DSMS — Datenschutzmanagement

Automatische Pseudonymisierung bei jedem KI-Aufruf

Das DSMS ist durchgehend KI-gestützt — und schützt dabei genau die Daten, um die es im Datenschutz geht. Vor jedem KI-Aufruf werden personenbezogene Daten automatisch maskiert und in der Antwort wieder eingesetzt. Personenbezug verlässt den Mandanten so nicht im Klartext, während die KI trotzdem mit dem Sachverhalt arbeiten kann. Die Pseudonymisierung ist pro Mandant schaltbar und standardmäßig aktiv.

Verarbeitungsverzeichnis (Art. 30 DSGVO)

Jedes verantwortliche Unternehmen muss ein Verzeichnis seiner Verarbeitungstätigkeiten führen. Das DSMS-Modul liefert die Struktur dafür: pro Verarbeitungstätigkeit Zweck, Rechtsgrundlage, Kategorien der betroffenen Personen, Kategorien personenbezogener Daten (inkl. besonderer Kategorien nach Art. 9), Empfänger, Drittlandstransfers, Löschfristen und verknüpfte technische und organisatorische Maßnahmen (TOM). Mandantenweite VVT-Defaults, Filter, Versionierung und Export als amtsnahes Art.-30-Muster-PDF, als Vollbericht sowie als CSV-/PDF-Register.

Ein KI-Assistent erstellt VVT-Einträge aus einer freien Beschreibung und schlägt Rechtsgrundlage und Datenkategorien vor (Entwurf zur Prüfung). Vorlagen für typische Verarbeitungstätigkeiten (Personalwesen, Buchhaltung, CRM, Bewerbermanagement, Videoüberwachung) sind enthalten und lassen sich pro Mandant anpassen.

Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Das Modul führt einen TOM-Katalog über die acht BDSG-Kontrollkategorien — je Maßnahme mit Umsetzungsstand, Prüfintervall und Nachweis. Eine Bibliothek mit 41 Standardmaßnahmen erlaubt die Ein-Klick-Übernahme; jede Maßnahme lässt sich einzelnen Verarbeitungstätigkeiten und Assets zuordnen. So ist auf Knopfdruck belegt, welche Schutzmaßnahmen für welche Verarbeitung gelten.

Vorlagen für typische Verarbeitungstätigkeiten (Personalwesen, Buchhaltung, CRM, Bewerbermanagement, Videoüberwachung) werden enthalten sein und lassen sich pro Mandant anpassen.

Datenschutz-Folgenabschätzung (Art. 35)

Bei voraussichtlich hohem Risiko für die Rechte und Freiheiten betroffener Personen ist eine DSFA verpflichtend. Das Modul führt durch den DSFA-Prozess: Risikobewertung, Beschreibung der Verarbeitung, Bewertung der Notwendigkeit und Verhältnismäßigkeit, Schutzmaßnahmen, Konsultation des Datenschutzbeauftragten. Ergebnis als strukturiertes Dokument, das exportiert und im Audit-Log verankert wird.

AVV-Prüfung (Art. 28 DSGVO)

KMU sind oft gleichzeitig Auftraggeber von AVV (gegenüber Dienstleistern) und Auftragnehmer (gegenüber Geschäftskunden). Das Modul verwaltet beide Seiten — und prüft mit:

• KI-Import des AVV-PDF: Verarbeiter-Stammdaten und Garantien werden ausgelesen und das Formular vorbefüllt — manuelles Abtippen entfällt.
• 28-Punkte-KI-Prüfung: Klauselextraktion und Risikohinweise gegen die Pflichtbestandteile aus Art. 28 — als Entwurf neben der Bewertung durch die zuständige Person. Der AVV ist fest mit dem Auftragsverarbeiter verknüpft, statt ihn nur zu benennen; die Prüfung erreicht damit ein Ergebnis am richtigen Objekt.
• Eingehende AVV (Sie als Auftragsverarbeiter): AVV mit Mandanten verknüpft, TOM, Sub-Auftragsverarbeiter-Listen, Konditionen.
• Ausgehende AVV (Sie als Auftraggeber): AVV mit Dienstleistern, Prüfung der TOM, Sub-Auftragsverarbeiter-Genehmigungen.
• Verknüpfung mit der Vertragsverwaltung — jede AVV ist gleichzeitig ein Vertrag mit Laufzeit und Kündigung.
• Sub-Auftragsverarbeiter-Tracking — Änderungen werden mit Informationspflicht und Widerspruchsrecht abgebildet.

Betroffenenrechte (Art. 12–22 DSGVO)

Auskunfts-, Berichtigungs-, Löschungs- und Widerspruchsanfragen sind nicht selten — und müssen innerhalb eines Monats beantwortet werden. Ein KI-Assistent erfasst die Anfrage aus Text oder Dokument, klassifiziert die Anfrageart und erkennt die anfragende Person. Ein Identitätsprüfungs-Gate sichert die Auskunft ab. Auf das Verarbeitungsverzeichnis gestützt entsteht ein KI-Antwortentwurf, der sich als versandfertiger Brief nach DIN 5008 materialisieren lässt. Das Modul setzt automatisch die 30-Tage-Frist und dokumentiert die Bearbeitung; anonymisierte Statistik zeigt der Geschäftsleitung Anzahl und Bearbeitungsdauer.

Vorfallmanagement (Art. 33, 34 DSGVO)

Ein Datenschutzvorfall muss innerhalb von 72 Stunden an die Aufsichtsbehörde gemeldet werden, wenn nicht offensichtlich kein Risiko besteht. Eine KI-Schnelllösung unterstützt die Erfassung: Klassifizierung, Risikobewertung, Empfehlung zur Meldepflicht und ein Maßnahmen-Leitfaden — alles als Entwurf. Eine 72-Stunden-Uhr läuft automatisch mit. Die Meldung an die Aufsichtsbehörde (Art. 33) und die Benachrichtigung betroffener Personen (Art. 34) entstehen als versandfertige Briefe. Alle Schritte sind im Audit-Log nachvollziehbar.

Empfängerregister (Art. 19 DSGVO)

Bisher standen die Empfänger einer Verarbeitung als freier Text in der Verarbeitungstätigkeit. Das reicht, um ein Art.-30-Verzeichnis zu drucken, und für nichts sonst: „Steuerberater Müller" in der einen Tätigkeit und „StB Müller" in der nächsten sind zwei zusammenhanglose Zeichenketten.

Der Preis dafür ist Art. 19 DSGVO. Die Vorschrift verlangt, dass der Verantwortliche allen Empfängern, denen personenbezogene Daten offengelegt wurden, jede Berichtigung, Löschung oder Einschränkung mitteilt — und dass er die betroffene Person über diese Empfänger unterrichtet, wenn sie es verlangt. Eine Freitextliste lässt sich nicht aufzählen; die Pflicht wurde also von Hand beantwortet oder gar nicht.

Im Register wird jeder Empfänger einmal erfasst und von jeder Verarbeitung referenziert, die an ihn offenlegt. Geführt werden die Empfängerkategorie (was Art. 30 Abs. 1 lit. d tatsächlich verlangt, einschließlich Empfängern in Drittländern), die Art des Empfängers (Auftragsverarbeiter, gemeinsam Verantwortlicher, eigenverantwortlicher Dritter, Behörde, Web-Dienst, interne Stelle) und bei Drittlandsbezug das Übermittlungsinstrument — Angemessenheitsbeschluss, Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften, sonstige Garantie oder Ausnahme nach Art. 49. Ist ein Empfänger zugleich Auftragsverarbeiter, verweist die Zeile auf den vorhandenen Katalogeintrag, statt den Namen ein zweites Mal zu führen.

Datenlandkarte, Auskunftsdossier & Registersuche

Die Datenlandkarte beantwortet die Frage, an der Auskunft und Löschung praktisch scheitern: In welchem System liegen die Daten dieser Person? Nicht als Prosa in einem Konzept, sondern als Übersicht, die aus Ihren Verarbeitungstätigkeiten und deren Systemen entsteht.

Das Auskunftsdossier ist die Arbeitsliste zu einer konkreten Betroffenenanfrage: welche Verarbeitungen betroffen sind, welche Systeme zu durchsuchen sind, welche Empfänger nach Art. 19 zu benachrichtigen sind. Ableitbar aus dem Bestand statt handgeschrieben — und damit reproduzierbar, wenn dieselbe Anfrage in sechs Monaten erneut kommt.

Dazu eine Suche über alle Register hinweg — Verarbeitungstätigkeiten, TOM, Empfänger, Auftragsverarbeiter, Vorfälle, Anfragen und Richtlinien in einem Suchfeld — sowie Maßnahmen zur Entsorgung von Akten, Datenträgern und Geräten als eigener, dokumentierter Vorgang.

Transparenz-Register (Art. 13 DSGVO)

Art. 13 verlangt, dass Sie die betroffene Person bei der Erhebung informieren — unter anderem über „die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten" (Art. 13 Abs. 1 lit. e). Das ist dieselbe Tatsache, die Art. 30 Abs. 1 lit. d nach innen verlangt, nur an einer zweiten Stelle und für ein anderes Publikum. Und genau dort driften Unternehmen auseinander: Das Verzeichnis wird gepflegt, der Datenschutzhinweis auf dem Formular von 2021 nicht.

Das Transparenz-Register führt die Art.-13-Hinweise je Kontaktpunkt — Formular, Website, Bewerbung, Vertrag — und stellt sie der zugehörigen Verarbeitungstätigkeit gegenüber. Weicht die Außendarstellung von der geführten Innensicht ab, wird das gemeldet. Die Abweichungserkennung schlägt nicht bei jedem Tippfehler an: Sie ist bewusst auf substanzielle Abweichungen ausgelegt — ein Empfänger, der innen steht und außen fehlt; eine Rechtsgrundlage, die sich geändert hat. Eine Prüfung, die bei jeder Umformulierung rot wird, ist eine Prüfung, die man abschaltet.

Ausführbares Löschkonzept

Ein Löschkonzept, das nur beschreibt, wann gelöscht werden müsste, ist ein Dokument für die Aufsichtsbehörde und sonst nichts. Aus den Löschfristen der Verarbeitungstätigkeiten entstehen jetzt Löschläufe, und jeder Lauf hinterlässt ein Löschprotokoll — was, wann, auf welcher Grundlage, durch wen freigegeben. Damit wird aus der Rechenschaftspflicht (Art. 5 Abs. 2) ein Beleg statt einer Behauptung.

Governance-Ebene & Datenschutz-Quickcheck

Die Governance-Ebene bildet die organisatorische Seite ab, die sonst in Ordnern liegt: die Bestellung des Datenschutzbeauftragten samt Pflichtprüfung nach § 38 BDSG, Verpflichtungen auf das Datengeheimnis und Kontrollen mit Ergebnis und Wiedervorlage.

Der Datenschutz-Quickcheck rechnet die Klassiker gegen Ihren tatsächlichen Bestand: Verarbeitungen ohne Rechtsgrundlage, ohne Löschfrist, ohne zugeordnete TOM; Drittlandsempfänger ohne Übermittlungsinstrument; Auftragsverarbeiter ohne AVV. Kein Fragebogen — eine Rechnung auf Ihren Daten, und sie kommt ohne KI aus.

Datenschutzkonzept & Datenschutzrichtlinien

Ein lebendes Dokument je Unternehmen mit 20 Abschnitten, erzeugt aus dem vorhandenen DSMS-Bestand: Organisation, Verantwortlichkeiten, Rechtsgrundlagen, Löschfristen, TOM, Auftragsverarbeitung, Betroffenenrechte, Vorfälle, Schulung. Was im Verzeichnis steht, muss nicht ein zweites Mal geschrieben werden. Jeder abgeleitete Abschnitt trägt seinen Stand und lässt sich einzeln neu erzeugen; wo Sie eigenen Text schreiben, bleibt dieser erhalten. Ein Abschnitt ohne Datengrundlage wird als offener Punkt ausgewiesen — und eine veröffentlichte Fassung sagt auf dem Deckblatt, dass sie unvollständig ist, statt sich als fertig zu lesen.

Darunter liegen die Richtlinien je Bereich, Funktion, Vorgang oder als Querschnittsthema (Datenpannen, Home-Office). Der Datenschutzbeauftragte prüft, die Geschäftsleitung gibt frei — zwei getrennte, nachvollziehbare Schritte. Zu jeder veröffentlichten Richtlinie wird festgehalten, wer welche Fassung zur Kenntnis genommen hat; eine neue Fassung verlangt eine neue Bestätigung. Die DSB-Einbindungsmatrix legt einmal fest, wann der Datenschutzbeauftragte einzubinden ist — je Anlass mit Einbindungsstufe, Zeitpunkt und Vertretung; solange keine Vertretung benannt ist, wird das als offener Punkt ausgewiesen.

Branchen-Textvorlagen für alle acht Branchen — Dienstleister, Softwarehäuser, Finanzdienstleister, Produktion und Fertigung, Handel und Online-Shops, Handwerk und Bau, Personaldienstleister sowie Marketing- und Werbeagenturen. Eine Vorlage ist ein Entwurf, keine Feststellung: bereits geschriebener Text wird nicht überschrieben, und alles, was nur Ihr Unternehmen wissen kann, bleibt als [Ausfüllen: …] stehen und damit als offener Punkt sichtbar.

Auch der umgekehrte Weg ist möglich: Ein Unternehmen ohne Verzeichnis kann das Konzept zuerst schreiben; die darin genannten Zwecke, Rechtsgrundlagen, Löschfristen und Datenkategorien lassen sich anschließend als Katalogeinträge übernehmen — sie landen zuerst im Prüfbereich, geschrieben wird erst nach Ihrer Freigabe. Konzept und Richtlinien lassen sich zweisprachig führen; die englische Fassung übersetzt unsere Struktur, also Überschriften und Beschriftungen, während die Inhalte aus Ihrem Verzeichnis so stehen bleiben, wie Sie sie erfasst haben. Sie wird nie automatisch mitveröffentlicht und weist dieselben offenen Punkte aus wie das Original.

Stammdaten, Import & Export

Damit das System schnell produktiv wird, bringt es editierbare Kataloge mit: Betroffenen- und Datenkategorien, 131 deutsche Löschfristen nach HGB/AO, Zwecke, Rechtsgrundlagen und TOM. Hinzu kommen Register für Verarbeiter, Software, IT-Assets und Standorte. Eine Excel-Importvorlage und vorbefüllte Branchen-Vorlagen beschleunigen die Ersterfassung; eine Staging-Prüfung kontrolliert die Daten vor der Übernahme, eine KI-Vollständigkeitsbewertung markiert Lücken je Datensatz, und ein dublettenfreier Rund-um-Export gibt den gesamten Bestand wieder heraus.

Audit-Trail über das gesamte DSMS

Datenschutz-Compliance besteht nicht aus dem einmaligen Anlegen eines Verzeichnisses — sie besteht aus dem Nachweis, dass es lebt. Das Modul protokolliert jede Änderung am Verzeichnis, jede DSFA-Revision, jede AVV-Verlängerung, jede Betroffenenanfrage, jeden Vorfall. Bei einer Prüfung der Aufsichtsbehörde liefert das System auf Knopfdruck den vollständigen Nachweis — keine Last-Minute-Excel-Rekonstruktion.

Datenschutz als geschlossene Leistung? Auf Wunsch ergänzen ein externer Datenschutzbeauftragter oder eine Datenschutzberatung das DSMS-Werkzeug — vorgestellt auf privacyinhouse.de, dem Datenschutz-Angebot der CEAVEO-Gruppe.

DSMS einsetzen? Wenn Sie auf eines der oben beschriebenen Module angewiesen sind, sagen Sie uns Bescheid — wir richten das Modul für Ihr Unternehmen ein.