02 / Compliance und Zertifizierung
DSGVO, dort wo Papier und Server sich treffen
Wir helfen Ihnen zu prüfen, ob das, was Ihre Verzeichnisse über personenbezogene Daten sagen, dem entspricht, was Ihre Systeme tatsächlich damit tun, und ob die Sicherheit darum einer Frage der Aufsichtsbehörde standhält.
Überblick
Was die DSGVO von Ihnen verlangt
Die Datenschutz-Grundverordnung (DSGVO), Verordnung (EU) 2016/679, gilt für alle Niederlassungen in der EU und für alle, die personenbezogene Daten von Personen in der EU verarbeiten, um ihnen Waren oder Dienstleistungen anzubieten oder ihr Verhalten zu beobachten. Sie verlangt, dass Sie wissen, was Sie verarbeiten und warum, dass Sie es durch geeignete technische und organisatorische Maßnahmen schützen und dass Sie beides nachweisen können.
Ein großer Teil dieses Nachweises ist Dokumentation: das Verzeichnis von Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzungen bei voraussichtlich hohem Risiko, Verträge mit Auftragsverarbeitern und ein Umgang mit Datenpannen und Betroffenenanfragen. Ein großer Teil des Risikos ist technisch. Wir betrachten beides und prüfen, ob es zusammenpasst.
Black Fox erteilt keine Rechtsberatung und ist nicht Ihr Datenschutzbeauftragter. Fragen zu Rechtsgrundlagen, Drittlandübermittlungen oder zur Auslegung gehören zu Ihrer Rechtsberatung oder Ihrem Datenschutzbeauftragten. Wir arbeiten mit ihnen an Sicherheit und Nachweisen.
Für wen es gedacht ist
Organisationen jeder Größe, die personenbezogene Daten von Kunden, Beschäftigten oder Nutzern in der EU verarbeiten, und Auftragsverarbeiter, die ihren Kunden zeigen müssen, dass die Daten bei ihnen gut aufgehoben sind. Außerdem Teams, die sich auf ein Audit durch einen Kunden oder die offiziellen Prüfer vorbereiten.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Verzeichnis von Verarbeitungstätigkeiten
Wir helfen beim Aufbau oder der Prüfung Ihres Verzeichnisses, damit es die Systeme, Empfänger und Löschfristen beschreibt, die Sie wirklich haben, nicht die von vor drei Umstrukturierungen.
Datenschutz-Folgenabschätzung
Unterstützung bei DSFA für Verarbeitungen mit voraussichtlich hohem Risiko: Beschreibung der Verarbeitung, Bewertung der Risiken für die Betroffenen und Auswahl der Maßnahmen, die sie verringern.
Sicherheit der Verarbeitung
Eine Prüfung der technischen und organisatorischen Maßnahmen rund um personenbezogene Daten, zum Beispiel Zugriffskontrolle, Verschlüsselung, Protokollierung, Datensicherung und Tests, direkt an den Systemen.
Auftragsverarbeiter und Verträge
Eine Prüfung Ihrer Auftragsverarbeiter und Unterauftragsverarbeiter, der Auftragsverarbeitungsverträge und ob deren Sicherheit hält, was der Vertrag verspricht.
Umgang mit Datenpannen
Ein Verfahren, um Verletzungen des Schutzes personenbezogener Daten zu erkennen, zu bewerten, zu dokumentieren und zu melden, mit einer Übung, ob es auch an einem schlechten Tag funktioniert.
Betroffenenanfragen
Ein praktikabler Ablauf für Auskunft, Berichtigung, Löschung und die übrigen Rechte, einschließlich der Frage, wie Sie die Daten einer Person über alle Systeme finden.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren Umfang, Beteiligte und wer Ihre Rechtsberatung oder Ihr Datenschutzbeauftragter ist, und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Bestandsaufnahme
Interviews, Dokumentenprüfung und ein Blick auf die Systeme, in denen die personenbezogenen Daten tatsächlich liegen.
Gap-Analyse
Ein Abgleich Ihrer Dokumentation und Ihrer Maßnahmen mit den Anforderungen der Verordnung, am Ende eine priorisierte Liste der Lücken.
Begleitung der Behebung
Wir arbeiten mit Ihren Verantwortlichen an Verzeichnis, DSFA, Auftragsverarbeitungsverträgen, Sicherheitsmaßnahmen sowie an den Prozessen für Datenpannen und Anfragen.
Tests
Auf Wunsch technische Tests der Systeme mit den sensibelsten Daten, mit Proofs of Concept für unsere Feststellungen.
Übergabe
Empfehlungen, ein Management-Bericht mit Risikobewertung und ein technischer Bericht, danach ein Abschlussgespräch für Ihr Feedback.
Was Sie erhalten
- DSGVO-Gap-Analyse mit priorisiertem Maßnahmenplan
- Geprüftes oder neues Verzeichnis von Verarbeitungstätigkeiten
- Unterstützung und, wo nötig, durchgeführte Datenschutz-Folgenabschätzungen
- Prüfung der Sicherheit der Verarbeitung mit technischen Feststellungen
- Prüfung der Auftragsverarbeiter und Vertragscheckliste
- Verfahren für Datenpannen und Betroffenenanfragen
Black Fox bereitet Sie vor und unterstützt Sie, stellt aber selbst keine Zertifikate, Testate oder offiziellen Bewertungen aus. Ist ein Zertifikat oder Bericht das Ziel, koordinieren wir das Audit mit unseren langjährigen Zertifizierungspartnern oder einer Stelle Ihrer Wahl, sodass die Arbeit in einem Auftrag von Anfang bis Ende läuft.
Fragen
Können Sie unser Datenschutzbeauftragter sein?
Nicht im Rahmen dieser Leistung. Wir arbeiten mit Ihrem Datenschutzbeauftragten oder mit der Person, die bei Ihnen den Datenschutz verantwortet, an Sicherheit und Dokumentation. Für die Benennung eines Datenschutzbeauftragten oder Rechtsberatung sind Spezialisten oder Ihre Kanzlei zuständig.
Wie schnell müssen wir eine Datenpanne melden?
Der Verantwortliche meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, an die Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Bei hohem Risiko sind auch die Betroffenen zu benachrichtigen.
Gibt es eine DSGVO-Zertifizierung?
Die Verordnung sieht genehmigte Zertifizierungsverfahren vor, doch sie sind nicht der übliche Weg, und ein einheitliches DSGVO-Zertifikat gibt es nicht. Unser Zertifikat über einen erfolgreichen Auftrag belegt, dass ein Auftrag stattgefunden hat. Es ist keine Konformitätszertifizierung.
Brauchen wir eine Datenschutz-Folgenabschätzung?
Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt, etwa bei umfangreicher Verarbeitung sensibler Daten oder systematischer Überwachung. Die Aufsichtsbehörden veröffentlichen Listen solcher Verarbeitungen. Wir helfen bei der Entscheidung und, wo nötig, bei der Durchführung.
Verwandte Leistungen
- Compliance und ZertifizierungISO/IEC 27701ISO/IEC 27701 mit Black Fox Security: Geltungsbereich des PIMS, Rollen als Verantwortlicher und Auftragsverarbeiter, Datenschutzrisiken und Zertifizierungsvorbereitung.
- Governance und RisikoInformationssicherheits-AuditUnabhängige Audits der Informationssicherheit von Black Fox Security nach ISO/IEC 27001, 27002, DSGVO, PCI DSS, Ihren Richtlinien oder einem Kundenfragebogen.
- Governance und RisikoLieferantenrisikomanagementLieferantenrisikomanagement mit Black Fox Security: Inventar, Einstufung, Fragebögen, Prüfung von Nachweisen und Vertragsklauseln, ausgerichtet an NIS2 und DORA.
- Beratung und ReaktionDigitale Forensik und Incident ResponseDFIR von Black Fox Security: Analyse nach Vorfällen, Netzwerk- und Datenträgerforensik, Reverse Engineering, Datenrettung, Notfallpläne und Planspiele.
Prüfen Sie, was Ihre Verzeichnisse versprechen
Sagen Sie uns, welche personenbezogenen Daten Sie verarbeiten und wo sie liegen. Wir gleichen das mit der Verordnung und Ihren Dokumenten ab.