DataAgenda Datenschutz Manager 2.0 – Die Inhalte im Überblick

Der DataAgenda Datenschutz Manager führt Sie wie ein Guide durch alle wichtigen Themengebiete der DS-GVO:

Stammdaten des Mandanten

In diesem Basis-Dokument erfassen Sie einmalig:

• Kontaktdaten Ihres Mandanten
• Sämtliche Mitglieder Ihrer Datenschutz-Organisation

Anschließend weisen Sie jedem Mitglied individuelle, abgestufte Zugriffsrechte auf die im Unternehmen vorhandenen Verarbeitungstätigkeiten zu.

Last but not least wählen Sie die für die Dokumentation zu nutzende Sprache deutsch/englisch aus. Somit haben Sie die Dokumentationspflicht im Sinne des Art. 30 (1) lit. a) DS-GVO erfüllt und können in jedem folgenden Modul auf diese Daten zugreifen.

Zum Vergrößern auf das Bild klicken

Technisch-organisatorische Maßnahmen (TOMs)

Jedes Unternehmen, das personenbezogene Daten verarbeitet, muss diese mit technisch-organisatorischen Maßnahmen nach Art. 32 (1) DS-GVO schützen, unter anderem gegen unberechtigte Zugriffe Dritter. Die konkret vorgesehenen Einzelmaßnahmen technischer oder organisatorischer Art gilt es nach Art. 5 (2) DS-GVO zu dokumentieren.

Genau hierbei unterstützt Sie der DataAgenda Datenschutz Manager. Wählen Sie hierfür aus dem umfassenden Katalog an Muster-Beispielen das für Sie zutreffende per Mouse-Klick aus.

Mit einem Klick auf „Vorlage öffnen" bestimmen und erfassen Sie die jeweils zutreffende Maßnahme. Sie möchten zusätzlich eigene Maßnahmen anlegen? Kein Problem, hierfür ist die Funktion „Neu Anlegen" gedacht.

Allgemeines Löschkonzept

Für jedes Unternehmen gilt nach Art. 17 DS-GVO: Personenbezogene Daten sind zu löschen, wenn die Rechtsgrundlage für ihre Speicherung entfallen ist und keine gesetzlichen Aufbewahrungsfristen nach HGB oder AO dem entgegenstehen.

Mit dem DataAgenda Datenschutz Manager können Sie ganz unkompliziert unterschiedliche Aufbewahrungsfristen für die verschiedenen Datensätze festlegen. Kontoauszüge, Abmahnungen, Debitorenbuchhaltung … Zahlreiche Beispiele aus der Praxis sind als Vorlagen vorhanden.

Stellen Sie per Mouse-Klick so schnell und einfach Ihr allgemeines Löschkonzept zusammen. Individuelle Löschfristen können Sie bei Bedarf natürlich ebenso hinzufügen, um auch unternehmensspezifische Löschvereinbarungen zu erfassen.

Der anschließende Report für Ihre Auswahl der Aufbewahrungsfristen enthält einen detaillierten Entwicklungsplan für die Umsetzung Ihres Löschkonzeptes.

Verzeichnis der Verarbeitungstätigkeiten (VVT)

Das VVT ist ein wichtiger Baustein jeder Dokumentation im Sinne des Art. 30 DS-GVO. Es enthält die Beschreibung aller Verarbeitungstätigkeiten, bei denen es im Unternehmen im Zusammenhang mit der Verarbeitung personenbezogener Daten kommt. Gleichzeitig beinhaltet es auch die Datenbasis für die sich hierauf aufbauenden Folge-Module:

• Schwellwert-Analyse
• Datenschutz-Folgenabschätzung (DSFA)

Der DataAgenda Datenschutz Manager listet Ihnen die gängigen Verarbeitungstätigkeiten verständlich und übersichtlich auf. Wählen Sie mühelos relevante Verfahren aus oder legen Sie eigene an – ganz individuell.

Wir haben eine Vielzahl an vorbereiteten Praxis-Verfahren aufgelistet, die als Beispiele genutzt werden können. Bitte prüfen Sie, ob die Inhalte mit Ihren konkreten Anforderungen übereinstimmen oder passen Sie diese einfach an.

Gleichzeitig haben Sie auch die Möglichkeit, davon abweichende neue Verarbeitungstätigkeiten zu erfassen.

• Bearbeitungsstatus, verantwortliche Personen, Zweckbestimmung und einiges mehr. Bitte berücksichtigen Sie: Diese Angaben werden später auch für die Schwellwert-Analyse und ggf. bei der Durchführung der Datenschutz-Folgenabschätzung benötigt.
• Zur Erleichterung wird automatisch auf bereits eingegebene Stammdaten zurückgegriffen. Bei der Risiko-Beschreibung und -Bewertung steht zur Einschätzung des Schadensausmaßes ein praktischer Slider zur Verfügung.

Zum Vergrößern auf das Bild klicken

Zum Vergrößern auf das Bild klicken

Zum Vergrößern auf das Bild klicken

VVT für Auftragsverarbeiter

Außerdem ist zu beachten, dass auch Auftragsverarbeiter nach Art. 30 (2) DS-GVO ein VVT zu führen hat. Demnach muss jeder Auftragsverarbeiter und ggfs. sein Vertreter ein Verzeichnis zu allen Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitungen führen, das u. a. enthält:

• Den Namen und die Kontaktdaten des/der Auftragsverarbeiter,
• die Kategorien von Verarbeitungen, die im Auftrag jedes Verantwortlichen durchgeführt werden,
• die Übermittlungen von personenbezogenen Daten in ein Drittland oder an eine internationale Organisation,
• wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.

Sollten Sie diese Funktion benötigen, übernimmt der DataAgenda Datenschutz Manager weitgehend die im eigenen VVT enthaltenen Daten.

Standardisierte Schwellwert-Analyse

Eine Schwellwert-Analyse im Kontext des Art. 35 DS-GVO zur Datenschutz-Folgenabschätzung soll die Entscheidung begründen, ob für eine Verarbeitungstätigkeit ein normales oder hohes Risiko vorliegt. Mit dem DataAgenda Datenschutz Manager können Sie bequem eine standardisierte Schwellwert-Analyse im Rahmen des 9-Punkte-Katalogs auf Basis des Working Paper 248 rev. 01 des europäischen Datenschutz-Ausschusses vom 04.10.2017, III B a) 1.-9. durchführen.

Das System teilt Ihnen nach Abarbeitung des Katalogs sofort mit, ob eine Datenschutz-Folgenabschätzung durchgeführt werden muss oder nicht.

Datenschutz-Folgenabschätzung (DSFA)

Für eine Verarbeitungstätigkeit aus Ihrem VVT ist nach Durchführung der Schwellwert-Analyse eine Datenschutz-Folgenabschätzung erforderlich. Kein Problem, auch durch diesen Prozess begleitet Sie der DataAgenda Datenschutz Manager systematisch in kleinen Schritten.

Eine Datenschutz-Folgenabschätzung ist durchzuführen, wenn aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Die betroffenen Verarbeitungstätigkeiten sind automatisch in der entsprechenden Übersicht aufgeführt. Durch die eigentliche Datenschutz-Folgenabschätzung werden Sie schrittweise mittels verschiedener Reiter geführt.

Unter „Überblick" sind bereits alle geplanten Verarbeitungsvorgänge der jeweiligen Verarbeitungstätigkeit dokumentiert. Der Bereich „Grundlagen" stellt die Verhältnismäßigkeit und Notwendigkeit sowie die Maßnahmen zum Schutz der Persönlichkeitsrechte der betroffenen Personen dar. Unter „Risiken" erfassen Sie zum einen die bestehenden und auch geplanten Sicherheitsmaßnahmen, wie z. B. den Einsatz von Antiviren-Software oder Firewalls.

Zum anderen dokumentieren Sie die tatsächlichen Risiken, also etwa die Folgen bei unrechtmäßigem Zugriff auf Daten oder bei Datenverlust.

Abschließend erhalten Sie unter „Risikoübersicht" eine konkrete Einschätzung zum Risiko bei der Datenverarbeitung. Sie sehen im direkten Vergleich, ob die Einführung der zusätzlichen Maßnahmen ausreicht oder nicht.

Wenn die vorhandenen sowie die zusätzlich geplanten TOMs ausreichen, um das hohe Risiko der geplanten Verarbeitungstätigkeit zu reduzieren, dann ist der risikobasierte Ansatz erfolgreich abgeschlossen und es bedarf nur noch der Bestätigung des DSB. Im anderen Falle wäre im Rahmen eines iterativen Prozesses die DSFA mit ergänzenden TOMs zu durchlaufen, um das gewünschte Ergebnis zu erzielen.

Damit wäre der Bereich Verzeichnis der Verarbeitungstätigkeiten revisionssicher erfasst und dokumentiert.

Zum Vergrößern auf das Bild klicken

Vereinbarung zur Auftragsverarbeitung

Voraussetzung für eine Auftragsverarbeitung ist grundsätzlich ein entsprechender Vertrag zwischen dem Verantwortlichen und dem Auftragsverarbeiter im Sinne des Art. 28 (3) DS-GVO.

Im DataAgenda Datenschutz Manager sind für Sie verschiedene Musterverträge der GDD hinterlegt. Wählen Sie einfach den für Sie passenden Vertrag aus, beispielsweise eine Vereinbarung zur Auftragsverarbeitung im Gesundheitswesen.

Sie können aber auch gerne eigene Muster hochladen und nutzen.

Joint Controllership

In vielen Fällen findet eine Datenverarbeitung mit Unterstützung eines anderen Unternehmens statt. Um die Rechtmäßigkeit der Verarbeitung zu gewährleisten, ist es von großer Bedeutung, solche Sachverhalte korrekt einzuordnen. Beteiligte müssen wissen, ob sie Verantwortliche, Auftragsverarbeiter oder Joint Controller sind.

Auch für das „Joint Controllership"-Verfahren im Sinne des Art. 26 DS-GVO bietet der DataAgenda Datenschutz Manager Lösungen: Sind mehrere Parteien für die Verarbeitung von Daten gemeinsam verantwortlich, so bedarf es gemäß DS-GVO einer entsprechenden Vereinbarung, als Alternative zur Auftragsverarbeitung. Dazu steht Ihnen eine Auswahl von Praxishilfen und vorgefertigten Muster-Vereinbarungen zur Verfügung.

Lösch-Manager

In 3 Schritten zu Ihrem DS-GVO- und DIN 66398-kompatiblen Löschkonzept

Der Löschmanager bietet Ihnen eine zentrale Verwaltung des gesamten Löschkonzeptes über alle in Ihrem Verzeichnis der Verarbeitungstätigkeiten (VVT) hinterlegten Datenarten und Datenkategorien hinweg.

Erfassung

Bei der Erfassung werden im VVT die Datenarten und Datenkategorien festgehalten. Dabei greifen Sie auf die bereits bestehenden Vorlagen des Löschmanagers zurück. Anhand der bereits im System enthaltenen Löschregeln und Löschklassen erstellt der Löschmanager für Sie automatisch ein fachliches und technisches Löschkonzept in Anlehnung an die DS-GVO und DIN 66398. Sämtliche Kategorien sind selbstverständlich auch individualisierbar.

Dokumentation

Der Löschmanager ermöglicht die vollautomatische, VVT-spezifische Zusammenstellung des Fachkonzeptes im System und stellt Ihnen für die Umsetzung in Ihrem Unternehmen eine automatisierte Übersicht über die Dokumente ihres Löschkonzepts zur Verfügung. Die Dokumentationsstruktur entspricht der Form eines Fachkonzepts.

Sämtliche in VVTs festgelegten Datenkategorien werden hier gelistet, jeweils vorbelegt mit DIN66398-kompatiblen Löschfristen.

Umsetzung

Technik-Konzept – Übersicht der noch anstehenden Löschmaßnahmen

Das System berechnet automatisch die nächsten Löschtermine anhand der zuletzt bestätigten Löschung und dem festgelegten Löschintervall. Mit der Löschliste stellen Sie dem Verantwortlichen eine übersichtliche Ansicht der aktuell noch zu löschenden Datenarten mit den jeweiligen Speicherorten sowie dem für die Löschung verantwortlichen Mitarbeiter zur Verfügung.

Löschprotokoll zur Dokumentation und Kontrolle der bereits durchgeführten Löscharbeiten

Die Löschvorgänge können von den verantwortlichen Mitarbeitern durch Anklicken der zu löschenden Datenarten in der Ansicht „Technik-Konzept“ einfach und bequem protokolliert werden. Datenschutzbeauftragten steht diese Dokumentation als Grundlage für die Umsetzung Ihrer Überwachungsaufgaben zur Verfügung. Alle Dokumentationen sind natürlich ebenfalls in verschiedenen Daten-Formaten z.B. für Audits exportierbar.

Betroffenenanfragen gemäß Art. 15 DS-GVO

Einfache und effiziente Bearbeitung von Auskunftsanfragen gemäß Art. 15 DS-GVO

So setzen Sie das Auskunftsrecht mühelos um!

Das Auskunftsrecht ist eines der zentralen Themen im Datenschutz – und gleichzeitig eine der größten Herausforderungen in der täglichen Praxis. Bearbeiten Sie diese Anfragen strukturiert und zeitsparend.

Das Modul führt Sie einfach und gezielt durch den gesamten Workflow. Von der Identitätsklärung über die Vorbereitung der Antwortschreiben mit Musterbriefen bis zur Statusüberwachung und Dokumentation der Anfrage im Datenschutz Manager setzen Sie somit die Form- und Fristvorschriften nach Artikel 12 der DS-GVO um.

Bild 1. Neue Anfrage mit ausgefüllten Stammdaten

Audit-Manager

Das Modul ist voll integriert in den Datenschutz-Manager. Bei internen Audits kann auf die jeweiligen Mandanten-Daten für TOMS, VVTs und Stammdatenblatt zurückgegriffen werden.

Prüfen und dokumentieren Sie den Datenschutz-Stand im Unternehmen!

Das Audit Tool dient zur Überprüfung des eigenen oder eines anderen Unternehmens im Bezug zum Thema Datenschutz.

In Form einer Check-Liste erfassen Sie den Stand des Unternehmens in Sachen Datenschutz und bekommen basierend auf den gewählten Antworten mögliche Maßnahmen vorgeschlagen.

Drei Audits als Vorlagen

• Audit Datenschutz zur Überprüfung der allgemeinen Durchführung und Wahrung des Datenschutzes,
• Audit TOMs zur Überprüfung der technischen und organisatorischen Maßnahmen
• das Audit AVV zur Überprüfung der von AV-Verträgen.

Darüber hinaus können Sie eigene Audit-Vorlagen erstellen und hochladen.

Zwei Versionen: intern oder extern

Das Audit kann in einer von zwei Versionen ausgeführt werden: intern oder extern. Bei einem internen Audit ist es Ihnen möglich, auf die Daten Ihrer bestehenden Mandanten zuzugreifen und die dort gespeicherten Daten zu nutzen.

Durch die Integration des Audit Tools in den Datenschutzmanager ist es Ihnen möglich, innerhalb des Audits auf andere Bereiche zuzugreifen, um beispielsweise zur Angabe der TOMs direkt aus der Liste der TOMs des Mandanten zu wählen, um diese nicht manuell eintragen zu müssen. Auch die Stammdaten des Mandanten können direkt übernommen werden und müssen nicht erneut eingegeben werden.

Dokumentation

Das durchgeführte Audit wird in Form eines Berichts als Zusammenstellung gespeichert. Dieser ist editierbar und kann revisionssicher als PDF in die Dokumentation abgelegt werden.

Collaboration

Durch Einsatz der Aufgabenfunktion des Datenschutzmanagers kann ein Audit in Collaboration erstellt und überprüft werden.

Somit können Sie auch Kontroll-Aufgaben an Dritte intern oder extern delegieren und sich so die Arbeit erleichtern.

Erweiterte Rollen

Individuelle Zugriffsrechte für TOMs, VVT, Dokumente und bei mehreren Mandaten.

Sichern Sie Ihr Risiko bedarfsgerecht ab!

Der Datenschutz-Manager verfügt standardmäßig in der Grundversion über ein Berechtigungskonzept, das die Alternative kennt:

• Lese-Berechtigung
• Lese-/Schreibberechtigung

Die Zuordnung des jeweiligen Mitglieds der Datenschutz-Organisation des Mandanten erfolgt durch den Administrator i.d.R. den Datenschutz-Beauftragten zu dem einzelnen VVT, das mit individuellen Zugriffsrechten geschützt werden soll.

Bei entsprechend höherem Schutz-Bedarf – z.B. bei Gesundheitsdaten – bieten wir hier das Tool „erweiterte Rollen“ im Rahmen der Premiumversion an.

Sie haben hierbei die Möglichkeit nachstehende Rollen zuzuweisen:

• Erweiterte Rollen für TOMs
• Erweiterte Rollen für VVTs
• Erweiterte Rollen für Dokumente
• Erweiterte Rollen bei mehreren Mandanten

Die Zuweisung der jeweiligen Rolle erfolgt auch hier durch den Administrator.

Auf diese Weise können Sie hiermit auch höhere Risiko-Bereiche des Mandanten bedarfsgerecht absichern.

Schnittstelle DATAKONTEXT E-Learning

Mit dieser Funktion integriert der DataAgenda DatenschutzManager die Schnittstelle der E-Learning-Plattform DATAKONTEXT.

Modern schulen – einfach dokumentieren!

Dokumentation Ihrer E-Learning-Schulungen

Mit diesen E-Learning-Kursen sensibilisieren Sie Beschäftigte und Führungskräfte für den Datenschutz und kommen Ihrer Unterweisungspflicht gemäß DS-GVO nach.

Durch das Teilnahmezertifikat erhalten Sie automatisch eine lückenlose Dokumentation, die Sie über diese Schnittstelle nun auch im DataAgenda DatenschutzManager verwalten können!

Damit haben Sie einen verbindlichen Nachweis darüber:

• welche Mitarbeiter/innen
• wann und wie lange
• zu welchem Thema
• mit/ohne Erfolg

geschult wurden.

Behalten Sie den Überblick!

Sehen Sie die Zertifikate Ihrer Beschäftigten im Detail, mit dem jeweiligen Namen des Inhabers und der Information, wann dieser es erhalten hat. Weiterhin können Sie Zertifikate als PDF herunterladen.

Im Bereich Administration steht Ihnen eine Liste Ihrer E-Learning-Benutzer zur Verfügung. Sie können einen Eintrag eines Benutzers öffnen, um dessen Informationen und Zertifikate zu sehen.

Die Verwaltung der Kursteilnehmer erfolgt nicht im DataAgenda DatenschutzManager, sondern im jeweils genutzten Learning Management System (LMS).