Eine Plattform, mehrere Datenschutzregime
Ein regionaler Dienst kann Anfragen in einem Land entgegennehmen, Daten in einem anderen speichern und Support aus einem dritten Land leisten. Beginnen Sie mit diesem tatsächlichen Vorgang. Halten Sie fest, welche Gesellschaft über Zweck und Mittel der Nutzung entscheidet, wer das System betreibt und welche Beschäftigten und Dienstleister Zugriff haben. Ein gemeinsames Logo oder CRM beseitigt die eigenständige Rolle der jeweiligen Gruppengesellschaft nicht.
Erfassen Sie Datenarten und betroffene Personen getrennt: Kunden, Beschäftigte, Bewerber und Besucher. Unterscheiden Sie Daten für die Leistungserbringung von Analysen, Werbung und freiwilligen Zusatzfunktionen. Wo sich zwei Märkte unterscheiden, brauchen sie getrennte Einträge statt einer regionalen Aussage, die niemand umsetzen kann.
Vom Erheben bis zum Löschen verfolgen
Zeichnen Sie den Weg vom Formular oder der App über Erhebung, Cloud-Hosting, Sicherungskopien, Supportzugriff, interne Weitergabe und Export an Dienstleister bis zur Löschung. Notieren Sie nicht nur den Serverstandort, sondern auch die Länder, aus denen Daten abgerufen werden. Fernzugriff und Notfallkopien können den tatsächlichen Datenfluss verändern. Gleichen Sie die Karte mit Verträgen, Berechtigungen und Zugriffsprotokollen ab.
Spielen Sie eine konkrete Kundenanfrage von der Eingabe bis zur Erledigung durch. Welche Gesellschaft antwortet, und wo liegt die prüfbare Vorgangsakte? Wenn ein Supportdienstleister Datensätze herunterladen kann, dokumentieren Sie Zugriffsbegrenzung und Rückgabe oder Löschung. Prüfen Sie, ob Datenschutzhinweise das wirkliche Produkt und die Dienstleisterkette beschreiben, statt einen fremden Dienst zu kopieren.
Pflichten für jeden Markt gesondert prüfen
Lassen Sie für jedes Land, in dem eine Rolle oder ein Datenfluss entsteht, qualifizierte Fachleute vor Ort die aktuellen Anforderungen an Hinweise, Betroffenenanfragen, Aufbewahrung, Sicherheit, Vorfälle und internationale Übermittlungen prüfen. Halten Sie Rechtsquelle, Prüfdatum und zugrunde gelegte Geschäftsfakten fest. Eine Standardklausel aus einem Markt beantwortet die Fragen eines anderen nicht automatisch.
Ordnen Sie jeder offenen Frage eine verantwortliche Person und ein Zieldatum zu. Die Ländermatrix muss bestätigte Fakten, noch ausstehende Rechtsberatung und noch umzusetzende Produktänderungen unterscheiden. Ein ungeklärter Punkt wird nicht wegen eines nahen Starttermins zur Freigabe.
Nach Produkt- oder Dienstleisterwechsel erneut prüfen
Ein neuer Analysedienst, Speicherort für Sicherungen, Werbeadressatenkreis oder regionales Supportteam kann die bisherige Karte überholen. Vereinbaren Sie einen Auslöser, der solche Vorschläge aus Produktentwicklung und Einkauf zurück in die Prüfung von Datenflüssen und Verträgen führt. Datierte Fassungen zeigen den Teams, welches Verfahren aktuell gilt.
Proben Sie eine Betroffenenanfrage und einen Sicherheitsvorfall. Wer nimmt die Nachricht entgegen, wer kann Daten abrufen, wer entscheidet über die Antwort und wer spricht mit Dienstleistern? Vergleichen Sie die Probe mit Fristen und Berechtigungen auf dem Papier. Kann ein tatsächlicher Datensatz nicht wie beschrieben gefunden oder gelöscht werden, muss der Ablauf korrigiert werden, bevor er als Zusage erscheint.
Unterlagen für die erste Prüfung
- Aktuelle Produktoberflächen, Hinweise und Kundenbedingungen je Markt.
- Datenarten, Flussdiagramm und Rollenkarte je Gesellschaft.
- Dienstleisterverträge, Hosting- und Sicherungsorte sowie Zugriffsrechte.
- An den tatsächlichen Systemen geprüfte Aufbewahrungs- und Löschregeln.
- Datierte lokale Beratung, offene Fragen und Zuständigkeiten für Vorfälle und Betroffenenanfragen.
Die Praxis für Datenschutz und Privatsphäre kann bei dieser Prüfung unterstützen.