Bei der Bestandesaufnahme geht es darum, zu verstehen, welche Daten im Unternehmen bearbeitet werden und welche Massnahmen bereits getroffen sind. Die Bestandesaufnahme ist die Grundlage für die Identifizierung der zu treffenden Massnahmen.
Personendaten
- Wo und wie werden Personendaten beschafft, wozu?
- Welche Personendaten werden bearbeitet, wozu?
- Werden besonders schützenswerte Daten bearbeitet?
- Wird Profiling oder Profiling mit hohem Risiko betrieben?
- Wie werden die Daten bearbeitet, mit welchen Mitteln?
Datensicherheit
- Wo werden die Daten gelagert (Papier) oder gespeichert (digital)?
- Wer hat Zugang zu den Daten bzw. Zugriff auf die Daten?
- Wie werden die Daten bereits geschützt (physisch, digital)?
Datenweitergabe
- Werden Daten an Dritte weitergegeben? An wen?
- Werden Daten an Auftragsverarbeiter weiter gegeben?
- Werden Daten an Vertragspartner weiter gegeben?
- Werden Daten nur im Inland oder auch ins Ausland (sichere und unsichere Länder) übermittelt?
Dokumente und Verträge
- Besteht bereits eine Datenschutzerklärung für Ihre Website?
- Besteht bereits eine Datenschutzerklärung für Kundenbeziehungen und für Mitarbeitende?
- Bestehen bereits Verträge mit Auftragsverarbeitern?
- Bestehen bereits Klauseln zum Datenschutz in Verträgen mit Vertragspartnern, Kunden etc.?
Betroffenenrechte
- Wie werden betroffene Personen informiert über die Datenerhebung und Bearbeitung?
- Wie wird mit Auskunftsbegehren von betroffenen Personen umgegangen?
- Wie wird mit Begehren von Betroffenen auf Herausgabe ihrer Daten umgegangen?
Informatik und Telefonie (ICT)
- Welche IT-Applikationen werden verwendet? In welchen Applikationen werden Personendaten bearbeitet?
- Wie wird die Kommunikation geführt (Telefonie, E-Mail, Video-Calls etc.)? Wie werden in diesen Personendaten bearbeitet?
- Wie ist die ICT organisiert?
- Werden Cloud-Dienste genutzt? Welche? Werden dabei Daten in die USA übermittelt? Oder können Unternehmen in den USA in die Daten Einsicht nehmen?
- Betreiben Sie Online Marketing? Wenn ja, über welche Platformen? Werden Personendaten an diese Platformen übermittelt oder von diesen gesammelt?
