Die wichtigste Pflicht von allen Compliance-Aufgaben ist die Einhaltung der Datenschutz-Gesetze, normiert in der DS-GVO. Gleichzeitig ist dies aber auch von allen rechtlichen Aufgaben die einfachste. Folgendes ist zu tun:

• Sorgt für eine korrekte und ausführliche Datenschutzerklärung auf Eurer Webseite. Wer hier glänzt, lässt saubere Compliance-Prozesse vermuten – andersherum macht misstrauisch, wer diese einfache Aufgabe nicht schafft. Vorlagen und Beispiele gibt es naturgemäß online genug!
  Überlegt Euch gut, ob Ihr hier auf die Verarbeitung von Nutzerdaten im Ausland angewiesen seid: Alles was Google Analytics kann, kann auch Matomo – und ist als lizenzkostenfreie OpenSource-Lösung auf Eurem Webserver schnell installiert und man braucht nur eine Instanz für alle Webseiten des Unternehmens. Auch die Verwendung von Google-Fonts lässt eher auf eine faule Agentur schliessen als auf technische Exzellenz.
• Kümmert auch um AV-Verträge, als Regelungen für die Auftragsdatenverarbeitung. Wenn Ihr Services anbietet, die personenbezogene Daten Eurer Kunden verarbeiten, müsst Ihr so einen Vertrag anbieten. Alle Lieferanten wiederum, die personenbezogene Daten Eures Unternehmens verarbeiten, sollten mit Euch einen AV-Vertrag abgeschlossen haben.
• Organisiert regelmäßige Awareness-Veranstaltungen für Euch und Eure Kolleginnen und Kollegen, um alle für den Datenschutz zu sensibilisieren.
• Erstellt ein Verzeichnis der Verarbeitungstätigkeiten, also aller Prozesse, in denen personenbezogene Daten verarbeitet werden, um die Einhaltung der jeweiligen Vorschriften zu garantieren: Bewerbungs-Management, People & Culture (für die Boomer: HR), CRM-Systeme, Mail-Server mit AntiVirus und AntiSpam (wer löscht wessen Daten aus welchem Grund), Cloud-Systeme (M365, Slack, Canva, uvm).
• Prüft Eure eigenen Verschwiegenheitserklärungen (NDA: Non Disclosure Agreements) und die Eurer Kundinnen und Dienstleister auf Einhaltung der DS-GVO – aber achtet auf, dass diese nicht zu weit gehen: Akzeptiert besser niemals pauschale Vertragsstrafen bei Verstößen gegen die DS-GVO nach Ermessen Eurer Geschäftspartner! Gerade große Firmen versuchen dies immer wieder und haben Euch damit in der Hand und rechtlich ist dies eigentlich nie geboten.
  
• Last but in no way least: Beauftragt so schnell wie möglich eine externe Datenschutzbeauftragte (eDSB) für all die vorstehenden Aufgaben, wenn Ihr diese Aufgaben nicht selber kompetent und schnell erledigen könnt. Diese kostet nicht viel und es lohnt sich.

Übrigens: Alles was ich hier in Sachen Recht aufschreibe, stellt keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes dar. Die Inhalte sind aber nach bestem Wissen erstellt.