Das Missverständnis
“Wir haben alles in die Cloud migriert, also sind wir DSGVO-konform. Die Daten auf unserem lokalen Server und in unseren Aktenschränken? Das ist kein DSGVO-Territorium.”
Dieses Missverständnis entsteht durch die Assoziation zwischen DSGVO und Technologie. Weil die DSGVO oft im Kontext von Websites, Cookies und Cloud-Diensten diskutiert wird, schließen viele Unternehmer, dass sie nur für digitale Daten in der Cloud gilt.
Aber die DSGVO ist technologieneutral.
Was das Gesetz tatsächlich sagt
Die DSGVO gilt für die Verarbeitung personenbezogener Daten “ganz oder teilweise automatisiert” UND für die “nichtautomatisierte Verarbeitung personenbezogener Daten, die in einem Dateisystem gespeichert sind oder gespeichert werden sollen”.
Dieser letzte Teil ist entscheidend. Ein Dateisystem ist jede strukturierte Sammlung personenbezogener Daten, die nach bestimmten Kriterien zugänglich ist. Ihr Aktenschrank mit alphabetisch geordneten Kundenakten? Das ist ein Dateisystem. Ihre Schreibtischschublade mit nach Abteilungen sortierten Arbeitsverträgen? Dateisystem.
Wo personenbezogene Daten in Ihrem Unternehmen tatsächlich existieren
Auf Papier
- Personalakten in Ordnern
- Kundenkarteien oder Bestellformulare
- Unterschriebene Verträge mit Namen und Adressen
- Besprechungsnotizen mit persönlichen Details
- Visitenkarten von Veranstaltungen
Auf lokalen Systemen
- Tabellen auf Ihrem Computer
- Dokumente auf Ihrem lokalen Server
- Lokal gespeicherte E-Mails (Outlook PST-Dateien)
- Gescannte Dokumente auf gemeinsamen Laufwerken
In der Cloud
- CRM-System
- Cloud-E-Mail (Gmail, Outlook 365)
- Buchhaltungssoftware
- HR-Plattformen
An weniger offensichtlichen Orten
- WhatsApp-Nachrichten auf Firmenhandys
- Sprachaufzeichnungen vom Kundenservice
- Videoüberwachungsaufnahmen
- GPS-Daten von Firmenfahrzeugen
Die DSGVO deckt all das ab. Das Medium spielt keine Rolle - der Inhalt ist entscheidend.
Was Sie tun müssen
1. Inventarisieren Sie alles
Erfassen Sie nicht nur Ihre digitalen Systeme. Beziehen Sie Papierarchive, lokale Dateien und weniger offensichtliche Datenquellen in Ihr Verarbeitungsverzeichnis ein.
2. Sichern Sie Papierakten
Bewahren Sie Papierdokumente mit personenbezogenen Daten in verschlossenen Schränken auf. Beschränken Sie den Zugang auf diejenigen, die ihn benötigen. Vernichten Sie Dokumente, wenn die Aufbewahrungsfrist abläuft.
3. Vergessen Sie lokale Geräte nicht
Verschlüsseln Sie Laptops und externe Laufwerke. Schützen Sie lokale Dateien mit personenbezogenen Daten durch Passwörter. Beziehen Sie lokale Systeme in Ihre Backup-Strategie ein.
4. Räumen Sie alte Archive auf
Überprüfen Sie alte Papierakten und lokale Archive. Wenn Sie personenbezogene Daten aufbewahren, die Sie nicht mehr benötigen, vernichten Sie diese sicher.
GDPRWise hilft Ihnen, ein vollständiges Verarbeitungsverzeichnis aufzubauen, das alle personenbezogenen Daten abdeckt - digital und physisch.