Informationspflichten und Transparenz nach KVKK und DSGVO: Wo fängt man bei null an?

Der größte Irrtum ist, Informationspflicht und Einwilligung in einen Topf zu werfen. Ein Hinweistext zur Datenverarbeitung ist keine Einverständniserklärung; er ist reine Information an die Gegenseite nach dem Motto: 'Ich verarbeite deine Daten nach diesen Vorgaben.' Eine Checkbox mit 'gelesen und akzeptiert' darunterzusetzen, ist juristisch gesehen falsch – es reicht völlig aus, wenn der Text leicht zugänglich ist.

Sie schreiben, dass Sie Allergieangaben erfassen – das ist ein kritischer Punkt. Sowohl nach KVKK als auch nach RGPD gelten Angaben zu Gesundheit und Ernährungseinschränkungen als besondere Kategorien personenbezogener Daten. Für die Verarbeitung reicht eine bloße Datenschutzerklärung nicht aus; Sie müssen eine ausdrückliche Einwilligung einholen, die Aufbewahrung streng auf das Event begrenzen und das Ganze in der Datenbank verschlüsselt speichern.

Was man direkt morgen machen kann, ist ganz simpel: Unter das Angebotsformular auf der Website keine Checkbox setzen, sondern einfach einen Link mit 'Mit dem Absenden des Formulars bestätigen Sie, dass Sie die Datenschutzerklärung zur Kenntnis genommen haben'. Bis der finale Text fertig ist, hat man am Kontaktpunkt zumindest schon mal für Transparenz gesorgt.

Edit: Ich habe vom Handy geschrieben, entschuldigt die Tippfehler.

Werden die Daten von Kunden aus der Türkei auf Servern in Frankreich gespeichert, oder fließen Daten von Kunden aus Frankreich in die Türkei? Bei grenzüberschreitenden Datenübertragungen müssen die Zielländer und die rechtlichen Garantien zwingend in einem separaten Abschnitt der Erklärung offengelegt werden.

Verlasst euch bloß nicht auf automatische Generatoren aus dem Netz. Das meiste davon sind Übersetzungen von 'privacy policies' nach US-Recht. Solche Vorlagen schluckt weder die Aufsichtsbehörde in Frankreich noch die Rechtsabteilung eures Firmenkunden. Ein einfacher, aber genau auf eure Abläufe zugeschnittener Text ist absolute Pflicht.

Als in Frankreich ansässige juristische Person unterliegen Sie primär den Vorgaben der RGPD und der CNIL. Damit Betroffene ihre Rechte auf Löschung, Berichtigung und Auskunft geltend machen können, verlangt das Gesetz, dass in der Erklärung eine separate Kontakt-E-Mail-Adresse für genau diese Anfragen explizit angegeben wird.

Wenn Sie bei null anfangen, gehen Sie am besten in drei Schritten vor: 1) Erstellen Sie eine einseitige Übersicht, die die erhobenen Daten nach Zweck ordnet. 2) Formulieren Sie auf dieser Basis eine verständliche, modular aufgebaute Datenschutzerklärung. 3) Binden Sie den Link dazu dauerhaft in Formularen und Angebots-PDFs ein.

Macht euch da keinen riesigen Kopf drum. übrigens großkunden wollen meistens nur sehen dass man das Thema überhaupt ernst nimmt... Mit einem soliden Basistext und sinnvollen Löschfristen kommt man da locker durch jedes Audit.

Da stimme ich zu. Fehler auf der KVKK Informationspflicht Transparenz-Seite sind meist rückgängig zu machen, aber teuer.

Man sollte der Reihe nach vorgehen. Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.

du hast recht. übrigens ein automatisierter Scan-Report ist kein Penetrationstest.

aus Erfahrung weiß ich das.

Dieses Thema ist archiviert.

Da stimme ich zu. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Viel Erfolg.

Kannst du das etwas genauer erklären? Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste. Ich hoffe, das hilft dir weiter.

kurzfassung für Neueinsteiger: Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

wenn ihr es zum ersten Mal macht, fangt klein an die Skalierung kommt später und wenn deine Situation anders ist änndert sich das natürlich.

Das hier Beschriebene ist genau das, was wir erlebt haben. Je schwerer es ist eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Aus Erfahrung weiß ich das.

Das hatte ich auch schon überlegt. In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

mich interessiert das auch.