Datenschutzrisiken und Planung

Datenschutz-Risikobeurteilung (6.1.2)

Das Risiko wird an den Personen gemessen, deren Daten verarbeitet werden, nicht nur am Unternehmen: Ein Abfluss von Gesundheitsdaten wiegt anders als der eines Geschäftskontaktverzeichnisses. Die Methode ist frei wählbar, muss aber bei Wiederholung konsistente und vergleichbare Ergebnisse liefern.

Behandlung und Erklärung zur Anwendbarkeit (6.1.3)

Für jedes Risiko werden Maßnahmen ausgewählt und mit Anhang A abgeglichen; in einer Erklärung zur Anwendbarkeit wird festgehalten, welche angewendet werden und warum die übrigen ausgeschlossen sind. Ein Auftragsverarbeiter, der nie selbst Daten bei betroffenen Personen erhebt, kann den Ausschluss von Maßnahmen begründen, die für den Verantwortlichen gedacht sind.

Ziele und Änderungen (6.2 und 6.3)

Datenschutzziele müssen messbar sein – etwa der Anteil fristgerecht beantworteter Anfragen – und brauchen Plan, Verantwortlichen und Termin. Änderungen am System werden geplant, nicht improvisiert.

Was Auditoren typischerweise sehen wollen

• Dokumentierte Methodik der Datenschutz-Risikobeurteilung
• Ergebnis der Beurteilung mit einem Eigentümer je Risiko
• Erklärung zur Anwendbarkeit mit Begründung der Ausschlüsse
• Datenschutzziele mit Kennzahl und Plan

So decken Sie die Planung in Kimobox ab

1. 1Führen Sie die Risikobeurteilung in der Risikomatrix, mit Eigentümer und Behandlung.
2. 2Pflegen Sie die Erklärung zur Anwendbarkeit als gelenktes Dokument, verknüpft mit den Risiken.
3. 3Messen Sie die Ziele mit Kennzahlen, die direkt aus den Aufzeichnungen stammen.

Vorlagen und Aufzeichnungen zu ISO 27701 aus diesem Kapitel

• Vorlage für die Datenschutz-Risikobeurteilung nach ISO 27701 · Pflichtaufzeichnung
• Vorlage für die Erklärung zur Anwendbarkeit nach ISO 27701 · Pflichtdokument