Vor-Ort-Kontrolle der Aufsichtsbehörde: Wie vorbereiten?

Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen, Barbara Thiel, hat am 02.06.2022 im Innenausschuss des Niedersächsischen Landtags ihren Tätigkeitsbericht für 2021 vorgestellt. Darin berichtet sie über die Nachkontrollen, die im Jahr 2021 abgeschlossen werden konnten, nachdem diese bereits anlässlich der Querschnittsprüfung von Wirtschaftsunternehmen aus dem Jahre 2018 initiiert worden waren (Abschnitt 6.1.).

Hilfreich sind die Hinweise der LfD Niedersachsen, wie sich Verantwortliche auf Vor-Ort-Kontrollen vorbereiten sollten:

Es ist insbesondere ratsam,

• die vorhandene Datenschutzdokumentation zu sichten, Lücken zu identifizieren und zu füllen;

• zu prüfen, ob die Dokumente aktuell sind oder ob sich seit der Erstellung der Dokumente Veränderungen ergeben haben, die noch nicht berücksichtigt wurden;

• die Dokumentation so zu ordnen, dass während der Vor-Ort-Kontrolle Unterlagen auf Anfrage unmittelbar vorgelegt werden können;

• die eigene Dokumentation auf Widersprüche zu prüfen;

• Abweichungen von den einschlägigen Veröffentlichungen meiner Behörde, der Datenschutzkonferenz und des Europäischen Datenschutzausschusses zu prüfen;

• den Datenschutzbeauftragten des Unternehmens bei der Vorbereitung eng einzubinden;

• ggf. einen externen Datenschutzberater einen unbefangenen Blick auf die Umsetzung des Datenschutzrechts im Unternehmen werfen zu lassen;

• die Verfügbarkeit der Verantwortlichen aus den jeweiligen Fachbereichen für den Kontrolltermin sicherzustellen, die tiefergehende Nachfragen zu einzelnen Verarbeitungstätigkeiten beantworten können;

• einen Umsetzungsplan zu erstellen, welcher der Aufsichtsbehörde vorgelegt werden kann, falls bis zur Vor-Ort-Kontrolle nicht alle Dokumente erstellt oder technisch-organisatorischen Maßnahmen implementiert werden konnten.

Wie anschließend das weitere Verfahren verlaufe und ob es zu einem Bußgeld und/oder aufsichtsbehördlichen Maßnahmen komme, sei immer eine Frage des Einzelfalls und hänge von den in der Vor-Ort-Kontrolle gemachten Feststellungen ab.

Stelle ich bei einer Vor-Ort-Kontrolle fest, dass das Unternehmen ein umfassendes Datenschutz-Management implementiert hat, ist es im Nachgang oft nicht erforderlich von den aufsichtsbehördlichen Befugnissen aus Art. 58 Abs. 2 DS-GVO Gebrauch zu machen oder es ist ausreichend, eine Verwarnung auszusprechen, so die LfD. Vereinzelte, nicht besonders schwerwiegende Mängel könnten dann nach der Kontrolle behoben und der Behörde nachgewiesen werden. Sei hingegen nicht absehbar, wann und wie Mängel abgestellt werden sollen oder werden gravierende Mängel festgestellt, ließen sich aufsichtsbehördliche Maßnahmen nur noch schwer vermeiden.

Die Landesbeauftragte für den Datenschutz (LfD) Niedersachsen

(Foto: Suphachai – stock.adobe.com)