Datenschutz im Betrieb

01 · Zuständigkeiten und Datenübersicht

Für eigene Kundenverwaltung, Anfragen und Abrechnung entscheidet der Betreiber über Zwecke und Mittel. Für Fahrer-, Fahrzeug- und Werkstattdaten des Kunden handelt Flottenwacht im vereinbarten Umfang als Auftragsverarbeiter; der jeweilige Kunde legt Zweck, Rechtsgrundlage, Berechtigungen und Aufbewahrung fest.

Die Geschäftsleitung benennt einen Verantwortlichen für die folgenden Abläufe und eine Vertretung. Ein Datenschutzbeauftragter ist eine gesonderte Funktion und wird dadurch nicht automatisch bestellt.

1. Jede Verarbeitung in einem Verzeichnis erfassen: Verantwortlicher, Kontakt, Zweck, Betroffene, Datenarten, Rechtsgrundlage (bei eigenen Verarbeitungen), Empfänger, Drittlandtransfers samt Garantien, Löschkriterien und Schutzmaßnahmen.
2. Für Auftragsverarbeitung zusätzlich die jeweiligen Kunden, Verarbeitungskategorien und Weisungen dokumentieren. Keine Kundendaten in frei zugänglichen Unterlagen sammeln.
3. Bei einem neuen Modul, Dienstleister oder Verarbeitungszweck das Verzeichnis vor Nutzung aktualisieren; mindestens jährlich prüfen.

02 · Zugänge und Berechtigungen

1. Vor Anlage eines Zugangs Identität, zuständigen Kunden und erforderliche Rolle prüfen. Freigabe durch die zuständige Leitung dokumentieren.
2. Persönliche Konten nutzen, keine gemeinsamen Passwörter. Rechte auf das erforderliche Maß begrenzen; Mehrfaktor-Anmeldung für administrative Konten einrichten, soweit verfügbar.
3. Bei Austritt oder Rollenwechsel Zugriff unverzüglich entziehen bzw. anpassen. Aktive Sitzungen und externe Dienstleisterzugänge einbeziehen.
4. Vierteljährlich alle berechtigten Personen, Kundenzuordnungen und Dienstleisterzugänge mit der Leitung abgleichen. Datum, Prüfer, Abweichung und Behebung protokollieren.

Kontrolle: Eine im Portal ausgeblendete Funktion ersetzt keine Berechtigungsprüfung auf dem Server. Mandantentrennung und Rollen sind nach Änderungen mit getrennten Testkonten zu prüfen.

03 · Lösch- und Aufbewahrungsplan

Die folgenden Zeiträume sind betriebliche Vorschläge, soweit keine gesetzliche Frist genannt wird. Vor Anwendung die Vertragslage, Kundenweisung und Aufbewahrungspflichten prüfen. Dieser Leitfaden führt keine automatische Löschung aus.

Monatlich fällige Bestände prüfen. Vor Löschung Export-/Rückgabepflichten, Sperrvermerke und Kundenfreigabe klären. Ausführung über Datenbank, Dateien, Mailablagen und Exporte hinweg bestätigen. Im Löschprotokoll nur Vorgangs-ID, Kategorien, Zeitraum, Grund, Freigabe, Ausführung und Backup-Auslauf erfassen; gelöschte Inhalte nicht erneut hineinkopieren.

04 · Auskunft, Berichtigung und Löschung

1. Anfrage am Eingangstag mit Vorgangsnummer und Eingangsdatum erfassen; zuständige Person festlegen. Identität verhältnismäßig prüfen, zusätzliche Angaben nur bei begründeten Zweifeln anfordern.
2. Bei Kundendaten unverzüglich an den verantwortlichen Kunden weiterleiten und nach dessen Weisung unterstützen. Keine eigenmächtige Offenlegung anderer Personen oder Mandanten.
3. Bei eigener Verantwortlichkeit grundsätzlich innerhalb eines Monats ab Eingang reagieren. Eine zulässige Verlängerung um bis zu zwei weitere Monate muss innerhalb des ersten Monats mit Gründen mitgeteilt werden.
4. Betroffene Systeme, Dokumente und Empfänger prüfen, Rechte Dritter schützen, Ergebnis sicher übermitteln und Abschluss dokumentieren. Bei einer abgelehnten Anfrage Gründe und Rechtsbehelfe mitteilen.

Interner Ablaufvorschlag: Zuständigkeit innerhalb von 2 Arbeitstagen klären; Entwurf spätestens eine Woche vor Fristende prüfen. Diese internen Ziele verlängern keine gesetzliche Frist.

05 · Datenschutzvorfall und Notfall

Beispiele: fremde Fahrerakte sichtbar, E-Mail an falschen Empfänger, gestohlener Zugang, verlorener Export oder unbefugte Datenänderung.

1. Unverzüglich an die zuständige Leitung melden. Zugang sperren oder Übermittlung stoppen, soweit sicher möglich; Zeitpunkt der Kenntnisnahme und Fakten sichern. Beweise nicht vorschnell löschen.
2. Betroffene Daten, Personen, Umfang, Folgen und Schutzmaßnahmen feststellen. Bei Auftragsverarbeitung den verantwortlichen Kunden unverzüglich informieren – nicht erst nach Abschluss der Untersuchung.
3. Der Verantwortliche prüft die Meldung an die zuständige Aufsichtsbehörde: unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden, sofern ein Risiko nicht unwahrscheinlich ist. Fehlende Angaben können gestuft nachgereicht werden; Verzögerung begründen.
4. Bei voraussichtlich hohem Risiko zusätzlich die betroffenen Personen unverzüglich informieren, soweit keine gesetzliche Ausnahme greift.
5. Jeden Vorfall samt Risikobewertung, Meldeentscheidung, Maßnahmen und Nachkontrolle dokumentieren, auch wenn keine Meldung erfolgt.

Keine Passwörter, vollständigen Fahrerakten oder andere unnötige sensible Inhalte per gewöhnlicher E-Mail versenden. Die konkrete zuständige Behörde richtet sich nach dem Verantwortlichen.

06 · Sicherung und Wiederherstellung

Ein Ablauf ist noch kein Sicherungsnachweis. Vor dem produktiven Einsatz sind Anbieterplan, Sicherungsumfang, Speicherort, Verschlüsselung, Zugriff und erfolgreicher Rücksicherungstest zu dokumentieren.

1. Datenbank, Dokumentablage und Anwendung/Konfiguration getrennt erfassen. Eine Sicherung der Website enthält nicht automatisch die Portal-Datenbank oder hochgeladene Dokumente.
2. Zielwerte festlegen: höchstens 24 Stunden Datenverlust, Wiederanlauf innerhalb eines Arbeitstags. Diese Werte sind Planungsziele, keine garantierte Leistung.
3. Tägliche Sicherung als Ziel einrichten, Fehler täglich prüfen und an die zuständige Person eskalieren. Aufbewahrung und unabhängigen Sicherungsort festlegen; Geheimnisse gesondert schützen.
4. Mindestens vierteljährlich in einer isolierten Umgebung zurücksichern. Vollständigkeit, Dokumentzugriff und Berechtigungen prüfen; keine Nachrichten an echte Kunden versenden.
5. Ergebnis, Datum, Wiederanlaufdauer und Abweichungen festhalten. Vor Rückkehr in den Betrieb zwischenzeitliche Löschungen und Zugriffsänderungen erneut anwenden.

07 · Dienstleister und Schulung

Vor Einsatz eines Dienstleisters Leistungsumfang, Auftragsverarbeitungsvertrag, Unterauftragnehmer, Verarbeitungsorte, Drittlandgarantien, Löschung, Sicherheit und Meldewege prüfen. Abschlussnachweise geschützt ablegen und Änderungen regelmäßig verfolgen. Ein Vertragsmuster allein beweist keinen Abschluss.

Neue Mitarbeitende vor Zugriff auf Vertraulichkeit und die Abläufe verpflichten; jährlich und bei wesentlichen Änderungen unterweisen. Nachweise mit Datum, Teilnehmern und Themen geschützt aufbewahren. Eine Datenschutz-Folgenabschätzung und die Pflicht zur Benennung eines Datenschutzbeauftragten sind anhand der tatsächlichen Verarbeitung und Organisation gesondert zu prüfen.

08 · Regelmäßige Aufgaben und Nachweise

Die Vorlagen unten sind leer. Ausgefüllte Nachweise gehören in eine zugriffsgeschützte betriebliche Ablage. Der Download speichert nichts im Portal und richtet keine Erinnerungen oder automatischen Kontrollen ein.

Grundlagen und Kontakt

Grundlagen: DSGVO, insbesondere Art. 5, 12, 17, 28, 30 und 32–35 sowie § 147 AO. Die gesetzlichen Pflichten bleiben vom konkreten Vorgang abhängig.

Kontakt zu Flottenwacht: info@flottenwacht.de. Bei Kundendaten ist zusätzlich die im eigenen Betrieb zuständige Person einzubeziehen.