Philippinen Data Privacy Act-Compliance

Rechtlicher Rahmen

Der philippinische Datenschutzrahmen stützt sich im Wesentlichen auf:

• Republic Act No. 10173 – Data Privacy Act of 2012
• Implementing Rules and Regulations zum Data Privacy Act
• Rundschreiben und Verordnungen der NPC
• Hinweise und Leitlinien der NPC
• Branchenspezifische Datenschutzanforderungen, soweit einschlägig

Die Einwilligung ist eine Rechtsgrundlage der Verarbeitung, aber nicht die einzige im philippinischen Rahmen. Eine Verarbeitung kann auch rechtmäßig sein, wenn sie für einen Vertrag, eine rechtliche Verpflichtung, den Schutz lebenswichtiger Interessen, einen nationalen Notstand oder die öffentliche Ordnung erforderlich ist oder unter andere vom Gesetz und seinen Durchführungsvorschriften anerkannte Umstände fällt.

Die NPC verwaltet und vollzieht den DPA und stellt Organisationen und betroffenen Personen Leitlinien bereit.

Vom Gesetz erfasste Organisationen

Der DPA gilt für Organisationen und Personen, die an der Verarbeitung personenbezogener Informationen beteiligt sind, darunter:

• Personal Information Controller
• Personal Information Processor
• Privatwirtschaftliche Organisationen
• Staatliche Stellen im Anwendungsbereich des Gesetzes
• Unternehmen, die Websites und Anwendungen betreiben
• E-Commerce-Plattformen
• Finanzunternehmen
• Gesundheitsorganisationen
• Bildungseinrichtungen
• Technologieunternehmen
• Marketing- und Werbeunternehmen
• Ausgelagerte Dienstleister
• Weitere Einrichtungen, die personenbezogene Informationen verarbeiten

Für Unternehmen, die auf den Philippinen Websites, Anwendungen, E-Commerce-Plattformen, SaaS-Produkte, Marketingsysteme oder andere digitale Dienste betreiben, geht Compliance über eine Einwilligung im Cookie-Banner hinaus. Organisationen müssen die anwendbare Rechtsgrundlage verstehen, angemessene Datenschutzhinweise bereitstellen, Sicherheitsmaßnahmen umsetzen, Betroffenenrechte bearbeiten, die Verarbeitung durch Dritte bewerten und geeignete Compliance-Nachweise führen.

Gilt der Philippinen DPA für Unternehmen außerhalb der Philippinen?

Ja, unter bestimmten Voraussetzungen. Abschnitt 6 des DPA sieht eine extraterritoriale Anwendung vor, wenn eine Handlung oder Verarbeitung außerhalb der Philippinen personenbezogene Informationen über philippinische Staatsangehörige oder Einwohner betrifft und die Einrichtung eine qualifizierende Verbindung zu den Philippinen aufweist.

Solche Verbindungen können sein:

• Ein auf den Philippinen geschlossener Vertrag
• Eine philippinische Niederlassung, Agentur, Geschäftsstelle oder Tochtergesellschaft
• Zentrale Leitung und Kontrolle auf den Philippinen unter bestimmten Umständen
• Geschäftstätigkeit auf den Philippinen
• Personenbezogene Informationen, die von einer Einrichtung auf den Philippinen erhoben oder gespeichert werden

International tätige Unternehmen sollten daher ihre philippinischen Verbindungen und Verarbeitungstätigkeiten prüfen, statt anzunehmen, ein Sitz außerhalb der Philippinen entbinde von DPA-Pflichten.

Was sind personenbezogene Informationen?

Der DPA schützt Informationen umfassend, aus denen eine Person unmittelbar oder mittelbar identifiziert werden kann. Beispiele können sein:

• Name
• Kontaktdaten
• E-Mail-Adresse
• Identifikationsangaben
• Kontoinformationen
• Standortinformationen
• Online-Kennungen
• Beschäftigungsinformationen
• Finanzinformationen
• Gesundheitsinformationen
• Weitere Informationen, die einer identifizierbaren Person zugeordnet sind

Der Begriff der Verarbeitung ist weit gefasst und umfasst Tätigkeiten wie Erhebung, Aufzeichnung, Organisation, Speicherung, Aktualisierung, Abruf, Einsichtnahme, Nutzung, Offenlegung, Sperrung, Löschung und Vernichtung.

Sensitive Personal Information

Der Philippinen DPA sieht einen erhöhten Schutz für Sensitive Personal Information (SPI) vor. Das Gesetz erfasst Informationen zu Bereichen wie:

• Rasse
• Ethnische Herkunft
• Familienstand
• Alter
• Hautfarbe
• Religiöse, weltanschauliche oder politische Zugehörigkeit
• Gesundheit
• Bildung
• Genetische Daten oder Sexualleben
• Verfahren wegen Straftaten und deren Ausgang
• Von Behörden ausgestellte personenbezogene Angaben, etwa bestimmte Sozialversicherungs-, Gesundheits-, Lizenz- oder Steuerinformationen
• Informationen, die durch Gesetz oder behördliche Anordnung ausdrücklich als vertraulich eingestuft sind

Die Unterscheidung zwischen personenbezogenen Informationen und Sensitive Personal Information ist wichtig, weil für SPI zusätzliche Beschränkungen und Schutzmaßnahmen gelten können.

Anforderungen an die Einwilligung

Wird die Einwilligung herangezogen, verlangen die philippinischen Datenschutzregeln, dass sie folgende Merkmale aufweist:

• Freiwillig erteilt
• Spezifisch
• Informiert
• Nachweisbar

Die Durchführungsvorschriften sehen vor, dass die Einwilligung schriftlich, elektronisch oder durch Aufzeichnung nachgewiesen werden kann.

Ein praxistauglicher Einwilligungsmechanismus sollte daher feststellbar machen:

• Wer eingewilligt hat
• Womit die Person einverstanden war
• Zu welchem Zweck die Einwilligung erteilt wurde
• Wann die Einwilligung erteilt wurde
• Welche Informationen dargestellt wurden
• Ob die Person die Einwilligung später widerrufen hat
• Welche Verarbeitung auf dieser Einwilligung beruhte

Einwilligungen sollten nicht unnötig gebündelt werden

Ist eine Einwilligung erforderlich, sollten Organisationen vermeiden, unzusammenhängende Zwecke von einer einzigen unklaren Erlaubnis abhängig zu machen.

So kann ein Unternehmen etwa getrennte Verarbeitungstätigkeiten haben für:

• Kontoerstellung
• Leistungserbringung
• Analyse
• Werbung
• Personalisierung
• Direktwerbung
• Datenweitergabe an Dritte

Diese Tätigkeiten sollten einzeln bewertet werden, um die anwendbare Rechtsgrundlage und die Transparenzanforderungen zu bestimmen.

Datenschutzhinweise und Transparenz

Die Transparenzanforderungen des DPA verpflichten Organisationen, betroffenen Personen angemessene Informationen über die Verarbeitung ihrer personenbezogenen Informationen bereitzustellen.

Ein Datenschutzhinweis sollte einschlägige Punkte behandeln, etwa:

• Welche personenbezogenen Informationen erhoben werden
• Die Zwecke der Verarbeitung
• Art und Umfang der Verarbeitung
• Identität und Kontaktdaten des Verantwortlichen oder seines Vertreters
• Die Aufbewahrungsdauer
• Einschlägige Empfänger oder Offenlegungen
• Rechte betroffener Personen
• Wie betroffene Personen diese Rechte ausüben oder Beschwerde einlegen können

Die Durchführungsvorschriften erkennen ausdrücklich das Recht der betroffenen Person an, über die Verarbeitung und die einschlägigen Rechte informiert zu werden.

Rechte betroffener Personen

Die National Privacy Commission nennt mehrere Rechte, die der DPA betroffenen Personen gewährt, darunter:

• Recht auf Information
• Recht auf Auskunft
• Recht auf Widerspruch
• Recht auf Berichtigung
• Recht auf Löschung oder Sperrung
• Recht auf Datenübertragbarkeit
• Recht auf Beschwerde
• Recht auf Schadensersatz

Organisationen sollten daher einen formalisierten Prozess für Datenschutzanfragen vorhalten, der Folgendes leisten kann:

• Die Anfrage entgegennehmen
• Die anfragende Person authentifizieren
• Die betreffenden Daten identifizieren
• Anwendbare Ausnahmen bestimmen
• Sich mit Auftragsverarbeitern abstimmen
• Innerhalb der geltenden Frist antworten
• Nachweise über die Antwort führen

Recht auf Auskunft

Das Auskunftsrecht erlaubt betroffenen Personen, Informationen über die Verarbeitung ihrer personenbezogenen Daten zu erhalten. Je nach Umständen kann dies Informationen umfassen über:

• Die verarbeiteten personenbezogenen Informationen
• Die Zwecke der Verarbeitung
• Art und Umfang der Verarbeitung
• Empfänger oder Kategorien von Empfängern
• Die Herkunft der Daten, soweit einschlägig
• Weitere vom DPA anerkannte Informationen

Unternehmen sollten über ein Verfahren verfügen, um personenbezogene Informationen in Datenbanken, Anwendungen und Systemen Dritter aufzufinden.

Recht auf Berichtigung

Betroffene Personen können ihr Recht auf Berichtigung unrichtiger oder unvollständiger personenbezogener Informationen ausüben. Organisationen sollten Prozesse vorhalten, die Folgendes ermöglichen:

• Identifizierung der betreffenden Datensätze
• Überprüfung der beantragten Berichtigung
• Aktualisierung der internen Systeme
• Weitergabe der Berichtigungen an betreffende Auftragsverarbeiter oder Empfänger, soweit erforderlich
• Dokumentation der Anfrage und des Ergebnisses

Recht auf Löschung oder Sperrung

Der DPA erkennt unter bestimmten Umständen ein Recht auf Löschung oder Sperrung an. Dies ist nicht als unbedingtes Recht zu verstehen, jeden Datensatz sofort zu löschen.

Organisationen sollten prüfen, ob:

• Die Daten nicht mehr erforderlich sind
• Die Verarbeitung unrechtmäßig ist
• Ein begründeter Widerspruch der betroffenen Person vorliegt
• Eine Aufbewahrung nach anderem Recht vorgeschrieben ist
• Die Informationen für einen Rechtsanspruch erforderlich sind
• Eine andere gesetzliche Ausnahme greift

Recht auf Widerspruch

Betroffene Personen haben das Recht, bestimmten Verarbeitungen zu widersprechen. Die Durchführungsvorschriften nennen ausdrücklich Widersprüche zu:

• Direktwerbung
• Automatisierter Verarbeitung
• Profiling

Ist ein Widerspruch begründet, muss der Verantwortliche die betreffende Verarbeitung einstellen, sofern keine anwendbare Ausnahme die Fortsetzung erlaubt.

Recht auf Datenübertragbarkeit

Die Philippinen erkennen ein Recht auf Datenübertragbarkeit an. Die NPC erläutert, dass eine betroffene Person eine Kopie ihrer personenbezogenen Daten erhalten und/oder deren Übermittlung von einem PIC an einen anderen in einem elektronischen oder strukturierten, gängigen Format verlangen kann.

Das Recht kann gelten, wenn:

• Die Verarbeitung auf Einwilligung oder Vertrag beruht
• Die personenbezogenen Daten elektronisch in einem strukturierten, gängigen Format verarbeitet werden

Beispiele potenziell übertragbarer Informationen können sein:

• Namen
• Adressen
• Benutzernamen
• Transaktionsverlauf
• Zugriffsprotokolle
• Standortdaten

Data Protection Officer

Organisationen im Anwendungsbereich des philippinischen Datenschutzrahmens sollten eine angemessene Datenschutz-Governance einrichten, einschließlich der Bestellung eines Data Protection Officer (DPO), soweit erforderlich. Der DPO unterstützt die Organisation bei der Einhaltung des DPA und der NPC-Vorgaben.

Ein DPO kann eingebunden sein in:

• Datenschutz-Compliance
• Datenschutzrichtlinien
• Datenschutz-Folgenabschätzungen
• Betroffenenanfragen
• Umgang mit Datenschutzverletzungen
• Kontakt mit der NPC
• Sensibilisierung der Beschäftigten
• Dienstleistersteuerung
• Privacy-by-Design-Initiativen

Die NPC stellt ein Registrierungssystem bereit, über das PICs und PIPs ihren DPO und ihre Datenverarbeitungssysteme registrieren können, soweit einschlägig.

Registrierung von Datenverarbeitungssystemen

Registrierungspflichten hängen von der Organisation und der Art ihrer Verarbeitung ab. Nach den NPC-Vorgaben kann eine Registrierungspflicht unter anderem bestehen, wenn:

• Ein PIC oder PIP mindestens 250 Beschäftigte hat
• Die Verarbeitung Sensitive Personal Information von mindestens 1.000 Personen umfasst
• Die Verarbeitung voraussichtlich ein Risiko für betroffene Personen birgt
• Die Verarbeitung nicht nur gelegentlich erfolgt
• Automatisierte Entscheidungsfindung oder Profiling unter von der NPC erfassten Umständen erfolgt

Die NPC hat zudem erklärt, dass Datenverarbeitungssysteme mit automatisierter Entscheidungsfindung oder Profiling nach den geltenden Regeln registrierungspflichtig sind.

Unternehmen sollten die Registrierungsanforderungen prüfen, statt anzunehmen, eine Registrierung sei für jede Organisation verpflichtend.

Sicherheitsanforderungen

Der DPA verpflichtet PICs und PIPs, angemessene und geeignete organisatorische, physische und technische Maßnahmen zum Schutz personenbezogener Informationen umzusetzen. Sicherheitsmaßnahmen sollten Faktoren berücksichtigen wie:

• Art der personenbezogenen Informationen
• Mit der Verarbeitung verbundene Risiken
• Organisatorisches Umfeld
• Einschlägige Branchenstandards
• Umsetzungskosten
• Mögliche Auswirkungen auf betroffene Personen

Ein praxistaugliches Datenschutz- und Sicherheitsprogramm kann umfassen:

• Zugriffskontrollen
• Authentifizierung
• Verschlüsselung
• Netzwerksicherheit
• Anwendungssicherheit
• Protokollierung und Überwachung
• Schwachstellenmanagement
• Backups
• Notfallwiederherstellung
• Mitarbeiterschulungen
• Reaktion auf Sicherheitsvorfälle
• Sicherheitskontrollen bei Dienstleistern

Die Leitlinien der NPC zu Datenschutzverletzungen fordern ausdrücklich organisatorische, physische und technische Maßnahmen, die Verletzungen verhindern oder verringern und eine rechtzeitige Erkennung und Reaktion unterstützen.

Meldung von Verletzungen des Schutzes personenbezogener Daten

Nicht jeder Sicherheitsvorfall erfordert eine Meldung an die NPC und an betroffene Personen. Die Meldepflicht greift, wenn die vom DPA und den NPC-Regeln festgelegten Voraussetzungen erfüllt sind.

Die NPC nennt drei zentrale Elemente:

• Die Verletzung betrifft Sensitive Personal Information oder andere Informationen, die Identitätsbetrug ermöglichen können.
• Es besteht Grund zu der Annahme, dass die Informationen von einer unbefugten Person erlangt wurden.
• Der PIC geht davon aus, dass die Verletzung voraussichtlich ein echtes Risiko eines schweren Schadens für die betroffene Person begründet.

Beispiele für Informationen, die Identitätsbetrug ermöglichen können:

• Finanz- oder Wirtschaftsinformationen
• Benutzernamen und Passwörter
• Biometrische Daten
• Behördlich ausgestellte Ausweisdokumente
• Eindeutige staatliche Kennnummern
• Ähnliche Informationen, die Entscheidungen über eine Person beeinflussen können

Meldung innerhalb von 72 Stunden

Greift die Meldepflicht, verlangt die NPC, das Personal Data Breach Notification Form innerhalb von 72 Stunden nach Kenntnis oder begründeter Annahme einer Verletzung des Schutzes personenbezogener Daten einzureichen. Betroffene Personen sind innerhalb derselben 72-Stunden-Frist zu benachrichtigen, soweit die Benachrichtigungspflicht besteht.

Die NPC betreibt für Meldungen ein Data Breach Notification Management System (DBNMS). Organisationen sollten daher einen Incident-Response-Prozess vorhalten, der Folgendes leisten kann:

• Vorfälle erkennen
• Bewerten, ob personenbezogene Daten betroffen sind
• Meldeschwellen bestimmen
• Vorfälle eskalieren
• Meldeinformationen vorbereiten
• Betroffene Personen kontaktieren
• Abhilfemaßnahmen dokumentieren
• Wiederholungen verhindern

Meldung von Datenschutzverletzungen und Auftragsverarbeiter

Die Auslagerung der Verarbeitung beseitigt nicht die Verantwortung des Verantwortlichen für die einschlägige Meldung. Die NPC stellt klar, dass die Meldepflicht beim Personal Information Controller verbleibt, auch wenn die Verarbeitung an einen Personal Information Processor ausgelagert oder weitervergeben wurde.

Verträge mit Auftragsverarbeitern sollten daher regeln:

• Sicherheitsanforderungen
• Fristen für die Meldung von Vorfällen
• Mitwirkung bei Untersuchungen
• Beweissicherung
• Unterstützung bei Betroffenenanfragen
• Zusammenarbeit mit der Aufsichtsbehörde
• Verantwortlichkeiten für Abhilfemaßnahmen

Datenweitergabe und Auftragsverarbeiter

Organisationen setzen häufig Dritte für die Verarbeitung personenbezogener Informationen ein. Beispiele:

• Cloud-Anbieter
• CRM-Plattformen
• Analyseanbieter
• Werbeplattformen
• Zahlungsdienstleister
• Kundensupport-Dienstleister
• Marketing-Automation-Plattformen
• HR-Systeme
• SaaS-Anbieter

Der PIC sollte verstehen:

• Welche Informationen weitergegeben werden
• Warum sie weitergegeben werden
• Wer sie erhält
• Wo sie verarbeitet werden
• Welche Sicherheitsmaßnahmen gelten
• Wie lange sie aufbewahrt werden
• Ob weitere Auftragsverarbeiter beteiligt sind
• Was nach Vertragsende geschieht

Die NPC hat Leitlinien und Rundschreiben zu Datenweitergabevereinbarungen und zur Rechenschaftspflicht im Datenschutz veröffentlicht.

Grenzüberschreitende und internationale Verarbeitung

Der DPA kann für Verarbeitungen außerhalb der Philippinen gelten, wenn die gesetzlichen extraterritorialen Voraussetzungen erfüllt sind. International tätige Unternehmen sollten ihre philippinischen Verbindungen prüfen, darunter:

• Philippinische Kundinnen, Kunden oder Einwohner
• Philippinische Verträge
• Philippinische Niederlassungen oder Tochtergesellschaften
• Philippinische Geschäftstätigkeit
• Auf den Philippinen erhobene oder gespeicherte Daten
• Zugriff durch ausländische Mutter- oder verbundene Gesellschaften

Die extraterritoriale Bestimmung des DPA betrifft ausdrücklich Verarbeitungen außerhalb der Philippinen, wenn die maßgeblichen gesetzlichen Verbindungen bestehen.

Automatisierte Entscheidungsfindung und Profiling

Der philippinische Datenschutzrahmen behandelt automatisierte Verarbeitung und Profiling als wichtige Datenschutzfragen. Die NPC hat spezifische Regeln zur Registrierung und Meldung automatisierter Entscheidungsfindung, und der DPA gewährt Betroffenenrechte in Bezug auf automatisierte Verarbeitung und Profiling.

Unternehmen, die Folgendes einsetzen, sollten ihre Verarbeitung bewerten:

• KI-Systeme
• Automatisierte Eignungsentscheidungen
• Kreditscoring
• Verhaltensbasiertes Profiling
• Personalisierte Werbung
• Betrugserkennung
• Empfehlungssysteme
• Andere automatisierte Entscheidungssysteme

Die Bewertung sollte abdecken:

• Welche personenbezogenen Daten verwendet werden
• Den Zweck der automatisierten Verarbeitung
• Ob das System Personen erheblich beeinträchtigt
• Transparenzanforderungen
• Widerspruchsrechte
• Registrierungspflichten
• Sicherheit
• Verarbeitung durch Dritte
• Menschliche Überprüfung, wo angemessen

Die NPC hat zudem KI-spezifische Leitlinien zur Anwendung des DPA und seiner Durchführungsvorschriften auf KI-Systeme veröffentlicht, die personenbezogene Daten verarbeiten.

Privacy by Design und Privacy Engineering

Die NPC hat jüngst Leitlinien zum Privacy Engineering in Systemlebenszyklusprozessen veröffentlicht. Unternehmen sollten Datenschutzaspekte einbeziehen bei:

• Produktgestaltung
• Website-Entwicklung
• Anwendungsentwicklung
• Auswahl von Dienstleistern
• Datenarchitektur
• KI-Entwicklung
• Einführung von Analysewerkzeugen
• Sicherheitsdesign
• Systemänderungen

Datenschutz sollte daher behandelt werden, bevor die Verarbeitung personenbezogener Daten beginnt, und nicht erst nach dem Produktstart.

Cookies und Online-Tracking

Der Philippinen DPA stuft nicht einfach jedes Cookie als einwilligungsbedürftig ein. Der sachgerechte Ansatz besteht darin, zu bestimmen:

• Ob das Cookie oder der Tracker personenbezogene Informationen verarbeitet
• Welche Informationen es erhebt
• Zu welchem Zweck
• Wer die Informationen erhält
• Welche Rechtsgrundlage gilt
• Ob die Technologie sensible Informationen betrifft
• Ob eine Verarbeitung durch Dritte erfolgt
• Welche Transparenz- und Wahlmöglichkeiten erforderlich sind

Website-Betreiber sollten besonders achten auf:

• Werbe-Cookies
• Retargeting-Pixel
• Analyse
• Social-Media-Pixel
• Conversion-Tracking
• Gerätekennungen
• Verhaltensanalyse
• Sitzungstechnologien
• SDKs von Dritten

Ist die Einwilligung die anwendbare Rechtsgrundlage, kann ConsentX Organisationen helfen zu steuern, wann ausgewählte Technologien ausgeführt werden, und Nachweise über die Entscheidungen der Nutzerinnen und Nutzer zu führen.

Direktwerbung

Der DPA gewährt betroffenen Personen Rechte in Bezug auf Direktwerbung. Unternehmen, die E-Mail-, SMS-, Werbe- oder andere personalisierte Kampagnen durchführen, sollten prüfen:

• Die Herkunft der Marketingdaten
• Den Zweck, zu dem sie erhoben wurden
• Die einschlägige Einwilligung
• Opt-out-Mechanismen
• Präferenzverwaltung
• Offenlegungen gegenüber Dritten
• Profiling
• Werbeplattformen
• Datenaufbewahrung

Das Widerspruchsrecht erfasst ausdrücklich die Verarbeitung zu Zwecken der Direktwerbung.

Datenaufbewahrung

Organisationen sollten Aufbewahrungspraktiken festlegen, die zum Zweck und zur Art der Verarbeitung passen. Ein Aufbewahrungsprogramm sollte abdecken:

• Kundenkonten
• Marketingdatenbanken
• Einwilligungsnachweise
• Website-Analyse
• Cookies und Tracking-Informationen
• Supportunterlagen
• Beschäftigtendaten
• Betroffenenanfragen
• Sicherheitsprotokolle
• Bei Dienstleistern gespeicherte personenbezogene Daten

Daten sollten nicht unbegrenzt aufbewahrt werden, nur weil Speicherplatz technisch verfügbar ist.

Die Aufbewahrung sollte zudem mit rechtlichen, regulatorischen, vertraglichen und prozessbezogenen Anforderungen abgestimmt werden.

Kinder und schutzbedürftige betroffene Personen

Unternehmen, die Informationen über Kinder oder andere schutzbedürftige Personen verarbeiten, sollten erhöhte Datenschutzvorkehrungen treffen. Der Registrierungsrahmen der NPC nennt schutzbedürftige betroffene Personen – darunter Minderjährige, Patientinnen und Patienten, ältere Menschen und weitere Personen in Situationen mit einem möglichen Ungleichgewicht gegenüber der Organisation – als maßgebliche Risikofaktoren.

Auf Kinder ausgerichtete Angebote sollten daher prüfen:

• Altersverifikation
• Angemessene Hinweise
• Einwilligungsanforderungen
• Einbindung der Eltern, soweit einschlägig
• Datenminimierung
• Sicherheit
• Aufbewahrung
• Profiling
• Offenlegungen gegenüber Dritten

Checkliste zur Philippinen DPA-Compliance

Nutzen Sie diese Checkliste als Ausgangspunkt für Ihr Compliance-Programm:

• Alle erhobenen personenbezogenen Informationen erfassen
• Sensitive Personal Information identifizieren
• Verarbeitungszwecke kartieren
• Das anwendbare Kriterium rechtmäßiger Verarbeitung bestimmen
• Einwilligungsmechanismen prüfen
• Einwilligungsnachweise führen
• Angemessene Datenschutzhinweise veröffentlichen
• PIC- und PIP-Rollen bestimmen
• Verträge mit Auftragsverarbeitern prüfen
• Datenweitergabevereinbarungen bewerten
• Grenzüberschreitende Verarbeitung prüfen
• Verfahren für Betroffenenanfragen einrichten
• Auskunftsanfragen unterstützen
• Berichtigungsanfragen unterstützen
• Anfragen auf Löschung/Sperrung unterstützen
• Widersprüche unterstützen
• Datenübertragbarkeit unterstützen
• Praktiken der Direktwerbung prüfen
• Automatisierte Entscheidungsfindung bewerten
• Profiling-Aktivitäten prüfen
• NPC-Registrierungsanforderungen bewerten
• DPO-Governance aufrechterhalten
• Angemessene Sicherheitsmaßnahmen umsetzen
• Verfahren zur Reaktion auf Datenschutzverletzungen einrichten
• Die 72-Stunden-Meldepflicht bewerten
• Verarbeitung von Daten von Kindern und schutzbedürftigen Personen prüfen
• Cookies und Tracker scannen
• Ausgewählte Technologien vor der einschlägigen Einwilligung blockieren
• Änderungen an Website und Dienstleistern regelmäßig überprüfen