Leitfaden zur DSGVO-Audit-Checkliste

Die Datenschutz-Grundverordnung (DSGVO) zählt zu den strengsten Datenschutzgesetzen weltweit. Obwohl sie primär die Privatsphäre und Sicherheit von Personen in der Europäischen Union schützt, reicht ihr Geltungsbereich weit über die EU-Grenzen hinaus. Jede Organisation, die personenbezogene Daten von EU-Bürgern verarbeitet, muss die DSGVO einhalten, unabhängig von ihrem Sitz.

Wenn Sie die DSGVO-Konformität anstreben, führt Sie dieser Leitfaden durch die wichtigsten Bereiche, die Sie abdecken müssen. Die DSGVO schreibt zwar kein formelles Zertifizierungsaudit vor, dennoch müssen Unternehmen den Aufsichtsbehörden jederzeit die Einhaltung der Vorschriften nachweisen. Andernfalls drohen gemäß Artikel 83 der Verordnung Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Die zehn folgenden Bereiche veranschaulichen, wie der Nachweis der Einhaltung der DSGVO in der Praxis aussieht. Am Ende dieses Artikels finden Sie außerdem eine herunterladbare DSGVO-Audit-Checkliste (PDF), mit der Sie Ihre Fortschritte verfolgen können.

Anforderungen an die DSGVO-Prüfung

Hier ist die Liste der 10 Anforderungen an ein DSGVO-Audit:

Bereich 1: Regierungsführung

Sie müssen sicherstellen, dass die von Ihnen definierten Sicherheitsstandards und Organisationsrichtlinien während des gesamten Datenlebenszyklus einheitlich angewendet werden. Um eine kontinuierliche Daten-Governance zu gewährleisten, beachten Sie bitte die folgenden sechs Prinzipien:

1. Rechtmäßig, fair und transparent
2. Zweckbindung
3. Datenminimierung
4. Genaue Datenerfassung und -speicherung
5. Speicherbeschränkung
6. Integrität und Vertraulichkeit

Wenn Aufsichtsbehörden oder interne Compliance-Teams die Praktiken Ihres Unternehmens überprüfen, suchen sie nach Belegen dafür, dass Ihre Richtlinien und Sicherheitsstandards die Wahrung der Datenintegrität, -sicherheit und -vertraulichkeit im Einklang mit den Anforderungen der DSGVO gewährleisten.

Als Datenverantwortlicher müssen Sie neben Ihren Verarbeitungstätigkeitsverzeichnissen (RoPA) und Ihrer internen Compliance-Dokumentation eine genaue und aktuelle Datenübersicht führen. Diese Dokumente sind Ihre wichtigsten Instrumente, um die Rechenschaftspflicht gemäß DSGVO nachzuweisen.

2-Bereich: Risikomanagement

Als Organisation, die personenbezogene Daten verarbeitet, müssen Sie ständig das Risikoniveau, dem Ihre Organisation ausgesetzt ist, bewerten und Sicherheitsmaßnahmen ergreifen, um diesem Risikoniveau entgegenzuwirken und die Datensicherheit zu gewährleisten.

Regelmäßig ausführen Datenschutz-Folgenabschätzungen (DSFA). Ermitteln Sie anhand der Auswirkungen auf die Daten die resultierenden Auswirkungen auf das Risiko.

3-Bereich: Organisationsführung und Rechenschaftspflicht

Die Einhaltung der DSGVO ist eine unternehmensweite Aufgabe. Solange nicht jedes Teammitglied, angefangen bei der Führungsebene, daran beteiligt ist, werden Sie wahrscheinlich Schwierigkeiten haben, dies dauerhaft umzusetzen.

Führen Sie GDPR-Audits durch, um festzustellen, ob Ihre Organisation über ausreichend Personal verfügt, um eine solche Herausforderung zu bewältigen, und ob alle Beteiligten in der Organisation diese Aktivität gemäß der GDPR-Audit-Checkliste unterstützen. 

4-Bereich: DSB 

Ein Datenschutzbeauftragter (DSB) ist verantwortlich für die Überwachung der Einhaltung der DSGVO in Ihrem Unternehmen, die Beratung zu datenschutzrechtlichen Pflichten und die Funktion als Hauptansprechpartner für Aufsichtsbehörden. Die Rolle des DSB ist fortlaufend, nicht auf Prüfungszeiträume beschränkt und erfordert Unabhängigkeit von den von ihm überwachten Verarbeitungstätigkeiten.

Hier sind die drei Bedingungen, die bestimmen, ob die Ernennung eines dedizierten Datenschutzbeauftragten innerhalb einer Organisation obligatorisch ist.

• Sie verarbeiten große Mengen sensibler personenbezogener Daten/Daten mit Informationen zur Strafregistergeschichte
• Ihre Datenverarbeitung wird von einer öffentlichen Behörde durchgeführt.
• Sie sind verpflichtet, Ihre Datensubjekte in großen Mengen ständig zu überwachen.
  Wenn Ihre Organisation die Voraussetzungen für die Bestellung eines Datenschutzbeauftragten erfüllt, stellen Sie sicher, dass die Person, die diese Position besetzt, das Potenzial hat, die Anforderungen zu erfüllen. Anforderungen der DSGVO.

5-Bereich: Rollen und Verantwortlichkeiten

Bevor Sie mit der Umsetzung des DSGVO-Rahmenwerks beginnen, sollten Sie Rollen und Verantwortlichkeiten festlegen und zuweisen. Einige Aufgaben könnten die Datenverarbeitung, andere die technische Sicherheit und wieder andere interne Schulungen betreffen. 

Dies hilft Ihnen, Ihre internen Systeme und deren Rolle im Hinblick auf eine effektive Compliance-Strategie kontinuierlich zu überwachen. Darüber hinaus trägt es zu effektiven Schulungen, Einarbeitungs- und Abmeldeprozessen bei. 

6-Bereich: Geltungsbereich der Einhaltung

Definieren Sie den Umfang Ihrer Compliance. Als Organisation, die Nutzerdaten verarbeitet, ist es unerlässlich, Ihre Datenverarbeitungsaktivitäten hinsichtlich Zweck, Rechtsgrundlage, Datenkategorien, betroffenen Personen und Aufbewahrungsfristen zu definieren. Darüber hinaus empfiehlt es sich, Ihre Daten zu erfassen, interne und externe Datenbewegungen zu dokumentieren und Prozesse zur Sicherstellung der Datenintegrität bei gegebenenfalls erfolgter Datenübermittlung in Drittländer gemäß der DSGVO-Prüfcheckliste zu implementieren.

7-Bereich: Prozessanalyse

Artikel 30 der DSGVO Organisationen sind verpflichtet, transparente und genaue Aufzeichnungen ihrer Datenverarbeitungsaktivitäten in Form eines Verarbeitungstätigkeitsverzeichnisses (RoPA) zu führen. Dies ist keine einmalige Angelegenheit; es muss fortlaufend aktualisiert werden, um den sich ändernden Verarbeitungstätigkeiten Rechnung zu tragen.

Ihre technischen und organisatorischen Maßnahmen müssen nachweislich personenbezogene Daten in jeder Verarbeitungsphase schützen. Eine Compliance-Prüfung in diesem Bereich untersucht, inwieweit Ihre Maßnahmen mit den Kernprinzipien der DSGVO übereinstimmen, darunter Rechtmäßigkeit, Datenminimierung, Richtigkeit, Speicherbegrenzung und Integrität. Zu den wichtigsten zu klärenden Fragen gehören:

• Gibt es Belege für regelmäßige Überprüfungen der Verarbeitungsvorgänge und der damit verbundenen Risiken?
• Sind Ihre Verarbeitungstätigkeiten vollständig dokumentiert und auf dem neuesten Stand?
• Spiegelt Ihr Kontrollsystem den Zweck und die Rechtsgrundlage jeder Verarbeitungstätigkeit wider?
• Gibt es klare Verfahren für die Bearbeitung von Anfragen betroffener Personen?

8-Bereich: ZUM BEISPIEL

Die Verarbeitung von Nutzerdaten erfordert eine Menge Dokumentation, unter anderem in Form von Standardvertragsklauseln (SCCs), Datenschutz-Folgenabschätzungen (DSFA) und Vereinbarungen zur Datenverarbeitungsrichtlinie (RoPA). 

Je größer die Organisation, desto größer der Umfang der anfallenden Dokumentation.

Die Einführung eines PIMS ermöglicht es Ihnen, Ihre Dokumentationsprozesse zu optimieren und jederzeit bereit zu sein, Nachweise vorzulegen, wenn eine Aufsichtsbehörde, wie beispielsweise eine nationale Datenschutzbehörde (DSB) oder der Europäische Datenschutzausschuss (EDPB), dies verlangt.

ISO 27701 ist eine datenschutzbezogene Erweiterung von ISO 27001 und ISO 27002 und unterstützt Organisationen bei der Einrichtung und Aufrechterhaltung eines Datenschutzmanagementsystems (PIMS). Obwohl sie nicht in die DSGVO übernommen wurde, decken sich ihre Anforderungen weitgehend mit den Rechenschafts- und Datenschutzpflichten der DSGVO und sind daher ein praktischer Bezugspunkt für Organisationen, die einen strukturierten Ansatz für das Datenschutzmanagement anstreben.

9-Bereich: ISMS 

Um die Einhaltung der DSGVO nachzuweisen, müssen Organisationen darlegen, dass geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten in elektronischer Form getroffen wurden. Dies umfasst:

• Sichere Programmierpraktiken, die Datenschutz und Sicherheit von der Entwicklungsphase an integrieren
• Regelmäßige Penetrationstests zur Identifizierung und Behebung von Schwachstellen in Ihrer Sicherheitsarchitektur
• Verschlüsselung und Pseudonymisierung personenbezogener Daten, wo angebracht
• Zugriffskontrollen gewährleisten, dass nur autorisiertes Personal auf personenbezogene Daten zugreifen kann.
• Verfahren zur Erkennung und Reaktion auf Vorfälle
• Geschäftskontinuitäts- und Notfallwiederherstellungsplanung

Die DSGVO schreibt keine spezifischen Anforderungen an ein Informationssicherheitsmanagementsystem (ISMS) vor. Die Implementierung der in ISO 27001 beschriebenen Sicherheitskontrollen ist jedoch ein guter Ausgangspunkt, da beide Normen in Bereichen wie Risikomanagement, Zugriffskontrollen und Reaktion auf Sicherheitsvorfälle erhebliche Überschneidungen aufweisen. Es ist wichtig zu beachten, dass eine ISO-27001-Zertifizierung die Einhaltung der DSGVO unterstützt, aber nicht garantiert. Die DSGVO beinhaltet weitergehende Verpflichtungen hinsichtlich Rechtsgrundlage, individueller Rechte und Transparenz, die über die DSGVO hinausgehen. Was ISO 27001 umfasst.

10-Bereich: Rechte der betroffenen Personen

Jede durch die DSGVO geschützte Person hat Rechte. Als Organisation, die Nutzerdaten verarbeitet, müssen Sie Prozesse implementieren, die es Ihnen ermöglichen, jede Aktivität zu bearbeiten, wenn ein Nutzer seine Rechte ausübt. 

Die Rechte der betroffenen Personen gemäß der DSGVO sind:

• Das Recht auf Information
• Das Auskunftsrecht
• Das Recht auf Berichtigung
• Das Recht auf Löschung
• Das Recht auf Einschränkung der Verarbeitung
• Das Recht auf Datenübertragbarkeit
• Das Widerspruchsrecht
• Rechte in Bezug auf automatisierte Entscheidungsfindung und Profilerstellung

Checkliste für die Offenlegungsprüfung

Ihre Organisation muss klarstellen, welche Informationen sie aus Nutzerdaten gewinnen möchte und zu welchem ​​Zweck. Darüber hinaus sollten alle Informationen leicht zugänglich und übersichtlich bereitgestellt werden. DSGVO-Datenzuordnung Durch diese Vorgehensweise wird genau diese Klarheit auf der Ebene der Datenquelle geschaffen, indem jeder Fluss personenbezogener Daten in und aus der Organisation mit seinem Zweck, seiner Rechtsgrundlage, seiner Aufbewahrungsfrist und seinem Bestimmungsort dokumentiert wird, bevor etwaige Offenlegungspflichten erfüllt werden müssen.

Hier ist eine Liste der Dinge, die Sie auf Ihrer Checkliste für die Offenlegung benötigen:

Datenschutzbestimmungen

Beschreiben Sie detailliert Ihren Ansatz in Bezug auf Sicherheit und Datenschutz. Erläutern Sie, welche personenbezogenen und nicht-personenbezogenen Daten Sie erheben und wie Sie diese verwenden möchten.

Datenaufbewahrungsrichtlinie

Ihre Richtlinie zur Datenaufbewahrung sollte die geplante Speicherdauer von Nutzerdaten festlegen. Achten Sie darauf, die Aufbewahrungsfrist nicht zu überschreiten. Falls Sie die Daten länger aufbewahren, stellen Sie sicher, dass sie pseudonymisiert oder anonymisiert werden.

Datenübermittlungen an Drittländer

Wenn Sie Daten an Auftragsverarbeiter in Drittländern übermitteln, sprechen Sie über die vorgegebenen Bedingungen, die Sie erfüllen müssen, um für solche Übermittlungen in Frage zu kommen.

Datenschutzrichtlinie

Erläutern Sie alle Sicherheitsmaßnahmen, die Sie ergriffen haben, um die Datensicherheit gemäß der Checkliste für das DSGVO-Audit zu gewährleisten.

Kontaktinformationen

Geben Sie hier die offizielle Adresse Ihrer Organisation, die Kontaktdaten oder die Möglichkeit zur Kontaktaufnahme mit Ihrem Datenschutzbeauftragten an. Falls Sie keinen Datenschutzbeauftragten haben, geben Sie bitte die Kontaktdaten der Person an, die diese Funktion innehat.

Nutzungsbedingungen

Falls Ihre Organisation keine Benutzerdaten von Kindern erhebt, stellen Sie sicher, dass dieser Haftungsausschluss in einem Format präsentiert wird, das fett und gut sichtbar ist. 

Gemäß der DSGVO beträgt das Mindestalter für die digitale Einwilligung standardmäßig 16 Jahre. EU-Mitgliedstaaten können dieses Mindestalter jedoch in ihren nationalen Gesetzen auf 13 Jahre senken. Organisationen sollten daher die jeweils geltende Altersgrenze in jedem Mitgliedstaat, in dem sie tätig sind, prüfen und diese in ihren Nutzungsbedingungen korrekt wiedergeben. 

Zum Beispiel: „Diese Website steht nur Personen zur Verfügung, die die Mindestaltersvoraussetzung in ihrem Wohnsitzland erfüllen.“

Alternativ sollte eine Checkbox für die elterliche Zustimmung eingefügt werden.

Cookies und Zahlungen

Reden wir über all das Cookie-Einwilligung der DSGVO Sie nutzen diese Dienste und wie Zahlungen innerhalb des Unternehmens abgewickelt werden. 

Zum Beispiel, POS, E-Commerce usw.

Checkliste der Registrierungsseite

Achten Sie beim Design Ihrer Registrierungsseite auf ein übersichtliches und benutzerfreundliches Layout. Hier sind einige weitere Punkte, die Sie beachten sollten:

Beschreiben Sie detailliert, welche Daten Sie erfassen, und ermöglichen Sie es Nutzern, die gewünschten Marketingmaterialien auszuwählen. Erleichtern Sie die Einwilligung. Verwenden Sie dazu anstelle eines einzelnen Kontrollkästchens zur Einwilligung mehrere Kontrollkästchen, die jeweils einer bestimmten Funktion zugeordnet sind.

Fügen Sie einen Abschnitt hinzu, in dem Benutzer den Allgemeinen Geschäftsbedingungen Ihrer Organisation ausdrücklich zustimmen können.

Dokumenentliste

Hier finden Sie eine zusammengefasste Checkliste für die DSGVO-Prüfung mit allen Dokumenten, die Ihre Organisation benötigt:

• Datenschutzbestimmungen
• Datenaufbewahrungsrichtlinie
• Inventar der Verarbeitungstätigkeiten
• Richtlinie zur Reaktion auf Vorfälle
• Richtlinie zur Meldung von Datenschutzverletzungen (wird verwendet, wenn die DSGVO-Behörden über einen Vorfall informiert werden)
• Benachrichtigung der Nutzer über Datenschutzverletzungen

Checklisten zum Datenschutz

Die DSGVO schreibt zwar keine feste Liste von Sicherheitsmaßnahmen vor, Artikel 32 erfordert von den Organisationen die Umsetzung geeigneter technischer und organisatorischer Maßnahmen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten. 

Dies umfasst Maßnahmen wie Verschlüsselung, Pseudonymisierung, die Gewährleistung der fortlaufenden Vertraulichkeit und Ausfallsicherheit von Verarbeitungssystemen sowie die regelmäßige Prüfung und Bewertung der Wirksamkeit dieser Maßnahmen. Organisationen werden zudem dazu angehalten, die Grundsätze des Datenschutzes von Anfang an in ihre Systeme und Prozesse zu integrieren.

Warum sollten Sie Sprinto für Ihr DSGVO-Audit wählen?

Wenn Ihr Unternehmen mit der Umsetzung des DSGVO-Rahmenwerks beginnt oder die bestehende Struktur lückenhaft ergänzt, kann die DSGVO-Audit-Checkliste ein wichtiger erster Schritt sein. Die Implementierung aller Prinzipien, Artikel und technischen Anforderungen kann jedoch teuer und ineffizient werden, wenn sie nicht korrekt durchgeführt wird.

Sprinto ist eine autonome Vertrauensplattform, die Ihre DSGVO-Kontrollen kontinuierlich überwacht, Veränderungen in Ihrem Compliance-Status erkennt und Maßnahmen ergreift – Lücken schließt, Nachweise aktualisiert und Sie ohne operativen Aufwand jederzeit auditbereit hält. Von der automatisierten RoPA-Wartung und DPIA-Workflows bis hin zu integrierten Schulungsmodulen und Echtzeit-Kontrollüberwachung bietet Ihnen Sprinto eine einheitliche Sicht auf Ihr gesamtes DSGVO-Compliance-Programm. Sprechen Sie mit uns heute um den Geltungsbereich der DSGVO-Konformität Ihrer Organisation zu verstehen.

Häufig gestellte Fragen