Die Pflicht für Unternehmen ein Datenschutzkonzept zu verfassen, ergibt sich indirekt aus Art. 8 DSG. Verantwortliche und Auftragsbearbeiter müssen mit technischen und organisatorischen Massnahmen für angemessene Datensicherheit sorgen. Es müssen Vorkehrungen getroffene werden, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten. Verantwortliche und Auftragsbearbeiter sollten demnach nachweisen können, dass sie ein Gesamtkonzept zur Einhaltung des Datenschutzes besitzen. Dieses muss der Verantwortliche bzw. Auftragsbearbeiter auch regelmässig kontrollieren und ggf. weiterentwickeln.

Mit anderen Worten: Unternehmen, die Personendaten bearbeiten, müssen ein Verfahren einrichten, um die Wirksamkeit der Datenschutz- und Informationssicherheits-Massnahmen regelmässig zu überprüfen, bewerten und evaluieren. Dafür ist ein Datenschutzkonzept die optimale Basis.

Zweck des Datenschutzkonzeptes ist es, diejenigen Massnahmen verständlich zu machen, die im Unternehmen zur Einhaltung und Sicherung des Datenschutzes getroffen werden. Dafür sollte das Datenschutzkonzept gut strukturiert sein, um für verschiedene Adressaten verständlich zu sein.

Da das Datenschutzkonzept allgemein gehalten werden kann, ohne (technische) Details preiszugeben, kann es Interessierten vorgelegt werden, damit diese sich einen Eindruck von der Umsetzung des Datenschutzes des Unternehmens verschaffen können. Das Datenschutzkonzept dient aber auch der Orientierung für Mitarbeiter und sollte diesen zugänglich gemacht werden.

Der Umfang solch eines Datenschutzkonzeptes variiert je nach Unternehmen und Zielrichtung, denn das Datenschutzkonzept hat die individuellen Bedingungen in einem Unternehmen widerzuspiegeln. Unter dem Gesichtspunkt der Dokumentation und Nachweisbarkeit ist es jedoch dringend geboten, dass die getroffenen technisch-organisatorischen Massnahmen unbedingt ins Datenschutzkonzept aufgenommen werden.

Vorlagen oder Muster für ein Datenschutzkonzept sind immer auf den Einzelfall anzupassen. Folgende Inhalte sollten sich jedoch mindestens in einem Datenschutzkonzept finden:

• Datenschutzpolitik und Verantwortlichkeiten im Unternehmen
• Rechtliche Rahmenbedingungen im Unternehmen
• Dokumentation
• Bestehende technische und organisatorische Massnahmen
• Organisatorische Mindestregelungen

Da sich die Anforderungen des Datenschutzes und auch der Informationssicherheit im Laufe der Jahre natürlich verändern und sich Technologie regelmässig entwickelt, ist es wichtig, auch das Datenschutzkonzept im Unternehmen stets aktuell zu halten. Denn ein Konzept mit veralteten Massnahmen ist gegebenenfalls sogar kontraproduktiv für den Zweck, zu dem es eigentlich erstellt wurde.