Ghana Data Protection Act-Compliance

Was ist Ghanas Data Protection Act?

Der Data Protection Act, 2012 (Act 843) schafft den rechtlichen Rahmen für den Schutz personenbezogener Daten in Ghana. Er regelt die Erhebung, Nutzung, Offenlegung, Speicherung, Sicherheit und Vernichtung personenbezogener Daten und behandelt:

• Rechtmäßige Verarbeitung
• Datenminimierung
• Zweckbindung
• Transparenz
• Datenqualität
• Sicherheit
• Mitwirkung der betroffenen Person
• Registrierung
• Aufsicht über die Datenverarbeitung
• Internationale Verarbeitung
• Besondere personenbezogene Daten
• Aufsichtsrechtliche Durchsetzung

Die Data Protection Commission ist die durch das Gesetz eingerichtete Aufsichtsbehörde. Sie führt das Register der Verantwortlichen, überwacht die Einhaltung, untersucht Beschwerden, betreibt die Durchsetzung und fördert das Datenschutzbewusstsein in Ghana.

Die Einwilligung ist wichtig, doch Ghanas DPA ist kein Gesetz, das allein auf Einwilligung beruht. Abschnitt 20 sieht neben der Einwilligung bestimmte alternative Rechtfertigungen vor, sodass jede Verarbeitungstätigkeit auf der Rechtfertigung beruhen sollte, die tatsächlich zu ihr passt.

Verantwortliche und Auftragsverarbeiter

Ein Verantwortlicher entscheidet über die Zwecke und Mittel der Verarbeitung personenbezogener Daten. Verantwortliche tragen die primäre Verantwortung für die Compliance, einschließlich der Registrierung bei der DPC. Beispiele sind:

• E-Commerce-Unternehmen
• Banken und Finanzinstitute
• Versicherungsunternehmen
• Arbeitgeber
• Gesundheitsdienstleister
• Hochschulen und Schulen
• Telekommunikationsunternehmen
• SaaS-Unternehmen
• Marketingunternehmen
• Öffentliche Einrichtungen
• Online-Plattformen

Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag eines Verantwortlichen und nach dessen Weisungen. Beispiele sind:

• Cloud-Anbieter
• Lohnabrechnungsdienstleister
• CRM-Plattformen
• Hosting-Anbieter
• Analyseanbieter
• Marketingplattformen
• Kundensupport-Dienstleister

Räumlicher Anwendungsbereich

Act 843 gilt für in Ghana niedergelassene Verantwortliche, die personenbezogene Daten in Ghana verarbeiten. Er kann auch für Verantwortliche gelten, die nicht in Ghana niedergelassen sind, aber Ausrüstung in Ghana oder einen in Ghana geschäftlich tätigen Auftragsverarbeiter zur Verarbeitung personenbezogener Daten nutzen, sofern dies nicht nur der Durchleitung durch Ghana dient.

Abschnitt 18 behandelt außerdem betroffene Personen aus dem Ausland. Werden personenbezogene Daten aus einer ausländischen Rechtsordnung zur Verarbeitung nach Ghana übermittelt, muss der Verantwortliche sicherstellen, dass die Daten nach dem Datenschutzrecht dieser ausländischen Rechtsordnung verarbeitet werden.

International tätige Organisationen sollten die ghanaischen Anforderungen daher zusammen mit den anderen Datenschutzgesetzen prüfen, die für ihre betroffenen Personen, Systeme und Dienstleister gelten.

Was sind personenbezogene Daten nach Act 843?

Nach Act 843 sind personenbezogene Daten Daten über eine Person, die aus diesen Daten oder aus diesen Daten in Verbindung mit weiteren Informationen identifiziert werden kann, die der Verantwortliche besitzt oder wahrscheinlich erlangen wird. Beispiele sind:

• Namen
• E-Mail-Adressen
• Telefonnummern
• Identifikationsnummern
• Kontoinformationen
• Beschäftigungsinformationen
• Standortinformationen
• Online-Kennungen
• Finanzinformationen
• Gesundheitsinformationen
• Biometrische oder genetische Informationen

Ob eine technische Kennung wie eine Cookie-ID oder eine Gerätekennung ein personenbezogenes Datum ist, hängt davon ab, ob sie im jeweiligen Kontext mit einer identifizierbaren Person verknüpft werden kann.

Rechtsgrundlagen der Verarbeitung

Abschnitt 20 bestimmt, dass personenbezogene Daten nicht ohne vorherige Einwilligung der betroffenen Person verarbeitet werden sollen, sofern nicht eine andere ausdrücklich genannte Rechtfertigung greift. Die Einwilligung ist nicht die einzige Rechtfertigung. Eine Verarbeitung kann sich auch stützen auf:

• Vertragserfüllung – eine Verarbeitung, die für einen Vertrag erforderlich ist, an dem die betroffene Person beteiligt ist
• Gesetzliche Erlaubnis oder Pflicht – eine gesetzlich erlaubte oder vorgeschriebene Verarbeitung
• Schutz eines berechtigten Interesses der betroffenen Person – eine Verarbeitung zum Schutz eines berechtigten Interesses der betroffenen Person
• Erfüllung einer gesetzlichen Aufgabe – eine Verarbeitung, die zur ordnungsgemäßen Erfüllung einer gesetzlichen Aufgabe erforderlich ist
• Berechtigte Interessen – eine Verarbeitung, die zur Wahrung des berechtigten Interesses des Verantwortlichen oder eines Dritten erforderlich ist, an den die Daten übermittelt werden

Organisationen sollten die für jede Verarbeitungstätigkeit herangezogene Rechtfertigung dokumentieren. Eine dokumentierte Rechtfertigung zeigt, warum die Verarbeitung zulässig ist, entscheidet darüber, ob eine Einwilligung eingeholt und aufgezeichnet werden muss, und prägt den Umgang mit Widersprüchen und Betroffenenanfragen.

Einwilligungsmanagement

Wenn die Einwilligung die anwendbare Rechtfertigung ist, sollte sie sein:

• Informiert – auf klaren Informationen darüber beruhend, wem die Person zustimmt
• Freiwillig – freiwillig erteilt
• Frei von Zwang – nicht durch Druck oder Nachteile erlangt
• Spezifisch – an festgelegte Zwecke gebunden
• Verständlich – in einfacher Sprache erläutert
• Klar aufgezeichnet – zum Zeitpunkt der Erteilung erfasst
• Nachweisbar – durch Nachweise gestützt, die später vorgelegt werden können

Eine digitale Einwilligungsoberfläche sollte vermitteln:

• Die Identität der Organisation
• Den Zweck der Erhebung
• Die betroffenen Kategorien personenbezogener Daten
• Jede Weitergabe an Dritte
• Marketing- und Tracking-Zwecke
• Wie Nutzer ihre Präferenzen verwalten können

Widerruf der Einwilligung und Widerspruch

Act 843 gibt betroffenen Personen das Recht, der Verarbeitung ihrer personenbezogenen Daten zu widersprechen, soweit anwendbar; ist ein Widerspruch begründet, sollte die Verarbeitung enden. Beruht die Verarbeitung auf einer Einwilligung, sollten Personen diese auch widerrufen können.

Diese Rechte funktionieren nur, wenn operative Abläufe sie tragen. Organisationen sollten vorhalten:

• Einwilligungsnachweise
• Aufzeichnungen über Widersprüche
• Widerrufsmechanismen, wenn die Einwilligung die Grundlage ist
• Aktualisierung von Präferenzen
• Sperrlisten für Direktwerbung
• Weitergabe von Präferenzänderungen an jedes System, das die Daten nutzt

Besondere personenbezogene Daten

Act 843 gewährt besonderen personenbezogenen Daten einen erhöhten Schutz; dazu gehören Informationen über:

• Rasse
• Hautfarbe
• Ethnische oder Stammesherkunft
• Politische Meinungen
• Religiöse oder ähnliche Überzeugungen
• Körperliche Gesundheit
• Medizinische Informationen
• Psychische Gesundheit oder psychischer Zustand
• DNA
• Sexuelle Orientierung
• Begangene oder vorgeworfene Straftaten
• Verfahren wegen einer Straftat
• Strafverfahren oder Informationen zur Strafzumessung

Vor der Verarbeitung besonderer personenbezogener Daten sollten Organisationen prüfen:

• Die Rechtfertigung
• Einwilligungsanforderungen
• Sicherheit
• Zugriffsbeschränkungen
• Aufbewahrung
• Datenweitergabe
• Internationale Übermittlungen
• DPIA-Anforderungen
• Die möglichen Auswirkungen auf Personen

Datenschutzhinweise und Transparenz

Transparenz ist einer der Grundsätze des Gesetzes. Ein Datenschutzhinweis sollte erläutern:

• Die Identität des Verantwortlichen
• Kontaktinformationen
• Den Zweck der Erhebung
• Die erhobenen Kategorien personenbezogener Daten
• Wie die Informationen genutzt werden
• Empfänger der Daten
• Rechte betroffener Personen
• Direktwerbung
• Internationale Übermittlungen
• Aufbewahrung
• Beschwerdewege, einschließlich des Rechts, sich bei der DPC zu beschweren

Rechte betroffener Personen

Act 843 gibt Personen Rechte an ihren personenbezogenen Daten. Jedes Recht gilt, soweit anwendbar, und unter den gesetzlichen Voraussetzungen.

• Recht auf Information – Personen sollten über die Erhebung ihrer personenbezogenen Daten, den Zweck der Erhebung und weitere Umstände informiert werden, die die Verarbeitung transparent machen.
• Auskunftsrecht – Personen können von einem Verantwortlichen die Bestätigung verlangen, ob er ihre personenbezogenen Daten speichert, und eine Beschreibung dieser Daten anfordern, vorbehaltlich der Identitätsprüfung und der gesetzlichen Voraussetzungen.
• Recht auf Berichtigung – Personen können die Berichtigung personenbezogener Daten verlangen, die unrichtig, unerheblich, übermäßig, veraltet, unvollständig oder irreführend sind.
• Recht auf Sperrung, Löschung oder Vernichtung – soweit anwendbar, können Personen die Sperrung, Löschung oder Vernichtung personenbezogener Daten verlangen, einschließlich Daten, die der Verantwortliche nicht mehr speichern darf, oder unrichtiger Daten.
• Widerspruchsrecht – Personen können der Verarbeitung ihrer personenbezogenen Daten sowie einer Verarbeitung widersprechen, die ihnen wahrscheinlich ungerechtfertigten Schaden oder Kummer zufügt, unter den gesetzlichen Voraussetzungen.
• Recht in Bezug auf Direktwerbung – Personen können von einem Verantwortlichen verlangen, die Verarbeitung ihrer personenbezogenen Daten für Direktwerbung zu beenden oder nicht zu beginnen.
• Recht auf Schadensersatz – wer durch einen Verstoß gegen das Gesetz einen Schaden oder Kummer erleidet, kann unter den gesetzlichen Voraussetzungen Anspruch auf Schadensersatz haben.

Auskunftsanfragen betroffener Personen

Ein praktischer Ablauf für die Bearbeitung von Auskunfts- und anderen Betroffenenanfragen:

• Eingang der Anfrage – Anfragen über festgelegte Kanäle annehmen und jede einzelne protokollieren.
• Identitätsprüfung – bestätigen, dass die anfragende Person die betroffene Person oder eine bevollmächtigte Vertretung ist.
• Einordnung der Anfrage – bestimmen, welches Recht ausgeübt wird.
• Datenermittlung – die betreffenden personenbezogenen Daten über Systeme und Dienstleister hinweg auffinden.
• Prüfung von Ausnahmen und Daten Dritter – gesetzliche Ausnahmen prüfen und die Daten anderer Personen schützen.
• Vorbereitung der Antwort – eine klare, zutreffende Antwort erstellen.
• Sichere Übermittlung – die Antwort über einen sicheren Kanal übermitteln.
• Dokumentation – Anfrage, Entscheidung und Antwort festhalten.

ConsentX kann Abläufe für Betroffenenanfragen unterstützen, indem es den Eingang organisiert, den Status verfolgt und Aufzeichnungen führt. Die Software entscheidet nicht über die rechtliche Bewertung; Entscheidungen über Ausnahmen und Antworten bleiben bei der Organisation.

Direktwerbung

Act 843 erlaubt Personen, von einem Verantwortlichen zu verlangen, die Verarbeitung ihrer personenbezogenen Daten für Direktwerbung zu beenden oder nicht zu beginnen. Davon betroffen sind:

• E-Mail-Marketing
• SMS-Marketing
• Werbung
• Weitere Marketingkanäle
• Marketingpräferenzen
• Aufzeichnungen über Einwilligungen und Opt-outs
• Sperrlisten für Direktwerbung

Das Präferenzmanagement von ConsentX hilft Organisationen, Marketingentscheidungen zu erfassen, Einwilligungen und Opt-outs zu dokumentieren und aktualisierte Präferenzen an angebundene Systeme weiterzugeben, damit gesperrte Kontakte nicht angesprochen werden.

Automatisierte Entscheidungsfindung

Automatisierte Verarbeitung, einschließlich Profiling, wirft besondere Datenschutzfragen auf:

• Transparenz
• Zweck
• Datenqualität
• Fairness
• Sicherheit
• Menschliches Eingreifen, wo angemessen
• Mögliche Auswirkungen auf Personen
• Verarbeitung mit hohem Risiko

Profiling und automatisierte Entscheidungsfindung können je nach Verarbeitung und geltenden Anforderungen eine DPIA erforderlich machen.

Datenschutz-Folgenabschätzungen

Eine Datenschutz-Folgenabschätzung (DPIA) ist eine vorausschauende Bewertung von Datenschutzrisiken. Sie zeigt, wie sich eine Verarbeitungstätigkeit auf Personen auswirken könnte und mit welchen Maßnahmen diese Risiken vor Beginn der Verarbeitung verringert werden.

Eine DPIA kann relevant sein für:

• Neue Verarbeitungstätigkeiten
• Neue Technologien
• Wesentliche Änderungen bestehender Verarbeitungen
• Besondere personenbezogene Daten
• Profiling
• Automatisierte Entscheidungsfindung
• Verarbeitungen mit erheblichen Risiken für Personen

Data Protection Supervisor

Abschnitt 58 sieht vor, dass ein Verantwortlicher eine zertifizierte und qualifizierte Person als Data Protection Supervisor bestellt, die die Einhaltung des Gesetzes durch den Verantwortlichen überwacht.

Ein wirksamer Data Protection Supervisor sollte verfügen über:

• Zertifizierung und Qualifikation für die Aufgabe
• Zuständigkeit für die Überwachung der Compliance
• Angemessene Schulung
• Ausreichende Befugnisse innerhalb der Organisation
• Die für die Aufgabe erforderlichen Kenntnisse und Ressourcen

Datensicherheit

Verantwortliche sollten geeignete, angemessene technische und organisatorische Maßnahmen treffen, um personenbezogene Daten zu schützen vor:

• Unbefugtem Zugriff
• Unbefugter Offenlegung
• Versehentlichem Verlust
• Vernichtung
• Veränderung
• Missbräuchlicher Nutzung
• Unrechtmäßiger Verarbeitung

Zu den praktischen Maßnahmen gehören:

• Verschlüsselung
• Zugriffskontrollen
• Authentifizierung
• Mehr-Faktor-Authentifizierung
• Netzwerksicherheit
• Sichere Backups
• Protokollierung und Überwachung
• Schutz vor Datenverlust
• Mitarbeiterschulungen
• Kontrolle von Dienstleistern
• Reaktion auf Sicherheitsvorfälle

Umgang mit Datenschutzverletzungen

Ein praktischer Ablauf für die Reaktion auf Datenschutzverletzungen:

• Erkennung des Vorfalls
• Eindämmung
• Risikobewertung
• Bestimmung der betroffenen Daten
• Bewertung der betroffenen Personen
• Meldung an die Behörde, wo erforderlich
• Benachrichtigung der Betroffenen, wo erforderlich
• Behebung
• Dokumentation
• Nachbereitung des Vorfalls

Act 843 legt keine allgemeine 72-Stunden-Frist für die Meldung von Datenschutzverletzungen fest. Organisationen sollten prüfen, ob nach dem geltenden Gesetz eine Meldung an die DPC und eine Benachrichtigung der betroffenen Personen erforderlich ist.

Etwaige Meldefristen im Entwurf des Data Protection Bill, 2025 sind lediglich Vorschläge. Sie sollten nicht als geltende Pflichten behandelt werden, solange eine Ersetzungsgesetzgebung nicht formell in Kraft getreten ist.

Registrierung bei der DPC

Verantwortliche müssen sich in der Regel bei der Data Protection Commission registrieren, bevor sie personenbezogene Daten verarbeiten. Ein Registrierungsantrag kann enthalten:

• Firmenname und Adresse
• Angaben zur vertretungsberechtigten Person
• Eine Beschreibung der verarbeiteten personenbezogenen Daten
• Kategorien betroffener Personen
• Besondere personenbezogene Daten
• Verarbeitungszwecke
• Vorgesehene Empfänger
• Länder, in die Daten übermittelt werden können
• Kategorien von Personen, deren Daten gespeichert werden
• Eine allgemeine Beschreibung der Sicherheitsmaßnahmen

Nach Act 843 ist die Verarbeitung personenbezogener Daten ohne Registrierung als Verantwortlicher eine Straftat, die im abgekürzten Verfahren mit Geldstrafe, Freiheitsstrafe oder beidem geahndet wird, wie im Gesetz vorgesehen. Organisationen sollten die anwendbare Sanktion mit ihren Rechtsberatern klären.

Prüfungsbedürftige Verarbeitung

Act 843 enthält einen Rahmen für prüfungsbedürftige Verarbeitung. Verarbeitungen, die einer betroffenen Person einen erheblichen Schaden oder erheblichen Kummer zufügen oder deren Datenschutzrechte deutlich beeinträchtigen können, können einer zusätzlichen Prüfung durch die DPC unterliegen.

Organisationen, die eine Verarbeitung mit hohem Risiko planen, sollten vor Beginn der Verarbeitung prüfen, ob dieser Rahmen greift.

Internationale Datenübermittlungen

Vor einer Übermittlung personenbezogener Daten außerhalb Ghanas sollten Organisationen die geltenden Anforderungen prüfen, darunter:

• Zielländer
• Empfänger im Ausland
• Datenkategorien
• Zwecke der Übermittlung
• Sicherheitsvorkehrungen
• Vertragliche Schutzmaßnahmen
• Anwendbare ausländische Datenschutzgesetze

Die Registrierungsangaben bei der DPC umfassen die Länder, in die ein Verantwortlicher personenbezogene Daten übermitteln will; Übermittlungsvereinbarungen und Registrierungsangaben sollten daher übereinstimmen.

Aufbewahrung und Löschung von Daten

Die Aufbewahrung sollte an den Zweck geknüpft sein, für den die personenbezogenen Daten erhoben wurden, sowie an geltende rechtliche Anforderungen. Ein Aufbewahrungsprogramm sollte abdecken:

• Aufbewahrungsfristen
• Löschverfahren
• Archivierung
• Aufbewahrungspflichten aus Rechtsstreitigkeiten
• Automatisierte Löschung, wo angemessen
• Sichere Vernichtung
• Regelmäßige Überprüfung der Aufbewahrung

Auftragsverarbeiter und Dienstleister

Verantwortliche bleiben für personenbezogene Daten verantwortlich, die Dritte in ihrem Auftrag verarbeiten. Verträge mit Dienstleistern sollten regeln:

• Weisungen zur Verarbeitung
• Zweckbindung
• Vertraulichkeit
• Sicherheit
• Unterauftragsverarbeiter
• Aufbewahrung
• Löschung
• Umgang mit Vorfällen
• Betroffenenanfragen
• Internationale Übermittlungen
• Unterstützung bei der Compliance

Privacy by Design

Datenschutz lässt sich leichter erreichen, wenn er von Anfang an in Produkte und Prozesse eingebaut wird. Hilfreiche Praktiken sind:

• Datenminimierung
• Zweckbindung
• Datenschutzfreundliche Voreinstellungen
• Zugriffskontrollen
• Verschlüsselung
• Aufbewahrungsgrenzen
• Steuerung der Einwilligung
• Prüfprotokolle
• Sichere Löschung

Cookies und Online-Tracking

Act 843 regelt die Verarbeitung personenbezogener Daten. Er schafft keine allgemeine, für alle Fälle gleiche Cookie-Regel. Websites und Apps nutzen häufig:

• Notwendige Cookies
• Analyse-Cookies
• Werbe-Cookies
• Social-Media-Pixel
• Retargeting-Technologien
• Personalisierung
• Gerätekennungen
• Skripte von Dritten

Organisationen sollten feststellen, ob eine Tracking-Technologie personenbezogene Daten verarbeitet, und in diesem Fall die passende Rechtfertigung nach dem Gesetz bestimmen.

Cookie-Einwilligung und vorheriges Skript-Blocking

Wenn die Einwilligung die anwendbare Rechtsgrundlage für Tracking ist, machen die folgenden Kontrollen diese Einwilligung wirksam:

• Klare Einwilligungshinweise
• Zweckbezogene Auswahlmöglichkeiten
• Optionale Kategorien, die nicht vorausgewählt sind
• Vorheriges Blockieren der betreffenden Tracker
• Widerruf der Einwilligung
• Präferenzverwaltung
• Einwilligungsnachweise
• Versionsverfolgung der Richtlinie

ConsentX unterstützt die technische Durchsetzung dieser Entscheidungen. Vorheriges Skript-Blocking verhindert, dass die betreffenden Tracker laufen, bevor die Besucherin oder der Besucher eingewilligt hat, und die Präferenzverwaltung erlaubt jederzeit eine Änderung der Auswahl.

Compliance-Überwachung und Audits

Organisationen sollten Nachweise ihrer Compliance vorlegen können, darunter:

• Registrierung bei der DPC
• Datenschutzhinweise
• Einwilligungsnachweise
• Datenflusskarten
• Verzeichnisse der Verarbeitungstätigkeiten
• DPIAs
• Sicherheitsbewertungen
• Verträge mit Dienstleistern
• Aufzeichnungen zu Datenschutzverletzungen
• Betroffenenanfragen
• Marketingpräferenzen
• Aufbewahrungspläne
• Schulungsnachweise
• Unterlagen zum Data Protection Supervisor

Durchsetzung durch die DPC

Ghanas Data Protection Commission ist zuständig für:

• Aufsicht
• Registrierung von Verantwortlichen
• Untersuchungen
• Beschwerden
• Überwachung der Compliance
• Durchsetzung
• Leitlinien
• Schulung
• Aufklärung

Die Commission kann Beschwerden untersuchen, Prüfungen durchführen und Anordnungen erlassen, die Organisationen zu Maßnahmen zur Einhaltung des Gesetzes verpflichten.

Straftatbestände und Sanktionen nach Act 843

Act 843 enthält spezifische Straftatbestände mit eigenen Sanktionen. Es gibt keinen einheitlichen Höchstrahmen für alle Tatbestände. Das Gesetz unterscheidet zwischen:

• Fehlende Registrierung – die Verarbeitung personenbezogener Daten ohne Registrierung als Verantwortlicher ist im Gesetz eigenständig sanktioniert
• Nichtbefolgung bestimmter Anordnungen – die Nichtbefolgung bestimmter Anordnungen der Commission ist eigenständig sanktioniert
• Weitere gesetzliche Straftatbestände – für andere im Gesetz geregelte Tatbestände gelten die jeweils dort vorgesehenen Sanktionen
• Allgemeine Sanktion nach Abschnitt 95 – ist keine spezifische Sanktion vorgesehen, wird die Tat im abgekürzten Verfahren mit einer Geldstrafe von höchstens fünftausend Strafeinheiten, einer Freiheitsstrafe von höchstens zehn Jahren oder beidem geahndet

Organisationen sollten die Sanktion der jeweils betroffenen Vorschrift prüfen, statt vom Höchstrahmen des Abschnitts 95 auszugehen.

Ghanas Data Protection Bill 2025

Der Data Protection Bill, 2025 ist ein Entwurf, der Act 843 ersetzen soll.

• Der Entwurf ist ein Vorschlag und darf nicht als geltendes Recht behandelt werden.
• Act 843 bleibt der aktuelle Datenschutzrahmen in Ghana.
• Organisationen sollten die Gesetzgebungsentwicklung beobachten.
• Compliance-Prüfungen sollten aktualisiert werden, wenn eine Ersetzungsgesetzgebung formell in Kraft tritt.

Warum Einwilligungsmanagement für Ghana wichtig ist

Einwilligungsmanagement ist ein Baustein von Ghanas umfassenderem Datenschutzrahmen, neben Registrierung, Sicherheit, Betroffenenrechten und Governance. Wird die Einwilligung herangezogen, sollten Organisationen nachweisen können:

• Worüber die Nutzerin oder der Nutzer informiert wurde
• Welchem Zweck zugestimmt wurde
• Wann die Einwilligung erteilt wurde
• Welche Kategorien ausgewählt wurden
• Welcher Datenschutzhinweis angezeigt wurde
• Ob die Einwilligung später widerrufen wurde
• Wie die Präferenzen durchgesetzt wurden

ConsentX verbindet diese Fragen mit technischen Kontrollen: Vorheriges Skript-Blocking setzt die Entscheidungen durch, Einwilligungsnachweise und -belege sichern den Nachweis, und die Versionsverfolgung der Richtlinie verknüpft jede Entscheidung mit dem Hinweis, den die Nutzerin oder der Nutzer gesehen hat.

Checkliste zur Ghana DPA-Compliance

Nutzen Sie diese Checkliste als Ausgangspunkt für Ihr Compliance-Programm:

• Prüfen, ob Act 843 anwendbar ist
• Rollen als Verantwortlicher und Auftragsverarbeiter bestimmen
• Verarbeitung personenbezogener Daten kartieren
• Rechtfertigungen bestimmen
• Einwilligungsmechanismen prüfen
• Datenschutzhinweise bereitstellen
• Besondere personenbezogene Daten identifizieren
• Verarbeitung von Kinderdaten bewerten
• Als Verantwortlicher registrieren, wo erforderlich
• Anforderungen an den Data Protection Supervisor prüfen
• Sicherheitsvorkehrungen umsetzen
• Reaktion auf Vorfälle einrichten
• DPIA-Anforderungen prüfen
• Internationale Übermittlungen bewerten
• Regeln für Aufbewahrung und Löschung festlegen
• Verfahren für Betroffenenanfragen einführen
• Präferenzen für Direktwerbung pflegen
• Automatisierte Entscheidungsfindung überprüfen
• Verträge mit Dienstleistern pflegen
• Compliance-Nachweise pflegen
• Den Gesetzentwurf 2025 beobachten