Was muss mein Unternehmen für die DSGVO tun?

Die DSGVO (gültig seit Mai 2018) ist mit Bußgeldern bis 4 % des Jahresumsatzes oder 20 Mio. € (je höher) eines der schärfsten Daten-Regulative weltweit.

Verzeichnis der Verarbeitungstätigkeiten (Art. 30): pro Datenverarbeitung dokumentieren: Zweck, Rechtsgrundlage, Datenkategorien, Empfänger, Löschfristen, TOMs. Live-Dokument, nicht einmaliger Compliance-Akt.

Auftragsverarbeitungs-Verträge (AVV, Art. 28): mit jedem Dienstleister, der Daten verarbeitet (Cloud-Anbieter, Mail-Marketing, Newsletter, Analytics). Bei US-Anbietern zusätzlich Standard Contractual Clauses + Transfer-Folgenabschätzung.

TOMs (Technical and Organizational Measures): Verschlüsselung, Zugriffskontrolle, Backup, Pseudonymisierung. Konkret dokumentieren, nicht „Wir haben TOMs".

DSFA (Art. 35): bei systematischer Profilbildung, sensible Daten in Großvolumen, Video-Überwachung. Pre-Mortem-Analyse mit Risiken + Mitigationen.