Seit Mai 2018 gilt die DSGVO. Die meisten Unternehmen haben Datenschutzerklärungen, eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten und ein Verzeichnis der Verarbeitungstätigkeiten. Und trotzdem finden Datenschutzprüfungen, ob durch die Revision, den Abschlussprüfer im Rahmen der IDW-Standards oder die Aufsichtsbehörde, immer wieder dieselben Schwachstellen.
1. Das Verzeichnis der Verarbeitungstätigkeiten ist veraltet
Das VVT wurde 2018 aufwendig erstellt und seitdem kaum gepflegt. Neue Anwendungen, Cloud-Dienste und KI-Werkzeuge fehlen. Abhilfe: Koppeln Sie die Pflege des VVT an Ihren Change- oder Beschaffungsprozess. Keine neue Anwendung ohne Eintrag im Verzeichnis.
2. TOM sind beschrieben, aber nicht belegt
Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO stehen oft als allgemeine Liste im Dokument. Prüfer fragen aber nach der Wirksamkeit: Wann wurde die Datensicherung zuletzt getestet? Wer hat Zugriff auf Personaldaten? Abhilfe: Verknüpfen Sie die TOM mit Ihrem ISMS und Ihren internen Kontrollen. Dann gibt es für jede Maßnahme einen Nachweis.
3. Es gibt kein gelebtes Löschkonzept
Ein Löschkonzept mit Fristen existiert häufig auf dem Papier. In den Systemen wird trotzdem nichts gelöscht, weil die technische Umsetzung fehlt oder niemand zuständig ist. Besonders kritisch ist das in ERP-Systemen wie SAP, wo Daten über viele Tabellen verteilt sind. Abhilfe: Beginnen Sie mit den Datenkategorien mit dem höchsten Risiko, zum Beispiel Bewerberdaten, und setzen Sie dort Sperren und Löschläufe technisch um.
4. Auftragsverarbeitung ist nicht vollständig geregelt
Für viele Dienstleister fehlen Verträge zur Auftragsverarbeitung oder sie sind veraltet. Noch häufiger fehlt die Kontrolle der Dienstleister nach Vertragsschluss. Abhilfe: Führen Sie eine Dienstleisterliste mit Vertragsstand und letzter Überprüfung, idealerweise gemeinsam mit dem Auslagerungsmanagement.
5. Datenpannen werden nicht als solche erkannt
Eine falsch versandte E-Mail, ein verlorener Laptop, ein Ransomware-Angriff: Die 72-Stunden-Frist zur Meldung an die Aufsichtsbehörde läuft ab Kenntnis. In der Praxis erfährt der Datenschutz oft erst Tage später davon. Abhilfe: Schulen Sie Mitarbeitende darin, Vorfälle sofort zu melden, und stimmen Sie den Prozess mit dem IT-Sicherheitsvorfallmanagement ab. NIS2 und DSGVO laufen hier parallel.
Der rote Faden: Datenschutz als Managementsystem
Alle fünf Punkte haben eine gemeinsame Ursache: Datenschutz wird als Projekt verstanden, nicht als laufender Prozess. Ein Datenschutzmanagementsystem, etwa nach ISO/IEC 27701 und eng verzahnt mit dem ISMS, schafft Verantwortlichkeiten, Fristen und Nachweise.
Wenn Sie eine externe Sicht auf Ihren Datenschutz wünschen, unterstützt Sie unser Partner GRC Factory beim Aufbau und bei der Prüfung von Datenschutzmanagementsystemen, auch nach IDW PH 9.860.1. Die Funktion des externen Datenschutzbeauftragten übernimmt blu Guard.
Passende Seminare der GRC Akademie
- Datenschutzprüfung in der Praxis
Webinar, 2 Stunden · nächster Termin Di 16.03.2027 · 249 € zzgl. USt. (Frühbucher 199 €) - Datenpannen richtig managen – Meldung in 72 Stunden
Webinar, 2 Stunden · nächster Termin Di 02.02.2027 · 249 € zzgl. USt. (Frühbucher 199 €) - Datenschutzmanagementsystem aufbauen – mit ISO/IEC 27701 und Anbindung an das ISMS
Seminar, 1 Tag · nächster Termin Mi 13.10.2027 · 590 € zzgl. USt.
Alle Themen bieten wir auch als Inhouse-Schulung für Ihr Team an. Den vollständigen Kalender finden Sie in der Übersicht der Online-Seminare.