Ihr Kunde hat einen PDPL-Fragebogen geschickt. Diese Dokumente erwartet er

Für viele kleine Unternehmen in den VAE ist der erste Kontakt mit dem PDPL keine Aufsichtsbehörde, sondern ein Beschaffungsfragebogen eines größeren Kunden. Die Fragen variieren, drehen sich aber um eine kleine Zahl von Dokumenten. Wer diese bereithält, macht aus einer Woche Hin und Her einen Nachmittag.

Die Fragen und das Dokument, das jede beantwortet

• „Führen Sie ein Verzeichnis von Verarbeitungstätigkeiten?“ Das nach Artikel 7 und 8 vorgeschriebene Verzeichnis (VVT): welche Daten, zu welchem Zweck, auf welcher Rechtsgrundlage, an wen weitergegeben, wie lange gespeichert.
• „Bitte übermitteln Sie uns Ihren Datenschutzhinweis.“ Ein für das PDPL geschriebener Hinweis, der das UAE Data Office und die korrekten Rechtsgrundlagen nennt.
• „Wer ist für den Datenschutz verantwortlich?“ Ein benannter DSB, wo Artikel 10 dies verlangt, andernfalls eine benannte verantwortliche Person für den Datenschutz.
• „Setzen Sie Unterauftragsverarbeiter ein? Wo werden die Daten gespeichert?“ Ihre Liste der Dienstleister mit ihren Hosting-Regionen und den Verträgen, die sie binden (Artikel 8).
• „Wie würden Sie mit einer Verletzung des Schutzes personenbezogener Daten umgehen?“ Ein schriftliches Verfahren für Datenschutzverletzungen, das die Meldung nach Artikel 9 abdeckt, idealerweise mit einem Nachweis, dass es geübt wurde.
• „Welche Sicherheitsmaßnahmen wenden Sie an?“ MFA, Verschlüsselung, Zugriffskontrolle, Backups, Protokollierung: die technischen und organisatorischen Maßnahmen nach Artikel 20.
• „Wie gehen Sie mit Anträgen betroffener Personen um?“ Ein Verfahren für Auskunft, Berichtigung, Löschung und Widerspruch (Artikel 13 bis 18).

Worauf Prüfer tatsächlich achten

Konsistenz. Datenschutzhinweis, Verzeichnis von Verarbeitungstätigkeiten und Dienstleisterliste sollten dasselbe erzählen. Ein Hinweis, der keine Übermittlungen ins Ausland erwähnt, neben einer Dienstleisterliste voller US-SaaS-Tools ist genau der Widerspruch, der Rückfragen auslöst.

Konkretes statt Floskeln. „Wir nehmen Sicherheit ernst“ bringt nichts. „MFA ist für E-Mail- und Administratorkonten verpflichtend; Laptops verwenden eine vollständige Festplattenverschlüsselung“ beantwortet die Frage.

Die Unterlagen zusammenstellen

Unser PDPL-Kit erstellt all diese Dokumente aus einem Fragebogen, bereits aufeinander abgestimmt, weil sie aus denselben Antworten erzeugt werden: Lückenbericht, Datenschutzhinweis, Verzeichnis von Verarbeitungstätigkeiten, Verfahren für Anträge und Datenschutzverletzungen, ein Auftragsverarbeitungsvertrag für Dienstleister, eine DSFA und ein Aufbewahrungsplan.