Verarbeitungstätigkeiten und Kronjuwelen

Artikel 30 der DSGVO verlangt von Verantwortlichen und Auftragsverarbeitern Verzeichnisse der von Ihnen durchgeführten Verarbeitungstätigkeiten zu führen und nennt auch die hierfür notwendigen Mindestangaben.

Wenn wir den zu investierenden Aufwand sinnstiftend angelegt wissen wollen, dann schlagen wir die Brücke vom Datenschutz zur Informationssicherheit.

Ein Management-System für Informationssicherheit (ISMS) stellt in seinem kleinsten zertifizierungsfähigen Umfang auf die Absicherung der Kronjuwelen einer Organisation ab. Dies sind die für den Unternehmensfortbestand elementaren Prozesse und Systeme.

Die Ermittlung der relevanten Systeme setzt eine Inventur aller Verfahren voraus. Hier besteht die Verbindung zu unserem Verzeichnis nach Artikel 30 DSGVO und den technischen sowie organisatorischen Maßnahmen zur Wahrung des erforderlichen Datenschutzniveaus gleich ob wir als Verantwortliche handeln oder als Auftragsverarbeiter mit dem Schutz der uns von unseren Kunden anvertrauten Daten betraut sind.

Artikel 32 der DSGVO beschreibt Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung personenbezogener Daten. Die Organisation soll die Maßnahmen unter anderem entsprechend des bestehenden Risikos für die zu schützenden Daten treffen.

In diesem Punkt können wir aus der Informationssicherheit das Vorgehen zur Vornahme einer Risikoanalyse übernehmen und auf die Verarbeitungstätigkeiten mit den für sie geltenden technischen und organisatorischen Maßnahmen anwenden.

Betrachten wir das Führen eines aktuellen Verzeichnisses der Verarbeitungstätigkeiten daher nicht als lästige Hausaufgabe, sondern als Baustein zur Prozesstransparenz in unserer Organisation und als Element zur Ermittlung unserer Kronjuwelen im Sinne der Informationssicherheit wie auch in datenschutzrechtlicher Hinsicht.