DSGVO Questionnaire

Besteht das Unternehmen aus mehreren juristischen Personen / Gesellschaften?

Bitte lade ein Organigramm der Konzernstruktur hoch.

Sind Unternehmensgesellschaften in einem Drittland?

Bitte liste die relevanten Drittländer auf.

Werden Daten zwischen den einzelnen Unternehmensgesellschaften ausgetauscht?

Wurden Verträge zur Verarbeitung von Daten zwischen den Unternehmen abgeschlossen (bspw. Auftragsverarbeitungsverträge, andere Verträge)?

Besteht ein Betriebsrat?

Bitte beschreibe (kurz und knapp) die Haupttätigkeit/en des Unternehmens.

Was macht ihr (Produkt/Service)? Für wen (B2B/B2C)?

Wird in eurem Unternehmen Künstliche Intelligenz (AI) genutzt – entweder intern durch Mitarbeitende oder als Bestandteil eurer Produkte/Dienstleistungen?

Über welche digitalen Kanäle bietet ihr eure Services oder Produkte an?

Bitte füge hier die Links / Informationen zu den betriebenen Websites/Plattformen/Apps ein.

Wird ein Newsletter auf der Website eingesetzt?

Welcher Dienstleister?
(z.B. Mailchimp, HubSpot, Brevo)

Gibt es ein Karriereportal oder eine Bewerbungsmöglichkeit?

Welcher Dienstleister?
(z.B. Personio, Workday, eigenes Formular)

Wird ein Live-Chat auf der Website genutzt?

Welcher Dienstleister?
(z.B. Intercom, Drift, Tidio)

Gibt es eine Demo- oder Terminbuchungs-Seite?

Welcher Dienstleister?
(z.B. Calendly, Cal.com, HubSpot Forms)

Besteht ein Verzeichnis in dem dokumentiert ist, welche Datenverarbeitungen es im Unternehmen gibt?

Das kann eine Auflistung der einzelnen Geschäftsprozesse der jeweiligen Abteilungen sein, aus der hervorgeht welche Daten, wie und warum verarbeitet werden.

Beispiele für einzelne Verarbeitungstätigkeiten: Lead Generation, Betrieb der Unternehmenswebsite, Customer Relationship Management

Für den Fall, dass das Unternehmen ein Service Provider ist (Bsp. Angebot einer Software im Bereich Compliance): Besteht dafür eine eigene Dokumentation?

Bitte liste die einzelnen Abteilungen eures Unternehmens gemäß dem unten angeführten Beispiel auf.

Bsp:

HR-Department

Finance

Legal

...

Wer ist die interne Ansprechperson für Datenschutz (Datenschutz-Koordinator:in)?

Wer genehmigt und überprüft Datenschutz- und Sicherheitsrichtlinien sowie Entscheidungen?

Wer ist für IT-Sicherheit / Systemadministration verantwortlich (z.B. IT-Admin, Head of IT)

Gibt es weitere relevante Rollen im Zusammenhang mit Datenschutz & Sicherheit (z. B. CISO)?

Werden Freelancer im Unternehmen eingesetzt und wenn ja, in welcher Rolle?

Welche Arten von Daten werden im Produkt erhoben, verarbeitet und gespeichert?

Werden besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO verarbeitet (abgesehen vom HR Department)?

Werden im Unternehmen auch Daten von Kindern verarbeitet?

Kinder im Sinne der DSGVO sind 1-15 Jahre alt.

Werden im Unternehmen Entscheidungen getroffen, basierend auf automatisierten Verarbeitungen?

Beispiel: Ein Algorithmus bewertet und entscheidet über die Kreditwürdigkeit einer Person und anhand der Ergebnisse wird die Entscheidung über die Erteilung eines Kredits getroffen.

Wurden für einzelne Verarbeitungen bereits tiefergehende Abwägungen zwischen dem Interesse des Unternehmens und den Rechten der betroffenen Personen (Datenschutz-Folgenabschätzung) vorgenommen?

Erklärung: Die DSGVO verlangt, dass für Datenverarbeitungen, die ein hohes Risiko für die Rechte und Freiheiten von natürlichen Personen mit sich bringen (bspw. Videoüberwachung), eine separate Beurteilug durchgeführt werden muss.

Besteht ein (dokumentierter) Prozess für die Behandlung und Bearbeitung von Betroffenenanfragen?

Betroffenenanfragen sind z.B. Auskunft / Löschung / Berichtigung

Besteht ein (dokumentierter) Prozess, wie mit der Löschung von Daten und den damit zusammenhängenden Aufbewahrungspflichten umgegangen werden sollte (Löschkonzept)?

Besteht ein (dokumentierter) Prozess, wie mit Data Breaches umgegangen wird (bspw. Hacker-Angriff)?

Gab es in der Vergangenheit eines der folgenden Themen im Unternehmen?

Sind in der Vergangenheit Mitarbeiter:innen Schulungen zum Thema Datenschutz durchgeführt worden?

Wird der Zugriff zu Systemen / Ordnern / IT-Infrastruktur auf diejenigen Mitarbeiter:innen eingeschränkt, die diesen tatsächlich brauchen?

Ist die Nutzung von privaten IT-Geräten (Bsp. Smartphone) für die Arbeit erlaubt?

Ist die Nutzung des Unternehmensnetzwerk (Internet, E-Mail oder IT-Geräte) für private Zwecke erlaubt?

Wird die IT-Infrastruktur regelmäßig externen Audits unterzogen? 

(bspw. ISO 27001, TÜV)?

Kann es bewerkstelligt werden, dass Systeme und Datensammlungen im Falle des Verlusts / Zerstörung wiederhergestellt werden können?

Ist Remote Work im Unternehmen erlaubt (z. B. Home Office oder Workation)?

Welche Formen von Remote Work sind im Unternehmen erlaubt?

Wie erfolgt der externe Zugriff auf Systeme oder das Unternehmensnetzwerk?

Können Mitarbeiter:innen selbstständig auf den IT-Geräten (des Unternehmens) Software / Tools installieren?

Gibt es ein IT-Sicherheitskonzept / Technische und organisatorische Maßnahmen (TOM)?

Verwendet das Unternehmen eine Art von Überwachungsmaßnahme wie etwa Videoüberwachung, GPS-Tracking oder Mikrofone?

Bitte gib die konkrete Form 

der Überwachung an.

Wie wird im Unternehmen Marketing betrieben (E-Mail, Events, CRM)?

Wie erfolgt die Ansprache von Leads und Kunden im Vertrieb (Outreach)?

Werden Mitarbeiter:innen (die mit pers. Daten arbeiten) zur Vertraulichkeit verpflichtet?

Nicht gemeint ist die arbeitsvertragliche Verpflichtung zur Verschwiegenheit von Geschäftsgeheimnissen. Es geht um die Verpflichtung zur Einhaltung der DSGVO-Vorgaben.

Besteht eine Mitarbeiter:innen Datenschutzinformation?

Datenschutzinformationen werden nicht nur für die Website gebraucht, sondern auch bspw. für das Beschäftigungsverhältnis.

Besteht eine Bewerber:innen Datenschutzinformation?

Bestehen im Unternehmen bereits Datenschutzrichtlinien (z.B. Password-Policy, Umgang mit Lieferanten, Umgang mit personenbezogenen Daten)?

Bitte nenne uns, welche Richtlinien bereits bestehen:

Bspw. Passwort - Richtlinie, IT-Sicherheits Richtlinie

In welcher/n Sprache/n werden die Dokumente / Richtlinien benötigt?

Welche der folgenden Frameworks könnten in Zukunft für dein Unternehmen relevant sein?

Vielen Dank!