Verpflichtung der Leitung (5.1)
Die oberste Leitung muss sicherstellen, dass die Datenschutzziele zur Strategie passen, dass das System über Ressourcen verfügt und dass es in die Geschäftsprozesse eingebunden ist, statt in einem Compliance-Ordner zu verschwinden.
Datenschutzpolitik (5.2)
Gemeint ist die interne Politik des Systems, nicht die Datenschutzerklärung der Website. Sie enthält die Verpflichtung, die geltenden Datenschutzanforderungen zu erfüllen und das System zu verbessern, und bildet den Rahmen für die Festlegung von Zielen.
Rollen und Befugnisse (5.3)
Es muss benannt werden, wer dafür einsteht, dass das System die Norm erfüllt, und wer der Leitung berichtet. Gibt es einen Datenschutzbeauftragten, müssen seine Rolle und seine Unabhängigkeit mit dieser Zuweisung vereinbar sein, ohne ihn mit dem Eigentümer des Systems zu verwechseln.
Was Auditoren typischerweise sehen wollen
- Genehmigte, kommunizierte und zugängliche Datenschutzpolitik
- Verantwortlichkeitsmatrix des PIMS
- Benennung des Datenschutzbeauftragten, sofern erforderlich
- Nachweis der dem System zugewiesenen Ressourcen
So decken Sie die Führung in Kimobox ab
- 1Veröffentlichen Sie die Datenschutzpolitik als gelenktes Dokument mit Lesebestätigung.
- 2Weisen Sie jeder Verarbeitung und jedem Risiko direkt im System einen Verantwortlichen zu.
- 3Bereiten Sie die Managementbewertung mit den bereits erfassten Datenschutzverletzungen und Anfragen des Zeitraums vor.
Die Lesebestätigung belegt, dass die Politik bei denen angekommen ist, die die Daten verarbeiten.