Was enthalten ist
Der Balken für das Verarbeitungsverzeichnis ist das Tor für fast alles danach, und die beiden Übungszeilen gibt es, weil ein Prozess, den niemand durchlaufen hat, kein Prozess ist:
- Programmaufsatz und Abgrenzung — Verantwortliche Zuständigkeit, die Bestellung eines Datenschutzbeauftragten, wo Verordnung oder Bundesdatenschutzgesetz sie verlangen, die Einordnung je Tätigkeit als Verantwortlicher oder Auftragsverarbeiter, welche Gesellschaften und Länder im Anwendungsbereich liegen, die Feststellung der federführenden Aufsichtsbehörde, eine Reifegradbewertung und das Steuerungsgremium. Meilenstein: Anwendungsbereich und Rollen geklärt.
- Verzeichnis von Verarbeitungstätigkeiten — das Fundament — Erhebungsworkshops mit jedem Fachbereich, ein Systeminventar, die Abbildung von Verarbeitungstätigkeiten und Datenflüssen, Kennzeichnung besonderer Kategorien personenbezogener Daten und Beschäftigtendaten sowie die Abnahme des Verzeichnisses durch die Personen, denen die Verarbeitung tatsächlich gehört. Meilenstein: Verarbeitungsverzeichnis als Basis festgeschrieben.
- Rechtsgrundlage, Löschkonzept und Übermittlungen — Alles daraus abgeleitet: eine Rechtsgrundlage je Tätigkeit, Abwägungen, wo Sie sich auf berechtigte Interessen stützen, die Sonderregeln für den Beschäftigtenkontext nach § 26 Bundesdatenschutzgesetz, Erteilung und Widerruf von Einwilligungen, Aufbewahrungs- und Löschregeln gegen die handels- und steuerrechtlichen Aufbewahrungspflichten, Abbildung der Drittlandtransfers samt Standardvertragsklauseln und Transfer-Folgenabschätzung sowie Datenschutzhinweise, die neu aus dem geschrieben werden, was Sie wirklich tun. Meilenstein: Rechtsgrundlagen und Löschkonzept freigegeben.
- Betroffenenrechte und Auskunftsfähigkeit — Ein Verfahren für Anfragen, Identitätsprüfung, ein Eingangskanal, Suche und Extraktion über die Systeme hinweg, geschulte Bearbeitende und ein zeitgemessener Trockenlauf einer vollständigen Auskunft von Anfang bis Ende. Meilenstein: Auskunftsprozess durchgängig getestet.
- Sicherheit und Meldebereitschaft — Überprüfung der technischen und organisatorischen Maßnahmen, Erkennung und Eskalation von Verletzungen, das Verfahren zur Bewertung und zur Entscheidung über die Meldung, das Verzeichnis der Verletzungen und eine Planübung gegen die Uhr. Meilenstein: Meldeprozess geübt.
- Folgenabschätzungen, Dienstleister und Dauerbetrieb — Prüfkriterien und Datenschutz-Folgenabschätzungen für risikoreiche Verarbeitung, Nachverhandlung der Auftragsverarbeitungsverträge, Betriebsvereinbarungen für Systeme, die der Mitbestimmung unterliegen, Schulungen und der Änderungsprozess, der das Verzeichnis aktuell hält, wenn das Programm kein Programm mehr ist. Meilenstein: verteidigungsfähiger Zustand erreicht.
So passen Sie sie an
- Teilen Sie die Erhebungs- und Verzeichniszeilen auf eine Zeile je Fachbereich oder Gesellschaft auf; eine einzelne Zeile verbirgt das größte Arbeitspaket im ganzen Plan.
- Sind Sie Auftragsverarbeiter und nicht Verantwortlicher, bauen Sie die Phasen zu Betroffenenrechten und Meldung um Ihre Pflicht zur Unterstützung und zur Benachrichtigung Ihrer Auftraggeber herum neu auf.
- Legen Sie eine Zeile je Übermittlungsroute an, wenn Sie Daten in Drittländer geben — Mechanismus und Prüfung unterscheiden sich je Route und Zielland.
- Verlängern Sie die Phase zu den Betroffenenrechten, wenn Ihre Daten in vielen Systemen liegen; die Extraktionswerkzeuge sind fast immer der lange Balken, nicht die rechtliche Prüfung.
- Ergänzen Sie Zeilen für laufende Verfahren mit der Aufsichtsbehörde, vorherige Konsultationen nach Artikel 36 oder offene Beschwerden — sie überholen den Plan.
- Setzen Sie eine eigene Zeile für die Verhandlung von Betriebsvereinbarungen zu mitbestimmungspflichtigen Systemen und legen Sie sie vor den jeweiligen Rollout. Verhandlungen mit dem Betriebsrat haben eine echte Dauer, die nicht Ihrem Projektplan folgt.
- Lassen Sie die letzte Phase über den Meilenstein hinauslaufen — das Verarbeitungsverzeichnis veraltet in dem Moment, in dem ein neues System oder ein neuer Dienstleister ankommt.
Hinweise zur Terminplanung
- Bauen Sie das Verzeichnis vor den Richtlinien. Richtlinien, die vor der Kenntnis der Verarbeitung geschrieben werden, beschreiben eine Organisation, die Sie nicht haben, und die erste Anfrage zeigt es.
- Messen Sie den Trockenlauf. Das nützliche Ergebnis einer Übungsanfrage ist, wie viele Tage sie gebraucht hat und wo sie hängen blieb, nicht ob Sie am Ende eine Datei erzeugt haben.
- Üben Sie die Meldeentscheidung, nicht nur die technische Reaktion. Das Schwierige ist die Risikobewertung und die Entscheidung, ob gemeldet werden muss, und diese Entscheidung sollten Menschen treffen, die sie schon einmal getroffen haben.
- Halten Sie fest, warum Sie nicht gemeldet haben. Bewerten Sie eine Verletzung als nicht meldepflichtig, sind die Begründung und ihre Dokumentation das, was die Entscheidung später trägt.
- Binden Sie den Betriebsrat früh ein, nicht am Ende. Ein fertig konfiguriertes System, das der Mitbestimmung unterliegt, ist eine schlechtere Verhandlungsposition als ein Konzept, und die Verzögerung trifft den Rollout, nicht die Rechtsabteilung.
- Klären Sie, welche Aufsichtsbehörde für Sie zuständig ist. In Deutschland sind die Aufsichtsbehörden je Land organisiert, und ihre Auslegungshinweise und Formulare unterscheiden sich — das ist eine Planungstatsache, kein Detail.
- Hängen Sie das Verzeichnis in den Änderungsprozess. Ein neuer Dienstleister, ein neues System oder eine neue Funktion soll das Verzeichnis routinemäßig aktualisieren, sonst bauen Sie es in zwei Jahren neu.
Verwandte Vorlagen
- Projektplan für die ISO-27001-Zertifizierung
- Zeitplan für SOC-2-Compliance
- Prüfungsplan der Internen Revision
- Projektplan für die Datenmigration
- Projektplan für das Veränderungsmanagement
- Alle Gantt-Diagramm-Vorlagen ansehen
Diese Vorlage ist auf Deutsch. Noch nicht übersetzte verwandte Seiten öffnen sich auf Englisch.
Häufige Fragen
Wie lange dauert ein DSGVO-Umsetzungsprogramm?
Die Vorlage läuft rund fünfzehn Monate bis zu einem verteidigungsfähigen Zustand. Das meiste davon ist die Arbeit am Verarbeitungsverzeichnis und an der Technik hinter Betroffenenanfragen, nicht juristisches Formulieren. Und es endet dort nicht: Das Verzeichnis muss gepflegt werden, Folgenabschätzungen wiederholen sich, Dienstleister und Systeme ändern sich weiter.
Welche Frist gilt für die Auskunft an eine betroffene Person?
Artikel 12 der Verordnung setzt die Frist auf einen Monat ab Eingang des Antrags. Sie kann um weitere zwei Monate verlängert werden, wenn dies unter Berücksichtigung der Komplexität und der Anzahl der Anträge erforderlich ist, und der Verantwortliche muss die betroffene Person innerhalb eines Monats nach Eingang über die Verlängerung und die Gründe unterrichten. Die praktischen Schwierigkeiten liegen darin, wann die Frist beginnt, wie die Identität geprüft wird und wie mit offenkundig unbegründeten oder exzessiven Anträgen umzugehen ist — lassen Sie Ihre konkrete Lage anwaltlich klären.
Was besagt die 72-Stunden-Meldefrist?
Artikel 33 verlangt, dass der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde meldet — es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Erfolgt die Meldung nicht binnen 72 Stunden, ist ihr eine Begründung für die Verzögerung beizufügen. Getrennt davon verlangt Artikel 34 die Benachrichtigung der betroffenen Personen, wenn die Verletzung voraussichtlich ein hohes Risiko für sie zur Folge hat. Ab wann etwas als bekannt gilt, ist eine Wertungsfrage — deshalb übt die Vorlage die Bewertung und nicht nur die technische Eindämmung.
Welche Aufsichtsbehörde ist in Deutschland zuständig?
Für nichtöffentliche Stellen ist grundsätzlich die Datenschutzaufsichtsbehörde des Landes zuständig, in dem die Niederlassung liegt; für Post- und Telekommunikationsunternehmen und für Bundesbehörden die Bundesbeauftragte oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit. Dass die Aufsicht in Deutschland föderal organisiert ist, ist selbst eine Planungstatsache: Mehrere Standorte in mehreren Ländern können mehrere Ansprechpartner mit unterschiedlichen Formularen und Auslegungshinweisen bedeuten, und bei grenzüberschreitender Verarbeitung tritt zusätzlich die Frage der federführenden Aufsichtsbehörde hinzu.
Wann braucht ein Unternehmen einen Datenschutzbeauftragten?
Die Verordnung verlangt ihn in bestimmten Fällen, etwa bei umfangreicher regelmäßiger Überwachung oder umfangreicher Verarbeitung besonderer Kategorien. Das Bundesdatenschutzgesetz geht darüber hinaus und verlangt ihn zusätzlich, wenn in der Regel eine bestimmte Zahl von Personen ständig mit automatisierter Verarbeitung beschäftigt ist, sowie in weiteren Fällen. Weil diese Schwelle mehrfach angepasst wurde, prüfen Sie die geltende Fassung, statt sich auf eine erinnerte Zahl zu verlassen — die Bestellung selbst ist schnell, der Aufbau der Position nicht.
Warum kommt das Verarbeitungsverzeichnis vor allem anderen?
Weil Rechtsgrundlage, Aufbewahrungsfristen, Übermittlungsmechanismen, Datenschutzhinweise und Folgenabschätzungen alle Aussagen über konkrete Verarbeitungstätigkeiten sind. Ohne eine Aufstellung dieser Tätigkeiten ist jede dieser Aussagen gegen eine Annahme geschrieben. Programme, die mit einer Richtliniensammlung beginnen, bauen sie nach der Erhebung meist neu.
Worin unterscheidet sich das von ISO 27001 oder SOC 2?
Die Datenschutz-Grundverordnung ist Recht und gilt unabhängig davon, ob Sie jemand zertifiziert. ISO 27001 ist eine akkreditierte Zertifizierung gegen eine Norm für Informationssicherheitsmanagement, und SOC 2 ist ein Prüfungsbericht nach dem Standard des amerikanischen Wirtschaftsprüferverbands AICPA — keines von beidem ist eine Feststellung rechtlicher Konformität. Die Sicherheitsmaßnahmen überschneiden sich stark, die Nachweise sind also wiederverwendbar, aber ein Zertifikat ist keine Verteidigung. Siehe den ISO-27001-Zertifizierungsplan und die SOC-2-Zeitplanvorlage, wenn Sie das parallel betreiben.
Ist die DSGVO-Vorlage kostenlos?
Ja. Kostenlose Downloads als Excel, PowerPoint und CSV sowie kostenloses Bearbeiten online, ohne Anmeldung und ohne Wasserzeichen. Diese Vorlage ist eine Planungshilfe und keine Rechtsberatung.