DSGVO und Sicherheit: Schutzmaßnahmen mit der Verarbeitung verbinden

Ein gut geführtes Informationssicherheitsmanagementsystem (ISMS) liefert nützliche Prozesse für die DSGVO: Zugriffsverwaltung, Vorfallbehandlung, Lieferantenbewertung und Resilienz. Die Datenschutzarbeit fragt jedoch zusätzlich, warum eine Verarbeitung rechtmäßig, verhältnismäßig und transparent ist. Beide Fragestellungen treffen in derselben Geschäftstätigkeit zusammen, verlangen aber unterschiedliche Entscheidungen.

Für die Unternehmensleitung besteht die Aufgabe darin, beides zu verbinden, ohne das eine als Ersatz für das andere zu behandeln. Eine sichere Kundendatenbank kann trotzdem Informationen enthalten, die das Unternehmen nie hätte erheben dürfen. Ein gültiger Kundenvertrag belegt nicht, dass alle Personen mit Datenbankzugriff diesen Zugriff auch benötigen. Ein ISO 27001-Zertifikat beantwortet keine der beiden Fragen.

Der praktische Ausgangspunkt ist deshalb die Verarbeitung, nicht ein Maßnahmenkatalog. Klären Sie, was das Unternehmen mit personenbezogenen Daten tun will, prüfen Sie, ob diese Tätigkeit zulässig ist, und wählen Sie dann Schutzmaßnahmen für die Folgen eines Versagens. Halten Sie die Begründung, die Nachweise, die verantwortliche Person und das nächste Ereignis fest, das eine Überprüfung auslösen soll.

Klären, welche Verarbeitungen und Verantwortlichkeiten im Geltungsbereich liegen

Die Datenschutz-Grundverordnung regelt die Verarbeitung personenbezogener Daten. Zur Verarbeitung gehören Erheben, Speichern, Abfragen, Offenlegen, Verändern und Löschen. Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; sie beschränken sich nicht auf Namen oder offensichtlich sensible Datensätze.

Geschäftliche E-Mail-Adressen, Personalnummern, Gerätekennungen, Standortverläufe und Supportgespräche können allesamt personenbezogene Daten sein. Ob eine bestimmte Kennung darunter fällt, hängt vom Kontext ab und von den Mitteln, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, um eine Person zu identifizieren. Werden Namen durch Referenznummern ersetzt, entstehen in der Regel pseudonymisierte und keine anonymen Daten, solange eine Reidentifizierung möglich bleibt. Pseudonymisierte personenbezogene Daten unterliegen weiterhin der DSGVO.

Den räumlichen Anwendungsbereich prüfen, bevor Sie ein Betriebsmodell wählen

Art. 3 erfasst Verarbeitungen im Rahmen der Tätigkeiten einer Niederlassung in der EU, auch wenn die Verarbeitung selbst anderswo stattfindet. Er kann zudem eine Organisation außerhalb der EU erfassen, wenn ihre Verarbeitung damit zusammenhängt, Personen in der Union Waren oder Dienstleistungen anzubieten oder ihr Verhalten dort zu beobachten. Die bloße Erreichbarkeit einer Website klärt die Frage der Ausrichtung nicht; prüfen Sie das tatsächliche Angebot und die tatsächliche Beobachtungstätigkeit.

Ist Art. 3 Abs. 2 anwendbar, kann Art. 27 einen Vertreter in der Union verlangen. Die Ausnahmen davon sind begrenzt und hängen nicht einfach von der Unternehmensgröße ab. Die Ausnahme für gelegentliche Verarbeitung setzt zudem die genannten Bedingungen zu sensiblen Daten und zum Risiko voraus. Ein Vertreter ersetzt weder den Verantwortlichen noch einen Datenschutzbeauftragten noch eine rechenschaftspflichtige Leitung.

Die DSGVO ist am 24. Mai 2016 in Kraft getreten und gilt seit dem 25. Mai 2018. Unterscheiden Sie für aktuelle Entscheidungen zwischen geltendem Recht und vorgeschlagenen Vereinfachungen. Eine Pressemitteilung über eine mögliche Ausnahme ist keine Grundlage dafür, einen bestehenden Compliance-Prozess einzustellen.

Rollen nach Tätigkeit bestimmen, nicht nach der Bezeichnung des Unternehmens

Ein Verantwortlicher entscheidet über die Zwecke und Mittel der Verarbeitung. Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag eines Verantwortlichen. Gemeinsam Verantwortliche legen Zwecke und Mittel gemeinsam fest und benötigen eine Vereinbarung nach Art. 26, die ihre jeweiligen Pflichten abbildet.

Ein Unternehmen kann mehrere Rollen einnehmen. Ein Softwareanbieter kann Auftragsverarbeiter für die von Kunden hochgeladenen Datensätze sein und Verantwortlicher für die eigene Lohnabrechnung, die Kontoverwaltung und einen Teil des Sicherheitsbetriebs. Die vertragliche Bezeichnung eines Lieferanten ist relevant, kann aber nicht überlagern, was die Parteien tatsächlich tun.

Das erste Arbeitsergebnis sollte eine kurze Entscheidung zum Geltungsbereich sein: betroffene Tätigkeiten, organisatorische Einheiten, Rollen als Verantwortlicher oder Auftragsverarbeiter, Märkte und offene Fragen. Benennen Sie eine verantwortliche Person, die Unklarheiten ausräumt, bevor die betreffende Verarbeitung beginnt oder ausgeweitet wird.

Geschäftszweck und Rechtsgrundlage auseinanderhalten

Art. 5 und Art. 6 bilden das Fundament für die gewöhnliche Verarbeitung personenbezogener Daten. Sicherheit ist ein Teil dieses Fundaments, kein Weg daran vorbei.

Die Grundsätze des Art. 5 werden üblicherweise als sieben dargestellt: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz; Zweckbindung; Datenminimierung; Richtigkeit; Speicherbegrenzung; Integrität und Vertraulichkeit; sowie Rechenschaftspflicht. Die Rechenschaftspflicht verlangt, dass der Verantwortliche für die Einhaltung verantwortlich ist und sie nachweisen kann. Sie schreibt kein bestimmtes Softwareprodukt vor, wohl aber eine belastbare Begründung, die durch geeignete Nachweise gestützt wird.

Übersetzen Sie jeden Grundsatz in eine geschäftliche Frage:

Für jeden Zweck eine Rechtsgrundlage wählen

Art. 6 sieht sechs Rechtsgrundlagen vor. Ihre Voraussetzungen sind wichtiger als ihre Bezeichnungen:

• Einwilligung: eine freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung, die widerrufen werden kann.
• Vertrag: eine Verarbeitung, die für die Erfüllung eines Vertrags mit der betroffenen Person oder für die Durchführung vorvertraglicher Maßnahmen auf deren Anfrage erforderlich ist.
• Rechtliche Verpflichtung: eine Verarbeitung, die zur Erfüllung einer anwendbaren rechtlichen Verpflichtung erforderlich ist.
• Lebenswichtige Interessen: eine Verarbeitung, die zum Schutz lebenswichtiger Interessen einer Person erforderlich ist.
• Öffentliche Aufgabe: eine Verarbeitung, die für eine Aufgabe im öffentlichen Interesse oder in Ausübung öffentlicher Gewalt erforderlich ist, mit der dafür notwendigen Rechtsgrundlage.
• Berechtigte Interessen: eine Verarbeitung, die zur Wahrung berechtigter Interessen erforderlich ist, vorbehaltlich der Abwägung dieser Interessen gegen die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person.

Führen Sie nicht mehrere Rechtsgrundlagen als austauschbare Absicherung auf. Bestimmen Sie die Grundlage, die jeden Zweck tatsächlich trägt, und kommunizieren Sie sie zutreffend. Eine zusätzliche Klausel im Kundenvertrag macht eine Verarbeitung nicht automatisch für diesen Vertrag erforderlich. Ebenso erfordern berechtigte Interessen eine Abwägung; sie sind keine allgemeine Erlaubnis, verfügbare Daten zu nutzen.

Als praktische Empfehlung: Dokumentieren Sie eine Interessenabwägung entlang des verfolgten Interesses, der Erforderlichkeit, der Auswirkungen auf die Betroffenen, ihrer vernünftigen Erwartungen und der Schutzmaßnahmen. Ziehen Sie weniger eingriffsintensive Alternativen in Betracht. Halten Sie die Analyse im Verhältnis zur Tätigkeit, aber konkret genug, damit jemand außerhalb des Projekts sie nachvollziehen kann.

Die Einwilligung ist nicht grundsätzlich die sicherere Wahl. Sie muss tatsächlich freiwillig sein, wo die Umstände eine Wahl erfordern, und der Widerruf muss in der Praxis funktionieren. Beschäftigungsverhältnisse werfen besondere Fragen zur Freiwilligkeit auf. Der Widerruf beendet die auf dieser Einwilligung beruhende Verarbeitung für die Zukunft; er löscht nicht automatisch Datensätze, für die gesonderte gesetzliche Aufbewahrungspflichten gelten. Stellen Sie dieselbe Verarbeitung nicht nachträglich auf eine andere Rechtsgrundlage um, nur weil die Einwilligung widerrufen wurde. Jede gesonderte Verarbeitung, etwa eine gesetzlich vorgeschriebene Aufbewahrung, braucht eine eigene einschlägige Rechtsgrundlage und angemessene Transparenz.

Besondere Kategorien personenbezogener Daten, etwa Gesundheitsdaten, benötigen neben einer Rechtsgrundlage nach Art. 6 eine Bedingung nach Art. 9. Für Daten über strafrechtliche Verurteilungen und Straftaten gelten gesonderte Anforderungen nach Art. 10. Ein Unternehmen sollte keine dieser Kategorien freigeben, nur weil die gewöhnliche Verarbeitung von Kundendaten bereits bewertet wurde.

Ein Verarbeitungsverzeichnis aufbauen, das Entscheidungen steuern kann

Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 ist nützlich, weil es die rechtliche Analyse mit der betrieblichen Realität verbindet. Das Verzeichnis eines Verantwortlichen enthält Zwecke, Kategorien betroffener Personen und Daten, Empfänger, Übermittlungen, nach Möglichkeit die vorgesehenen Löschfristen und, wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Auftragsverarbeiter haben eine abweichende Verzeichnispflicht für die Verarbeitungen, die sie im Auftrag von Verantwortlichen durchführen.

Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten ist an Bedingungen geknüpft. Sie gilt nicht für Verarbeitungen, die nicht nur gelegentlich erfolgen, voraussichtlich das genannte Risiko bergen oder die genannten sensiblen Kategorien umfassen. Ein kleines Unternehmen mit laufender Verarbeitung von Beschäftigten- oder Kundendaten sollte nicht annehmen, dass die Mitarbeiterzahl seine Verzeichnispflichten entfallen lässt.

Verwenden Sie Verarbeitungstätigkeiten als ordnende Einheit. „Cloud-Infrastruktur“ ist meist zu weit gefasst, um zu erklären, warum Daten verarbeitet werden. „Bearbeitung von Kundensupportanfragen“ ist nützlicher, weil es einen Zweck, bestimmbare Personen, Datenkategorien, Empfänger, Aufbewahrungsregeln und unterstützende Systeme gibt.

Ein praxistaugliches Arbeitsverzeichnis kann über die gesetzlichen Pflichtangaben hinausgehen:

• Fachlich verantwortliche Person und Datenschutzprüfer.
• Zweck und einschlägige Rechtsgrundlage.
• Datenquellen, Kategorien und betroffene Personengruppen.
• Beziehungen als Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortlicher.
• Anwendungen, Exporte, Protokolle und nachgelagerte Empfänger.
• Aufbewahrungsregeln und wie die Löschung umgesetzt wird.
• Verweise auf Datenschutzhinweise, Betroffenenrechte, Lieferanten und Übermittlungen.
• Ergebnis der DSFA-Vorprüfung und verknüpfte Schutzmaßnahmen.
• Freigabedatum, offene Maßnahmen und Prüfanlässe.

Die zusätzlichen Felder sind eine Empfehlung zur Koordination, keine Behauptung, dass Art. 30 jeden Punkt ausdrücklich verlangt. Ihr Wert liegt darin, dass das Verzeichnis dadurch bei einer Produkteinführung, einem Auskunftsersuchen, einem Lieferantenwechsel oder einem Vorfall nutzbar wird.

Das Verzeichnis mit den tatsächlich genutzten Systemen abgleichen

Ein jährlicher Fragebogen wird kaum jeden Tabellenexport, jede Testanwendung oder jedes KI-Abonnement auf Teamebene aufdecken. Gleichen Sie das Verzeichnis mit Beschaffungsinformationen, Listen freigegebener Anwendungen, Systeminventaren und Gesprächen mit den Prozessverantwortlichen ab. Prüfen Sie Netzlaufwerke und manuelle Übergaben, wo sie die Tätigkeit wesentlich beeinflussen.

Verwechseln Sie ein Inventar der Assets nicht mit einem Verarbeitungsverzeichnis. Das Asset-Inventar erklärt Systeme und Abhängigkeiten; das Verarbeitungsverzeichnis erklärt die Verwendung personenbezogener Daten. Verknüpfen Sie beide so, dass eine Anwendung mehrere Zwecke unterstützen kann, ohne dass diese Zwecke zu einer unscharfen Beschreibung verschmelzen.

Weiteren Kontext zum Ablauf finden Sie unter Datenermittlung und Datenschutz. Die Ermittlung sollte eine prüfbare Liste von Abweichungen liefern, nicht die Annahme, dass jedes erkannte Feld korrekt klassifiziert oder rechtlich bewertet wurde.

Art. 32 in Schutzmaßnahmen für reale Folgen übersetzen

Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, geeignete technische und organisatorische Maßnahmen zu treffen, die dem Risiko angemessen sind. Die Bewertung berücksichtigt den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen.

Zu den relevanten Folgen zählen die unbeabsichtigte oder unrechtmäßige Vernichtung, der Verlust, die Veränderung, die unbefugte Offenlegung und der unbefugte Zugang. Damit sind Verfügbarkeit und Integrität ebenso wichtig wie Vertraulichkeit. Der Verlust des Zugangs zu einem Dienst kann Menschen schaden, auch wenn keine Daten gestohlen wurden.

Eine allgemeine Aussage, es gelte „branchenübliche Sicherheit“, reicht nicht aus, um zu erklären, warum Schutzmaßnahmen zu einer bestimmten Tätigkeit passen. Beginnen Sie mit Szenarien: Wer könnte betroffen sein, was könnte passieren, wie wahrscheinlich ist das und wie schwer könnten die Auswirkungen sein? Verknüpfen Sie dann jedes wichtige Szenario mit präventiven, detektiven und wiederherstellenden Maßnahmen.

Zugriffsbeschränkungen sollten dem Zweck folgen

Fragen Sie bei einer Supporttätigkeit, welche Mitarbeitenden welche Kundendatensätze benötigen, ob sensible Anhänge gesondert eingeschränkt werden müssen und wann befristete Zugriffe enden sollen. Berücksichtigen Sie privilegierte Administration, Supportzugänge von Lieferanten, Massenexporte, gemeinsam genutzte Konten und Notfallzugänge.

Hilfreiche Nachweise sind Rollendefinitionen, Zugriffsfreigaben, Aufzeichnungen zu Eintritt, Wechsel und Austritt, Regelungen für privilegierte Zugänge und abgeschlossene Zugriffsüberprüfungen. Eine Zugriffsrichtlinie belegt eine beabsichtigte Regel. Eine aktuelle Überprüfung, bei der unnötige Berechtigungen entzogen wurden, belegt, dass die Regel auch gelebt wird.

Die Leitung sollte fragen, ob die Organisation zwischen berechtigtem Zugriff und angemessener Nutzung unterscheiden kann. Eine beschäftigte Person kann ein technisch gültiges Konto haben und Daten dennoch für einen unzulässigen Zweck verwenden. Schulung, Aufsicht, Zugriffsdesign und Untersuchungsprozesse spielen alle eine Rolle.

Verschlüsselung erfordert eine Entscheidung über den Einsatz

Art. 32 nennt Verschlüsselung und Pseudonymisierung unter den zu berücksichtigenden Maßnahmen; er schreibt keine pauschale Verschlüsselung für jede Situation vor. Wo Verschlüsselung gewählt wird, legen Sie fest, wovor sie schützt und wovor nicht.

Transportverschlüsselung schützt Daten auf dem Weg zwischen Endpunkten, wenn Protokolle und Endpunktauthentifizierung korrekt konfiguriert sind. Verschlüsselung ruhender Daten schützt gespeicherte Daten in bestimmten Bedrohungsszenarien. Keine von beiden verhindert automatisch, dass eine berechtigte Anwendung oder ein Administrator den Klartext sieht.

Prüfen Sie, wer die Schlüssel kontrolliert, wie der Zugriff darauf getrennt ist und wie Schlüssel erzeugt, rotiert, widerrufen, gesichert und wiederhergestellt werden. Vom Anbieter verwaltete Verschlüsselung kann für manche Risiken angemessen sein und andere unbeantwortet lassen. Eine Verschlüsselung, deren Schlüssel demselben kompromittierten Akteur zur Verfügung stehen, adressiert das bewertete Szenario womöglich nicht.

Die Entscheidung der Leitung betrifft nicht, welchen Algorithmus sie persönlich umsetzt. Sie betrifft, ob das Design das relevante Risiko adressiert und ob die technisch verantwortliche Person diese Schlussfolgerung belegen kann. Die Unterscheidungen auf Maßnahmenebene finden Sie unter Verschlüsselung und Schlüsselverwaltung.

Resilienz muss nachgewiesen, nicht vorausgesetzt werden

Art. 32 betrifft die dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sowie die Fähigkeit, die Verfügbarkeit und den Zugang nach einem Zwischenfall rasch wiederherzustellen. Ein erfolgreicher Backup-Job belegt nicht, dass das Unternehmen einen nutzbaren Dienst wiederherstellen kann.

Legen Sie Wiederherstellungserwartungen anhand der Verarbeitung und der Folgen einer Unterbrechung fest. Testen Sie die Wiederherstellung, Abhängigkeiten, Zugangsdaten und den Umgang mit personenbezogenen Daten in wiederhergestellten Umgebungen. Bewahren Sie Nachweise darüber auf, was wiederhergestellt wurde, wie lange es gedauert hat, was fehlgeschlagen ist und was korrigiert wurde. Aufbewahrungs- und Löschregeln müssen auch das Verhalten von Backups berücksichtigen.

Wirksamkeit mit relevanten Nachweisen testen

Art. 32 sieht ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Maßnahmen vor. Die geeignete Methode hängt von der Maßnahme ab: Zugriffsüberprüfungen, Wiederherstellungsübungen, Konfigurationsprüfungen, Schwachstellenbewertungen, Lieferantenprüfungen und Vorfallübungen können alle dazu beitragen.

Ein Penetrationstest kann nützlich sein, ist aber weder ein universeller Ersatz für diese Tätigkeiten noch eine pauschale DSGVO-Anforderung. Dokumentieren Sie den getesteten Umfang und die Grenzen. Ein Test einer Anwendung belegt nicht, dass ein neu eingeführter Marketingexport, eine Lieferantenanbindung oder ein Wiederherstellungsprozess angemessen kontrolliert ist.

Halten Sie für jede wesentliche Schutzmaßnahme eine verantwortliche Person, eine Umsetzungsbeschreibung, relevante Nachweise, das Bewertungsdatum und den nächsten Prüfanlass fest. Das ist eine praktische Nachweisstruktur, keine vorgeschriebene Vorlage nach Art. 32.

Das ISMS wiederverwenden, ohne Sicherheits- und Datenschutzergebnisse zu vermischen

ISO/IEC 27001 betrifft ein Informationssicherheitsmanagementsystem mit festgelegtem Geltungsbereich. Seine Risikobeurteilung, Risikobehandlung, betrieblichen Prozesse, internen Audits und Managementbewertung können die Steuerung der DSGVO-Schutzmaßnahmen unterstützen.

Die Überschneidung ist wertvoll. Nachweise zur Zugriffsverwaltung, Lieferantenbewertungen, Vorfallübungen und Wiederherstellungstests müssen für den Datenschutz oft nicht neu erstellt werden. Ihre Relevanz muss jedoch gegen die Verarbeitungstätigkeit und den aktuellen Geltungsbereich geprüft werden.

Die Zertifizierung durch eine unabhängige Zertifizierungsstelle betrifft den angegebenen ISMS-Geltungsbereich. Sie erfasst nicht automatisch jedes Produkt, jede Einheit, jeden Lieferanten oder jede Verarbeitungstätigkeit. Die Erklärung zur Anwendbarkeit dokumentiert die Anwendbarkeit von Maßnahmen und Behandlungsentscheidungen; sie ist keine Erklärung, dass jede DSGVO-Pflicht erfüllt wurde.

ISO 27001 ist zudem selbst kein allgemeines gesetzliches Meldesystem für Verletzungen. Meldepflichten nach der DSGVO müssen gesondert bewertet werden. Umgekehrt belegt die Einhaltung der DSGVO nicht, dass eine Organisation alle für eine ISO 27001-Zertifizierung notwendigen Anforderungen umgesetzt hat.

Die DSGVO sieht in Art. 42 und 43 Zertifizierungsverfahren vor. Eine solche Zertifizierung mindert die Verantwortung des Verantwortlichen oder Auftragsverarbeiters nicht und ist weder einem ISO 27001-Zertifikat noch einer allgemeinen Erklärung der Rechtskonformität gleichwertig.

Die Managementfrage lautet daher: Wiederverwendung von Nachweisen mit getrennten Schlussfolgerungen. Was belegt dieses Element, für welche Systeme und welchen Zeitraum, und welche Datenschutzfragen bleiben unbeantwortet?

Leitung, Sicherheit und Datenschutz klar getrennte Verantwortlichkeiten geben

Ein tragfähiges Betriebsmodell braucht mehr als ein gemeinsames Compliance-Postfach. Fachlich Verantwortliche sollten ihre Verarbeitung beschreiben und begründen; die Informationssicherheit sollte relevante Schutzmaßnahmen bewerten und umsetzen; Datenschutzfachleute sollten zu rechtlichen Anforderungen, Betroffenenrechten, Datenschutzhinweisen und Folgenabschätzungen beraten. Die Leitung muss Ressourcen bereitstellen und wesentliche Entscheidungen im Rahmen des Rechts treffen.

Ein Datenschutzbeauftragter ist nicht automatisch für jedes Unternehmen vorgeschrieben. Art. 37 erfasst Behörden und öffentliche Stellen, vorbehaltlich der Ausnahme für Gerichte, sowie Organisationen, deren Kerntätigkeit die genannten Bedingungen einer umfangreichen Überwachung oder der Verarbeitung sensibler Daten erfüllt. Nationales Recht kann zusätzliche Anforderungen vorsehen; prüfen Sie daher die maßgeblichen Rechtsordnungen.

Wo ein Datenschutzbeauftragter benannt ist, hat er unabhängige Beratungs- und Überwachungsaufgaben, muss ordnungsgemäß und frühzeitig eingebunden werden und berichtet unmittelbar der höchsten Managementebene. Ihm sollte nicht vorgegeben werden, zu einem gewünschten Ergebnis zu kommen, und er sollte keine widersprüchlichen Aufgaben erhalten, mit denen er über Zwecke und Mittel der Verarbeitung entscheidet.

Machen Sie den Datenschutzbeauftragten nicht zugleich zum Verantwortlichen für jede Maßnahme, zum Freigebenden jedes Geschäftszwecks und zur Person, die genau diese Entscheidungen prüft. Das bündelt unvereinbare Aufgaben und kann bei den operativen Teams den Eindruck erwecken, die Verantwortung sei von ihnen weg verlagert worden.

Eine nützliche Freigabedokumentation benennt die vorschlagende verantwortliche Person, die fachliche Beratung, die berücksichtigten Nachweise, die entscheidende Person, Auflagen und offene Maßnahmen. Wählt die Leitung einen anderen rechtmäßigen Weg als den empfohlenen, dokumentieren Sie die Begründung. Die Leitung kann eine fehlende Rechtsgrundlage oder eine zwingende Vertragsbestimmung nicht dadurch in Compliance verwandeln, dass sie sie als „Risiko akzeptiert“ kennzeichnet.

Der Leitfaden zu den Verantwortlichkeiten von CISO und Datenschutzbeauftragtem erläutert die Abgrenzung der Zuständigkeiten ausführlicher. Für die Geschäftsführung lautet die zentrale Aufsichtsfrage, ob Meinungsverschiedenheiten jemanden erreichen, der die Verarbeitung ändern, die Schutzmaßnahme finanzieren oder das Vorhaben stoppen kann, und nicht nur jemanden, der ein Dokument freigibt.

Lieferanten nach Rolle, Vertrag und Umsetzung bewerten

Die Sicherheitsprüfung von Lieferanten und die DSGVO-Prüfung von Lieferanten überschneiden sich, sind aber nicht identisch. Klären Sie zuerst, ob der Lieferant Auftragsverarbeiter, eigenständiger Verantwortlicher oder gemeinsam Verantwortlicher ist oder für verschiedene Dienste unterschiedliche Rollen einnimmt.

Nach Art. 28 dürfen Verantwortliche nur Auftragsverarbeiter einsetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Auftragsverarbeitungen erfordern einen verbindlichen Vertrag oder ein anderes geeignetes Rechtsinstrument mit dem vorgeschriebenen Inhalt. Eine Vertraulichkeitsklausel allein erfüllt diese Anforderung nicht.

Zu den Anforderungen nach Art. 28 gehören:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung.
• Art der personenbezogenen Daten und Kategorien betroffener Personen.
• Pflichten und Rechte des Verantwortlichen.
• Verarbeitung nur auf dokumentierte Weisung, einschließlich der einschlägigen Bestimmungen zu Übermittlungen.
• Vertraulichkeit und Sicherheitsmaßnahmen nach Art. 32.
• Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter.
• Unterstützung bei Betroffenenanfragen und bei bestimmten Compliance-Pflichten.
• Rückgabe oder Löschung der Daten nach Ende der Leistungen, vorbehaltlich anwendbarer gesetzlicher Anforderungen.
• Informations- und Prüfregelungen zum Nachweis der Einhaltung.

Prüfen Sie neben dem Vertrag auch die tatsächlichen Leistungsbedingungen. Ein Lieferant könnte die Löschung zusagen und dennoch einige Protokolle für einen eigenen Zweck als Verantwortlicher aufbewahren. Ein Enterprise-Abonnement könnte die Nutzung zum Training ausschließen, ein Testkonto dagegen nicht. Ein Auftragsverarbeiter kann mehrere Unterauftragsverarbeiter mit unterschiedlichen Standorten und Supportregelungen einsetzen.

Die Genehmigung von Unterauftragsverarbeitern kann nach Art. 28 gesondert oder allgemein erfolgen. Bei einer allgemeinen schriftlichen Genehmigung muss der Auftragsverarbeiter den Verantwortlichen über beabsichtigte Hinzuziehungen oder Ersetzungen informieren und ihm die Möglichkeit zum Einspruch geben. Die betriebliche Frage lautet, wer diese Mitteilungen erhält und bewertet, bevor sie in einem unbeaufsichtigten Postfach untergehen.

Trennen Sie die Vertragsprüfung von der Bewertung der Übermittlung. Ein Vertrag nach Art. 28 schafft für sich genommen keinen Übermittlungsmechanismus nach Kapitel V. Ebenso begründet die Unterzeichnung eines Auftragsverarbeitungsvertrags nicht die Rechtsgrundlage für die Tätigkeit des Verantwortlichen.

Nicht verhandelbare Bedingungen als geschäftliche Entscheidung behandeln

Kleinere Kunden haben oft nur begrenzte Verhandlungsmacht. Das macht eine frühe Bewertung wichtiger, nicht entbehrlich. Dokumentieren Sie den Mangel, fragen Sie nach verfügbaren Alternativen und erwägen Sie, die Konfiguration zu ändern, Daten zu reduzieren, einen anderen Dienst zu wählen oder das Vorhaben nicht weiterzuverfolgen.

Bleibt eine zwingende Anforderung unerfüllt, kann eine Freigabe der Leitung dies nicht heilen. Geht es um die Wahl zwischen rechtmäßigen Optionen mit unterschiedlichen Restrisiken, kann die Leitung auf Grundlage dokumentierter Beratung entscheiden. Der Einkauf sollte diese Situationen unterscheiden, statt alle Bedenken unter einer einzigen Ausnahmekategorie zu sammeln.

Eine Lieferantenprüfung sollte mit einer Entscheidung, Auflagen, Verweisen auf Nachweise und Anlässen für eine erneute Prüfung enden, nicht nur mit einem ausgefüllten Fragebogen.

Die Bearbeitung von Betroffenenrechten vor der ersten schwierigen Anfrage gestalten

Art. 15 bis 22 gewähren Rechte wie Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Schutz bei bestimmten ausschließlich automatisierten Entscheidungen. Diese Rechte haben unterschiedliche Voraussetzungen und Ausnahmen; ein einziger Ablauf nach dem Muster „alles löschen“ wird ihnen nicht gerecht.

Nach Art. 12 müssen Organisationen unverzüglich und in der Regel innerhalb eines Monats nach Eingang eines Antrags antworten. Eine Verlängerung um bis zu zwei weitere Monate ist möglich, wenn dies unter Berücksichtigung der Komplexität und der Anzahl von Anträgen erforderlich ist, die betroffene Person muss jedoch innerhalb des ersten Monats unter Angabe der Gründe informiert werden. Anträge sind grundsätzlich unentgeltlich; ein Entgelt oder eine Weigerung ist auf die Voraussetzungen der Verordnung beschränkt, etwa offenkundig unbegründete oder exzessive Anträge, was der Verantwortliche nachweisen muss.

Bauen Sie einen operativen Ablauf auf, der über Support-, Personal-, Vertriebs- und Datenschutzkanäle hinweg funktioniert:

1. Eingang, geltend gemachte Rechte und Frist erfassen.
2. Den zuständigen Verantwortlichen und den Umfang bestätigen.
3. Die Identität verhältnismäßig prüfen, wo begründete Zweifel bestehen.
4. Daten auffinden und relevante Systeme, Empfänger und Auftragsverarbeiter ermitteln.
5. Anwendbare Voraussetzungen, Ausnahmen und Rechte anderer Personen bewerten.
6. Antwort oder Maßnahme vorbereiten und prüfen.
7. Sicher übermitteln und einen angemessenen Abschlussnachweis aufbewahren.

Verlangen Sie nicht routinemäßig Ausweisdokumente, wenn eine weniger eingriffsintensive Prüfung ausreichen würde. Geben Sie umgekehrt keine sensiblen Datensätze heraus, nur weil jemand eine E-Mail-Adresse kennt. Die Identitätsprüfung selbst verarbeitet personenbezogene Daten und erfordert ein verhältnismäßiges Vorgehen.

Eine Auskunft erfordert in der Regel mehr als eine Liste von Kategorien. Art. 15 umfasst eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, sowie ergänzende Informationen. Prüfen Sie Informationen über Dritte und deren Rechte vor der Offenlegung; behandeln Sie den Namen einer anderen Person nicht als Rechtfertigung, alles zurückzuhalten.

Die Löschung gilt nicht absolut. Gesetzliche Aufbewahrungspflichten und andere Ausnahmen nach Art. 17 können greifen. Ist eine Löschung erforderlich, klären Sie, wie sie verbundene Dienste und relevante Empfänger erreicht und wie verhindert wird, dass eine Backup-Wiederherstellung gelöschte Datensätze unbemerkt zurückbringt. Erläutern Sie rechtmäßige Einschränkungen zutreffend.

Automatisierung kann Fristen verfolgen und Suchen organisieren, aber jemand muss entscheiden, ob die Ergebnisse vollständig sind, ob Schwärzungen gerechtfertigt sind und ob eine Ausnahme greift. Eine schnell erzeugte Standardantwort nützt nichts, wenn ein System fehlt, das die angefragten Daten enthält.

Einen ausführlicheren Ablauf finden Sie unter Auskunftsanfragen. Die Leitung sollte regelmäßig eine repräsentative Anfrage vom Eingang bis zur sicheren Übermittlung testen, statt sich allein darauf zu verlassen, dass ein Verfahren veröffentlicht ist.

Mit der DSFA das Design hinterfragen, bevor Sie es freigeben

Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 ist vor einer Verarbeitung erforderlich, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Die Verordnung nennt bestimmte Fälle, darunter bestimmte erhebliche automatisierte Bewertungen, die umfangreiche Verarbeitung sensibler Daten und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Auch die einschlägigen Listen der Aufsichtsbehörden sind zu berücksichtigen.

Prüfen Sie geplante Tätigkeiten frühzeitig. Als praktische Empfehlung: Halten Sie die Begründung fest, wenn die Vorprüfung ergibt, dass keine DSFA erforderlich ist, vor allem in Grenzfällen. Eine kurze Dokumentation der Vorprüfung ermöglicht es, die Entscheidung erneut aufzugreifen, wenn sich Umfang, Technologie oder Zweck ändern.

Die vollständige DSFA sollte vier zusammenhängende Elemente behandeln:

• Eine systematische Beschreibung der geplanten Verarbeitung und ihrer Zwecke, gegebenenfalls einschließlich der berechtigten Interessen.
• Notwendigkeit und Verhältnismäßigkeit in Bezug auf diese Zwecke.
• Risiken für die Rechte und Freiheiten der betroffenen Personen.
• Geplante Abhilfemaßnahmen zur Bewältigung der Risiken und zum Nachweis der Einhaltung.

Beginnen und enden Sie nicht mit einer Liste von Sicherheitsbedrohungen. Fragen Sie zuerst, ob die geplanten Daten, die Häufigkeit, die Empfänger und der Entscheidungsprozess erforderlich sind. Ein weniger eingriffsintensives Design kann ein Risiko wirksamer beseitigen als eine zusätzliche technische Maßnahme.

Ein Projekt zur Produktivität von Beschäftigten könnte etwa vorschlagen, fortlaufend Bildschirmfotos zu erfassen. Verschlüsselung und eingeschränkter Zugriff könnten das Offenlegungsrisiko verringern, ließen aber ernste Fragen zur Verhältnismäßigkeit, zur Überwachung, zu den Erwartungen der Beschäftigten und zur Eignung weniger eingriffsintensiver Maßnahmen offen. Der Geschäftszweck muss geprüft werden, bevor das Sicherheitsdesign überhaupt sinnvoll sein kann.

Das Risiko für Menschen bewerten, nicht nur die Exposition des Unternehmens

Berücksichtigen Sie finanzielle Verluste, Diskriminierung, Identitätsmissbrauch, Verlust der Vertraulichkeit, Ausschluss von Leistungen und andere relevante Auswirkungen. Ein Szenario kann für das Unternehmen nur begrenzte finanzielle Folgen haben und für eine einzelne Person erhebliche.

Dokumentieren Sie geplante Abhilfemaßnahmen, Umsetzungsverantwortliche und die Bewertung des Restrisikos. Holen Sie den Rat des Datenschutzbeauftragten ein, sofern einer benannt ist. Prüfen Sie, ob Änderungen im Betrieb oder beim Risiko eine Aktualisierung der Folgenabschätzung erfordern.

Art. 36 verlangt eine vorherige Konsultation der Aufsichtsbehörde, wenn aus der DSFA hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern keine Maßnahmen zur Eindämmung getroffen werden. Kann die Organisation dieses hohe Risiko nicht ausreichend eindämmen, darf sie die erforderliche Konsultation nicht durch einen internen Status „akzeptiert“ ersetzen. Die Leitung kann die Tätigkeit umgestalten, verschieben oder aufgeben; sie kann nicht über die Rechte anderer verfügen, als handele es sich ausschließlich um ein geschäftliches Risiko.

Vorfallbehandlung mit den Meldeentscheidungen nach der DSGVO verbinden

Eine Verletzung des Schutzes personenbezogener Daten ist eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten oder zum unbefugten Zugang zu ihnen führt. Sie umfasst mehr als den Diebstahl einer Datenbank durch einen Angreifer. Ein fehlgeleiteter Anhang, ein verlorenes ungeschütztes Gerät oder ein Vorfall, der die Verfügbarkeit oder Integrität personenbezogener Daten beeinträchtigt, kann eine Bewertung erfordern.

Nach Art. 33 und 34 prüfen Verantwortliche zwei unterschiedliche Meldeschwellen:

Die 72-Stunden-Frist beginnt mit dem Bekanntwerden, nicht einfach mit dem Zeitstempel des ursprünglichen Vorfalls oder dem nächsten Werktag. Erfolgt die Meldung später, ist eine Begründung für die Verzögerung beizufügen. Informationen können schrittweise bereitgestellt werden, wenn nicht alles gleichzeitig ohne weitere unangemessene Verzögerung bereitgestellt werden kann.

Bereiten Sie die Eskalationskette im Voraus vor: Vorfallleitung, Datenschutzberatung, entscheidungsbefugte Person beim Verantwortlichen, technische Ermittler, Kommunikation und Ansprechpartner bei Lieferanten. Ermitteln Sie den Meldeweg der zuständigen Behörde vor einem Notfall. Ein Auftragsverarbeiter sollte nicht auf seine eigene abschließende Risikobewertung warten, bevor er den Verantwortlichen informiert.

Die Vorfalldokumentation sollte festhalten, was geschehen ist, welche Daten und Personen betroffen sind, welche Folgen wahrscheinlich sind, welche Eindämmungs- und Behebungsmaßnahmen getroffen wurden und welche Meldeentscheidungen gefallen sind. Art. 33 Abs. 5 verlangt die Dokumentation von Verletzungen des Schutzes personenbezogener Daten einschließlich der Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Halten Sie die Begründung für eine Nichtmeldung fest, damit die Entscheidung später nachvollziehbar ist.

Verschlüsselung kann die Risikobewertung und die Prüfung nach Art. 34 beeinflussen, allerdings nur, wenn ihr Schutz relevant und wirksam ist. „Der Dienst nutzt Verschlüsselung“ reicht nicht, wenn ein Angreifer über ein kompromittiertes Konto auf Klartext zugegriffen hat. Art. 34 enthält zudem weitere Ausnahmen, etwa nachfolgende Maßnahmen, durch die sichergestellt ist, dass das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht; prüfen Sie die tatsächlichen Voraussetzungen, statt eine pauschale Ausnahme anzuwenden.

Üben Sie ein Szenario mit Beteiligung eines Lieferanten und ein weiteres mit einer internen Offenlegung. Die Übung sollte neben der technischen Eindämmung auch die Sammlung von Nachweisen und die Entscheidungsbefugnis testen.

Internationale Übermittlungen gesondert bewerten

Die Anforderungen an Übermittlungen nach Kapitel V stehen neben den übrigen Vorgaben der DSGVO. Ein Übermittlungsmechanismus liefert keine Rechtsgrundlage nach Art. 6, und eine Rechtsgrundlage macht eine geeignete Übermittlungsregelung nicht entbehrlich.

Erfassen Sie die tatsächlichen Empfänger und Zugriffswege. Das Hosting in einem EU-Rechenzentrum ist relevant, belegt aber für sich genommen weder, dass keine Übermittlung in ein Drittland stattfindet, noch, dass alle Datenschutzpflichten erfüllt sind. Berücksichtigen Sie Supportzugriffe, Unterauftragsverarbeiter, administrative Zugriffe, Weiterübermittlungen und die beteiligten Parteien.

Der Übermittlungsrahmen der DSGVO umfasst Angemessenheitsbeschlüsse nach Art. 45, geeignete Garantien nach Art. 46 und begrenzte Ausnahmen nach Art. 49. Prüfen Sie den einschlägigen Mechanismus und seinen Anwendungsbereich zum Zeitpunkt der Entscheidung.

Stützen Sie sich auf eine Angemessenheitsregelung, die nur für teilnehmende Organisationen gilt, prüfen Sie den genauen Empfänger und die erfasste Tätigkeit. Eine Konzerngesellschaft oder ein ähnlicher Handelsname ist nicht zwangsläufig der erfasste Empfänger. Halten Sie Ergebnis und Datum der Prüfung fest.

Werden Standardvertragsklauseln verwendet, wählen Sie die Klauseln, die den tatsächlichen Rollen der Parteien entsprechen, und füllen Sie die einschlägigen Anhänge aus. Bewerten Sie Rechtslage und Praxis im Zielland und ob zusätzliche Maßnahmen nötig sind, damit der Schutz wirksam wird. Ein unterzeichneter Vertrag allein beantwortet nicht jede Frage zum Übermittlungsrisiko.

Eine praxistaugliche Übermittlungsakte sollte Datenexporteur und Datenimporteur, Daten und Zwecke, Standorte und Zugriffe, Weiterübermittlungen, den gewählten Mechanismus, die einschlägige Bewertung, technische oder organisatorische Maßnahmen und Prüfanlässe ausweisen. Dokumentation des Anbieters kann diese Arbeit unterstützen, doch die Frage, ob ein Anbieter „eine Bewertung hat“, ist nicht dasselbe wie die Auswertung ihrer relevanten Ergebnisse.

Die Leitung sollte wissen, welche Dienste von einem bestimmten Mechanismus abhängen und welche Änderungen eine Neubewertung erfordern würden. Das ermöglicht einen bewussten Notfallplan, ohne zu unterstellen, dass jeder Lieferant eine identische vertragliche Rückfallregelung braucht.

KI-Nutzung als Verarbeitung bewerten, nicht nur als neues Werkzeug

Eine KI-Anwendung kann neue Empfänger einführen, zusätzliche personenbezogene Informationen ableiten, Prompts speichern oder einen neuen Zweck ermöglichen. Diese Änderungen sind auch dann von Bedeutung, wenn die Anwendung die bestehende Anmeldung und Zugriffskontrolle der Organisation nutzt.

Bevor Sie personenbezogene Daten in einem KI-Dienst freigeben, klären Sie:

• Die genaue Aufgabe und ob personenbezogene Daten dafür erforderlich sind.
• Die Kategorien von Eingaben, Ausgaben und betroffenen Personen.
• Die Rolle des Anbieters für jede Nutzung, einschließlich etwaiger Zwecke für Training oder Verbesserung.
• Aufbewahrung, menschlichen Zugriff, Unterauftragsverarbeiter und Übermittlungsregelungen.
• Vertragliche Zusagen und relevante Konfigurationseinstellungen.
• Risiken in Bezug auf Richtigkeit, Offenlegung, Betroffenenrechte und Entscheidungsfindung.

Gehen Sie nicht davon aus, dass jeder Modellanbieter ausschließlich Auftragsverarbeiter ist. Seine Rolle hängt von der Verarbeitung ab, die er durchführt, und von den Zwecken, die er bestimmt. Ebenso macht ein Vertrag nach Art. 28 die geplante Übermittlung nicht automatisch rechtmäßig. Prüfen Sie Zweck, Rechtsgrundlage, Transparenz, Erforderlichkeit und alle übrigen anwendbaren Anforderungen.

Ist das Unternehmen selbst Auftragsverarbeiter, kann die Einführung eines KI-Anbieters ein Unterauftragsverhältnis begründen. Prüfen Sie die Weisungen der Kunden und das vereinbarte Genehmigungsverfahren, bevor Sie Kundendaten übermitteln. Eine neue Vertragsergänzung ist nicht in jedem Fall erforderlich, die Einhaltung der bestehenden vertraglichen und gesetzlichen Regelungen jedoch schon.

Art. 22 betrifft bestimmte ausschließlich auf automatisierter Verarbeitung beruhende Entscheidungen, die rechtliche Wirkung entfalten oder die Person in ähnlicher Weise erheblich beeinträchtigen. Eine nur formale menschliche Prüfung löst das Problem nicht, wenn die prüfende Person das Ergebnis nicht sinnvoll bewerten oder ändern kann. Entscheidungen zu Personalauswahl, Anspruchsberechtigung und Finanzen verdienen besondere Aufmerksamkeit.

Die KI-Verordnung und die DSGVO begründen unterschiedliche Pflichten. Eine Bewertung nach der KI-Verordnung ersetzt keine DSFA, und die Einhaltung der DSGVO belegt nicht die Einhaltung der KI-Verordnung. Nutzen Sie für die Geltungstermine die aktuelle Übersicht der Europäischen Kommission zur KI-Verordnung, statt einen veralteten Einführungszeitplan in ein aktuelles Projekt zu übernehmen.

In der internen Datenschutzarbeit kann KI Beschreibungen aus freigegebenen Quellen entwerfen, Dokumente vergleichen oder Fragen vorschlagen. Behandeln Sie ihre Ausgabe als Entwurf. Eine plausibel klingende Rechtsgrundlage, ein übersehener Empfänger oder eine falsche Angabe zur Aufbewahrung kann ein ausgefeiltes Dokument inhaltlich falsch machen.

Koordination automatisieren und die verantwortliche Prüfung bewahren

Wachsende Organisationen sammeln wiederkehrende Arbeit an: Aktualisierungen des Verarbeitungsverzeichnisses, Fristen für Betroffenenanfragen, Lieferantendokumente, Maßnahmen aus Bewertungen, ablaufende Nachweise und Prüfentscheidungen. Automatisierung kann Eingaben und Fristen ordnen. Sie sollte nicht den Unterschied zwischen dem Sammeln von Informationen und einer belastbaren Schlussfolgerung verwischen.

Beginnen Sie mit einem stabilen Prozess und klaren Zuständigkeiten. Wer eine unklare Übergabe automatisiert, verteilt die Unklarheit nur schneller. Legen Sie fest, was eine Aufgabe auslöst, wer sie erhält, welche Nachweise nötig sind, wer das Ergebnis prüft und was die Arbeit abschließt.

Bewahren Sie bei KI-gestützten Entwürfen die freigegebenen Quellen auf und kennzeichnen Sie Unsicherheiten. Lassen Sie nicht zu, dass eine generierte Zusammenfassung stillschweigend einen Lieferantenvertrag oder eine Bewertung ersetzt. Prüfende sollten gelieferte Fakten, abgeleitete Vorschläge und offene Fragen unterscheiden können.

Wenden Sie das Prinzip der minimalen Rechte auch auf den Arbeitsablauf selbst an. Akten zu Betroffenenanfragen, Vorfalldokumentationen und Bewertungen von Beschäftigten können sensible Informationen enthalten. Ein breiter Zugriff auf einen Compliance-Arbeitsbereich kann genau die Beschränkungen untergraben, die dokumentiert werden. Minimieren Sie personenbezogene Daten in Nachweisen und beschränken Sie Material, das tatsächlich eine Identifizierung erfordert.

Hilfreiche Kennzahlen für die Leitung sind überfällige Maßnahmen, fehlende Verantwortliche, Verzeichniseinträge, die nach einer wesentlichen Änderung auf Prüfung warten, und Maßnahmen mit veralteten oder unzureichenden Nachweisen. Reine Dokumentenzahlen sind weniger aussagekräftig. Messen Sie, ob Entscheidungen und Korrekturarbeiten abgeschlossen werden, nicht nur, ob mehr Text erzeugt wurde.

Praxisbeispiel: eine Marketingintegration, die Sicherheitsmaßnahmen wiederverwendet

Das folgende Beispiel dient der Veranschaulichung. Angenommen, ein wachsendes B2B-Softwareunternehmen verfügt über eine etablierte Kundendatenbank, ein ISMS für seinen Produktivdienst und eine geplante Kampagnenplattform. Das Marketing möchte Onboarding-Nachrichten versenden und später weitere Produkte bewerben. Die Plattform würde Kontaktdaten, Produktnutzungsereignisse und Freitextnotizen aus dem Support erhalten. Es wird weder ein reales Kundenergebnis noch eine Funktion von Secani unterstellt.

1. Die geplanten Zwecke trennen

Die ursprüngliche Anfrage lautet „Kundenbindung verbessern“. Die fachlich verantwortliche Person formuliert daraus konkrete Zwecke: notwendiges Onboarding für den Dienst, optionale Werbekommunikation und Analyse der Kampagnenleistung.

Der Datenschutzprüfer bewertet die Rechtsgrundlage für jeden Zweck, statt den Kundenvertrag auf alle drei anzuwenden. Für Werbekommunikation können zudem anwendbare nationale Vorschriften zur elektronischen Werbung greifen. Das Unternehmen geht nicht davon aus, dass eine Interessenabwägung nach der DSGVO allein diese gesonderten Anforderungen erledigt.

Das erste Arbeitsergebnis ist eine Entscheidung zu Zweck und Rechtsgrundlage, bei der offene Fragen zugewiesen sind. Das Marketing kann die erweiterte Nutzung nicht beginnen, nur weil die Integration eine technische Sicherheitsprüfung bestanden hat.

2. Den geplanten Datenfluss reduzieren

Supportnotizen sind für die Personalisierung bequem, für die freigegebene Onboarding-Nachricht aber nicht erforderlich. Sie können zudem Informationen enthalten, bei denen Kunden nicht erwartet haben, dass sie für Marketing umgewidmet werden. Das Design entfernt sie.

Die technisch verantwortliche Person beschränkt Produktereignisse auf diejenigen, die für den freigegebenen Ablauf benötigt werden, und schließt detaillierte Nutzerverläufe aus, wo aggregierte oder einfachere Ereignisdaten genügen. Das verringert die Exposition, bevor eine weitere Maßnahme hinzukommt.

Das Verarbeitungsverzeichnis beschreibt nun die tatsächlichen Felder, betroffenen Nutzer, den Empfänger, die Zwecke und den Ansatz zur Aufbewahrung. Die Datenschutzhinweise werden anhand der freigegebenen Tätigkeit geprüft, nicht anhand der ursprünglichen weit gefassten Anfrage.

3. Lieferanten- und Übermittlungsregelungen prüfen

Der Einkauf klärt die Rolle der Plattform beim Kampagnenversand und prüft, ob der Anbieter eigene Zwecke verfolgt. Das Team prüft den Vertrag nach Art. 28, die Regelungen zu Unterauftragsverarbeitern, die Löschbedingungen, Supportzugriffe und den anwendbaren Übermittlungsmechanismus.

Eine Hosting-Option in der EU wird als relevante Tatsache festgehalten, nicht als Abschluss der Übermittlungsprüfung behandelt. Fehlen erforderliche Informationen, bleibt die Aufgabe offen, und die Bedingung für den Start benennt, was geklärt werden muss.

4. Sicherheitsnachweise sorgfältig wiederverwenden

Die Integration kann die unternehmensweiten Identitätsmaßnahmen und einen bestehenden Prozess zur Zugriffsverwaltung nutzen. Nachweise zu diesen Maßnahmen werden verknüpft statt neu erstellt. Die neue Kampagnenplattform hat jedoch eigene Berechtigungen, Exporte und Aufbewahrungseinstellungen.

Die Sicherheitsverantwortlichen bewerten Kontoübernahmen, unbefugte Massenexporte, fehlerhafte Zuordnung von Ereignissen und den Verlust von Sperrvermerken. Das Team beschränkt den Zugriff, gibt die erforderlichen Integrationsberechtigungen frei, testet die Zuordnung mit geeigneten Testdaten und prüft, wie Datensätze gelöscht oder gesperrt werden.

Die bestehende Wiederherstellungsübung für den Produktivdienst belegt nicht, dass Kampagnenpräferenzen korrekt wiederhergestellt werden können. Die verantwortliche Person prüft das für diesen Ablauf relevante Wiederherstellungsverhalten gesondert.

5. Bewertung und Freigabe abschließen

Der Datenschutzprüfer führt die DSFA-Vorprüfung auf Basis der tatsächlichen Tätigkeit durch und dokumentiert die Begründung. Das Team prüft außerdem, wie Auskunfts-, Widerspruchs- und Löschanfragen die Plattform erreichen. Insbesondere darf ein Widerspruch gegen Werbung nicht durch die nächste Datenbanksynchronisation rückgängig gemacht werden.

Die Leitung prüft ein knappes Entscheidungspaket: freigegebene Zwecke, entfernte Daten, Schlussfolgerungen zu Lieferanten und Übermittlungen, Schutzmaßnahmen, offene Auflagen, die Bearbeitung von Betroffenenrechten und benannte Verantwortliche. Jede offene zwingende Anforderung blockiert die betroffene Verarbeitung, statt in eine akzeptierte geschäftliche Ausnahme umgewandelt zu werden.

6. Den nächsten Prüfanlass festhalten

Die Freigabe ist an die bewertete Konfiguration gebunden. Die Einführung eines verhaltensbasierten Scorings, das Hochladen von Supportnotizen, geänderte Trainingsbedingungen des Anbieters oder ein neuer Empfänger lösen eine Überprüfung aus. Das Team kann unveränderte Sicherheitsnachweise wiederverwenden und die neuen Datenschutzfragen neu bewerten.

Das ist die zentrale Unterscheidung: Gemeinsame Schutzmaßnahmen können gültig bleiben, während sich Zweck, Empfänger oder die Auswirkungen auf Menschen wesentlich ändern.

Den Ansatz mit einem fokussierten ersten Geltungsbereich umsetzen

Wählen Sie eine Verarbeitungstätigkeit mit sichtbarer fachlicher Verantwortung und überschaubaren Abhängigkeiten. Kundensupport, das Onboarding von Beschäftigten oder ein repräsentativer Produktablauf können Lücken aufdecken, ohne zuerst eine unternehmensweite Neugestaltung zu erfordern.

Als praktische Empfehlung: Beginnen Sie mit vier Arbeitsergebnissen:

• Eine abgestimmte Beschreibung der Verarbeitung und eine Rollenbewertung.
• Eine Liste der Datenschutzentscheidungen, einschließlich Rechtsgrundlage, Datenschutzhinweisen, Aufbewahrung, Betroffenenrechten und DSFA-Vorprüfung.
• Eine szenariobasierte Bewertung der Schutzmaßnahmen, verknüpft mit vorhandenen Sicherheitsnachweisen.
• Eine Freigabedokumentation mit Verantwortlichen, offenen Maßnahmen und Änderungsanlässen.

In Secani können Teams mit einem fokussierten Geltungsbereich beginnen, unterstützende Anwendungen, Systeme, Dienste und Anbieter modellieren und Nachweise mit Anforderungen, Maßnahmen und Entscheidungen verknüpfen. Fehlende Nachweise und offene Prüffragen können zu zugewiesenen Aufgaben werden. KI-gestützte Vorschläge bleiben Entwurfsarbeit, mit Rückverfolgbarkeit zur Quelle und ausdrücklicher menschlicher Freigabe. So erhalten Prüfende aus Sicherheit und Datenschutz einen gemeinsamen Nachweiskontext, während ihre unterschiedlichen Schlussfolgerungen sichtbar bleiben; Verarbeitungsverzeichnisse, die Erfüllung von Betroffenenrechten oder die rechtliche Analyse werden dadurch nicht ersetzt.

Erweitern Sie erst, nachdem der erste Ablauf erprobt wurde. Testen Sie einen Lieferantenwechsel, eine Betroffenenanfrage und ein relevantes Vorfallszenario daran. Wo das Team die verantwortliche Person nicht benennen, Nachweise nicht abrufen oder die Entscheidung nicht erklären kann, korrigieren Sie den Betriebsprozess, bevor Sie weitere Tätigkeiten hinzufügen.

Stellen Sie für die Managementbewertung drei Fragen: Entspricht das Verzeichnis der aktuellen Verarbeitung, adressieren die Schutzmaßnahmen die Folgen für Menschen, und wird eine wesentliche Änderung die Entscheidung zuverlässig wieder öffnen? Diese Fragen bieten einen praktischen nächsten Schritt, um Sicherheitsnachweise mit der Rechenschaftspflicht nach der DSGVO zu verbinden.

Fragen, die die Leitung ausdrücklich klären sollte

Kann eine Geschäftsführung eine DSGVO-Ausnahme genehmigen?

Die Leitung kann zwischen rechtmäßigen Optionen wählen und Ressourcen zur Risikobewältigung zuweisen. Sie kann weder auf gesetzliche Anforderungen verzichten noch eine Verarbeitung ohne einschlägige Rechtsgrundlage genehmigen noch eine erforderliche vorherige Konsultation durch eine interne Freigabe ersetzen.

Braucht jede Änderung einer Verarbeitung eine neue DSFA?

Nein. Bewerten Sie die Änderung anhand der Schwelle für ein hohes Risiko und überprüfen Sie bestehende Folgenabschätzungen, wenn sich der Betrieb oder das Risiko ändert. Eine dokumentierte Vorprüfungsentscheidung ist nützlicher, als automatisch eine vollständige DSFA zu erstellen oder anzunehmen, dass das alte Ergebnis immer gilt.

Was sollte bei begrenzten Ressourcen zuerst geprüft werden?

Priorisieren Sie Verarbeitungen mit potenziell schwerwiegenden Folgen für Menschen, ungeklärte Fragen zur Rechtmäßigkeit oder zu Verträgen sowie betriebliche Fristen wie bei Betroffenenanfragen und der Reaktion auf Datenschutzverletzungen. Nutzen Sie Nachweislücken als Orientierung für die Untersuchung, gehen Sie aber nicht davon aus, dass die Tätigkeit mit den meisten fehlenden Dokumenten zwangsläufig das größte Risiko birgt.

Welche Behörde setzt die DSGVO durch, und was können Verstöße kosten?

Ermitteln Sie die für die Verarbeitung zuständige Aufsichtsbehörde. Bei grenzüberschreitender Verarbeitung im Sinne der Verordnung richtet sich das Verfahren der federführenden Behörde in der Regel nach der Haupt- oder einzigen Niederlassung des Verantwortlichen oder Auftragsverarbeiters in der EU, wobei andere betroffene Behörden einbezogen werden. Ein Vertreter nach Art. 27 begründet keine Niederlassung in der EU und keinen Zugang zu diesem Verfahren.

Art. 83 sieht zwei Hauptstufen für Höchstbeträge von Geldbußen vor: bis zu 10 Millionen € oder 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres eines Unternehmens sowie bis zu 20 Millionen € oder 4 %, je nachdem, welcher Betrag in der jeweiligen Stufe höher ist. Die anwendbare Stufe hängt vom Verstoß ab; es handelt sich um Obergrenzen, nicht um automatische Sanktionen. Die Behörden berücksichtigen die Umstände und können zudem Abhilfemaßnahmen anordnen oder die Verarbeitung beschränken. Art. 82 regelt gesondert den Schadensersatz, wenn ein Verstoß einen materiellen oder immateriellen Schaden verursacht.