ISO 27701 Prompt-Bibliothek für Datenschutzmanagement

Bestimmen Sie den ISO 27701-Geltungsbereich und unsere Rolle als PII-Verantwortlicher und/oder Auftragsverarbeiter:

Organisationsübersicht:
- Name und Branche: [Organisationsdetails]
- Verarbeitete personenbezogene Daten: [Kunden-PII, Mitarbeiterdaten, Kontaktdaten von Lieferanten, Gesundheitsdaten, Finanzdaten]
- Geografischer Geltungsbereich: [Länder/Regionen, in denen wir tätig sind und in denen sich betroffene Personen befinden]
- Anwendbare Datenschutzvorschriften: [DSGVO, CCPA, LGPD, PIPEDA, APPI usw.]

Rollenbestimmung:

PII-Verantwortlicher:
- Bestimmen wir Zwecke und Mittel der PII-Verarbeitung? [Ja/Nein]
- Beispiele: [Verarbeitung von Kundendaten für unsere Dienstleistungen, Mitarbeiter-HR-Daten, Marketingdatenbanken]
- Anwendbare ISO 27701-Kontrollen: Klauseln 6.2-6.16 (Anforderungen für Verantwortliche)

PII-Auftragsverarbeiter:
- Verarbeiten wir PII im Auftrag anderer gemäß deren Anweisungen? [Ja/Nein]
- Beispiele: [Bereitstellung von Cloud-Hosting, Datenanalysediensten, Lohnabrechnung für Kunden]
- Anwendbare ISO 27701-Kontrollen: Klauseln 7.2-7.5 (Anforderungen für Auftragsverarbeiter)

Doppelte Rolle:
- Viele Organisationen sind sowohl Verantwortliche (für ihre eigene Verarbeitung) als auch Auftragsverarbeiter (für Kundendaten)
- Dokumentieren Sie jede Verarbeitungstätigkeit und die Rolle für diese Tätigkeit

PIMS-Geltungsbereich:
- Abteilungen/Funktionen im Geltungsbereich: [HR, Marketing, Vertrieb, Kundensupport, IT, Produkt]
- PII-Verarbeitungstätigkeiten im Geltungsbereich: [Liste der wichtigsten Verarbeitungstätigkeiten]
- Systeme und Anwendungen: [CRM, HR-Systeme, Marketing-Automatisierung, Datenbanken, Cloud-Dienste]
- Ausschlüsse: [jegliche Verarbeitung außerhalb des Geltungsbereichs]

Erstellen Sie Verzeichnisse der Verarbeitungstätigkeiten (VVT) gemäß DSGVO Artikel 30, die jede Tätigkeit der Rolle als Verantwortlicher/Auftragsverarbeiter und den ISO 27701-Kontrollen zuordnen.

Integrieren Sie das Datenschutz-Managementsystem in das bestehende ISO 27001 ISMS:

ISO 27001 ISMS-Status:
- Zertifiziert: [Ja/Nein, Zertifizierungsstelle, Zertifizierungsdatum]
- Implementiert, aber nicht zertifiziert: [Reifegrad]
- Noch nicht implementiert: [ISO 27701 erfordert eine ISO 27001-Grundlage – implementieren Sie zuerst das ISMS]

PIMS-Integrationsansatz:

1. ISMS-Kontext (Klausel 4): Erweiterung um Datenschutz
- Stakeholder: Hinzufügen von betroffenen Personen, Datenschutzaufsichtsbehörden (DPA), Datenschutzbeauftragten (DSB)
- Rechtliche und regulatorische Anforderungen: Hinzufügen von DSGVO, CCPA und anderen Datenschutzgesetzen
- Geltungsbereich: Erweiterung um PII-Verarbeitungstätigkeiten

2. Führung (Klausel 5): Datenschutz-Governance
- Verpflichtung der obersten Leitung zum Datenschutz
- Datenschutzrichtlinie in die Informationssicherheitsrichtlinie integriert
- Rollen und Verantwortlichkeiten: Benennung eines DSB oder Datenschutzbeauftragten, Datenschutzverantwortliche
- Datenschutz im Risikomanagement und in den Zielen

3. Planung (Klausel 6): Datenschutz-Risikobewertung
- Identifizierung von Datenschutzrisiken (unbefugte Offenlegung, übermäßige Erhebung, fehlende Einwilligung, Verstöße gegen die Rechte betroffener Personen)
- Datenschutz-Folgenabschätzungen (PIA/DPIA) für risikoreiche Verarbeitungen
- Datenschutzziele und -metriken

4. Unterstützung (Klausel 7): Datenschutzbewusstsein und Kompetenz
- Datenschutzschulungen für alle Mitarbeiter, die mit PII umgehen
- Spezialisierte Schulungen für bestimmte Rollen (DSB, Entwickler, Marketing)
- Bewusstsein für Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen

5. Betrieb (Klausel 8): Implementierung von Datenschutzkontrollen
- Implementierung von ISO 27701 Anhang A (Kontrollen für Verantwortliche) und Anhang B (Kontrollen für Auftragsverarbeiter)
- Datenschutz durch Technikgestaltung in neuen Systemen und Prozessen
- Verfahren für die Rechte betroffener Personen (Zugang, Löschung, Portabilität, Widerspruch)
- Einwilligungsmanagement, Datenschutzhinweise
- Lieferantenmanagement für Auftragsverarbeiter

6. Leistungsbewertung (Klausel 9): Datenschutzüberwachung
- Datenschutzmetriken und KPIs (rechtzeitig bearbeitete Anträge auf Auskunft, Einwilligungsraten, Datenschutzvorfälle)
- Datenschutzaudits (intern, extern, DPA-Inspektionen)
- Managementbewertung einschließlich Datenschutzleistung

7. Verbesserung (Klausel 10): Management von Datenschutzvorfällen und Verbesserung
- Reaktion auf Verletzungen des Schutzes personenbezogener Daten und Meldung (72 Stunden an die DPA, unverzüglich an betroffene Personen)
- Korrekturmaßnahmen aus Datenschutzaudits und Vorfällen
- Kontinuierliche Datenschutzverbesserung

Erstellen Sie eine PIMS-Dokumentationsstruktur, die die bestehende ISMS-Dokumentation erweitert: Datenschutzrichtlinien-Ergänzung, datenschutzspezifische Verfahren, Zuordnung der Datenschutzkontrollen zu ISO 27701 Anhang A/B.

Entwickeln Sie Datenschutzhinweise und Transparenzmechanismen gemäß den Anforderungen für PII-Verantwortliche nach ISO 27701:

6.2 - Zweck identifizieren und dokumentieren:
- Für jede Verarbeitungstätigkeit dokumentieren: Zweck, Rechtsgrundlage, erhobene Daten, Aufbewahrungsfrist, Empfänger

6.3 - Rechtmäßige Grundlage identifizieren (DSGVO Artikel 6):
- Einwilligung: [wenn wir uns auf Einwilligung stützen]
- Vertrag: [Verarbeitung, die für die Vertragserfüllung notwendig ist]
- Rechtliche Verpflichtung: [Einhaltung von Gesetzen]
- Lebenswichtige Interessen: [lebensbedrohliche Situationen]
- Öffentliche Aufgabe: [Funktionen öffentlicher Behörden]
- Berechtigte Interessen: [Abwägungstest, Bewertung berechtigter Interessen]

6.4 - Einwilligung einholen und dokumentieren (falls zutreffend):
- Einwilligung muss sein: freiwillig, spezifisch, informiert, eindeutig, nachweisbar
- Einwilligungsmechanismen: [Kontrollkästchen, Opt-in-Formulare, Einwilligungsmanagement-Plattformen]
- Einwilligungsnachweise: wer, wann, was, wie, Widerrufsverfahren
- Einwilligung für besondere Kategorien von Daten (explizite Einwilligung für sensible Daten: Gesundheitsdaten, biometrische Daten usw.)
- Daten von Kindern: Elterliche Einwilligung für unter 13/16-Jährige (je nach Rechtsordnung)

Anforderungen an Datenschutzhinweise (Transparenz):
- Identität und Kontaktdaten des Verantwortlichen
- Kontaktdaten des Datenschutzbeauftragten (falls zutreffend)
- Zwecke und Rechtsgrundlage für jeden Zweck
- Kategorien der erhobenen PII
- Empfänger oder Kategorien von Empfängern (Dritte, Auftragsverarbeiter, internationale Übermittlungen)
- Aufbewahrungsfristen oder Kriterien
- Rechte der betroffenen Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Portabilität, Widerspruch, Widerruf der Einwilligung)
- Recht auf Beschwerde bei einer Aufsichtsbehörde
- Ob die Bereitstellung von PII eine vertragliche/gesetzliche Anforderung ist oder für einen Vertrag notwendig ist
- Automatisierte Entscheidungsfindung einschließlich Profiling (Logik, Bedeutung, Konsequenzen)
- Internationale Übermittlungen und Garantien (SCC, Angemessenheitsbeschlüsse, BCR)

Formate für Datenschutzhinweise:
- Gestaffelter Ansatz: Kurzer Hinweis (wichtige Punkte) + vollständige Datenschutzrichtlinie (vollständige Details)
- Kontextbezogene Hinweise: Situationsbezogene Datenschutzinformationen an Erhebungsstellen
- Zugängliche Formate: Einfache Sprache, Übersetzungen, barrierefrei für Menschen mit Behinderungen

Erstellen Sie Vorlagen für Datenschutzhinweise für:
- Website-Besucher und Kunden
- Mitarbeiter und Bewerber
- Lieferanten und Geschäftskontakte
- Besondere Kategorien (Kinder, betroffene Personen von Gesundheitsdaten usw.)

Zuordnung zu DSGVO Artikeln 13-14, CCPA-Offenlegungsanforderungen und anderen anwendbaren Datenschutzgesetzen.

Implementieren Sie Verfahren zur Erfüllung der Rechte betroffener Personen gemäß ISO 27701:

6.5 - Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen:
- Integration des Datenschutzes in den Systemdesign- und Entwicklungslebenszyklus
- Voreinstellungen: Nur notwendige PII erheben, Verarbeitung auf den Zweck beschränken, Zugriff einschränken, Aufbewahrung begrenzen
- Datenschutzfördernde Technologien: Verschlüsselung, Pseudonymisierung, Anonymisierung

6.6 bis 6.10 - Verfahren für die Rechte betroffener Personen:

Auskunftsrecht (DSGVO Artikel 15):
- Antragsmethode: [Online-Portal, E-Mail, schriftlicher Antrag]
- Identitätsprüfung (Verhinderung unbefugter Offenlegung)
- Antwortfrist: 1 Monat (verlängerbar um 2 Monate bei komplexen Fällen)
- Bereitzustellende Informationen: Kopie der PII, Verarbeitungszwecke, Kategorien, Empfänger, Aufbewahrung, Rechte, automatisierte Entscheidungen
- Format: Strukturiert, gängig, maschinenlesbar (z. B. JSON, CSV)

Recht auf Berichtigung (DSGVO Artikel 16):
- Verfahren zur Korrektur unrichtiger oder unvollständiger PII
- Benachrichtigung der Empfänger, wenn PII offengelegt wurde
- Frist: 1 Monat

Recht auf Löschung / Recht auf Vergessenwerden (DSGVO Artikel 17):
- Gründe für die Löschung: Nicht mehr erforderlich, Einwilligung widerrufen, Widerspruch, unrechtmäßige Verarbeitung, rechtliche Verpflichtung
- Ausnahmen: Rechtsansprüche, Meinungsfreiheit, rechtliche Verpflichtungen, öffentliches Interesse
- Technische Verfahren: Datenlöschung, Löschung von Backups (oder Kennzeichnung zur Löschung bei Wiederherstellung)
- Benachrichtigung der Empfänger und Suchmaschinen (falls öffentlich offengelegt)

Recht auf Einschränkung der Verarbeitung (DSGVO Artikel 18):
- Gründe: Richtigkeit bestritten, unrechtmäßige Verarbeitung, nicht mehr benötigt, aber betroffene Person benötigt sie für Rechtsansprüche, Widerspruch anhängig
- PII als eingeschränkt kennzeichnen, Verarbeitung auf Speicherung beschränken (außer mit Einwilligung oder für Rechtsansprüche)

Recht auf Datenübertragbarkeit (DSGVO Artikel 20):
- Geltungsbereich: Automatisierte Verarbeitung auf Grundlage von Einwilligung oder Vertrag
- Bereitstellung von PII in strukturiertem, maschinenlesbarem Format
- Direkte Übermittlung an einen anderen Verantwortlichen, sofern technisch machbar

Widerspruchsrecht (DSGVO Artikel 21):
- Gründe: Verarbeitung auf Grundlage berechtigter Interessen oder öffentlichen Interesses
- Verarbeitung einstellen, es sei denn, zwingende berechtigte Gründe überwiegen
- Direktmarketing: Absolutes Widerspruchsrecht, kein Abwägungstest
- Opt-out bei automatisierter Entscheidungsfindung

Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden (DSGVO Artikel 22):
- Verbot vollständig automatisierter Entscheidungen mit rechtlicher/erheblicher Wirkung (außer bei Einwilligung, Vertrag oder Gesetz)
- Mechanismus für menschliche Überprüfung automatisierter Entscheidungen
- Erläuterung der Logik, Bedeutung und Konsequenzen

Infrastruktur für die Rechte betroffener Personen:
- Antragseingang: [Webformular, E-Mail-Adresse, Telefonleitung]
- Antragsverfolgungssystem: [Ticketingsystem, DSAR-Plattform]
- Identitätsprüfungsprozess
- Antwortvorlagen nach Rechtetyp
- Eskalation für komplexe Anfragen
- Metriken: Antragsvolumen, Typ, Antwortzeit, Erfüllungsrate

Erstellen Sie DSAR-Verfahren, Antragsformulare, Antwortvorlagen und Schulungsmaterialien für Teams, die Anfragen bearbeiten.

Verwalten Sie den PII-Lebenszyklus gemäß den Anforderungen für PII-Verantwortliche nach ISO 27701:

6.11 - Erhebung begrenzen:
- Datenminimierung: Nur PII erheben, die für den angegebenen Zweck notwendig ist
- Zweckbindung: Nur für den ursprünglichen Zweck verarbeiten (oder einen kompatiblen Zweck)
- Bewertung der Erhebungsbegrenzung für jede Verarbeitungstätigkeit

6.12 - Richtigkeit und Qualität:
- Prozesse, um sicherzustellen, dass PII korrekt, vollständig und aktuell ist
- Regelmäßige Überprüfung und Validierung (z. B. jährliche E-Mail-Bestätigung, Überprüfung von Kundenprofilen)
- Berichtigung auf Anfrage oder bei Fehlererkennung
- Löschung oder Einschränkung unrichtiger Daten

6.13 - PII-Aufbewahrung und -Entsorgung:
- Aufbewahrungsplan: Festlegung der Aufbewahrungsfrist für jede PII-Kategorie und jeden Zweck
- Begründung der Aufbewahrung: Rechtliche Anforderungen, Geschäftsbedürfnisse, Einwilligungsdauer
- Automatisierte Löschung oder Anonymisierung am Ende der Aufbewahrungsfrist
- Sichere Entsorgungsmethoden: [Löschung, Überschreiben, Anonymisierung, Vernichtung]
- Backup-Aufbewahrung im Einklang mit der Aufbewahrungsrichtlinie

Beispiel für einen Aufbewahrungsplan:
- Kundendaten: Aufbewahrung während des aktiven Kontos + [X Jahre] für rechtliche/Garantieverpflichtungen
- Marketing-Einwilligungen: Bis zum Widerruf der Einwilligung oder [X Jahre] Inaktivität
- Mitarbeiterdaten: Dauer des Beschäftigungsverhältnisses + [X Jahre] für rechtliche Verpflichtungen (Steuer, Arbeitsrecht)
- Videoüberwachungsaufnahmen: [30 Tage], sofern keine Vorfalluntersuchung

6.14 - PII-De-Identifizierung, Pseudonymisierung, Anonymisierung:
- Pseudonymisierung: Ersetzen identifizierender Felder durch Pseudonyme, Beibehaltung der Möglichkeit zur Re-Identifizierung mit einem Schlüssel
- Anonymisierung: Irreversible De-Identifizierung, keine Möglichkeit zur Re-Identifizierung (fällt nicht in den Geltungsbereich der DSGVO)
- Anwendungsfälle: Analysen, Testumgebungen, Forschung, öffentliche Offenlegung
- Techniken: Hashing, Tokenisierung, Generalisierung, Datenmaskierung

6.15 - Verwaltung temporärer Dateien:
- Temporäre Dateien, Caches, Protokolle mit PII
- Aufbewahrungsgrenzen und Löschung für temporäre Dateien
- Sichere Löschung aus temporären Speichern

6.16 - Entsorgung:
- Sichere Entsorgung am Ende der Aufbewahrungsfrist oder auf Löschanfrage
- Methoden: Sichere Löschung, Entmagnetisierung, Schreddern, Überschreiben
- Überprüfung und Aufzeichnungen der Entsorgung
- Entsorgung von PII auf außer Betrieb genommenen Systemen und Medien

Erstellen Sie eine Datenaufbewahrungsrichtlinie, Entsorgungsverfahren und Entsorgungsaufzeichnungen für den Prüfpfad.

Implementieren Sie Kontrollen für PII-Auftragsverarbeiter gemäß ISO 27701:

7.2 - Verarbeitung gemäß den Anweisungen des Kunden (Verantwortlichen):
- Verarbeitung von PII nur auf dokumentierte Anweisungen des Kunden
- Anweisungen in Vertrag/Datenverarbeitungsvereinbarung (DPA) dokumentiert
- Kunden alarmieren, wenn Anweisung gegen Datenschutzgesetze verstößt (rechtliche Bewertung)
- Keine Verarbeitung für eigene Zwecke (außer bei rechtlicher Anforderung oder mit Einwilligung des Kunden)

7.3 - Sicherheit der PII-Verarbeitung:
- Implementierung von Sicherheitsmaßnahmen gemäß ISO 27001/27002
- Zusätzliche auftragsverarbeiterspezifische Sicherheit: Verschlüsselung, Pseudonymisierung, Zugriffskontrollen, Prüfprotokolle
- Sicherheitsverpflichtungen in Verträgen
- Kunden-Audit-Rechte und Informationsbereitstellung
- Unverzügliche Benachrichtigung des Kunden über Verletzungen des Schutzes personenbezogener Daten

7.4 - Einbindung von Unterauftragsverarbeitern:
- Einholung der Kundengenehmigung für Unterauftragsverarbeiter (spezifische oder allgemeine Genehmigung)
- Kundenbenachrichtigung und Widerspruchsmöglichkeit für neue Unterauftragsverarbeiter
- Auferlegung derselben Datenschutzverpflichtungen auf Unterauftragsverarbeiter (Weitergabeklauseln)
- Auftragsverarbeiter bleibt für die Einhaltung durch Unterauftragsverarbeiter verantwortlich
- Register und Management von Unterauftragsverarbeitern

7.5 - Unterstützung des Kunden (Verantwortlichen):
- Unterstützung des Kunden bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Löschung usw.)
- Unterstützung bei der Reaktion auf Sicherheitsvorfälle und Meldung von Verletzungen
- Unterstützung bei Datenschutz-Folgenabschätzungen (DPIA) für den Kunden
- Bereitstellung von Informationen für die Compliance-Aktivitäten des Kunden
- Rückgabe oder Löschung von PII am Vertragsende (nach Wahl des Kunden)
- Nachweis der Compliance durch Audits, Zertifizierungen, Bestätigungen

Auftragsverarbeiterspezifische Dokumentation:
- Vorlage für Datenverarbeitungsvereinbarung (DPA) mit DSGVO-konformen Klauseln
- Liste der Unterauftragsverarbeiter und Genehmigungsprozess
- Anweisungsregister (Protokoll der vom Kunden erhaltenen und ausgeführten Anweisungen)
- Verfahren zur Unterstützung bei DSAR (wie wir dem Kunden bei der Erfüllung von Anträgen betroffener Personen helfen)
- Verfahren zur Meldung von Verletzungen an Kunden
- Verfahren zur Rückgabe/Löschung von PII bei Vertragsbeendigung

Erstellen Sie einen Compliance-Rahmen für Auftragsverarbeiter: DPA-Vorlagen, Management von Unterauftragsverarbeitern, Verfahren zur Kundenunterstützung, Audit-Unterstützungsmaterialien.

Implementieren Sie konforme Mechanismen für internationale PII-Übermittlungen gemäß ISO 27701:

Unsere internationalen Datenübermittlungen:
- Übermittelte PII-Typen: [Kundendaten, Mitarbeiterdaten usw.]
- Übermittlungsländer von: [EWR, UK, USA usw.]
- Übermittlungsländer nach: [USA, Indien, Philippinen usw.]
- Übermittlungszwecke: [Cloud-Hosting, Support-Dienste, Entwicklung, Analysen]
- Übermittlungsmethoden: [Cloud-Speicher, APIs, E-Mail, Dateiübertragungen]

DSGVO Kapitel V Übermittlungsmechanismen:

1. Angemessenheitsbeschlüsse (DSGVO Artikel 45):
- Übermittlungen in Länder mit Angemessenheitsbeschluss sind uneingeschränkt: [UK, Schweiz, Japan, Kanada (kommerziell), Israel usw.]
- Übermittlungen in die USA: Data Privacy Framework (DPF) für zertifizierte US-Unternehmen
- Überprüfung, ob der Empfänger in einem angemessenen Land oder DPF-zertifiziert ist

2. Standardvertragsklauseln (SCC) (DSGVO Artikel 46):
- Von der EU-Kommission genehmigte SCCs (2021 SCCs für Verantwortliche/Auftragsverarbeiter)
- Ausführung des geeigneten SCC-Moduls: C2C (Verantwortlicher zu Verantwortlichem), C2P (Verantwortlicher zu Auftragsverarbeiter), P2P (Auftragsverarbeiter zu Auftragsverarbeiter), P2C (Auftragsverarbeiter zu Verantwortlichem)
- Transfer Impact Assessment (TIA): Bewertung der Gesetze des Ziellandes, Risiken des staatlichen Zugriffs, erforderliche zusätzliche Maßnahmen
- Zusätzliche Maßnahmen, wenn Landesgesetze die SCCs untergraben: Verschlüsselung, Pseudonymisierung, Datenminimierung, rechtliche Herausforderungen

3. Verbindliche interne Datenschutzvorschriften (BCR) (DSGVO Artikel 47):
- Interne verbindliche Richtlinien für multinationale Gruppen, die PII innerhalb der Gruppe übermitteln
- Erfordern die Genehmigung der Aufsichtsbehörde (langer Genehmigungsprozess)
- Alternative zu SCCs für große Organisationen mit häufigen gruppeninternen Übermittlungen

4. Ausnahmen für bestimmte Situationen (DSGVO Artikel 49):
- Ausdrückliche Einwilligung für gelegentliche Übermittlungen (nicht für systematische Übermittlungen)
- Vertragsnotwendigkeit, Rechtsansprüche, lebenswichtige Interessen, öffentliches Interesse
- Sparsam verwenden, nicht für regelmäßige Geschäftsübermittlungen

Implementierung:
- Inventarisierung aller internationalen Übermittlungen (Datenmapping)
- Klassifizierung nach Übermittlungsmechanismus (Angemessenheit, SCCs, Ausnahmen)
- Ausführung von SCCs mit allen Empfängern in Ländern ohne Angemessenheitsbeschluss
- Durchführung von Transfer Impact Assessments für risikoreiche Ziele
- Implementierung zusätzlicher Maßnahmen (Verschlüsselung während der Übertragung und im Ruhezustand, Zugriffskontrollen)
- Überwachung von Änderungen bei Angemessenheitsbeschlüssen und Gerichtsurteilen (Schrems II-Auswirkungen)

Erstellen Sie ein Register für internationale Übermittlungen, ein SCC-Repository, TIA-Dokumentation und einen Implementierungsplan für zusätzliche Maßnahmen.

Berücksichtigen Sie die Anforderungen des CCPA, LGPD, APPI und anderer Rechtsordnungen an grenzüberschreitende Übermittlungen, falls zutreffend.

Entwickeln Sie eine Reaktion auf Verletzungen des Schutzes personenbezogener Daten gemäß DSGVO Artikeln 33-34 und ISO 27701:

Definition einer Verletzung des Schutzes personenbezogener Daten (DSGVO):
- Verletzung der Sicherheit, die zur versehentlichen oder unrechtmäßigen Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu PII führt

Arten von Verletzungen:
- Vertraulichkeitsverletzung: Unbefugter Zugang oder Offenlegung
- Integritätsverletzung: Unbefugte Veränderung oder Datenbeschädigung
- Verfügbarkeitsverletzung: Verlust des Zugangs oder Datenzerstörung

Verfahren zur Reaktion auf Verletzungen:

1. Erkennung und erste Bewertung:
- Quellen zur Erkennung von Verletzungen: Sicherheitsüberwachung, Mitarbeiterberichte, Benachrichtigung durch Dritte, Beschwerden betroffener Personen
- Erste Triage: Handelt es sich um eine Verletzung des Schutzes personenbezogener Daten? Welche PII sind betroffen? Wie viele betroffene Personen?
- Eindämmung: Beendigung der laufenden Verletzung, Verhinderung weiterer Offenlegung

2. Bewertung der Verletzung und Entscheidung:
- Risiko für betroffene Personen: Wahrscheinlichkeit und Schwere des Schadens (Identitätsdiebstahl, finanzieller Verlust, Diskriminierung, Rufschädigung, körperlicher Schaden)
- Risikofaktoren: Sensibilität der Daten (besondere Kategorien von Daten = höheres Risiko), Umfang, Identifizierbarkeit, einfache Identifizierung, Konsequenzen für betroffene Personen, schutzbedürftige betroffene Personen (Kinder)
- Entscheidungsfindung zur Meldung:
  - Meldung an die Aufsichtsbehörde bei Risiko für Rechte und Freiheiten (DSGVO Artikel 33) → Innerhalb von 72 Stunden nach Kenntnisnahme
  - Meldung an betroffene Personen bei hohem Risiko (DSGVO Artikel 34) → Unverzüglich
  - Dokumentation der Entscheidung (auch wenn keine Meldung erfolgt, Begründung, warum nicht gemeldet wurde)

3. Meldung an die Aufsichtsbehörde (innerhalb von 72 Stunden) - DSGVO Artikel 33:
- Beschreibung der Verletzung: Art, Kategorien betroffener Personen und Datensätze, ungefähre Anzahl
- Ansprechpartner: DSB oder Kontaktperson
- Wahrscheinliche Konsequenzen der Verletzung
- Ergriffene oder vorgeschlagene Maßnahmen zur Behebung der Verletzung und Minderung des Schadens

Bei Meldung nach mehr als 72 Stunden: Gründe für die Verzögerung angeben. Phasenweise Meldung ist zulässig, wenn zunächst nicht alle Informationen verfügbar sind.

4. Meldung an betroffene Personen (bei hohem Risiko) - DSGVO Artikel 34:
- Klare und einfache Beschreibung der Verletzung
- Ansprechpartner für weitere Informationen
- Wahrscheinliche Konsequenzen
- Ergriffene oder vorgeschlagene Maßnahmen zur Schadensminderung

Ausnahmen von der Meldung an betroffene Personen:
- Angemessene technische/organisatorische Schutzmaßnahmen angewendet (z. B. Verschlüsselung, die Daten unlesbar macht)
- Nachträgliche Maßnahmen beseitigen das hohe Risiko
- Unverhältnismäßiger Aufwand (stattdessen öffentliche Mitteilung)

5. Untersuchung und Abhilfe:
- Ursachenanalyse (Wie ist die Verletzung entstanden?)
- Abhilfemaßnahmen (Behebung von Schwachstellen, Verbesserung der Kontrollen, Zugriffsrechte entziehen)
- Beweissicherung (Forensik, Protokolle)
- Rechtliche und regulatorische Überlegungen (andere Meldepflichten bei Verletzungen: staatliche Meldepflichten in den USA usw.)

6. Dokumentation:
- Verletzungsregister: Datum, Fakten, Auswirkungen, Abhilfemaßnahmen (DSGVO Artikel 33(5))
- Meldungsaufzeichnungen: Was wurde gemeldet, wann, an wen
- Interner Untersuchungsbericht
- Korrespondenz mit der Aufsichtsbehörde

7. Überprüfung nach der Verletzung:
- Lessons Learned
- Verbesserung der Kontrollen
- Aktualisierung von Richtlinien und Verfahren
- Schulungen basierend auf den Ursachen der Verletzung

Erstellen Sie einen Reaktionsplan für Verletzungen, Meldungsvorlagen (für Aufsichtsbehörde und betroffene Personen), ein Verletzungsregister und Schulungsmaterialien.

Integration mit dem ISO 27001-Vorfallsmanagement, Sicherstellung der Koordination zwischen Sicherheits- und Datenschutzteams.

Führen Sie Datenschutz-Folgenabschätzungen gemäß DSGVO Artikel 35 und ISO 27701 durch:

Auslöser für DPIA (wann erforderlich):
- Systematische und umfangreiche Profilbildung mit erheblichen Auswirkungen
- Verarbeitung besonderer Kategorien von Daten (Gesundheitsdaten, biometrische Daten usw.) oder strafrechtlicher Verurteilungen in großem Umfang
- Systematische Überwachung öffentlich zugänglicher Bereiche in großem Umfang (z. B. Videoüberwachung)
- Neue Technologien mit hohem Datenschutzrisiko
- Verarbeitung verhindert, dass betroffene Personen Rechte ausüben oder Dienstleistungen nutzen
- Kombination mehrerer Kriterien nach DSGVO Artikel 35(3)

DPIA nicht erforderlich, aber empfohlen für:
- Jede neue Verarbeitung mit Datenschutzrisiko
- Wesentliche Änderungen an bestehender Verarbeitung

DPIA-Prozess:

1. Geltungsbereich und Beschreibung der Verarbeitung:
- Beschreibung der Verarbeitungstätigkeit (systematisch, Zweck, Kontext, Art, Umfang, Volumen)
- Datenflüsse und Lebenszyklus (Erhebung, Nutzung, Speicherung, Weitergabe, Aufbewahrung, Löschung)
- Kategorien von PII und betroffenen Personen
- Beteiligte Technologien und Systeme
- Auftragsverarbeiter und Dritte
- Grenzüberschreitende Übermittlungen

2. Bewertung der Notwendigkeit und Verhältnismäßigkeit:
- Ist die Verarbeitung für den Zweck notwendig? (Datenminimierung)
- Ist der Zweck legitim und spezifisch?
- Gibt es weniger eingreifende Alternativen?
- Verhältnismäßigkeit: Nutzen vs. Datenschutzauswirkungen

3. Risikoidentifizierung:
- Risiken für betroffene Personen (nicht Risiken für die Organisation): Diskriminierung, Identitätsdiebstahl, finanzieller Verlust, Rufschädigung, Verlust der Vertraulichkeit, körperlicher Schaden, Verlust der Kontrolle über PII
- Schwere der Auswirkungen bei Risikoeintritt (geringfügig, begrenzt, erheblich, schwerwiegend)
- Wahrscheinlichkeit des Risikos (vernachlässigbar, möglich, wahrscheinlich, sicher)

4. Risikominderungsmaßnahmen:
- Technische Maßnahmen: Verschlüsselung, Pseudonymisierung, Anonymisierung, Zugriffskontrollen, Überwachung
- Organisatorische Maßnahmen: Richtlinien, Schulungen, DSB-Aufsicht, Lieferantenmanagement, Datenaufbewahrungsgrenzen
- Schutzmaßnahmen für betroffene Personen: Transparenz, Einwilligung, Mechanismen für Rechte, menschliche Überprüfung automatisierter Entscheidungen
- Verbleibendes Risiko nach der Minderung

5. Konsultation von Stakeholdern:
- Konsultation des Datenschutzbeauftragten (verpflichtend, wenn ein DSB benannt ist)
- Konsultation betroffener Personen oder ihrer Vertreter (falls angemessen)
- Dokumentation der erhaltenen Ansichten und wie diese berücksichtigt wurden

6. Konsultation der Aufsichtsbehörde (bei hohem verbleibendem Risiko):
- Wenn das verbleibende Risiko trotz Minderung hoch bleibt, konsultieren Sie die Aufsichtsbehörde (DPA) vor der Verarbeitung
- Die Aufsichtsbehörde gibt Ratschläge zur Minderung oder verbietet die Verarbeitung

7. DPIA-Ergebnisse und Entscheidungen:
- Entscheidung: Fortsetzung der Verarbeitung, Fortsetzung mit zusätzlichen Schutzmaßnahmen oder keine Fortsetzung
- Genehmigung und Freigabe (Management, DSB)
- Auslöser für laufende Überprüfungen (jährlich, bei Änderungen der Verarbeitung, Vorfall)

DPIA-Dokumentation:
- Systematische Beschreibung der Verarbeitung und der Zwecke
- Bewertung der Notwendigkeit und Verhältnismäßigkeit
- Bewertung der Risiken für betroffene Personen
- Maßnahmen zur Risikominimierung und zum Nachweis der Compliance
- Aufzeichnungen über die Konsultation von Stakeholdern
- Stellungnahme des DSB
- Genehmigung durch das Management

Erstellen Sie eine DPIA-Vorlage, eine Risikobewertungsmethodik und ein DPIA-Register, das alle Bewertungen und Überprüfungstermine verfolgt.

Integrieren Sie die DPIA in den Projektlebenszyklus: Lösen Sie die DPIA während der Planungsphase für neue Systeme/Verarbeitungen aus, nicht nach der Implementierung.