Für Datenschutzbeauftragte
Was Sie als externer Datenschutzbeauftragter in KlarKonform sehen und tun können und was Ihr Mandant vorbereitet.
Diese Seite richtet sich an externe Datenschutzbeauftragte (DSB), die einen Mandanten in KlarKonform betreuen. Sie zeigt außerdem, was der Mandant vorbereiten sollte, damit Ihr Termin kurz und ergiebig wird.
Der Grundsatz: Sie beraten und überwachen, der Mandant entscheidet und führt aus (Art. 38 Abs. 6, Art. 39 Abs. 1 lit. a und b DSGVO). KlarKonform setzt das technisch um. Ihr Zugang ist lesend; Entscheidungen bleiben beim Verantwortlichen.
Was Sie sehen
Mit einem offenen Mandat öffnen Sie das DSGVO-Cockpit Ihres Mandanten aus dem Partnerbereich heraus. Sie sehen dort lesend unter anderem:
| Bereich | Inhalt |
|---|---|
| Startseite und Konformitätsgrad | Kennzahlen und offener Handlungsbedarf |
| Verzeichnis von Verarbeitungstätigkeiten (Art. 30) | Tätigkeiten, Anwendungen, Drittdienste |
| Löschkonzept | Datenbestände mit Frist, Stand und verantwortlicher Person, Löschläufe, Sperren, PDF |
| Technische und organisatorische Maßnahmen (Art. 32) | Umsetzungsstand der Maßnahmen |
| Auftragsverarbeitung (Art. 28) | Verträge mit Dienstleistern |
| Betroffenenanfragen (Art. 15–22) | Offene und abgeschlossene Anträge mit Fristen |
| Datenschutzverletzungen (Art. 33/34) | Verzeichnis nach Art. 33 Abs. 5 |
| Beschäftigte | Verpflichtungen auf die Vertraulichkeit, Datenschutzschulungen |
| Prüfberichte | Bestätigte Prüfberichte und die Prüfer-Ansicht |
Ob Sie zusätzlich Auskunftsdossiers oder Exporte mit personenbezogenen Beständen herunterladen dürfen, hängt vom Umfang Ihres Mandats ab.
Was Sie tun können
- Maßnahmen empfehlen: Sie legen Maßnahmen an und bearbeiten sie, z. B. „AVV mit dem Lohnabrechner erneuern“. Die Empfehlung ist als Ihre gekennzeichnet. Abschließen oder verwerfen kann sie nur der Mandant.
- Fällige Objekte zur Löschung vormerken: Unter Handlungsbedarf geben Sie fällige Objekte aus Ihrer Sicht frei. Gelöscht wird dadurch nichts. Der Mandant zeichnet ab und vollzieht.
- Eigene Tätigkeit dokumentieren: Eine Datenschutzschulung, die Sie selbst gehalten haben, erfassen Sie selbst. Sie erscheint als „erfasst vom externen Datenschutzbeauftragten“.
Was Sie nicht tun können und warum
Sie können im Löschkonzept keine Regel bestätigen, keine verantwortliche Person zuweisen, keinen Löschlauf freigeben und keine Betriebsprüfung eintragen oder aufheben. Diese Knöpfe sehen Sie gar nicht. Auch der Server lehnt solche Aktionen in Ihrer Sitzung ab.
Der Grund: Jede dieser Handlungen ist eine Aussage des Verantwortlichen über seine Daten. Würde sie unter Ihrer Kennung entstehen, müssten Sie später etwas beurteilen, das Sie selbst festgelegt haben. Genau diesen Interessenkonflikt schließt Art. 38 Abs. 6 DSGVO aus.
Aus demselben Grund gilt:
- Ihr Besuch zählt nicht als Überprüfung des Mandanten. Öffnet eine Person des Mandanten das Löschkonzept, wird das als Überprüfung vermerkt. Öffnen Sie es, entsteht kein solcher Vermerk.
- Ihr Besuch legt nichts an. Ist beim Mandanten noch nichts erfasst, sehen Sie „noch nicht erhoben“. KlarKonform legt dann keine Vorlagen in seinem Namen an.
- Sie bekommen nur, was Sie brauchen. Die Liste der Beschäftigten, aus der der Mandant Verantwortliche auswählt, wird Ihnen nicht übermittelt (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO).
Ihre Zugriffe werden protokolliert
Jeder lesende Zugriff auf Daten des Mandanten wird protokolliert. Der Mandant sieht diese Einträge unter DSGVO → Zugriffsprotokoll. Mehrere Aufrufe derselben Ansicht am selben Tag werden zu einem Eintrag zusammengefasst. Ausgenommen sind nur allgemeine Nachschlagelisten ohne Daten des Mandanten. Ihre eigenen Zugriffe sehen Sie im Partnerbereich.
Das dient der Rechenschaft beider Seiten (Art. 5 Abs. 2 DSGVO): Der Mandant kann belegen, wer seine Daten eingesehen hat, und Sie können belegen, was Sie geprüft haben.
Das Löschkonzept lesen
Das Löschkonzept zeigt je Datenbestand (Verarbeitungstätigkeit × Anwendung) die Frist, die Rechtsgrundlage, den Stand und die verantwortliche Person. Ausführlich erklärt ist das auf der Seite Löschkonzept. Für Ihre Prüfung besonders aussagekräftig:
| Worauf Sie achten | Wo Sie es sehen |
|---|---|
| Datenbestände ohne Regel oder mit unbestätigtem Vorschlag | Filter „Ohne Regel“ / „Bestätigung nötig“ (orange markiert) |
| Datenbestände ohne verantwortliche Person | Filter „Ohne verantwortliche Person“ |
| Löschläufe, die auf Freigabe warten, und seit wann | Rechte Spalte „Löschlauf“ → „Löschläufe ansehen“ |
| Gesperrte Bestände und der Grund der Sperre | Rechte Spalte (Zahl „gesperrt“) und im Detail des Datenbestands |
| Laufende Betriebsprüfung | Hinweis in der rechten Spalte |
| Letzte Überprüfung durch den Mandanten und Überprüfungstakt | Rechte Spalte, „Letzte Überprüfung“ |
| Gesetzliche Untergrenze (HGB/AO) | Das § an jeder Frist; im Löschlauf der Grund, warum ein Dokument nicht gelöscht wird |
Gelöscht wird in KlarKonform nur nach einer Sammelfreigabe durch den Mandanten. Jede Freigabe, jede herausgenommene Position und jede Sperre ist mit Person, Zeitpunkt und Begründung manipulationssicher protokolliert.
Checkliste für den Mandanten: vor dem Termin mit Ihrem DSB
Wenn Sie als Unternehmen diese Punkte vorbereiten, kann sich Ihr Datenschutzbeauftragter im Termin auf die eigentlichen Fragen konzentrieren:
- Verzeichnis gepflegt: Alle Verarbeitungstätigkeiten sind erfasst, mit Zweck, Rechtsgrundlage, Datenkategorien und Speicherdauer.
- Anwendungen zugeordnet: Jede Tätigkeit nennt die Anwendungen, in denen ihre Daten liegen. Daraus entstehen die Datenbestände im Löschkonzept.
- Regeln bestätigt: Unter Löschkonzept → Als Nächstes steht „Alles erledigt“, oder Sie wissen, warum ein Punkt noch offen ist.
- Verantwortliche festgelegt: Der Filter „Ohne verantwortliche Person“ ist leer.
- Löscheinstellungen bestätigt: Für Anwendungen, die selbst löschen (z. B. eine E-Mail-Aufbewahrungsrichtlinie), haben Sie die Einstellung bestätigt.
- Löschläufe nicht liegen lassen: Kein Lauf wartet über seine Bestätigungsfrist hinaus.
- Betriebsprüfung eingetragen, falls eine läuft oder angekündigt ist.
- Verträge mit Dienstleistern (AVV): Für jeden Dienstleister ist der Vertragsstatus gepflegt.
- Offene Betroffenenanfragen: Alle Anfragen haben eine Frist und eine zuständige Person.
- Zugang für Ihren DSB: Das Mandat ist im Partnerbereich angenommen und aktiv.
Fragen zur rechtlichen Bewertung, etwa ob eine Frist für Ihre Branche passt, klären Sie mit Ihrem Datenschutzbeauftragten. KlarKonform liefert die Fakten und den Nachweis, aber keine Rechtsberatung.