Löschkonzept: Wie lange dürfen Sie Daten wirklich behalten?

Löschkonzept: Wie lange dürfen Sie Daten wirklich behalten?

„Wir behalten einfach alles – man weiß ja nie." Dieser Satz fällt in der Datenschutzberatung erschreckend häufig. Er klingt vorsichtig, ist aber aus datenschutzrechtlicher Sicht eines der größten Risiken, das ein Unternehmen eingehen kann. Denn die EU-DSGVO verlangt das Gegenteil: Daten dürfen nur so lange gespeichert werden, wie es einen klaren Zweck dafür gibt.

Mitarbeiter als Einfallstor: Warum Awareness kein Nice-to-have ist

Firewalls, Virenscanner, verschlüsselte Verbindungen – viele Unternehmen investieren erheblich in technische Schutzmaßnahmen. Und trotzdem gelingt es Angreifern immer wieder, in Unternehmenssysteme einzudringen. Der Grund ist selten ein Fehler in der Technik. Der Grund ist der Mensch.

Warum Awareness kein Nice- to- have ist

Auftragsverarbeitung (AVV): Der Vertrag, den fast jeder falsch macht

Wenn Unternehmen über DSGVO reden, fallen meist die großen Schlagworte: Datenschutzerklärung, Einwilligung, Verarbeitungsverzeichnis. Der Auftragsverarbeitungsvertrag – kurz AVV – landet dabei regelmäßig auf dem letzten Platz. Dabei ist er in der Prüfungspraxis einer der häufigsten Stolpersteine. Und er betrifft nicht nur die Endkunden. Gerade IT-Dienstleister und Systemhäuser sind gleich doppelt in der Pflicht.

Typische Lücken im AVV

Verarbeitungsverzeichnis nach Art. 30 EU-DSGVO: Warum die Behörde es zuerst sehen will

Auf den Punkt: Wer in den letzten Jahren mit einer Datenschutzbehörde zu tun hatte, kennt das Muster: Die erste Anfrage betrifft fast immer das Verarbeitungsverzeichnis. Wer es nicht vorlegen kann, hat den Termin schon halb verloren – wer ein veraltetes oder lückenhaftes Dokument schickt, oft auch. Aus 18 Jahren Beratungspraxis im Mittelstand ist es die häufigste vermeidbare Schwachstelle.

Verarbeitungsverzeichnis nach Art. 30 EU-DSGVO

Auf einen Blick

• Das Verarbeitungsverzeichnis (VVT) ist nach Art. 30 DSGVO Pflicht – in der Praxis für nahezu jedes Unternehmen, unabhängig von der Mitarbeiterzahl.
• Es ist das erste Dokument, das die Datenschutzbehörde bei einer Prüfung anfordert.
• Häufige Fehler in der Praxis: nie aktualisiert, unvollständig, ohne benannte Verantwortlichkeit.
• Empfehlung: VVT als lebendes Dokument führen – mindestens jährlich aktualisieren und bei jeder neuen Verarbeitung anfassen.
• Das Fehlen kann Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes nach sich ziehen (Art. 83 Abs. 4 DSGVO).

Heimliche Überwachung per Newsletter: Wie Tracking-Pixel E-Mail-Empfänger ausspähen können

Online-Tracking findet nicht nur auf Webseiten statt. Auch Newsletter und Werbe-E-Mails können genutzt werden, um das Verhalten von Empfängerinnen und Empfängern nachzuverfolgen. Viele denken dabei nur an angeklickte Links. Tatsächlich kann das Tracking aber schon beim Öffnen einer E-Mail beginnen.

Genau deshalb warnen Datenschutzaufsichtsbehörden vor heimlichem Tracking in Newslettern. Für Unternehmen ist das ein klares Datenschutzthema. Für Mitarbeitende und private Nutzer ist es ein Awareness-Thema: Nicht jede E-Mail ist nur eine Nachricht. Manche E-Mails beobachten mit.

Newsletter können mehr erfassen als nur Klicks – unsichtbare Tracking-Pixel können bereits beim Öffnen einer E-Mail Daten übertragen.