquellen
Glauben Sie einem Autoverkäufer, dass das angepriesene Fahrzeug nur Vorteile mit sich bringt? Eher nicht. Denn Sie wissen natürlich, dass es wahrscheinlich anders ist:
Wo Licht ist, da ist auch Schatten. Und so kann es auch sein, dass man Ihnen die „Schokoladenseite“ eines Vorhabens präsentiert, es mit manchem nicht so genau nimmt oder Ihnen relevante Aspekte verschweigt.
Daher ist wichtig, dass Sie ggf. auf andere Informationsquellen zurückgreifen. Sitzt beim Gespräch nur das Projektteam am Tisch, kann es beispielsweise sinnvoll sein, dass Sie mit den Kollegen der IT-Abteilung sprechen.
Die können einen ganz anderen Blickwinkel auf die Sache haben, gerade was die technische Umsetzung angeht.
Scheuen Sie sich auch nicht, selbst zu recherchieren. Soll ein bestimmtes System Grundlage für die Verarbeitung personenbezogener Daten sein, kann es sinnvoll sein, dass Sie die Suchmaschine anwerfen und das Internet durchforsten.
Nicht selten finden Sie so nützliche Informationen, die Sie weiterbringen. So können sich aus dem Gefundenen Fragen ergeben, auf die Sie nie gekommen wären, die jedoch für den Sachverhalt und Ihre spätere Bewertung von erheblicher Bedeutung sind.
Übrigens: Unterschätzen Sie nie das Informationsangebot von Datenschutzaufsichtsbehörden. Zu zahlreichen Themen können Sie fündig werden.
Dabei ist gar nicht so sehr entscheidend, bei welcher Aufsichtsbehörde Sie etwas entdecken, das für Ihren Sachverhalt von Bedeutung ist. Schließlich gilt:
Wird von einer Aufsichtsbehörde etwas empfohlen oder für zulässig erachtet, wird es anderen Aufsichtsbehörden schwerfallen, das als falsch anzusehen. Zumindest ist die Gefahr für ein Bußgeld wesentlich geringer.
Schritt 5: Holen Sie sich Hilfe
Es kann Sachverhalte geben, die sind so komplex, dass Sie auch nach mehrmaligem Durchdenken noch immer nicht den Durchblick haben. Hier ist vor allem eines hilfreich:
Reden Sie mit anderen Personen, die Ihnen weiterhelfen können. Das kann der IT-Spezialist genauso sein wie der Jurist aus der Rechtsabteilung.
Und wenn Sie mit Ihrem Latein am Ende sind, dann kann es nötig sein, dass Ihr Unternehmen einen weiteren Spezialisten mit ins Boot nimmt, beispielsweise einen Datenschutz- oder IT-Berater.
Schritt 6: Fixieren Sie den Sachverhalt
Haben Sie alles für Sie Relevante erfragt, sollten Sie nicht darauf vertrauen, dass Sie sich das alles merken können.
Das wird vielleicht noch die nächsten Tage klappen, danach steigt das Risiko, dass Sie Wichtiges vergessen oder manches durcheinanderbringen.
Damit Ihnen das nicht passiert und Ihnen später auch niemand vorwerfen kann, Sie hätten etwas falsch verstanden, sollten Sie alles Wesentliche schriftlich festhalten.
Fassen Sie den Sachverhalt zusammen und lassen Sie sich ggf. bestätigen, dass die Feststellungen zutreffend sind. Denn auf Basis dieses Sachverhalts führen Sie dann Ihre Prüfung durch.
Und denken Sie daran: Oft ist es hilfreich, wenn Sie Zusammenhänge oder Abläufe grafisch vorliegen haben. Bitten Sie die Kollegen, entsprechende Übersichten bereitzustellen.
Doch meist ist es nicht verkehrt, wenn Sie auf Basis der Schilderungen Ihr eigenes „Gemälde“ anfertigen.
Schritt 7: Machen Sie den Update-Check
Sachverhalte können sich ändern, gerade bei komplexeren Projekten. Daher ist wichtig: Bevor Sie sich bezüglich einer Frage oder neuer Bewertung ins Zeug legen, sollten Sie nachhaken, inwieweit sich der Sachverhalt geändert hat.
Setzen Sie auf diesen Spickzettel für den Termin
Gerade wenn Sie noch nicht über Jahrzehnte Beratungspraxis im Datenschutz verfügen, können Sie in schwierigeren Beratungssituationen schnell den Überblick verlieren.
Und dann fällt Ihnen mancher wichtige Punkt für die Sachverhaltsermittlung nicht ein.
Dem können Sie problemlos vorbeugen. Nutzen Sie die folgende Checkliste als Spickzettel. Legen Sie sich das Dokument beispielsweise in Ihr Notizbuch.
Außerdem praktisch: Versuchen Sie, immer besser zu werden. Dazu nutzen Sie die Checkliste nach einem Gespräch und prüfen, inwieweit dies oder jenes weniger gut funktioniert hat.
Darauf sollten Sie dann beim nächsten Mal besonderen Wert legen.
