verinice Datenschutzmodul 3 (Grundschutz)

Das Datenschutzmodul 3 für den IT-Grundschutz bettet die EU-weite rechtskonforme Dokumentation der DS-GVO in die Vorgehensweise des modernisierten IT-Grundschutz nach den BSI-Standards der 200er-Reihe in verinice ein.

Aufbauend auf der Verarbeitungstätigkeit als zentralem Element können AnwenderInnen:

• Den Datenschutz-Kurzcheck für eine erste Bestandsaufnahme zur DS-GVO verwenden.
• Das Verzeichnis der Verarbeitungstätigkeiten erstellen und verwalten.
• Die technischen und organisatorischen Maßnahmen (TOM), orientiert an den Datenschutzzielen aus Art. 32 EU-DSGVO, verwalten.
• Die Datenschutz-Folgenabschätzung (DSFA) und die Datenschutz-Risikoanalyse inklusive der Berücksichtigung von datenschutzrelevanten Gefährdungen durchführen und dokumentieren.
• Die Auftragsverarbeitungen (AVV) erfassen und verwalten.
• Datenschutzverletzungen verwalten und dokumentieren.

Einsatzzweck

Das Datenschutzmodul 3 für den IT-Grundschutz ist verwendbar ab verinice 1.19 oder höher zum Einsatz in der Perspektive Modernisierter IT-Grundschutz.

Wichtig: ISO-AnwenderInnen oder AnwenderInnen, die den Datenschutz ohne Berücksichtigung eines ISMS umsetzen möchten, verwenden die ISO/ISM-Variante des Datenschutzmodul 3.

Funktionsumfang

Datenschutz-Kompendium

Zur Abbildung des Datenschutzes nach DS-GVO im modernisierten IT-Grundschutz enthält das Datenschutzmodul ein Datenschutz-Kompendium mit den Bausteinen Datenschutz-Kurzcheck, Auftragsverarbeitung und <bDatenschutz-Folgenabschätzung sowie elementaren Datenschutzgefährdungen. Die Bausteine dienen der Modellierung Ihres Datenschutzverbundes analog der Vorgehensweise im modernisierten IT-Grundschutz.

DS-GVO-Kurzcheck

NeueinsteigerInnen gewinnen mit dem Baustein Datenschutz-Kurzcheck einen ersten Überblick über den Umsetzungsstand der Anforderungen nach DS-GVO.

Verzeichnis der Verarbeitungstätigkeiten

Bei der Erfassung von Verarbeitungstätigkeiten als zentralem Element können erforderliche Informationen zu z.B. Daten oder Datenkategorien, Betroffenen, Rechtsgrundlagen, Personen oder Zugriffsberechtigten dokumentiert werden. Datenschutz und Informationssicherheit nutzen dabei Synergien, Prozesse und Verarbeitungstätigkeiten müssen nicht doppelt gepflegt werden. Das Datenschutzmodul 3 für den IT-Grundschutz enthält einen DS-GVO Beispielverbund mit exemplarischen Verarbeitungstätigkeiten, die kopiert und unternehmensspezifisch angepasst werden können. Die in der Verarbeitungstätigkeit angewendete Hardware, Anwendungssoftware und datenschutzrelevante Personen bzw. Personengruppen können im View Verknüpfungen eingesehen und angepasst werden.

Technische und organisatorische Maßnahmen

Zur Abbildung der technischen und organisatorischen Maßnahmen (TOM) dient der Baustein Technische und organisatorische Maßnahmen des Datenschutz-Kompendiums ergänzt um Bausteine des IT-Grundschutz-Kompendiums. 

Datenschutz-Folgenabschätzung

Für jede Verarbeitungstätigkeit kann das Erfordernis einer Datenschutz-Folgenabschätzung (DSFA) geprüft und bewertet werden. Neben der Schwellwertanalyse kann die Stellungnahme des Datenschutzbeauftragten detailliert dokumentiert werden. Das Ergebnis kann mittels Reportvorlage für die Verarbeitungstätigkeit ausgegeben werden.

Datenschutz-Risikoanalyse

Für eine Verarbeitungstätigkeit kann die Datenschutz-Risikoanalyse durchgeführt werden, z.B. wenn eine Datenschutz-Folgenabschätzung erforderlich ist. Die Datenschutz-Risikobewertung und die Datenschutz-Risikobehandlung können analog der Vorgehensweise nach BSI-Standard 200-3 durchgeführt und die Ergebnisse mittels Reportvorlage ausgegeben werden.

Auftragsverarbeitung

Das Datenschutzmodul hilft, die Auftragsverarbeitung im Unternehmen EU-weit rechtskonform umzusetzen. Neben einer Übersicht über die Auftragnehmer und der jeweils übernommenen Dienstleistungen, können auch Auftraggeber, mit denen ein Auftragsverarbeitungsverhältnis (AVV) nach Art. 28 DS-GVO besteht, dokumentiert und auf Knopfdruck ausgegeben werden. Selbstverständlich können die entsprechenden Verträge direkt im Datenschutzmodul mit eingebunden werden. Mit Hilfe des Bausteins Auftragsverarbeitung bietet SerNet darüber hinaus einen Anforderungskatalog, der bei der Überprüfung und Dokumentation der Auftragsverarbeitung unterstützt. Die AVV-Anforderungen können darüber hinaus für Audits von Dienstleistern als Erst- oder Folgekontrollen im Rahmen eines Auftragsverarbeitungsverhältnisses verwendet werden.

Datenschutzverletzungen

Sie haben die Möglichkeit Datenschutzverletzungen als Datenschutzvorfälle zu erfassen und zu verwalten. Analyse, Bewertung und Abhilfemaßnahmen werden dokumentiert und könnnen im Falle einer Meldepflicht als Report ausgegeben und verwendet werden.

Reportvorlagen

Das Datenschutzmodul 3 für den IT-Grundschutz beinhaltet folgende Reportvorlagen:

• ITGS-DS: Verzeichnis von Verarbeitungstätigkeiten
• ITGS-DS: IT-Grundschutz-Check mit Datenschutzzielen
• ITGS-DS: Datenschutz-Folgenabschätzung (DSFA)
• ITGS-DS: Datenschutz-Risikobehandlung
• ITGS-DS: Verarbeitung als Auftragsverarbeiter
• ITGS-DS: Übersicht der Verarbeitungen mit Auftragnehmern
• ITGS-DS: Meldeformular Datenschutzvorfall

Lieferumfang

Der Lieferumfang des Pakets beinhaltet:

• eine Anleitung für BenutzerInnen
• das Datenschutz-Kompendium mit elementaren Datenschutzgefährdungen und den Bausteinen:
  • Datenschutz-Kurzcheck
  • Auftragsverarbeitung
  • Datenschutz-Folgenabschätzung
• eine in verinice zu importierende Datei einer Beispielorganisation
• das Verzeichnis der Verarbeitungstätigkeiten der Beispielorganisation
• einen in verinice zu importierenden Beispielverbund zur Abbildung der Auftragnehmer
• Reportvorlagen