Alle Daten von MitarbeiterInnen, Mitgliedern, KundInnen, oder von Dritten unterliegen nun der Pflicht in einem Verfahrensregister dokumentiert zu werden, in dem geregelt ist „Welche Daten, von welchen Personen, zu welchem Zweck verarbeitet werden, und an wen die Daten in welchem Zeitraum weitergeleitet werden“. Hier geht es um das Prinzip der Transparenz. Und die Datenschutzbehörde kann die Verzeichnisse der Verarbeitungstätigkeiten jederzeit prüfen.

Folgende Fragen müssen sich Organisationen, und das betrifft Unternehmen genauso wie Vereine, stellen:

• Welche personenbezogenen Daten (Name, Adresse, Geburtsdatum, Bankdaten) werden verarbeitet?
• Verarbeite ich sensible personenbezogene Daten?
  Hier handelt es sich um Daten, aus der die ethnische Herkunft, politische Meinung, religiöse und weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen. Gesundheitsdaten, Daten zur sexuellen Orientierung, sowie genetische und biometrische Daten.
• Verarbeite ich Daten von Kindern? Diese sind in Zukunft an strengere Regeln gebunden.
• Welchem Zweck dient meine Datenverarbeitung?
• Arbeite ich mit Dienstleistern zusammen? Wie sehen hier die Vereinbarungen aus?
• Wie sieht die Rechtsgrundlage der Datenverarbeitung aus? Habe ich mir die Zustimmung der betroffenen Personen eingeholt (Nachweispflicht)?
• Verarbeite ich die Daten nach dem Prinzip von „privacy by design“ sowie „privacy by default“?
  Nach diesem Prinzip darf eine Datensammlung erst beginnen, wenn die betroffene Person eine aktive Handlung setzt, oder es wird der Personenbezug gelöscht.
• Benötige ich eine Datenschutz-Folgenabschätzung?
  Diese ist notwendig, wenn durch die Verarbeitung ein hohes Risiko für die Rechte und Freiheiten betroffener Personen besteht. Neben der Beschreibung und Bewertung der Verarbeitung, muss auch jene der Risiken und Sicherheitsmaßnahmen für betroffene Personen erfolgen. Wobei dieser Punkt im Gesetz noch einer genauen Ausformulierung bedarf.

Ein wesentliches Merkmal der DSGVO ist die Erweiterung der Rechte der betroffenen Personen.

• Informations- und Auskunftsrecht von Betroffenen
  Bedeutet, es besteht ein Recht auf eine zeitgerechte Auskunft (1 Monat) über die verarbeiteten Daten und deren Speicherdauer zu erhalten.
• Recht auf Richtigstellung und Löschung für Betroffene Es besteht die Pflicht Betroffene über Datenänderungen zu informieren. Empfehlenswert sind Löschstrategien und deren Dokumentation. Eine Datenlöschung kann nicht nur nach Wunsch der Betroffenen erfolgen, es besteht auch die Verpflichtung Daten zu löschen, wenn der ursprüngliche Zweck der Datenerfassung nicht mehr besteht.
• Widerspruchsrecht gegen die Verwendung der eignen Daten
• Recht auf Datenübertragbarkeit an andere Auftraggeber. Es müssen die technischen Voraussetzungen dafür geschaffen werden.

Ein besonderes Augenmerk wird auch auf die Datensicherheit gelegt. Im Falle von Datenschutzverletzungen z.B. ich werde gehackt, Laptop, Firmenhandy wird gestohlen, besteht innerhalb von 72 Stunden eine Meldepflicht an die Datenschutzbehörde, sowie an die relevante betroffene Person. Die dafür notwendigen Prozesse müssen nachweisbar sein.

In diesem Sinne besteht auch die Verpflichtung einen Datenschutzbeauftragen zu bestellen, wenn eine umfangreiche regelmäßige systematische Überwachung von betroffenen Personen erforderlich ist, sowie überwiegend sensible personenbezogene Daten verarbeitet werden.