Zum Hauptinhalt springen
Alle Maßnahmen

Maßnahme · ISO 27001

Datenschutz am Verarbeitungsprozess umsetzen

Eine tatsächliche Verarbeitung mit geltenden Pflichten, zuständigen Personen und wirksamem Schutz verbinden. Das vorhandene Verarbeitungsverzeichnis nutzen.

Verantwortlich: Verantwortliche Fachrolle mit Datenschutzkoordination und ITFachlich geprüft am

Vorhandene Unterlagen nutzen

Verwende das vorhandene Verarbeitungsverzeichnis, Pflichtenregister und die führenden Zugriffs-, Informationsschutz-, Lösch- und Vorfallabläufe. Falls ein Verzeichnis fehlt, nutze das Muster der Aufsicht passend zu deiner Rolle.

Was du konkret tun musst

  1. 1

    Verarbeitung und Rolle bestimmen

    Gehe den tatsächlichen Ablauf durch: Zweck, Daten, betroffene Personen, Empfänger, Dienstleister und Länder. Kläre eure Rolle und die geltenden Gesetze und Verträge. Ergänze den bestehenden Verarbeitungseintrag und prüfe Rechtsgrundlage, notwendige Daten und die Informationen für Betroffene.

  2. 2

    Verfahren und Schutz einrichten

    Ordne Zugriff, Speicherorte, Aufbewahrung, Löschung und angemessene technische sowie organisatorische Maßnahmen zu. Kläre Auftragsverarbeitung und internationale Übermittlungen, soweit betroffen. Verknüpfe die geltenden Regeln und die zuständigen Personen; unterweise die Personen, die danach arbeiten.

  3. 3

    Zusätzliche Datenschutzpflichten prüfen

    Prüfe, ob die Rechtslage eine Datenschutz-Folgenabschätzung oder einen Datenschutzbeauftragten verlangt. Ist eine Folgenabschätzung nötig, beschreibe Verarbeitung und Zweck vor dem Start. Begründe Erforderlichkeit und Verhältnismäßigkeit, bewerte die Risiken für betroffene Personen und lege Schutzmaßnahmen fest. Hole den Rat eines benannten Datenschutzbeauftragten ein. Bleibt ein hohes Risiko, konsultiere vor dem Start die zuständige Aufsicht.

  4. 4

    Rechteanfragen und Vorfälle bearbeiten

    Lege für Rechteanfragen einen erreichbaren Eingang und eine Zuständigkeit fest. Prüfe die Identität bei begründeten Zweifeln und bearbeite Anfragen innerhalb der einschlägigen Fristen. Datenschutzverletzungen gehen in den bestehenden Vorfallablauf einschließlich der rechtlichen Meldebewertung.

  5. 5

    Anwendung und Änderungen kontrollieren

    Vergleiche Verarbeitungseintrag, reale Daten und eingerichteten Schutz. Bearbeite Fehler im vorhandenen Vorgang und halte Entscheidung und Wirksamkeit nachvollziehbar fest. Prüfe bei Änderungen von Zweck, Daten, Empfängern oder Technik sowie in passenden regelmäßigen Intervallen erneut.

Praxisbeispiel

Beispiel aus dem Betrieb

Fiktives Beispiel: Ein Supportportal verarbeitet Kundennamen und Fehlerbeschreibungen. Der vorhandene Verarbeitungseintrag wird vor Einbindung eines neuen Dienstleisters überprüft.

Neuer Empfänger
FestlegungDie Fachrolle prüft Zweck, notwendige Daten, vertragliche Rolle, Speicherorte und erforderlichen Schutz, bevor die Übermittlung beginnt.
NachweisAktualisierter Verarbeitungseintrag mit begründeten Entscheidungen und Verweisen auf die gültigen Vereinbarungen.

Ergebnis festhalten

  • Aktueller Verarbeitungseintrag und begründete anwendbare Pflichten.
  • Tatsächlich eingerichtete Verfahren und Schutzmaßnahmen mit geprüften Ergebnissen.

Häufige Fehler bei der Umsetzung

Eine leere Vorlage als Datenschutzkonzept behandeln

Ein Verarbeitungsverzeichnis ordnet Informationen. Rechtmäßigkeit, Schutz, Rechtebearbeitung und notwendige Sonderprüfungen müssen am wirklichen Ablauf geklärt werden.

Bezug zur Anforderung

Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.

Controls und Standards ansehen
  • A.5.34 · Datenschutz und Schutz personenbezogener Daten

    Die Maßnahme verbindet einschlägige Datenschutzgesetze und Verträge, Zuständigkeit, Kommunikation, konkrete Schutzmaßnahmen und Verfahren am tatsächlichen Verarbeitungsvorgang. Rechtliche Einzelfallentscheidungen sind organisationsbezogen.

Vorlagen für die Umsetzung

Quellen und weiterführende Informationen