Datenschutz-Management

Die EU-Datenschutz-Grundverordnung (DSGVO) stellt seit 2018 hohe Anforderungen an den Umgang mit personenbezogenen Daten. Organisationen müssen nicht nur datenschutzkonform arbeiten, sondern dies auch nachweisbar dokumentieren. Genau hier setzt das Data Protection Management System (DPMS) der fuentis Suite 4 an: Es bietet eine strukturierte, softwaregestützte Lösung zur Verwaltung aller datenschutzrelevanten Prozesse.

Das DPMS-Modul ist integraler Bestandteil der fuentis Suite 4 (Codename Phoenix) und arbeitet nahtlos mit anderen Modulen wie ISMS, BCMS und dem Incident Management zusammen. Diese Integration ermöglicht eine ganzheitliche Governance-Strategie, bei der Datenschutz nicht isoliert, sondern im Kontext der gesamten Informationssicherheit betrachtet wird.

---

Kernkonzepte des DPMS

1. Verzeichnis von Verarbeitungstätigkeiten (VVT/RoPA)

Das Register of Processing Activities (RoPA) bildet das Herzstück des DPMS. Es dokumentiert gemäß Art. 30 DSGVO alle Verarbeitungstätigkeiten personenbezogener Daten in Ihrer Organisation.

Struktureller Aufbau:

• RoPA (Hauptebene): Repräsentiert das gesamte Verzeichnis einer Organisationseinheit
• Processing Activities (PAs): Einzelne Verarbeitungstätigkeiten innerhalb des RoPA
• Hierarchische Organisation: Jede Entity (Organisationseinheit) kann ihr eigenes RoPA führen

Dokumentierte Informationen pro Verarbeitungstätigkeit:

• Verarbeitungszwecke und Rechtsgrundlagen
• Kategorien betroffener Personen und Daten
• Empfängerkategorien (inkl. Drittlandsübermittlungen)
• Löschfristen und Aufbewahrungsdauer
• Verantwortliche Abteilungen und Ansprechpartner

2. Technische und Organisatorische Maßnahmen (TOMs)

TOMs sind essenzielle Sicherheitsvorkehrungen zum Schutz personenbezogener Daten. Das DPMS unterscheidet zwischen:

Ebenen der TOM-Anwendung:

• Globale TOMs: Auf RoPA-Ebene (gelten für alle untergeordneten Verarbeitungen)
• Spezifische TOMs: Auf einzelne Processing Activities bezogen

TOM-Kategorisierung nach Schutzzielen:

• Vertraulichkeit: Zugriffskontrolle, Verschlüsselung, Pseudonymisierung
• Integrität: Eingabekontrolle, Weitergabekontrolle, Datenträgervernichtung
• Verfügbarkeit: Backup-Konzepte, Notfallpläne, Wiederherstellungsverfahren
• Belastbarkeit: Penetrationstests, Monitoring, Incident Response

Praktische TOM-Bibliothek: Das DPMS bietet eine vordefinierte Bibliothek mit Best-Practice-TOMs basierend auf:

• Standard-Datenschutzmodell (SDM)
• General Data Protection Regulation (GDPR)

3. Partner- und Auftragsverarbeiterverwaltung

Vertragsmanagement umfasst:

• Auftragsverarbeiter (Data Processors): Externe Dienstleister, die im Auftrag Daten verarbeiten
• Gemeinsame Verantwortlichkeit (Joint Controllers): Partner mit geteilter Datenverantwortung
• Datenübermittlungen: Dokumentation von Drittlandsübermittlungen inkl. Garantien

Automatisierte Compliance-Prüfungen:

• Vertragslaufzeiten und Kündigungsfristen
• Aktualisierung von Standardvertragsklauseln (SCC)
• Überwachung von Angemessenheitsbeschlüssen

4. Datenschutzverletzungen (Data Breaches)

Integration mit Incident Management: Datenschutzverletzungen werden initial im Incident Management System (IMS) erfasst und bei Relevanz an das DPMS übergeben.

72-Stunden-Meldepflicht Management:

• Automatische Fristberechnung ab Kenntnisnahme
• Eskalationsmechanismen bei kritischen Vorfällen
• Vorlagen für Aufsichtsbehörden-Meldungen

Risikobewertung nach DSGVO-Kriterien:

• Art der betroffenen Daten (besondere Kategorien gem. Art. 9 DSGVO)
• Anzahl betroffener Personen
• Mögliche Folgen für Betroffene
• Ergriffene Abhilfemaßnahmen

---

Praktische Anwendung im DPMS

Arbeitsablauf: Von der Erfassung zur Compliance

1. Initiale Bestandsaufnahme:

- Anlegen der RoPA-Struktur pro Entity/Mandant
- Import bestehender Verarbeitungsverzeichnisse (Excel/CSV)
- Mapping zu Business-Prozessen aus dem Asset Management

2. Kontinuierliche Pflege:

- Regelmäßige Reviews durch Datenschutzbeauftragte
- Aktualisierung bei Prozessänderungen
- Versionierung und Änderungshistorie

3. Compliance-Nachweis:

- Generierung DSGVO-konformer Reports
- Audit-Trails für Prüfungen
- Dashboard-Visualisierungen für Management

Integration mit anderen fuentis-Modulen

ISMS-DPMS Synergie:

• TOMs aus dem ISMS können als Datenschutzmaßnahmen referenziert werden
• Gemeinsame Risikobetrachtung für Informationssicherheit und Datenschutz
• Einheitliche Kontrollen für ISO 27001 und DSGVO

BCMS-Integration:

• Wiederherstellungszeiten kritischer Datenverarbeitungen
• Notfallpläne für Datenschutzverletzungen
• Business Impact Analysis unter Datenschutzaspekten

Asset Management Verknüpfung:

• Automatische Zuordnung von IT-Systemen zu Verarbeitungstätigkeiten
• Hardware-Lifecycle und Datenlöschung
• Standortbezogene Datenschutzanforderungen

---

Best Practices für die DPMS-Nutzung

1. Strukturierte Herangehensweise

Praxis-Tipp: Schrittweise Implementierung

Beginnen Sie mit kritischen Verarbeitungen (HR, Kundendaten, Gesundheitsdaten) und erweitern Sie sukzessive. Nutzen Sie die Priorisierungsfunktion nach Risiko und Datenvolumen.

2. Automatisierung nutzen

Effizienzsteigerung durch:

• Vordefinierte Templates für Standardverarbeitungen
• Bulk-Import/Export-Funktionen
• Automatische Verlinkung gleichartiger TOMs
• KI-unterstützte Vorschläge für Rechtsgrundlagen

3. Kollaboration fördern

Multi-Stakeholder-Ansatz:

• Fachbereiche: Erfassen ihre Verarbeitungstätigkeiten
• IT-Abteilung: Dokumentiert technische TOMs
• Datenschutzbeauftragte: Überprüfen und genehmigen
• Management: Erhält aggregierte Compliance-Dashboards

4. Kontinuierliche Verbesserung

PDCA-Zyklus im Datenschutz:

• Plan: Datenschutz-Folgenabschätzungen durchführen
• Do: TOMs implementieren und dokumentieren
• Check: Regelmäßige Audits und Reviews
• Act: Maßnahmen anpassen und optimieren

---

Reporting und Dashboards

Operative Reports

Verfügbare Report-Typen:

1. Verarbeitungsverzeichnis (Art. 30 DSGVO-konform)
2. TOM-Übersicht nach Schutzziel und Status
3. Partner-Register mit Vertragsstatus
4. Data Breach Log für Aufsichtsbehörden
5. Audit-Trail für interne/externe Prüfungen

Kernaussagen auf einen Blick

1. Ganzheitlicher Ansatz: Das DPMS ist keine Insellösung, sondern tief in die fuentis Suite 4 integriert. Datenschutz wird im Kontext von Informationssicherheit (ISMS), Business Continuity (BCMS) und Incident Management betrachtet.

2. DSGVO-Compliance by Design: Alle Funktionen sind auf die Anforderungen der DSGVO und internationaler Datenschutzstandards ausgerichtet – von der Verarbeitungsdokumentation über TOM-Management bis zur Breach-Notification.

3. Skalierbarkeit: Ob kleine Organisation mit wenigen Verarbeitungen oder Konzern mit hunderten Gesellschaften – das DPMS passt sich durch seine Multi-Tenant-Architektur flexibel an.

4. Praxisorientierung: Vordefinierte Templates, Best-Practice-TOMs und automatisierte Workflows reduzieren den Implementierungsaufwand erheblich und ermöglichen schnelle Erfolge.

5. Zukunftssicherheit: Durch offene APIs, kontinuierliche Updates und die Integration neuer Compliance-Anforderungen bleibt das DPMS auch bei sich ändernden regulatorischen Rahmenbedingungen aktuell.

---

Glossar

DPMS: Data Protection Management System - Datenschutz-Managementsystem

RoPA: Register of Processing Activities - Verzeichnis von Verarbeitungstätigkeiten (VVT)

PA: Processing Activity - Einzelne Verarbeitungstätigkeit

TOM: Technische und Organisatorische Maßnahme - Sicherheitsvorkehrung zum Datenschutz

Data Breach: Datenschutzverletzung - Sicherheitsvorfall mit personenbezogenen Daten

DPO: Data Protection Officer - Datenschutzbeauftragte(r)

DPIA: Data Protection Impact Assessment - Datenschutz-Folgenabschätzung

Joint Controller: Gemeinsame Verantwortlichkeit - Geteilte Datenverantwortung

Processor: Auftragsverarbeiter - Externer Dienstleister

SDM: Standard-Datenschutzmodell - Deutsches Referenzmodell für Datenschutz

Multi-Tenancy: Mandantenfähigkeit - Datenisolation zwischen Organisationseinheiten