DSGVO-Zertifizierung: Schritt-für-Schritt-Anleitung

Die EU-Datenschutz-Grundverordnung ( DSGVO ) hat nicht nur den Datenschutz in Europa grundlegend verändert, sondern sich zu einem globalen Trendsetter entwickelt. Ihr Einfluss ist weltweit spürbar, hat ähnliche Gesetze inspiriert und die Standards für den Datenschutz überall angehoben.

Brasiliens Lei Geral de Proteção de Dados ( LGPD ) und Indiens geplanter Gesetzentwurf zum Schutz personenbezogener Daten weisen Parallelen zur DSGVO auf. Selbst in Ländern ohne direkte Entsprechungen hat die DSGVO Diskussionen über Datenrechte und Datenschutz angestoßen.

Für global agierende Unternehmen bildet die DSGVO-Zertifizierung oft eine solide Grundlage für die Erfüllung dieser neuen Standards. Sie entwickelt sich zu einem gemeinsamen Nenner im Bereich Datenschutz und setzt einen Maßstab, an dem sich andere messen lassen müssen.

Was ist die DSGVO?

Die DSGVO ist ein wegweisendes Datenschutzgesetz, das Unternehmen, die mit EU-Bürgern Geschäfte tätigen, zur Einhaltung verpflichtet. Dies bedeutet, dass die meisten globalen Unternehmen ihre Auswirkungen zu spüren bekommen haben.

Eine Umfrage von Thomson Reuters ergab, dass über 91 Prozent der Unternehmen die DSGVO kennen. Dennoch hatte mehr als die Hälfte von ihnen Schwierigkeiten bei der Einhaltung der Vorschriften, entweder aufgrund mangelnder Klarheit über die organisatorischen Maßnahmen oder aufgrund der Unfähigkeit, diese umzusetzen.

In diesem Blog möchten wir Ihnen helfen, die DSGVO-Konformität von Grund auf zu verstehen und Ihnen zeigen, wie Sie die Einhaltung dieser Datenschutzgesetze erreichen können.

Die Geschichte der DSGVO: Wie hat dieses wegweisende Gesetz die Datenschutzlandschaft verändert? 

Die DSGVO trat am 25. Mai 2018 in Kraft. Zuvor gab es eine zweijährige Übergangsfrist, in der Unternehmen ihre Richtlinien an die Bestimmungen anpassen konnten. Trotz dieser Frist hatten Unternehmen jedoch weiterhin Schwierigkeiten, die Standards zu erfüllen, da viele Unklarheiten bestanden.

Nach Ablauf der Schonfrist öffnete sich für Unternehmen die Büchse der Pandora in Bezug auf Compliance-Probleme; die Strafen und die damit verbundenen Risiken waren so hoch wie nie zuvor, und es gab keinen klaren Weg, die Anforderungen zu erfüllen.

Eine Umfrage von Reuters ergab, dass nach Inkrafttreten der DSGVO über 79 % der Unternehmen die regulatorischen Anforderungen nicht mehr erfüllten, verglichen mit 72 % zuvor. Dies galt insbesondere für die USA, wo 64 % der Unternehmen Verstöße meldeten. 

Was ist eine DSGVO-Zertifizierung?

Die GDPR-Zertifizierung beweist gegenüber EU-Regulierungsbehörden wie dem EDPB (Europäischer Datenschutzausschuss) und Kunden, dass Unternehmen GDPR-konform sind und die erforderlichen Datenschutzgrundsätze einhalten. 

Eine GDPR-Konformitätsbescheinigung kann von relevanten Akkreditierungsstellen wie EuroPrise, TRUSTe, ISO 27001 ISMS und Cyber ​​Essentials erhalten werden und wird schließlich auch vom Europäischen Datenschutzausschuss (EDPB) angeboten.

Machen Sie sich mit dem Aufwand vertraut, der mit einer GDPR-Zertifizierung für Ihr Unternehmen verbunden ist, und berechnen Sie den erforderlichen Arbeitsaufwand der verschiedenen Teams mithilfe unseres Compliance-Aufwandsrechners.

Grundprinzipien der DSGVO-Zertifizierung: Die Intention hinter dem Rahmenwerk

Die wichtigsten Grundsätze der DSGVO sind: 

• Rechtmäßigkeit, Fairness, Transparenz
• Zweckbegrenzung 
• Datenminimierung 
• Genauigkeit
• Speicherbeschränkung
• Integrität und Vertraulichkeit
• Verantwortlichkeit

Bedeutung der DSGVO: Schutz der Privatsphäre der Bürger vor großen Unternehmen

1. (DSGVO) Datenschutzgrundverordnung konform Ziel ist es, die Daten von EU-Bürgern zu schützen und neben der Durchsetzung des Rechts auf Privatsphäre auch Datenschutz zu gewährleisten.
2. Es verleiht dem Europäischen Datenschutzausschuss (EDPB) Befugnisse, um strenge Maßnahmen durchzusetzen. Ende für Unternehmen, die diese Vorschriften bei ihren Datenverarbeitungsvorgängen und Managementsystemen nicht einhalten.
3. Es verhindert Datenmissbrauch und Intransparenz, die den Technologiesektor, insbesondere Monopole, geplagt haben, welche über viel Lobbying-Macht verfügen, um rechtliche Verpflichtungen zu umgehen.
4. Die Einhaltung der DSGVO hilft Unternehmen auch dabei, sich zu schützen vor Datenverstöße oder Rechtsstreitigkeiten, die das Unternehmen Millionen von Euro kosten können.

Einige Beispiele, in denen die DSGVO zum Schutz der Rechte von EU-Bürgern herangezogen wurde, sind:

1. Amazon wurde mit einer Geldstrafe von 746 Millionen Euro belegt. von der luxemburgischen Datenschutzbehörde wegen ihrer intransparenten Datenerfassungspraktiken. 
2. WhatsApp ist mit einer Geldstrafe von 225 Millionen belegt von der irischen Datenschutzbehörde für Datenschutzverletzungen und Transparenz.

Sehen Sie sich dieses Video zu DSGVO-Bußgeldern und deren Auswirkungen auf Unternehmen an, um die Folgen der Nichteinhaltung von Zertifizierungskriterien zu verstehen.

Wie man eine DSGVO-Zertifizierung erhält (Schritt für Schritt)

Um die DSGVO-Zertifizierung zu erhalten, muss eine Organisation zunächst DSGVO-konforme Datenschutzrichtlinien implementieren , Datenschutz-Folgenabschätzungen (DSFA) durchführen und gegebenenfalls einen Datenschutzbeauftragten (DSB) benennen. Nach Erfüllung der Anforderungen kann sich die Organisation bei einer akkreditierten Zertifizierungsstelle oder einem anerkannten Programm wie Europrivacy bewerben und durchläuft dabei ein unabhängiges Audit zur Überprüfung ihrer Datenschutzmaßnahmen und -dokumentation. Erfolgreiche Bewerber erhalten ein offizielles DSGVO-Zertifikat oder -Siegel mit einer Gültigkeitsdauer von einem bestimmten Zeitraum. Hier finden Sie eine einfache Fünf-Schritte-Anleitung, die Ihnen hilft, die DSGVO-Zertifizierung erfolgreich durchzuführen.

Obwohl wir die meisten Schritte im Folgenden behandeln werden, um ein detaillierteres Verständnis dafür zu erlangen, was zur Umsetzung der DSGVO-Konformität erforderlich ist.

Schritt 1: Vorbereitung und Planung der DSGVO-Zertifizierung + Grundlagenarbeit

Erstellen Sie einen Aktionsplan unter Einbeziehung aller Beteiligten und legen Sie fest, welchen Verantwortungsbereich jeder Einzelne übernehmen soll. Stellen Sie sicher, dass alle Beteiligten dem Zeitplan für die Umsetzung zustimmen und sich zur Einhaltung der rechtlichen Vorgaben verpflichten.

Idealerweise sollten Sie die Verantwortlichen auch einbeziehen oder ihnen einen Einblick geben, wie Sie ihnen die Arbeit erleichtern können, indem Sie einen Berater oder eine Compliance-Automatisierungsplattform/GRC für die Einführung des Sicherheits-Compliance -Programms nutzen. Sobald alle Beteiligten einverstanden sind, präsentieren Sie zunächst eine Gap-Analyse Ihrer Compliance-Situation sowie die Erwartungen an die einzelnen Führungskräfte.

Schritt 2: Verstehen Sie, wie die Daten in Ihrem Unternehmen fließen. 

Da der Kern der DSGVO der Datenschutz ist, ist es unerlässlich, den Datenfluss zu verstehen, bevor man ein entsprechendes Audit durchführt. Stellen Sie sicher, dass Sie einen klaren Datenflusspfad erstellt haben, der alle erhobenen und verarbeiteten Daten, die Rechtsgrundlage für jede Verarbeitung und weitere relevante Informationen detailliert beschreibt.

Identifizieren Sie alle internen Unstimmigkeiten und Lücken, die Ihnen auffallen, und prüfen Sie aus Nutzersicht, ob Ihre Kommunikation zur Datenerhebung klar, transparent und in einfacher Sprache verfasst ist. Lesen Sie den Blog zu den Rechten betroffener Personen , um mehr über die rechtlichen Aspekte der Datenerhebung zu erfahren, und Artikel 30, um mehr über die Anforderungen der Meldepflichten für Verarbeitungstätigkeiten (ROPA) zu erfahren.

Schritt 3: Entwickeln Sie Richtlinien und Schulungen basierend auf Ihrem Datenfluss 

Sobald Sie einen klaren Überblick über Ihren Datenfluss haben, erstellen Sie interne Richtlinien, die Ihnen helfen, Ihre Daten zu schützen und den richtigen Zweck ihrer Verwendung zu verdeutlichen. Zu diesen Richtlinien gehören unter anderem eine Richtlinie zur Datenaufbewahrung, eine Einwilligungsrichtlinie und eine Richtlinie zur Datenübertragung. Im Folgenden sehen wir uns diese Richtlinien genauer an: 

Die Datenverarbeitung kann noch komplizierter werden, wenn externe Anbieter involviert sind. Wenn Sie einen Cloud-Anbieter für die Datenspeicherung nutzen, stellen Sie sicher, dass Sie mit diesem eine Datenverarbeitungsvereinbarung abschließen. Um zu verstehen, wie eine solche Vereinbarung aussehen sollte, können Sie sich unsere Vorlage für eine Datenverarbeitungsvereinbarung unten ansehen!

Schritt 4: Einen Datenschutzbeauftragten einstellen oder beauftragen und ihm die Verantwortung übertragen.

Sie sollten außerdem einen Datenschutzbeauftragten aus Ihrem Compliance-Team einstellen oder benennen, der als Ansprechpartner für alle Fragen rund um DSGVO-Prüfungen und -Compliance fungiert. Zu seinen Hauptaufgaben gehören die Überwachung der DSGVO-Konformität, die Kenntnis der Richtlinien des Europäischen Datenschutzausschusses (EDPB) zur Compliance, die Zuweisung von Verantwortlichkeiten und die Nachverfolgung des Status sowie die Kommunikation mit den EU-Behörden im Falle von Verstößen. 

Schritt 5: Automatisieren Sie den Auditprozess mit Compliance-Automatisierung.

Nachdem Sie nun die einzelnen Schritte der DSGVO-Zertifizierung kennen, wie können Sie sicherstellen, dass deren Umsetzung nicht Monate dauert? Die Beauftragung eines Beraters oder der Versuch, die Zertifizierung selbst durchzuführen, kann sich als aussichtslos erweisen, da Sie entweder zu sehr von externer Beratung abhängig sind oder völlig ohne Unterstützung dastehen.

Der beste Weg ist die Wahl eines autonomen GRC-Systems wie Sprinto, das Sie systematisch bei der Umsetzung der Vorschriften unterstützt und sicherstellt, dass Ihre Arbeit für zukünftige Zertifizierungen wiederverwendbar ist. Ohne Excel-Tabellen und Ad-hoc-Maßnahmen ermöglicht Ihnen Sprinto eine problemlose DSGVO-Konformität.

Um mehr darüber zu erfahren, wie Sprinto Ihnen helfen kann, sehen Sie sich das Video unten an!

Wie lange dauert es, die DSGVO-Zertifizierung zu erhalten?

Der Zeitrahmen für die Erlangung einer DSGVO-Zertifizierung kann je nach verschiedenen Faktoren erheblich variieren, wie z. B. der Größe und Komplexität der Organisation, dem aktuellen Stand der Datenschutzpraktiken und dem Grad der Vorbereitung.

1. Allgemeiner ZeitstrahlTypischerweise kann der Prozess zwischen 3 und 18 Monaten dauern. Bei kleineren Organisationen mit weniger Komplexität kann er eher 3 bis 6 Monate in Anspruch nehmen, während größere Organisationen mit komplexen Datenflüssen und mehreren Beteiligten bis zu 12 bis 18 Monate für die Durchführung des Prozesses benötigen können.
2. Vorbereitung und BereitschaftEin erheblicher Teil dieser Zeit wird für die anfängliche Vorbereitung aufgewendet, wie z. B. die Durchführung einer Gap-Analyse zur Ermittlung von Compliance-Lücken, die Umsetzung notwendiger technischer und organisatorischer Maßnahmen und die Schulung der Mitarbeiter. DSGVO-Anforderungen.
3. ZertifizierungsprozessSobald die Organisation vorbereitet ist, umfasst der Zertifizierungsprozess selbst eine gründliche Prüfung und ein Audit durch eine akkreditierte Zertifizierungsstelle, was je nach den Gegebenheiten mehrere Wochen bis einige Monate dauern kann. Geltungsbereich der DSGVO und Komplexität der Datenverarbeitungsaktivitäten. 

Wie viel kostet die Umsetzung der DSGVO?

Die Kosten für die Umsetzung der DSGVO können je nach verschiedenen Faktoren stark variieren, liegen aber typischerweise zwischen 20,500 und 102,500 US-Dollar.

Kostenkomponente	Geschätzter Bereich (USD)
Implementierungsgebühren	$10,000 - $ 25,000
Kosten überwachen	$5,000 - $ 30,000
ISO 27001 / ISO 27701 Zertifizierungen	3,500 – 10,000 $ (jeweils)
Beraterhonorare	$5,000 - $ 15,000
Sicherheitstools	$5,000 - $ 20,000
Sicherheitstraining	$500 - $ 20,500

Die endgültigen Kosten hängen von Faktoren wie der Größe und Komplexität Ihres Unternehmens, Ihren aktuellen Datenschutzpraktiken und dem Umfang der Nutzung personenbezogener Daten ab. (Hier finden Sie einen ausführlichen Artikel zu den Kosten der DSGVO-Konformität .)

Beginne deine Reise!

Wer kann eine DSGVO-Zertifizierung ausstellen?

DSGVO-Zertifizierungen dürfen nur von akkreditierten oder zugelassenen Zertifizierungsstellen ausgestellt werden, die gemäß dem EU-Datenschutzrahmen anerkannt sind. Diese Stellen sind befugt, die Einhaltung der DSGVO-Kriterien durch eine Organisation zu bewerten und offizielle Zertifizierungssiegel zu vergeben.

Das Europäische Datenschutzsiegel (EuroPriSe):

EuroPriSe verfügt über mehr als 15 Jahre Erfahrung im Bereich der Datenzertifizierung. Es handelt sich um eine von der EU-Kommission finanzierte Zertifizierung für IT-Produkte und IT-basierte Dienstleistungen. Ziel ist es, Unternehmen, die mit Daten von EU-Bürgern arbeiten, ein Gütesiegel zu verleihen. 

TRUSTe:

Die TRUSTe-Zertifizierung ist ein Gütesiegel für US-Unternehmen, die in Europa geschäftlich tätig sind oder Daten von EU-Bürgern verarbeiten. Sie vereint regulatorische Standards wie ISO 27001 , DSGVO und weitere, um Unternehmen die Einhaltung sowohl US-amerikanischer als auch europäischer Vorschriften zu erleichtern.

Wie kann Sprinto Ihnen bei der Automatisierung des GDPR-Zertifizierungsprozesses helfen?

Die Einhaltung der DSGVO ist für jedes Cloud-Unternehmen eine lohnende Investition – und keine Belastung –, da sie die Kundenbindung stärkt und das Kundenvertrauen erhöht. Ohne die richtigen Tools kann die Umsetzung jedoch mühsam sein. So gelingt die DSGVO-Konformität ganz einfach (mit Sprinto): 

1. Registrieren Sie sich bei Sprinto und fügen Sie GDPR und andere Frameworks hinzu, die Sie interessieren. 
2. Erhalten Sie eine detaillierte Einarbeitung und Unterstützung, um zu verstehen, wie die DSGVO für Ihr Unternehmen anwendbar ist und welche Logik hinter allen Kontrollen steckt. 
3. Verbinden Sie Sprinto über Integrationen mit Ihrem Technologie-Stack und lassen Sie es Ihre bestehende Konfiguration überprüfen. 
4. Sprinto wird aufzeigen, welche Lücken hinsichtlich der dem Kriterium zugeordneten Kontrollmaßnahmen bestehen. DSGVO-Grundsätze.
5. Fügen Sie relevante Eigentümer als Stakeholder hinzu und arbeiten Sie an der Schließung der Kontrolllücken; das Dashboard wird Ihren Fortschritt aufzeigen.
6. Sobald das Dashboard Ihre Konformität widerspiegelt, wird es an eine DSGVO-zugelassene Zertifizierungsstelle weitergeleitet, um Sie zertifizieren zu lassen. 
7. Stellen Sie die Konformität sicher und überwachen Sie Ihren Konformitätsstatus fortlaufend auf Ihrem Dashboard (so einfach ist das).

Häufig gestellte Fragen