CISO und Datenschutzbeauftragte: Übergaben klar regeln

Sicherheits- und Datenschutzteams betrachten dasselbe System häufig aus unterschiedlichen Richtungen. Der CISO fragt, ob Zugriffe, Resilienz und Risikobehandlung angemessen sind. Die oder der Datenschutzbeauftragte (DSB) berät zu rechtmäßiger Verarbeitung, Betroffenenrechten, Garantien und der Einhaltung des Datenschutzrechts. Ihre Arbeit überschneidet sich, ihre Befugnisse sollten aber nicht austauschbar werden.

Für die Leitung lautet die praktische Frage nicht einfach, wer welchen Titel trägt. Es geht darum, wer Fakten liefert, wer berät, wer umsetzt und wer die verantwortliche Entscheidung trifft. Diese Unterscheidungen werden wichtig, wenn ein Produkt startet, ein Lieferant wechselt oder ein Vorfall zum Handeln zwingt, bevor die Untersuchung abgeschlossen ist.

Eine tragfähige Regelung verschafft beiden Funktionen frühzeitig Einblick und wahrt zugleich die Unabhängigkeit der oder des Datenschutzbeauftragten. Sie stellt außerdem klar, dass die Benennung von Fachleuten, ob intern oder extern, die Rechenschaftspflicht des Verantwortlichen für Verarbeitungsentscheidungen nicht überträgt.

Trennen Sie die Mandate, bevor Sie Personen benennen

Die Aufgaben eines CISO hängen von der Governance der Organisation ab. Der Titel kann eine Führungskraft bezeichnen, die eine Sicherheitsfunktion leitet, eine Fachkraft, die ein Informationssicherheitsmanagementsystem betreibt, oder eine anteilig tätige Beraterin. Ein Informationssicherheitsbeauftragter (ISB) kann einen engeren Aufgabenbereich haben. Legen Sie das Mandat fest, statt anzunehmen, dass der Titel es bereits klärt.

Die oder der Datenschutzbeauftragte hat nach den Artikeln 37 bis 39 DSGVO bestimmte gesetzliche Aufgaben und Schutzrechte. Dazu gehören Unterrichtung und Beratung, Überwachung der Einhaltung, Beratung im Zusammenhang mit Datenschutz-Folgenabschätzungen, Zusammenarbeit mit der Aufsichtsbehörde und die Tätigkeit als deren Anlaufstelle. Die oder der DSB berichtet unmittelbar der höchsten Managementebene und erhält bei der Erfüllung dieser Aufgaben keine Anweisungen.

Sicherheit umfasst mehr als personenbezogene Daten. Ein Ransomware-Angriff auf Konstruktionszeichnungen oder die Produktionsplanung ist ein Sicherheitsthema, auch wenn keine personenbezogenen Daten betroffen sind. Datenschutz umfasst mehr als Sicherheit: Auch eine gut geschützte Datenbank kann Informationen enthalten, die ohne ausreichende Rechtsgrundlage erhoben oder unnötig lange aufbewahrt werden.

Zum gemeinsamen Gebiet gehören die risikobasierten technischen und organisatorischen Maßnahmen nach Artikel 32 DSGVO. Zugriffskontrollen, Wiederherstellungsvorkehrungen und Tests können beide Funktionen unterstützen. Gemeinsame Nachweise sind nützlich; sie machen die zugrunde liegenden Bewertungen aber nicht identisch.

Klären Sie, welche Rollen Ihre Organisation tatsächlich braucht

Prüfen Sie die Benennungspflicht für Datenschutzbeauftragte getrennt von der Personalplanung

Nicht jede Organisation muss automatisch eine oder einen Datenschutzbeauftragten benennen. Nach Artikel 37 DSGVO ist eine Benennung erforderlich für Behörden und öffentliche Stellen, vorbehaltlich der Ausnahme für Gerichte, sowie für Organisationen, deren Kerntätigkeit entweder eine umfangreiche regelmäßige und systematische Überwachung oder die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten oder von Daten über strafrechtliche Verurteilungen und Straftaten umfasst.

Reduzieren Sie diese Prüfung nicht auf die Unternehmensgröße. Auch eine relativ kleine Organisation kann Verarbeitungstätigkeiten haben, die eine Benennungspflicht auslösen, während die Zahl der Beschäftigten allein die DSGVO-Prüfung nicht beantwortet. Nationales Recht kann zusätzliche Benennungspflichten vorsehen. Prüfen Sie in Deutschland die ergänzenden nationalen Vorschriften, statt sich ausschließlich auf Artikel 37 oder einen erinnerten Schwellenwert für die Beschäftigtenzahl zu verlassen.

Führen Sie eine dokumentierte Prüfung der Benennungspflicht, die die relevanten Gesellschaften, Verarbeitungstätigkeiten, Rechtsordnungen, die Gründe für das Ergebnis und die Ereignisse benennt, die eine erneute Prüfung auslösen. Ein neuer Überwachungsdienst, eine Übernahme oder der Einstieg in die Verarbeitung sensibler Daten kann die Antwort ändern.

Wenn keine Benennungspflicht besteht, weisen Sie die Datenschutzzuständigkeiten trotzdem zu. Rechtsgrundlagen, Transparenz, die Bearbeitung von Betroffenenrechten, Sicherheit und Rechenschaftspflichten entfallen nicht. Gehen Sie bewusst mit dem formalen Titel „Datenschutzbeauftragte“ um: Eine freiwillige Benennung sollte als echte DSB-Rolle behandelt werden, nicht als bloße Bezeichnung für eine administrative Ansprechperson.

Unterscheiden Sie Sicherheitsverantwortung von einer allgemeinen CISO-Pflicht

Die DSGVO enthält keine Pflicht, eine Person mit dem Titel CISO zu benennen. Andere sektorale oder nationale Vorschriften können die Sicherheits-Governance beeinflussen; prüfen Sie diese daher gesondert.

ISO/IEC 27001 verlangt, dass Verantwortlichkeiten und Befugnisse für das ISMS im Geltungsbereich zugewiesen werden; einen allgemeingültigen Stellentitel schreibt die Norm nicht vor. Auch Kundenverträge können eine benannte Ansprechperson für Sicherheit, festgelegte Verantwortlichkeiten oder bestimmte Nachweise verlangen.

Für Organisationen im Anwendungsbereich regeln die Artikel 20 bis 23 der NIS-2-Richtlinie die Aufsicht durch die Leitungsorgane, Risikomanagementmaßnahmen im Bereich der Cybersicherheit und Meldepflichten bei Sicherheitsvorfällen. NIS2 wird durch nationales Recht umgesetzt, und die Anwendbarkeit hängt von Sektor, Größe, Dienst und Einbeziehungsregeln ab, nicht allein von der Beschäftigtenzahl. Nutzen Sie für den Betrieb in Deutschland die NIS-2-Informationen des BSI zusammen mit den anwendbaren Gesetzen.

Die Entscheidung der Leitung ist daher zweigeteilt: die rechtlichen und vertraglichen Anforderungen ermitteln und dann die Sicherheitsarbeit mit Ressourcen ausstatten, die für den Geschäftsbetrieb nötig ist. Ein Stellentitel ohne Befugnisse, Kapazität und Zugang löst keines der beiden Probleme.

Prüfen Sie Interessenkonflikte anhand tatsächlicher Entscheidungsrechte

Nach Artikel 38 Absatz 6 DSGVO darf die oder der Datenschutzbeauftragte andere Aufgaben wahrnehmen, sofern diese nicht zu einem Interessenkonflikt führen. Die Kombination von Rollen ist nicht automatisch verboten, erfordert aber eine inhaltliche Prüfung. Die zentrale Frage ist, ob die Person Zwecke und Mittel einer Verarbeitung festlegt, zu denen sie anschließend unabhängig beraten oder deren Einhaltung sie überwachen muss.

Prüfen Sie die Befugnisse, die mit der vorgesehenen Benennung verbunden sind:

• Kann die Person entscheiden, warum Daten von Beschäftigten oder Kunden erhoben werden?
• Kann sie Überwachungswerkzeuge auswählen, deren Umfang festlegen oder Aufbewahrungsfristen bestimmen?
• Gibt sie Systeme oder Verarbeitungsvorgänge frei, statt nur zu beraten?
• Würde sie Entscheidungen überwachen, die sie in einer anderen Rolle getroffen hat?
• Kann sie Bedenken ohne widerstreitende Anreize direkt bei der Leitung vorbringen?

Ein CISO, der Regelungen zur Überwachung von Beschäftigten freigibt, hat ein anderes Konfliktprofil als ein Sicherheitsberater, der Empfehlungen ohne Entscheidungsbefugnis abgibt. Leitende Funktionen in IT, Personal und Management verdienen besondere Aufmerksamkeit, doch Stellentitel allein ergeben keine vollständige Prüfung.

Dokumentieren Sie die Aufgaben der anderen Rolle, übertragene Befugnisse, Berichtswege und Schutzvorkehrungen. Wiederholen Sie die Prüfung, wenn sich Zuständigkeiten ändern. Eine Stellvertretung oder eine unabhängige prüfende Person kann Kontinuität und Sicherheit unterstützen, heilt aber nicht automatisch eine unvereinbare Benennung.

Als praktische Empfehlung sollten Sie die Rollen trennen, wenn die Sicherheitsfunktion erhebliche Befugnisse über die Verarbeitung personenbezogener Daten hat. Rechtfertigen Sie eine Doppelbenennung nicht allein damit, dass das Unternehmen klein ist oder der Person vertraut wird. Vertrauen beseitigt weder Selbstprüfung noch konkurrierende Zuständigkeiten.

Externe Benennungen bedürfen derselben Prüfung. Eine Auslagerung kann Unabhängigkeit von internen Berichtswegen schaffen, doch Konflikte können weiterhin durch sich überschneidende Mandate oder Anreize des Dienstleisters entstehen.

Legen Sie Übergaben entlang wiederkehrender Arbeit fest

Eine Verantwortlichkeitsmatrix sollte Entscheidungen und Ergebnisse beschreiben, nicht nur Beteiligung. Vermeiden Sie Zeilen wie „Sicherheit und Datenschutz gemeinsam verantwortlich“, ohne festzulegen, wer als Nächstes handeln muss.

Die folgende Übersicht ist ein praktischer Ausgangspunkt, keine gesetzliche Zuweisung jeder einzelnen Pflicht:

Produktänderungen: die erste Übergabe früh genug ansetzen

Für eine neue Kundenplattform sollte die verantwortliche Fachbereichsperson den beabsichtigten Zweck und die Verarbeitungsentscheidungen darlegen. Erstellen Sie eine kurze Änderungsbeschreibung zu Datenkategorien, betroffenen Personen, Systemen, Lieferanten, Zugriffen, Aufbewahrung und dem geplanten Bereitstellungstermin. Fügen Sie eine Skizze der Datenflüsse bei, wo sie das Verständnis erleichtert.

Die Sicherheit bewertet dann Bedrohungen und Schutzmaßnahmen: privilegierte Zugriffe, Authentisierung, Trennung, Protokollierung, Datensicherung und Wiederherstellung sowie die vor der Freigabe erforderlichen Nachweise. Datenschutzfachleute bewerten Rechtsgrundlage, Transparenz, Datenminimierung, Aufbewahrung, Verarbeitungsbeziehungen und ob eine Datenschutz-Folgenabschätzung (DSFA) erforderlich ist. Nach Artikel 35 DSGVO ist eine DSFA erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko zur Folge hat; holen Sie dabei den Rat der oder des Datenschutzbeauftragten ein, sofern eine Benennung erfolgt ist.

Die Übergabe sollte ausdrückliche Ergebnisse liefern statt getrennter, unbegründeter Freigaben. Dokumentieren Sie, wo relevant, die Beratung der oder des DSB, die geschäftliche Entscheidung, die Bedingungen für die Freigabe und die verantwortliche Person für jede offene Maßnahme. Folgt die Leitung einer Beratung nicht, bewahren Sie deren Begründung und eskalieren Sie ungelöste rechtliche Bedenken. Eine geschäftliche Risikoakzeptanz kann eine rechtswidrige Verarbeitung nicht rechtmäßig machen.

Legen Sie Auslöser für eine Überprüfung fest, etwa neue sensible Daten, Überwachung von Beschäftigten, geänderte Zwecke, wesentlich erweiterte Zugriffe oder einen neuen Lieferanten. Das ist nützlicher, als für jede kleine Schnittstellenänderung identische Unterlagen zu verlangen.

Aufnahme von Lieferanten: Sicherheitsnachweise und Rechtmäßigkeit der Verarbeitung trennen

Die fachlich verantwortliche Person sollte den Dienst, die betroffenen Daten und die tatsächliche Tätigkeit des Lieferanten benennen. Die Sicherheit bewertet relevante Nachweise, Zugriffsregelungen, Unterstützung bei Vorfällen und Resilienz. Der Datenschutz bewertet, ob der Lieferant Auftragsverarbeiter, eigenständiger Verantwortlicher oder ein anderer Beteiligter an der Verarbeitung ist.

Wo Artikel 28 anwendbar ist, muss der Vertrag die vorgeschriebenen Regelungen zur Auftragsverarbeitung enthalten. Internationale Datenübermittlungen erfordern eine gesonderte Bewertung; ein Auftragsverarbeitungsvertrag oder ein bevorzugter Hosting-Standort klärt diese Frage nicht.

Vereinbaren Sie, wer fehlende Nachweise beschafft und wer Vertragsänderungen verhandelt. Ein häufiger Fehler ist, den Sicherheitsfragebogen als vollständige Prüfung zu behandeln und dabei Verarbeitungsrollen, Unterauftragsverarbeiter, Löschung und Übermittlungen ungeprüft zu lassen. Ein anderer ist, Datenschutzklauseln zu verhandeln, ohne den tatsächlichen technischen Zugriff des Lieferanten zu verstehen.

Das Ergebnis sollte festhalten, welcher Dienst und welche Konfiguration bewertet wurden, welche Bedingungen akzeptiert wurden, welche Fragen offen sind und was eine erneute Bewertung auslöst. Wesentliche Änderungen an Zugriffen, Unterauftragsverarbeitern oder Verarbeitungsorten sollten beide Funktionen erreichen.

Vorfälle: Fakten austauschen, bevor Gewissheit besteht

Bei einem vermuteten Datenschutzvorfall untersucht die Sicherheit, während der Datenschutz die Folgen für Betroffene und die Meldepflichten bewertet. Keines der beiden Teams sollte auf einen fertigen Bericht warten, bevor es relevante Informationen teilt.

Eine erste Übergabe sollte darlegen, was passiert ist, wann es entdeckt wurde, welche Systeme und Daten betroffen sein könnten, ob Vertraulichkeit, Integrität oder Verfügbarkeit beeinträchtigt wurden, welche Eindämmung erfolgt ist und was noch unbekannt ist. Benennen Sie eine Person, die die Zeitachse führt und beide Funktionen informiert, wenn sich die Faktenlage ändert.

Nach Artikel 33 DSGVO muss der Verantwortliche die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, benachrichtigen, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Ein Auftragsverarbeiter muss den Verantwortlichen unverzüglich benachrichtigen. Dokumentieren Sie die Beurteilung, wann die Kenntnis vorlag; gehen Sie weder davon aus, dass jede erste Warnmeldung die gesetzliche Frist auslöst, noch dass vollständige forensische Gewissheit nötig ist, bevor gehandelt wird.

Artikel 34 kann bei einem hohen Risiko eine Benachrichtigung der betroffenen Personen erfordern, vorbehaltlich seiner Ausnahmen. Vereinbaren Sie, wer Fristen koordiniert, Meldungen vorbereitet, Kommunikation freigibt und die Nachweise aufbewahrt. Dokumentieren Sie Verletzungen des Schutzes personenbezogener Daten, einschließlich der Begründung, wenn eine Meldung für nicht erforderlich gehalten wird. Fehlende Fakten können eine schrittweise Meldung erfordern, statt während laufender Untersuchung zu schweigen.

Prüfen Sie bei einem Vorfall in einer Einrichtung im Anwendungsbereich parallel, ob er die maßgebliche NIS2-Schwelle für meldepflichtige erhebliche Sicherheitsvorfälle erreicht. Die Richtlinie sieht eine Frühwarnung innerhalb von 24 Stunden, eine Meldung des Sicherheitsvorfalls innerhalb von 72 Stunden und in der Regel einen Abschlussbericht innerhalb eines Monats nach der Meldung vor; prüfen Sie die nationalen und sektoralen Vorschriften. Das sind andere Auslöser und Adressaten als bei der DSGVO, kein austauschbarer gemeinsamer Meldeprozess.

Betroffenenanfragen: operative Unterstützung von der Verantwortung für die Antwort trennen

Betroffenenanfragen brauchen oft Unterstützung durch Sicherheit und IT, um die Identität verhältnismäßig zu prüfen, Informationen zu finden, Daten Dritter zu schützen und die Antwort sicher zu übermitteln. Der Datenschutz koordiniert die rechtliche Bewertung, wo angebracht mit Beratung durch die oder den DSB. Der Verantwortliche bleibt für die Beantwortung zuständig.

Nach Artikel 12 DSGVO beträgt die übliche Antwortfrist einen Monat. Eine Verlängerung um weitere zwei Monate ist möglich, wenn dies erforderlich ist, wobei innerhalb des ersten Monats darüber und über die Gründe zu informieren ist. Anfragen sind grundsätzlich unentgeltlich; für Entgelte oder Ablehnung gelten enge Voraussetzungen.

Dokumentieren Sie, wer für die Frist verantwortlich ist, welche Systeme durchsucht werden müssen und wer die Offenlegung freigibt. Verlangen Sie nicht standardmäßig übermäßige Identitätsnachweise und lassen Sie nicht zu, dass ein technischer Export zu einer ungeprüften Antwort wird. Ein gemeinsamer operativer Prozess kann die Bewertung durch den Datenschutz mit den Such- und Übermittlungsmaßnahmen verbinden, die unter Bearbeitung von Auskunftsanfragen beschrieben sind.

Wählen Sie interne oder externe Benennungen nach Fähigkeit und Zugang

Artikel 37 Absatz 6 DSGVO erlaubt ausdrücklich, dass die Aufgaben der oder des Datenschutzbeauftragten von einer beschäftigten Person oder auf Grundlage eines Dienstleistungsvertrags erfüllt werden. Auch die Sicherheitsleitung kann als organisatorische Regelung extern besetzt werden, vorbehaltlich anwendbarer Anforderungen und eines klaren Mandats.

Eine interne oder ein interner DSB versteht das Geschäft oft gut und hat leichten Zugang zu Kolleginnen und Kollegen. Die Organisation muss dennoch Fachwissen, Ressourcen, geschützte Zeit, Unabhängigkeit und Vertretung sicherstellen. Eine externe oder ein externer DSB kann Fachkompetenz und zusätzliche Kapazität einbringen, braucht aber einen verlässlichen Zugang zu Produktänderungen, Verträgen, Bewertungen und Vorfällen. Keines der beiden Modelle funktioniert, wenn die oder der DSB erst nach der Umsetzung von Entscheidungen erfährt.

Vergleichen Sie den gesamten Betriebsbedarf, nicht nur Gehalt und Pauschalhonorar. Berücksichtigen Sie Schulungen, fachliche Beratung, Abwesenheitsvertretung, Koordinationszeit, Projektspitzen und Leistungen außerhalb des vereinbarten Umfangs. Es gibt keine verlässliche allgemeine Regel, dass externe Lösungen günstiger sind.

Vereinbaren Sie bei externen Mandaten:

• Benannte Ansprechpersonen, Vertretungen, Eskalationswege und Zugang zur höchsten Managementebene.
• Welche Prüfungen, Besprechungen, Schulungen und Unterstützung bei Vorfällen enthalten sind.
• Reaktionsregelungen, die auf dringende und routinemäßige Arbeit abgestimmt sind.
• Wie Informationen, Beratung und Entscheidungen dokumentiert und aufbewahrt werden.
• Vertraulichkeit, Zugriffsgrenzen, Umgang mit Konflikten und Regelungen für die Beendigung.

Erbringt ein einziger Dienstleister beide Funktionen, prüfen Sie, wer welches Mandat wahrnimmt und wie Konflikte gehandhabt werden. Unterschiedliche Namen in einem Angebot reichen nicht aus, wenn dieselbe Person Verarbeitungsentscheidungen steuert und überprüft.

Benennen Sie eine interne koordinierende Person mit der Befugnis, Informationen einzuholen und die Umsetzung nachzuhalten. Externe Fachleute können keine Systeme bewerten, die ihnen nicht offengelegt wurden, und keine Maßnahmen durchsetzen, für die intern niemand verantwortlich ist. Die Leitung behält Entscheidungen über Budget und geschäftliche Prioritäten, und der Verantwortliche bleibt nach Artikel 24 DSGVO rechenschaftspflichtig.

Passen Sie die Regelung an die Arbeitslast an

Für eine kleinere Organisation ohne Benennungspflicht kann eine benannte verantwortliche Person für Datenschutz und eine für Sicherheit angemessen sein, mit fachlicher Beratung für schwierige Fragen. Das ist etwas anderes als eine formale Benennung als Datenschutzbeauftragte.

Ist eine oder ein DSB vorgeschrieben, haben interne Kandidatinnen und Kandidaten aber widerstreitende operative Befugnisse, lohnt sich eine externe Benennung. Kombinieren Sie sie mit interner Umsetzungsverantwortung, statt vom Dienstleister zu erwarten, jede Datenschutzaufgabe zu übernehmen.

Erfordert die Vertrauensbildung bei Kunden den Aufbau eines ISMS und ist interne Sicherheitserfahrung begrenzt, kann eine externe Sicherheitsleitung die Anfangsarbeit unterstützen. Entscheiden Sie, wer danach Risikobeurteilungen, Nachweise und Berichte an die Leitung pflegt; ein Projektauftrag sollte bei seinem Ende keine Verantwortungslücke hinterlassen.

Eine etablierte Organisation kann beide Funktionen intern abdecken, sofern sie die Unabhängigkeit der oder des DSB schützt und ausreichend Kapazität bereitstellt. Die Entscheidung sollte sich nach tatsächlicher Arbeitslast, Kompetenz und Befugnissen richten, nicht nach der Annahme, intern sei immer besser oder extern immer einfacher.

Beispiel: ein Hersteller bereitet ein Kundenportal vor

Betrachten Sie als Beispiel einen Hersteller mit 200 Beschäftigten, einem kleinen IT-Team und einem geplanten Portal für Kundensupport und Maschinenwartung. Angenommen, das Portal enthält Kontaktdaten von Kunden, Servicehistorien und Aufzeichnungen über Tätigkeiten von Technikerinnen und Technikern. Kunden verlangen außerdem eine dokumentierte Sicherheits-Governance. Diese Fakten sind hypothetisch und keine rechtliche Schlussfolgerung für jeden Hersteller dieser Größe.

Die Leitung lässt zunächst getrennt prüfen, ob eine Benennungspflicht für eine oder einen DSB besteht und ob sektorale Cybersicherheitsvorschriften anwendbar sind. Sie leitet den NIS2-Anwendungsbereich nicht allein aus der Beschäftigtenzahl ab. Außerdem überprüft sie die bestehende Benennung des IT-Leiters als Datenschutzbeauftragten, weil dieser Systeme auswählt und ihren Betrieb freigibt.

Nach Prüfung von Konflikten und Kapazität benennt das Unternehmen eine externe Datenschutzbeauftragte und eine anteilig tätige Sicherheitsleitung. Der IT-Leiter verantwortet die technische Umsetzung, die Serviceleiterin verantwortet die Verarbeitungszwecke und die fachlichen Anforderungen des Portals, und eine interne koordinierende Person führt das Maßnahmenregister. Der Geschäftsführer ist Sponsor der Entscheidungen und klärt Ressourcenkonflikte.

Im Entwurf empfiehlt die Sicherheit eine detaillierte Aktivitätsprotokollierung, um Missbrauch untersuchen zu können. Der Datenschutz stellt fest, dass die Protokolle auch das Verhalten von Technikerinnen und Technikern offenlegen. Die Serviceleiterin erklärt den betrieblichen Bedarf; die Sicherheit schlägt beschränkten Zugriff und eine festgelegte Nutzung für Untersuchungen vor; der Datenschutz bewertet Erforderlichkeit, Transparenz und Aufbewahrung. Die Beratung der DSB wird dokumentiert, bevor die verantwortliche Person über die Konfiguration entscheidet. Die DSB gibt das Protokollierungskonzept nicht anstelle der Leitung frei.

Die Freigabedokumentation enthält die Beschreibung der Datenflüsse, die Lieferantenbewertung, die Sicherheitsfeststellungen, das Ergebnis der DSFA-Vorprüfung, die Datenschutzmaßnahmen und die akzeptierten Freigabebedingungen. Jede offene Maßnahme hat eine verantwortliche Person und ein Fälligkeitsdatum.

Die Leitung führt anschließend eine Planspielübung zu einem kompromittierten Portalkonto durch. Die Sicherheit liefert ein erstes Faktenpaket; der Datenschutz bewertet möglichen Schaden; die koordinierende Person verfolgt die Bewertungsfristen; und die befugte Führungskraft übernimmt die Kommunikation. Die Übung zeigt, dass die Notfallkontaktdaten der externen DSB im Vorfallverfahren fehlten. Die Behebung dieser kleinen Lücke macht die Übergabe unter Druck praxistauglich.

Machen Sie die Zusammenarbeit überprüfbar, ohne alles zu teilen

Geben Sie Meinungsverschiedenheiten einen benannten Eskalationsweg. Technische Abwägungen können an die Dienstverantwortlichen und den Sponsor aus der Geschäftsleitung gehen; ungelöste Compliance-Bedenken sollten über den unabhängigen Berichtsweg der oder des DSB die höchste Managementebene erreichen. Bewahren Sie abweichende Auffassungen, statt die Dokumentation so umzuschreiben, dass sie Einigkeit suggeriert.

Teilen Sie nur die Informationen, die jede Rolle braucht, besonders bei sensiblen Untersuchungen. Die oder der DSB muss nach Artikel 38 DSGVO Zugang zu den relevanten Informationen über Verarbeitungen haben, doch das rechtfertigt nicht, rohe Beschäftigtendaten oder forensisches Material an alle Projektbeteiligten zu verteilen. Nutzen Sie Zugriffsgrenzen und angemessen geschwärzte Zusammenfassungen, ohne Fakten zurückzuhalten, die für die Bewertung nötig sind.

Die Leitung sollte einige betriebliche Signale prüfen: Änderungen, die vor der Konsultation umgesetzt wurden, nach einer Beratung überfällige Maßnahmen, Vorfälle mit verspäteter funktionsübergreifender Eskalation und wiederholte Unklarheit über Entscheidungsbefugnisse. Diese Signale zeigen Governance-Mängel deutlicher als die Zahl von Richtlinien oder Besprechungen.

Eine praxistaugliche Überprüfung durch die Leitung sollte mit Entscheidungen enden, nicht bloß mit aktualisierten Berichten. Kommen Bewertungen wiederholt zu spät, ändern Sie den Auslöser für die Projektaufnahme. Bleiben Maßnahmen offen, weil Teams keine Kapazität haben, stellen Sie Ressourcen bereit oder passen Sie den Umsetzungsplan an. Kann niemand die entscheidende Person benennen, korrigieren Sie die Delegation, bevor Sie eine weitere Freigabe akzeptieren.

Halten Sie die daraus entstehende Dokumentation kompakt: das Thema, die relevante Beratung zu Sicherheit und Datenschutz, die verantwortliche Entscheidung, ihre Begründung, die für Maßnahmen verantwortlichen Personen und ein Überprüfungsdatum. Unterscheiden Sie eine Nachweislücke von einer umgesetzten Maßnahme, die versagt hat. Beide erfordern unterschiedliche Folgemaßnahmen, auch wenn sie als offene Aufgabe gleich aussehen.

Fragen, die die Leitung ausdrücklich klären sollte

Muss die oder der Datenschutzbeauftragte jeden Start freigeben?

Die DSGVO beschreibt eine beratende und überwachende Rolle, keine allgemeine Freigabepflicht durch die oder den DSB. Eine Organisation kann Konsultationsschwellen festlegen, sollte die Konsultation aber von der Startbefugnis der fachlich verantwortlichen Person unterscheiden. Eine abgeschlossene Konsultation belegt außerdem nicht, dass die Verarbeitung rechtmäßig ist.

Können Sicherheitsnachweise Datenschutzprüfungen erfüllen?

Sie können sie unterstützen. Aufzeichnungen zu Zugriffsüberprüfungen oder Wiederherstellungstests können in eine Bewertung nach Artikel 32 einfließen. Sie begründen aber weder eine Rechtsgrundlage noch ausreichende Transparenz oder eine gerechtfertigte Aufbewahrungsfrist. Benennen Sie, welche Aussage jeder einzelne Nachweis belegt, statt ein Nachweispaket als Freigabe für alles zu behandeln.

Beginnen Sie mit zwei Prozessen und einer kleinen Nachweiskette

Beginnen Sie mit Produktänderungen und der Vorfallbearbeitung. Benennen Sie für beide die verantwortliche Person für die Aufnahme, die erforderlichen Informationen, die Auslöser für Prüfungen, die Entscheidungsbefugnis, den Eskalationsweg und die Vertretungsregelungen. Testen Sie beide mit realistischen Fällen, bevor Sie die Matrix erweitern.

Secani verbindet Anforderungen, Nachweise, Verantwortliche, Aufgaben und Prüfentscheidungen in einem gemeinsamen Kontext. Für einen fokussierten Dienst als Geltungsbereich können Teams die unterstützenden Systeme und Dienstleister modellieren, Nachweise mit den Anforderungen oder Entscheidungen verknüpfen, die sie stützen, und offene Prüffragen in zugewiesene Arbeit überführen. Planen Sie Zugriffsgrenzen für interne und externe Beteiligte; die dokumentierte OSCAL-API-Rolle gewährt ausschließlich Zugriff zur Validierung. Halten Sie die menschliche Prüfung KI-gestützter Vorschläge ausdrücklich fest und bewahren Sie Quellen, Kommentare, Freigaben und Zeitstempel.

Der praktische nächste Schritt ist eine gemeinsame Sitzung mit der fachlich verantwortlichen Person, der Sicherheitsleitung, dem Datenschutzteam und der oder dem DSB. Gehen Sie eine anstehende Änderung und einen plausiblen Vorfall entlang der vorgeschlagenen Übergaben durch. Wo die Gruppe nicht benennen kann, wer als Nächstes handelt, verbessern Sie den Prozess vor dem nächsten dringenden Fall.