Die ePrivacy-Verordnung kann für Versicherungen erhebliche Folgen haben, weil ihre digitalen Angebote regelmäßig Daten aus Kommunikation, Endgeräten und Online-Nutzung erfassen. Dazu zählen etwa Informationen aus Kundenportalen, Apps, Vergleichsrechnern, Telemetrie-Anwendungen oder digitalen Schadenmeldungen. Welche Anforderungen gelten, hängt vom endgültigen Rechtsrahmen und der konkreten Verarbeitung ab. Wichtig ist deshalb, geplante Pflichten nicht mit bereits geltendem Recht gleichzusetzen: Die EU-Kommission zog ihren Vorschlag für eine ePrivacy-Verordnung 2025 zurück. Für Versicherer bleiben jedoch die bestehende ePrivacy-Richtlinie, ihre nationale Umsetzung im Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und die Datenschutz-Grundverordnung (DSGVO) maßgeblich.
Die ePrivacy-Regeln betreffen insbesondere die Vertraulichkeit elektronischer Kommunikation sowie den Zugriff auf Informationen, die auf Endgeräten gespeichert sind. In Deutschland setzt das TDDDG zentrale Vorgaben um. So ist das Speichern von Informationen auf einem Endgerät oder der Zugriff darauf grundsätzlich nur zulässig, wenn die betroffene Person eingewilligt hat. Ausnahmen gelten unter anderem, wenn der Vorgang unbedingt erforderlich ist, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen. Für Versicherungen ist daher entscheidend, zwischen technisch notwendigen Funktionen und optionalen Analyse- oder Marketingzwecken sauber zu unterscheiden.
Im Versicherungsalltag betrifft das beispielsweise Cookies und ähnliche Technologien auf Websites und Kundenportalen. Ein Cookie, der eine Anmeldung aufrechterhält oder einen ausdrücklich angeforderten Tarifrechner funktionsfähig macht, kann anders zu beurteilen sein als ein Tracker, der Nutzungsverhalten über verschiedene Angebote hinweg für Werbeprofile auswertet. Auch der Einsatz von Software Development Kits (SDKs) in mobilen Apps kann einen Zugriff auf Geräteinformationen auslösen. Dabei kommt es nicht allein auf die Bezeichnung des Werkzeugs an, sondern darauf, welche Daten tatsächlich erhoben, gespeichert, ausgelesen und an Dritte übermittelt werden.
Versicherer sollten die ePrivacy-Anforderungen nicht isoliert betrachten. Die DSGVO regelt die Verarbeitung personenbezogener Daten, etwa die Nutzung von Kontakt-, Vertrags- oder Schadendaten. Die ePrivacy-Vorschriften setzen dagegen an der elektronischen Kommunikation und am Zugriff auf Endgeräte an. Beide Regelwerke können für denselben Vorgang relevant sein. Eine Einwilligung nach den Regeln für Cookies ersetzt daher nicht automatisch eine erforderliche datenschutzrechtliche Rechtsgrundlage für die anschließende Verarbeitung. Umgekehrt macht eine DSGVO-Rechtsgrundlage einen nicht zulässigen Zugriff auf ein Endgerät nicht ohne Weiteres rechtmäßig.
Besonders sichtbar werden die Anforderungen bei der Einwilligungsverwaltung. Wenn eine Versicherung optionale Analyse- oder Marketingtechnologien einsetzen möchte, muss sie die Entscheidung der Nutzerinnen und Nutzer nachvollziehbar einholen und dokumentieren. Die Information sollte verständlich erläutern, welche Kategorien von Technologien eingesetzt werden und zu welchen Zwecken. Eine Ablehnung darf nicht durch missverständliche Gestaltung unnötig erschwert werden. Ebenso wichtig sind ein einfach erreichbarer Widerruf und eine technische Umsetzung, die abgelehnte Technologien tatsächlich blockiert.
- Transparenz: Erklären Sie, welche Technologien welche Daten erfassen und an welche Empfänger Informationen weitergegeben werden.
- Granularität: Trennen Sie Zwecke wie Reichweitenmessung, Personalisierung und Werbung, statt sie in einer pauschalen Auswahl zusammenzufassen.
- Nachweisbarkeit: Speichern Sie Einwilligungsstatus, Zeitpunkt, Informationsversion und spätere Änderungen so, dass sie bei einer Prüfung nachvollziehbar sind.
- Technische Durchsetzung: Stellen Sie sicher, dass nicht erforderliche Skripte und SDKs vor einer wirksamen Einwilligung nicht auf Informationen zugreifen.
Die Auswirkungen reichen über die Website hinaus. In einer Versicherungs-App können Funktionen für Schadenmeldungen, Dokumentenuploads oder Vertragsverwaltung mit Analysewerkzeugen kombiniert sein. Wird etwa das Nutzungsverhalten ausgewertet, um Abläufe zu verbessern, muss geprüft werden, ob dabei Informationen auf dem Endgerät gespeichert oder ausgelesen werden und ob personenbezogene Daten anfallen. Auch eingebettete Dienste externer Anbieter – etwa für Karten, Chat, Terminbuchung oder Fehlerdiagnose – können zusätzliche Datenflüsse schaffen. Verantwortliche müssen deshalb sowohl den Zweck als auch die technische Funktionsweise des jeweiligen Dienstes kennen.
Auch vernetzte Versicherungsprodukte verdienen besondere Aufmerksamkeit. Telematik-Tarife in der Kfz-Versicherung oder digitale Gesundheitsangebote können Daten aus Sensoren, Wearables und mobilen Geräten einbeziehen. Nicht jeder Sensorwert fällt automatisch unter dieselbe rechtliche Kategorie: Maßgeblich sind unter anderem die konkrete Erhebung, die Identifizierbarkeit der Person und der Verwendungszweck. Werden Informationen über das Endgerät oder eine App ausgelesen, können ePrivacy-Regeln einschlägig sein; werden daraus personenbezogene Profile erstellt, ist zusätzlich eine Prüfung nach der DSGVO erforderlich. Gesundheitsdaten unterliegen dabei besonderen Schutzanforderungen nach Artikel 9 DSGVO.
Für Produkt- und Marketingteams bedeutet das, dass technische Entscheidungen frühzeitig rechtlich geprüft werden sollten. Wird ein neuer Tarifrechner entwickelt, eine App um Analysefunktionen ergänzt oder ein externer Anbieter eingebunden, können nachträgliche Änderungen teuer werden. Eine Bestandsaufnahme sollte deshalb nicht nur die Datenschutzhinweise erfassen, sondern auch Skripte, Tags, SDKs, Schnittstellen und Datenübermittlungen. Dabei ist zu dokumentieren, welche Technologien auf welcher Seite oder in welcher App aktiv sind, welche Informationen sie verarbeiten und ob sie vor einer Einwilligung geladen werden.
Die Pflichten betreffen außerdem die Gestaltung digitaler Kundenkommunikation. Versicherer versenden Vertragsinformationen, Schadenstatusmeldungen und Servicehinweise häufig über E-Mail, SMS oder Push-Nachrichten. Die Vertraulichkeit elektronischer Kommunikation ist dabei ebenso zu berücksichtigen wie die datenschutzrechtliche Zulässigkeit der jeweiligen Verarbeitung. Werden Kommunikationsdaten zusätzlich zur Erfolgsmessung oder zur Erstellung von Kundenprofilen genutzt, braucht es eine klare Zweckbestimmung und eine passende Rechtsgrundlage. Für Werbung gelten darüber hinaus besondere Anforderungen, die je nach Kommunikationskanal und nationaler Umsetzung variieren können.
Ein weiterer praktischer Effekt ist der erhöhte Abstimmungsbedarf zwischen Fachbereichen. Datenschutz, IT, Informationssicherheit, Marketing, Produktentwicklung und Einkauf müssen dieselben Datenflüsse beurteilen. Der Einkauf sollte vor einer Beauftragung klären, ob ein Dienstleister Informationen auf Endgeräten ausliest, Daten in eigene Systeme überträgt oder Unterauftragnehmer einsetzt. Die IT muss sicherstellen, dass die technische Konfiguration den getroffenen Entscheidungen entspricht. Datenschutzverantwortliche benötigen wiederum belastbare Informationen, um Transparenztexte, Einwilligungsprozesse und gegebenenfalls Datenschutz-Folgenabschätzungen sachgerecht zu bewerten.
Für die Leitungsebene entsteht daraus ein Governance-Thema: Eine formell korrekte Einwilligungsoberfläche reicht nicht aus, wenn die Website im Hintergrund andere Technologien aktiviert. Umgekehrt kann eine technisch zurückhaltende Umsetzung dennoch unzureichend sein, wenn Nutzerinnen und Nutzer nicht verständlich informiert werden. Regelmäßige Kontrollen sollten daher sowohl die rechtliche Dokumentation als auch das tatsächliche Verhalten der digitalen Systeme abdecken. Dazu gehören Tests nach Änderungen, etwa nach einem Website-Update, einem neuen App-Release oder dem Austausch eines Analyseanbieters.
Die möglichen Folgen von Verstößen ergeben sich aus dem Zusammenspiel der anwendbaren Vorschriften. Die DSGVO sieht bei bestimmten Verstößen erhebliche Bußgeldrahmen vor; für Unternehmen können daneben aufsichtsbehördliche Anordnungen, Beschwerden betroffener Personen und Reputationsschäden relevant werden. Auch die Anforderungen an die Rechenschaftspflicht nach Artikel 5 Absatz 2 DSGVO machen eine nachvollziehbare Dokumentation wichtig. Ob eine konkrete Maßnahme rechtswidrig ist und welche Konsequenzen drohen, hängt jedoch vom Einzelfall, der betroffenen Norm und den Umständen der Verarbeitung ab.
Eine belastbare Bewertung beginnt deshalb mit einer konkreten Frage: Welche digitale Funktion soll welchen Zweck erfüllen, und welche Datenverarbeitung ist dafür tatsächlich notwendig? Versicherer können anschließend für jede Website, App und Kommunikationsstrecke prüfen, ob Endgeräteinformationen gespeichert oder ausgelesen werden, ob personenbezogene Daten verarbeitet werden und welche Rechtsgrundlagen gelten. Diese getrennte, aber zusammenhängende Prüfung hilft, unnötige Datenerhebungen zu vermeiden und digitale Angebote so zu gestalten, dass rechtliche Anforderungen und funktionale Kundenbedürfnisse berücksichtigt werden.
Risiken bei der Verarbeitung personenbezogener Daten
Bei der Verarbeitung personenbezogener Daten entstehen für Versicherungen Risiken, sobald Informationen ohne klare Zweckbindung erhoben, zusammengeführt oder länger als erforderlich gespeichert werden. Besonders anspruchsvoll ist, dass ein einzelner digitaler Vorgang mehrere Regelwerke berühren kann: Der Zugriff auf Informationen im Endgerät kann unter das TDDDG fallen, während die anschließende Nutzung personenbezogener Daten nach der DSGVO zu beurteilen ist. Versicherer müssen daher nicht nur prüfen, ob Daten verarbeitet werden dürfen, sondern auch, ob ihre Erhebung und ihr Zugriff zulässig sind und ob die technische Umsetzung den dokumentierten Entscheidungen entspricht.
Ein wesentliches Risiko liegt in der unklaren Trennung zwischen den Zwecken einer Verarbeitung. Daten, die für die Bearbeitung eines Versicherungsantrags erhoben wurden, dürfen nicht automatisch für personalisierte Werbung, Profilbildung oder eine neue Analyse verwendet werden. Nach der DSGVO müssen Zwecke festgelegt und dürfen Daten grundsätzlich nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverarbeitet werden. Für Versicherungen ist das besonders relevant, wenn Vertrags-, Schaden-, Kommunikations- und Nutzungsdaten in gemeinsamen Systemen zusammenlaufen.
Auch Datenminimierung wird in der Praxis leicht verletzt. Ein digitales Formular fragt möglicherweise mehr Informationen ab, als zur Bearbeitung des konkreten Anliegens nötig sind. Eine App kann zusätzliche Gerätekennungen oder Nutzungsereignisse erfassen, obwohl die angebotene Funktion auch ohne sie verfügbar wäre. Je größer der Umfang der erhobenen Daten, desto schwieriger werden Zugriffskontrolle, Löschung, Auskunftserteilung und die Erklärung gegenüber betroffenen Personen. Eine regelmäßige Prüfung der Formularfelder, Tracking-Ereignisse und Schnittstellen kann unnötige Erhebungen sichtbar machen.
Besondere Vorsicht ist bei der Zusammenführung verschiedener Datenquellen geboten. Werden Angaben aus Kundenportalen mit Informationen aus Apps, Telematikdiensten oder externen Plattformen kombiniert, kann ein detailliertes Bild einzelner Personen entstehen. Das kann Rückschlüsse auf Verhalten, Lebensumstände oder Gesundheit ermöglichen, auch wenn solche Merkmale nicht ausdrücklich abgefragt wurden. Bei besonderen Kategorien personenbezogener Daten, etwa Gesundheitsdaten, gelten zusätzliche Anforderungen nach Artikel 9 DSGVO. Entscheidend ist deshalb nicht nur, welche einzelnen Datenfelder ein System enthält, sondern auch, welche Rückschlüsse die Kombination ermöglicht.
Ein weiteres Risiko ist eine unzureichende oder unwirksame Einwilligung. Sie muss freiwillig, informiert, eindeutig und auf einen bestimmten Zweck bezogen sein. Werden mehrere Zwecke in einer pauschalen Zustimmung gebündelt oder ist eine Ablehnung deutlich schwieriger als eine Zustimmung, kann die Einwilligung angreifbar sein. Ebenso problematisch ist es, wenn eine Auswahl im Consent-Management-System gespeichert, aber technisch nicht umgesetzt wird und optionale Skripte trotzdem Daten erfassen. Versicherer sollten deshalb die Einwilligungsoberfläche und das tatsächliche Verhalten von Website und App gemeinsam testen.
Bei der Einschaltung externer Dienstleister entstehen zusätzliche Risiken. Analyseanbieter, Cloud-Plattformen, Kommunikationsdienste und Anbieter von Schadenmanagement-Software können personenbezogene Daten erhalten oder eigene Unterauftragnehmer einsetzen. Versicherer müssen klären, welche Rolle der Anbieter einnimmt, zu welchen Zwecken er Daten verarbeitet und welche vertraglichen sowie technischen Schutzmaßnahmen gelten. Bei einer Auftragsverarbeitung ist insbesondere ein Vertrag nach Artikel 28 DSGVO erforderlich. Die bloße Aufnahme eines Dienstleisters in eine Datenschutzerklärung ersetzt jedoch weder die Prüfung der tatsächlichen Datenflüsse noch die laufende Kontrolle der vereinbarten Maßnahmen.
Auch internationale Datenübermittlungen verdienen Aufmerksamkeit. Werden Daten in Staaten außerhalb des Europäischen Wirtschaftsraums übertragen oder können dortige Anbieter auf sie zugreifen, sind die Voraussetzungen des Kapitels V der DSGVO zu prüfen. Je nach Konstellation können ein Angemessenheitsbeschluss, geeignete Garantien und ergänzende Maßnahmen erforderlich sein. Die technische und organisatorische Realität zählt dabei ebenso wie der Vertrag: Versicherer sollten wissen, wo Daten gespeichert werden, wer Zugriff erhält und ob Support- oder Wartungsleistungen aus Drittstaaten erfolgen.
Fehlerhafte Aufbewahrungs- und Löschkonzepte können die Risiken weiter erhöhen. Daten bleiben mitunter in Testsystemen, Exportdateien, Protokollen oder Backups erhalten, obwohl sie im führenden System bereits gelöscht wurden. Eine pauschale Speicherung „für den Fall, dass die Daten später nützlich sein könnten“ genügt nicht als Begründung. Erforderlich sind nachvollziehbare Fristen, die gesetzliche Aufbewahrungspflichten, Vertragszwecke und die Rechte betroffener Personen berücksichtigen. Löschprozesse sollten auch verbundene Systeme und Dienstleister einbeziehen und überprüfbar dokumentiert sein.
Unvollständige Informationen können zudem die Rechte von Kundinnen und Kunden beeinträchtigen. Betroffene müssen unter anderem verständliche Auskünfte über Zwecke, Datenkategorien, Empfänger und Speicherdauer erhalten können. Sind Informationen über mehrere Systeme verteilt, wird eine fristgerechte und vollständige Bearbeitung von Auskunfts-, Berichtigungs- oder Löschanträgen schwieriger. Eine zentrale Übersicht über Verarbeitungstätigkeiten und Datenflüsse hilft, Zuständigkeiten und Speicherorte schneller zu ermitteln; sie muss allerdings mit der tatsächlichen Systemlandschaft aktuell gehalten werden.
Besonders hohe Folgen können Datenpannen haben. Ein falsch adressiertes Schreiben, ein zu weitreichendes Zugriffsrecht, ein kompromittiertes Kundenkonto oder eine fehlerhafte Schnittstelle kann vertrauliche Vertrags- oder Schadendaten offenlegen. Versicherer müssen organisatorisch darauf vorbereitet sein, Vorfälle rasch zu erkennen, ihren Umfang zu bewerten und erforderliche Meldungen vorzunehmen. Nach Artikel 33 DSGVO ist eine meldepflichtige Verletzung des Schutzes personenbezogener Daten grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde mitzuteilen, sofern voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Betroffene sind nach Artikel 34 zu benachrichtigen, wenn voraussichtlich ein hohes Risiko vorliegt.
Weitere Risiken entstehen durch automatisierte Entscheidungen und Profiling. Werden Daten genutzt, um Tarife, Risikoeinstufungen oder Leistungsentscheidungen zu unterstützen, müssen Versicherer prüfen, welche Rolle automatisierte Verarbeitung tatsächlich spielt und ob Artikel 22 DSGVO einschlägig ist. Außerdem sind Transparenz, Datenqualität und angemessene Möglichkeiten zur menschlichen Überprüfung zu berücksichtigen. Eine fehlerhafte oder verzerrte Datengrundlage kann nicht nur zu falschen Ergebnissen führen, sondern auch das Vertrauen in die Fairness der Entscheidungsprozesse beeinträchtigen.
Die Folgen von Verstößen beschränken sich nicht auf mögliche Bußgelder. Aufsichtsbehörden können Maßnahmen anordnen, etwa die Einschränkung oder Unterbindung einer Verarbeitung. Hinzukommen können Kosten für die Untersuchung eines Vorfalls, die Benachrichtigung Betroffener, technische Abhilfen und die Wiederherstellung von Systemen. Ein Vertrauensverlust kann sich außerdem auf Kundenbeziehungen und die Nutzung digitaler Angebote auswirken. Welche rechtlichen Konsequenzen im Einzelfall eintreten, hängt von der betroffenen Vorschrift, der Schwere des Verstoßes und den ergriffenen Schutzmaßnahmen ab.
Für eine belastbare Risikobewertung sollten Versicherer jede relevante Verarbeitung konkret erfassen: Welche Daten werden erhoben, aus welcher Quelle stammen sie, wer erhält Zugriff und wie lange bleiben sie verfügbar? Ebenso wichtig ist die Frage, ob Endgeräteinformationen gespeichert oder ausgelesen werden und ob dafür eine Einwilligung erforderlich ist. Die Ergebnisse sollten mit technischen Tests abgeglichen werden, denn Dokumentation und tatsächliches Systemverhalten können voneinander abweichen. Bei voraussichtlich hohen Risiken für Rechte und Freiheiten kann eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO erforderlich sein.
Maßnahmen zur Sicherung der Compliance
Eine wirksame Compliance beginnt damit, die tatsächlichen Datenflüsse in Websites, Apps und digitalen Kommunikationskanälen nachvollziehbar zu erfassen. Für Versicherungen reicht es nicht, Datenschutzhinweise und Einwilligungstexte einmalig zu prüfen. Entscheidend ist, ob die technischen Systeme die dokumentierten Zwecke und Entscheidungen zuverlässig umsetzen. Da die EU-Kommission ihren Vorschlag für eine ePrivacy-Verordnung 2025 zurückgezogen hat, sollten Sie Ihre Maßnahmen an den geltenden Vorgaben ausrichten: insbesondere an der DSGVO, der ePrivacy-Richtlinie und ihrer deutschen Umsetzung im TDDDG.
Beginnen Sie mit einem vollständigen Verzeichnis der eingesetzten Technologien und ihrer Funktionen. Dazu gehören Cookies, Pixel, Skripte, SDKs, Analysewerkzeuge, Chatdienste und eingebundene Drittanbieter. Erfassen Sie für jeden Dienst, welche Informationen er speichert oder ausliest, zu welchem Zweck dies geschieht, an wen Daten übermittelt werden und ob die Funktion auch ohne optionale Verarbeitung verfügbar ist. Ein technisches Inventar schafft eine belastbare Grundlage für rechtliche Bewertungen und macht Änderungen an der Website oder App kontrollierbar.
Ordnen Sie jede Verarbeitung einem klar festgelegten Zweck und einer geeigneten Rechtsgrundlage zu. Prüfen Sie dabei getrennt, ob ein Zugriff auf Informationen im Endgerät nach dem TDDDG zulässig ist und ob die anschließende Verarbeitung personenbezogener Daten die Anforderungen der DSGVO erfüllt. Diese Unterscheidung verhindert den häufigen Fehlschluss, eine DSGVO-Rechtsgrundlage erlaube automatisch auch den Zugriff auf Endgeräteinformationen. Ebenso ersetzt eine Einwilligung für eine Technologie nicht automatisch die erforderliche Rechtsgrundlage für alle späteren Nutzungen der erhobenen Daten.
Wenn eine Einwilligung erforderlich ist, muss sie verständlich, zweckbezogen und tatsächlich freiwillig eingeholt werden. Die Auswahlmöglichkeiten sollten die relevanten Zwecke klar voneinander trennen, etwa Reichweitenmessung, Personalisierung und Werbung. Eine Ablehnung darf nicht durch irreführende Gestaltung oder zusätzliche unnötige Schritte erschwert werden. Ebenso wichtig ist ein leicht auffindbarer Weg, die Entscheidung später zu ändern oder zu widerrufen. Dokumentieren Sie außerdem, welche Information zum Zeitpunkt der Entscheidung angezeigt wurde.
Die technische Konfiguration muss die Auswahl konsequent umsetzen. Nicht notwendige Cookies oder vergleichbare Technologien sollten erst dann aktiv werden, wenn die erforderliche Einwilligung vorliegt. Prüfen Sie dies regelmäßig mit technischen Tests, die sowohl die Zustimmung als auch die Ablehnung abbilden. Testen Sie außerdem, ob ein Widerruf künftige Zugriffe stoppt und ob bereits gespeicherte Einstellungen korrekt berücksichtigt werden. Ein Consent-Management-System ist nur dann wirksam, wenn die angeschlossenen Tags und SDKs seine Vorgaben tatsächlich befolgen.
Eine klare Verantwortungsverteilung erleichtert die laufende Kontrolle. Datenschutz, IT, Informationssicherheit, Marketing, Produktentwicklung und Einkauf sollten festgelegte Aufgaben bei der Einführung und Änderung digitaler Dienste haben. Vor der Beauftragung eines Anbieters ist zu klären, welche Daten er verarbeitet, welche Unterauftragnehmer beteiligt sind, wo Daten gespeichert werden und wer darauf zugreifen kann. Bei Auftragsverarbeitung sind die Anforderungen aus Artikel 28 DSGVO zu berücksichtigen; die vertragliche Regelung sollte mit den tatsächlichen technischen Datenflüssen übereinstimmen.
- Vor dem Start: Erfassen Sie Zwecke, Datenkategorien, Empfänger, Speicherorte und Rechtsgrundlagen für jede digitale Funktion.
- Bei Änderungen: Prüfen Sie neue Skripte, App-Versionen, Schnittstellen und Anbieter, bevor sie produktiv eingesetzt werden.
- Im Betrieb: Kontrollieren Sie regelmäßig, ob Einwilligungen, Zugriffsrechte und Löschregeln technisch eingehalten werden.
- Bei Vorfällen: Halten Sie Prozesse bereit, um Umfang und Folgen einer Datenpanne zu bewerten und erforderliche Meldungen fristgerecht vorzunehmen.
Auch Aufbewahrung und Löschung benötigen klare Regeln. Legen Sie für die jeweiligen Datenkategorien nachvollziehbare Fristen fest und berücksichtigen Sie dabei gesetzliche Pflichten, Vertragszwecke und die Rechte betroffener Personen. Beziehen Sie nicht nur führende Systeme ein, sondern auch Protokolle, Exporte, Testumgebungen, Backups und die Systeme beauftragter Dienstleister. Regelmäßige Kontrollen können aufdecken, ob Daten nach Ablauf der vorgesehenen Frist tatsächlich gelöscht oder anonymisiert werden.
Bei umfangreichen oder besonders sensiblen Verarbeitungen sollten Sie frühzeitig prüfen, ob eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO erforderlich ist. Das kann etwa relevant sein, wenn neue Technologien eingesetzt, Daten aus verschiedenen Quellen systematisch zusammengeführt oder potenziell besonders schutzbedürftige Personengruppen betroffen werden. Die Bewertung sollte konkrete Risiken für die Rechte und Freiheiten der Versicherten beschreiben und angemessene technische und organisatorische Maßnahmen festlegen. Bleibt trotz geplanter Maßnahmen ein hohes Risiko bestehen, sind die weiteren Anforderungen der DSGVO zu beachten.
Schließlich sollten Sie die Compliance nicht auf den Zeitpunkt der Einführung beschränken. Änderungen an einer Website, einem App-SDK oder einem externen Dienst können neue Datenflüsse schaffen, ohne dass dies in den bisherigen Unterlagen sichtbar wird. Verankern Sie deshalb Datenschutz- und TDDDG-Prüfungen in Entwicklungs- und Beschaffungsprozessen. So lassen sich Abweichungen zwischen dokumentierter Verarbeitung und technischer Realität früh erkennen und beheben.
–
Neugierig geworden?
Hier erfahren Sie mehr: Tolerant Software
