Seminar Bizzdesign HOPEX – Datenschutz und Privacy Management

Das zweitägige Seminar verbindet Verarbeitungstätigkeiten, personenbezogene Daten, Zwecke, Rechtsgrundlagen, Systeme, Empfänger, Risiken, Kontrollen und Maßnahmen in einer konsistenten Privacy-Sicht. Pflege, Prüfung, Folgenabschätzung und Managementauswertung werden als wiederholbarer Prozess aufgebaut.

Inhaltsübersicht

• Privacy-Geltungsbereich und Verantwortlichkeiten festlegen
• Verarbeitungstätigkeiten erfassen
• Datenflüsse und Übermittlungen analysieren
• Privacy-Risiko bewerten
• Prüfung und Folgenabschätzung durchführen
• Maßnahmen und Privacy-Dashboard steuern

Lernziele

• Verarbeitungstätigkeiten und personenbezogene Daten mit Prozessen, Systemen und Empfängern verknüpfen.
• Privacy-Risiken und vorhandene Kontrollen konsistent bewerten.
• Prüf- und Folgenabschätzungsprozesse nachvollziehbar durchführen.
• Maßnahmen, Reviews und Managementsichten dauerhaft steuern.

Schrittweise Seminarinhalte

Schritt 1: Privacy-Geltungsbereich und Verantwortlichkeiten festlegen

Der Pflege- und Prüfprozess wird mit klaren Rollen, Objektarten und Freigaben vorbereitet.

1. Verantwortliche Bereiche, Datenschutzrollen und fachliche Eigentümer bestimmen.
2. Pflichtinformationen, Statusmodell und Aktualisierungszyklen definieren.
3. Review-, Freigabe- und Eskalationswege für Verarbeitungstätigkeiten festlegen.
4. Qualitätskriterien für vollständige und prüffähige Einträge dokumentieren.

Prüfpunkt: Rollen, Pflichtdaten und Freigabeweg sind für jede Verarbeitung eindeutig festgelegt.

Schritt 2: Verarbeitungstätigkeiten erfassen

Geschäftlicher Zweck und operative Ausführung werden strukturiert mit Datenkategorien und Beteiligten verbunden.

1. Zweck, Verantwortungsbereich, betroffene Personengruppen und Datenkategorien erfassen.
2. Rechtsgrundlage, Aufbewahrung und Löschanforderung dokumentieren.
3. Prozesse, Anwendungen, Datenbestände und externe Empfänger zuordnen.
4. Vollständigkeit anhand eines definierten Prüfkatalogs kontrollieren.

Prüfpunkt: Die Verarbeitung ist vom Zweck bis zu Systemen, Daten und Empfängern nachvollziehbar.

Schritt 3: Datenflüsse und Übermittlungen analysieren

Personenbezogene Daten werden entlang interner und externer Übertragungen mit Schutz- und Kontrollpunkten betrachtet.

1. Quelle, Ziel, Dateninhalt, Übertragungsweg und Frequenz modellieren.
2. Interne Nutzung, Auftragsverarbeitung und externe Übermittlung unterscheiden.
3. Unklare Empfänger, Schattenkopien und fehlende Löschwege identifizieren.
4. Technische und organisatorische Schutzmaßnahmen an kritischen Übergaben zuordnen.

Prüfpunkt: Kritische Datenflüsse besitzen eindeutige Empfänger, Schutzmaßnahmen und Verantwortlichkeiten.

Schritt 4: Privacy-Risiko bewerten

Gefährdungen für betroffene Personen werden mit Eintritt, Schwere, Betroffenheit und Kontrollen nachvollziehbar beurteilt.

1. Risikoszenarien aus Umfang, Sensitivität, Zweck und Verarbeitungskontext ableiten.
2. Auswirkung und Eintritt anhand einheitlicher Skalen bewerten.
3. Bestehende Kontrollen mit Design und Wirksamkeit zuordnen.
4. Restrisiko, Unsicherheiten und erforderliche Entscheidung dokumentieren.

Prüfpunkt: Die Risikoeinstufung ist begründet und lässt sich zu Daten, Verarbeitung und Kontrolle zurückverfolgen.

Schritt 5: Prüfung und Folgenabschätzung durchführen

Ein risikobasierter Prüfprozess wird von der Auslösung bis zur dokumentierten Entscheidung ausgeführt.

1. Auslösekriterien und erforderliche Eingaben für eine vertiefte Prüfung festlegen.
2. Notwendigkeit, Verhältnismäßigkeit, Risiken und Schutzmaßnahmen strukturiert bewerten.
3. Review-Kommentare, Auflagen und offene Punkte rollenbasiert bearbeiten.
4. Entscheidung, Freigabe, Wiedervorlage und Änderungsbedarf dokumentieren.

Prüfpunkt: Die Prüfung besitzt vollständige Eingaben, nachvollziehbare Entscheidung und kontrollierte Auflagen.

Schritt 6: Maßnahmen und Privacy-Dashboard steuern

Befunde werden in priorisierte Maßnahmen und einen wiederkehrenden Review-Zyklus überführt.

1. Maßnahmen nach Risikoreduktion, Dringlichkeit, Aufwand und Abhängigkeit priorisieren.
2. Verantwortliche, Termine, Nachweise und Wirksamkeitsprüfung zuordnen.
3. Kennzahlen für Vollständigkeit, hohe Restrisiken, Prüfstatus und Überfälligkeit auswählen.
4. Ein Privacy-Review mit Entscheidung und dokumentierter Folgemaßnahme simulieren.

Prüfpunkt: Kritische Risiken und überfällige Maßnahmen sind in einer entscheidungsfähigen Sicht erkennbar.

Praxisfall und Arbeitsweise

Eine digitale Kundenanwendung mit mehreren Datenquellen und externem Dienstleister wird als Verarbeitung erfasst. Datenflüsse und Empfänger werden geprüft, ein hohes Privacy-Risiko bewertet und über eine strukturierte Folgenabschätzung mit Maßnahmen entschieden.

Kurze Fachimpulse wechseln mit Demonstrationen, strukturierten Konfigurationsschritten, Modellierungsaufgaben und kontrollierten Prüfungen. Jede Übung beginnt mit definierten Ausgangsdaten und endet mit einem dokumentierten Sollzustand, damit die erarbeiteten Vorgehensweisen im eigenen Repository reproduzierbar bleiben.

Zielgruppe und Voraussetzungen

Zielgruppe: Datenschutzorganisation, Privacy Office, Informationssicherheit, Prozess- und Datenverantwortliche, Compliance sowie Anwendungs- und Architekturverantwortliche.

Voraussetzungen: Grundverständnis betrieblicher Datenschutzprozesse und personenbezogener Daten; konkrete Rechtsberatung ist nicht Bestandteil des Seminars.