In den veröffentlichten Compliance-Leitfäden der türkischen Datenschutzbehörde fällt eine Betonung auf: Bei einem Verstoß haftet nicht nur, wer gehandelt hat, sondern auch, wer die nötigen Maßnahmen nicht ergriffen hat.
01. Wo die Verantwortung liegt
Verantwortlicher ist die Organisation selbst, nicht eine Abteilung oder ein Mitarbeitender. Ein Fehler eines Mitarbeitenden entlastet die Organisation nicht; geprüft wird vielmehr, ob die nötigen technischen und organisatorischen Maßnahmen bestanden.
02. Ein Protokoll genügt nicht
Datenaustauschprotokolle zwischen Institutionen bilden für sich keine Rechtsgrundlage. Der gesetzliche Grund der Weitergabe ist gesondert zu belegen. Das ist eine häufige Lücke in Lieferanten- und Partnerverträgen.
03. Die Maßnahmenliste
Zugriffsberechtigung, Protokollierung, Verschlüsselung, Sicherung, Sensibilisierungsschulung und Vorfallreaktionsplan. Ihr Bestehen zählt, ebenso ein Nachweis, dass sie regelmäßig betrieben werden.
04. Nachweiskultur
Eine Prüfung verlangt nicht die Praxis, sondern deren Aufzeichnung. Fand die jährliche Rechteprüfung statt, braucht es ein Protokoll; wurde geschult, eine Teilnehmerliste. Gute Praxis ohne Nachweis gilt als nicht vorhanden.
05. Die Lieferkette
Bei Lieferanten in der Rolle des Auftragsverarbeiters ist sicherzustellen, dass dieselben Maßnahmen gelten. Ein Prüfrecht in den Vertrag zu schreiben und es mindestens jährlich auszuüben ist erwartetes Verhalten.
06. Womit beginnen
Datenbestand, Berechtigungsmatrix und Tabelle der Aufbewahrungsfristen. Ohne diese drei Dokumente hängen alle übrigen Maßnahmen in der Luft.