Lösungen · Datenschutz
Als Datenschutzbeauftragter oder Datenschutzkoordinator sollen Sie beraten und überwachen, und am Ende landet die Dokumentation doch bei Ihnen. Sightadel ordnet Verarbeitungsverzeichnis, Auftragsverarbeitung, technische Maßnahmen, Folgenabschätzungen und Datenpannen so, dass die Fachbereiche zuliefern und Sie den Stand jederzeit zeigen können.
Ausgangslage
Die DSGVO verlangt nicht nur, dass Daten rechtmäßig verarbeitet werden. Nach Art. 5 Abs. 2 muss der Verantwortliche die Einhaltung auch nachweisen können. In der Praxis bedeutet das: ein aktuelles Verzeichnis der Verarbeitungstätigkeiten, Verträge mit allen Auftragsverarbeitern, belegte technische und organisatorische Maßnahmen, dokumentierte Folgenabschätzungen und ein Register aller Datenpannen, auch der nicht gemeldeten.
Meist ist vieles davon vorhanden, nur nicht an einem Ort. Das Verzeichnis liegt als Tabelle auf einem Laufwerk, die Verträge im Einkauf, die technischen Maßnahmen beschreibt die IT in einem eigenen Dokument, und für das ISMS existiert eine zweite Fassung derselben Maßnahmen. Wenn die Aufsichtsbehörde anfragt oder ein Kunde einen Fragebogen schickt, beginnt die Suche.
Dazu kommt Ihre besondere Stellung. Als Datenschutzbeauftragter beraten und überwachen Sie, die Verantwortung für die Umsetzung liegt bei der Leitung und den Fachbereichen. Sightadel bildet genau das ab: Die Fachbereiche bearbeiten ihre Teile selbst, Sie prüfen und sehen, wo etwas fehlt. Als externer Datenschutzbeauftragter arbeiten Sie mit eigener Rolle im Konto Ihres Mandanten.
Warum jetzt
Nach einer Beschwerde oder einer Datenpanne fragt die Aufsicht nach Verzeichnis, Maßnahmen und Verträgen. Die Antwortfrist ist kurz. Wer den Stand geordnet vorliegen hat, antwortet in Tagen statt Wochen.
Ein falsch adressierter Versand, ein verlorenes Notebook, ein Angriff auf ein Postfach. Meldepflichtige Verletzungen gehen grundsätzlich binnen 72 Stunden an die Aufsicht. Dafür müssen Bewertung, Zuständige und Meldeweg vorher feststehen.
Ein Fachbereich will ein Cloud-Werkzeug einführen. Bevor es in Betrieb geht, braucht es einen Eintrag im Verzeichnis, einen Vertrag zur Auftragsverarbeitung, eine Prüfung der Unterauftragnehmer und bei hohem Risiko eine Folgenabschätzung.
Beschäftigte nutzen Werkzeuge mit künstlicher Intelligenz, oft ohne Freigabe. Es stellen sich Fragen nach Rechtsgrundlage, Übermittlung in Drittländer und Folgenabschätzung. Eine geordnete Freigabe ersetzt den Wildwuchs.
Als Auftragsverarbeiter beantworten Sie laufend Fragebögen zu technischen Maßnahmen und Unterauftragnehmern. Ein gepflegter Stand und ein Trust Center beantworten die üblichen Fragen einmal für alle.
Das Unternehmen führt ein ISMS nach ISO 27001 ein oder fällt unter NIS2. Jetzt ist der Moment, die technischen Maßnahmen gemeinsam zu pflegen statt doppelt.
Relevante Frameworks
In eigenen Worten zusammengefasst, keine Rechtsberatung. Maßgeblich ist der Originaltext in der geltenden Fassung.
Gilt für jede Organisation, die personenbezogene Daten verarbeitet, ergänzt durch das Bundesdatenschutzgesetz. Kern der Dokumentation sind das Verzeichnis nach Art. 30, Verträge nach Art. 28, die Maßnahmen nach Art. 32, Folgenabschätzungen nach Art. 35 und die Dokumentation von Datenpannen nach Art. 33. Ein allgemeines DSGVO-Zertifikat gibt es nicht, die Aufsichtsbehörden prüfen.
Zum Framework →Die technischen und organisatorischen Maßnahmen nach Art. 32 lassen sich mit denselben Nachweisen belegen wie viele Controls aus Anhang A, etwa zu Zugriffssteuerung, Verschlüsselung, Datensicherung oder Lieferanten. Anhang A enthält außerdem eine eigene Maßnahme zum Schutz personenbezogener Daten. Rechtsgrundlagen und Betroffenenrechte haben in der Norm keine Entsprechung.
Zum Framework →Fällt Ihr Unternehmen unter das BSI-Gesetz, greifen Vorfallprozess, Zugriffskontrolle und Lieferantensteuerung für beide Regelwerke. Ein Sicherheitsvorfall kann zugleich eine Meldung an das BSI und an die Datenschutzaufsicht auslösen, mit unterschiedlichen Fristen und Empfängern.
Zum Framework →Wer KI-Systeme mit personenbezogenen Daten einsetzt, muss die Anforderungen beider Regelwerke betrachten. Folgenabschätzung, Transparenz gegenüber Betroffenen und die Bewertung von Anbietern lassen sich gemeinsam führen.
Zum Framework →Empfohlene Reihenfolge
Bestehende Verzeichnisse kommen per Excel-Import in Sightadel. Für jede Verarbeitung stehen Zweck, Rechtsgrundlage, Kategorien von Daten und Personen, Empfänger, Übermittlungen und Löschfristen fest. Die Fachbereiche ergänzen ihre Einträge, Sie prüfen.
Alle Dienstleister, die Daten im Auftrag verarbeiten, kommen mit Vertrag, Unterauftragnehmern und Nachweisen in die Anbieterliste. Fehlende oder veraltete Verträge werden zu Maßnahmen mit Frist.
Die Maßnahmen nach Art. 32 werden als Fragen beantwortet und mit Belegen verknüpft, etwa Berechtigungskonzept, Verschlüsselung, Backup-Test oder Schulungsnachweis. Gibt es ein ISMS, verknüpfen Sie die vorhandenen Nachweise, statt neue zu erstellen.
Leitfragen zeigen, wo eine Datenschutz-Folgenabschätzung nötig ist. Die Aufsichtsbehörden haben dazu Listen von Verarbeitungen veröffentlicht. Die Bewertung selbst führt der Verantwortliche unter Ihrer Beratung, Sightadel gibt Struktur und hält das Ergebnis fest.
Wer bewertet eine Datenpanne, wer meldet, wer benachrichtigt Betroffene? Wer beantwortet Auskunftsersuchen innerhalb der Frist? Zuständige, Vertretungen und Vorlagen werden hinterlegt und einmal durchgespielt.
Wiedervorlagen für Verzeichnis, Verträge und Maßnahmen. Nachweise tragen ein Ablaufdatum. Neue Verarbeitungen und Dienstleister kommen dazu, bevor sie in Betrieb gehen, nicht erst beim nächsten Audit.
Ihre Rolle
Die DSGVO weist dem Datenschutzbeauftragten Beratung und Überwachung zu. Die Pflichten selbst treffen den Verantwortlichen. Diese Trennung sollte sich auch in der Arbeitsweise zeigen.
Personal, Vertrieb und IT kennen ihre Verarbeitungen am besten. Mit der Rolle Contributor pflegen sie ihre Einträge im Verzeichnis und laden Belege hoch. Sie prüfen und geben frei.
Verarbeitungen ohne Löschfrist, Dienstleister ohne Vertrag, Maßnahmen ohne Beleg. Offene Punkte erscheinen als Probleme und Aktionspläne mit Verantwortlichem, nicht als Notiz in Ihrem Kalender.
Wenn Sie von einer Verarbeitung abraten oder eine Folgenabschätzung empfehlen, steht das mit Datum im Aktivitätsprotokoll. Entscheidet die Leitung anders, ist das ebenfalls nachvollziehbar.
Mit der Rolle Consultant extern arbeiten Sie im Konto des jeweiligen Mandanten. Jeder Mandant hat seinen eigenen, getrennten Stand, und das Protokoll vermerkt, dass der Zugriff von außen kam.
So hilft Sightadel
Die Pflichten der DSGVO sind als geführte Fragen aufbereitet, von den Grundsätzen über die Betroffenenrechte bis zur Meldepflicht. Zu jeder Frage gehören Erklärung, Antwort und Beleg. So sehen Sie auf einen Blick, wo die Dokumentation steht.
Mehr erfahren →Auftragsverarbeiter werden mit Land, Vertrag, Unterauftragnehmern und Nachweisen samt Gültigkeitsdatum geführt. Sie halten fest, welche Daten ein Anbieter verarbeitet. Daraus ergibt sich seine Risikobewertung, und fehlende Verträge fallen auf.
Mehr erfahren →Verträge, Konzepte, Schulungsnachweise und Folgenabschätzungen liegen mit Version und Ablaufdatum im Nachweis-Archiv. Ein Beleg zur Zugriffskontrolle dient zugleich den Maßnahmen nach Art. 32 und den passenden Controls aus ISO 27001.
Mehr erfahren →Vorlagen für Verarbeitungsverzeichnis, Datenschutzhinweise, Löschkonzept und Antworten auf Betroffenenanfragen, zugeschnitten auf Ihre Branche. Die KI hilft beim Formulieren. Die rechtliche Bewertung im Einzelfall bleibt bei Ihnen.
Mehr erfahren →Fehlende Verträge, offene Löschfristen oder Maßnahmen nach einer Datenpanne werden zu Aufgaben mit Verantwortlichem und Frist. Die Leitung sieht überfällige Punkte im Dashboard, ohne dass Sie sie einzeln melden müssen.
Mehr erfahren →Kunden finden Ihre technischen Maßnahmen, die Liste der Unterauftragnehmer und freigegebene Dokumente an einer Stelle. Das spart Ihnen als Auftragsverarbeiter viele Rückfragen.
Mehr erfahren →Aufwand und Dauer
Die Spannen sind Erfahrungswerte, keine Zusage. Den größten Einfluss hat, wie gut die Fachbereiche mitarbeiten und ob es bereits ein ISMS gibt, dessen Nachweise mitgenutzt werden können.
Was Sie lizenzieren · typisch Basic
Für den Datenschutz allein reicht meist die Edition Basic mit fünf Nutzern und zehn Lieferanten. Wer zugleich ein ISMS aufbaut, nimmt ISO 27001 hinzu und nutzt die Nachweise für beide. Ist ISO 27001 dabei, gibt es auf die DSGVO einen dauerhaften Nachlass. Bei vielen Auftragsverarbeitern passt die Edition Professional mit 25 Lieferanten besser.
Lizenz je Framework, Mindestlaufzeit ein Jahr, monatlich oder jährlich zahlbar. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite. Kosten einer Zertifizierungs- oder Prüfstelle kommen getrennt hinzu.
In Deutschland nach § 38 BDSG in der Regel, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig von der Zahl gilt die Pflicht etwa dann, wenn Verarbeitungen eine Folgenabschätzung erfordern, oder nach Art. 37 DSGVO bei bestimmten Kerntätigkeiten wie umfangreicher Verarbeitung von Gesundheitsdaten. Die Einordnung im Einzelfall klären Sie mit Ihrer Rechtsberatung.
Meldepflichtige Verletzungen gehen ohne unangemessene Verzögerung und möglichst binnen 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde. Keine Meldung ist nötig, wenn voraussichtlich kein Risiko für die Betroffenen besteht. Bei hohem Risiko werden auch die Betroffenen benachrichtigt. Dokumentiert wird jede Panne, auch ohne Meldung.
Grundsätzlich ein Monat ab Eingang. Bei komplexen oder zahlreichen Anfragen lässt sich die Frist um zwei weitere Monate verlängern, die betroffene Person muss darüber aber innerhalb des ersten Monats informiert werden. In Sightadel halten Sie Eingang, Bearbeitung und Antwort als Nachweis fest.
Die Maßnahmen nach Art. 32 DSGVO und viele Controls aus Anhang A behandeln dieselben Themen, etwa Zugriffe, Verschlüsselung, Datensicherung und Lieferanten. In Sightadel verknüpfen Sie einen Nachweis mit beiden. Eine Zahl für die Überschneidung nennen wir bewusst nicht, weil sie vom Geltungsbereich abhängt.
Ja. Jeder Mandant hat sein eigenes Konto und lädt Sie mit der Rolle Consultant extern ein. Die Stände bleiben getrennt, und im Aktivitätsprotokoll ist vermerkt, dass der Zugriff von außen kam.
Nein. Sightadel gibt Struktur, Vorlagen und einen belegbaren Stand. Fragen zu Rechtsgrundlagen, Interessenabwägungen oder Drittlandübermittlungen bewerten Sie selbst oder mit Ihrer Rechtsberatung. Für schwierige Fälle lässt sich Beratung als Paket in der App dazubuchen.
Ein allgemeines Zertifikat, das die Einhaltung der DSGVO bestätigt, gibt es nicht. Was Sie vorzeigen können, ist eine geordnete, belegte Dokumentation im Sinne der Rechenschaftspflicht. Sightadel zertifiziert nicht.
Sightadel wird in Deutschland entwickelt und betrieben. Mit jedem Kunden schließen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. In Sightadel liegt die Dokumentation Ihrer Maßnahmen, nicht die personenbezogenen Daten Ihrer Kunden oder Beschäftigten.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
