Crisam Logo
  • CRISAM®
    CRISAM®
    • Was ist CRISAM®?
    • Methode
    • Content
    • Kunden
    • Academy
    • Webinare
    • Events
  • Information Security Management
  • Integrated Risk Management
  • ESG
  • CRISAM® AI
  • Datenschutzmanagement
  • Internes Kontrollsystem & Audit Management
  • Compliance Management
  • Business Continuity Management
  • Tax Compliance Management System
  • Projekt Risiko Management
  • CRISAM® Supply Chain Security Monitoring
  • Rechtskataster
  • Conflicts of Interest Software
  • CRISAM® Legal Hold Software
  • Branchen
    Branchen
    • Automobil
    • Energie
    • Fertigung
    • Finanzen
    • Handel
    • Immobilien- & Baubranche
    • Gesundheit
    • Rundfunk & Telekommunikation
    • Technologie
    • Transport & Logistik
  • Ressourcen
    Ressourcen
    • Downloadcenter
    • Academy
    • Webinare
    • Jobs
    • CRISAM® Partner
    • Trustcenter
    • Kontakt
  • News
Anfrage
  • CRISAM®
    • Was ist CRISAM®?
    • Methode
    • Content
    • Kunden
    • Academy
    • Webinare
    • Events
  • Information Security Management
  • Integrated Risk Management
  • ESG
  • CRISAM® AI
  • Datenschutzmanagement
  • Internes Kontrollsystem & Audit Management
  • Compliance Management
  • Business Continuity Management
  • Tax Compliance Management System
  • Projekt Risiko Management
  • CRISAM® Supply Chain Security Monitoring
  • Rechtskataster
  • Conflicts of Interest Software
  • CRISAM® Legal Hold Software
  • Branchen
    • Automobil
    • Energie
    • Fertigung
    • Finanzen
    • Handel
    • Immobilien- & Baubranche
    • Gesundheit
    • Rundfunk & Telekommunikation
    • Technologie
    • Transport & Logistik
  • Ressourcen
    • Downloadcenter
    • Academy
    • Webinare
    • Jobs
    • CRISAM® Partner
    • Trustcenter
    • Kontakt
  • News
  • Anfrage
Kurzantwort Rhythmus Betroffenheit Pflichten Umsetzung Abgrenzung Wissen Einstieg Fragen
Regulatorik und Frameworks

DSGVO umsetzen: vom Verarbeitungsverzeichnis zum prüffähigen Nachweis

Das Verarbeitungsverzeichnis wird geführt, die Löschfristen sind an anderer Stelle dokumentiert, die technischen und organisatorischen Maßnahmen verantwortet die IT. Im Prüfungsfall kommt es darauf an, dass Sie all das zusammenführen können. CRISAM® verbindet Verarbeitungen, Risiken, Maßnahmen und Nachweise in einem gemeinsamen Modell.

Rechtsstand: 23. September 2026

Demo vereinbaren Pflichten ansehen
CRISAM® Compliance-BerichtBeispielwerte
☰Risk AG/ ISMS und DSMS Musterprojekt↷?

Übersicht

DSGVO
Kapitel II Grundsätze
43 %
Kapitel IV Verantwortlicher und Auftragsverarbeiter
45 %
Kapitel V Übermittlung an Drittländer oder internationale Organisationen
28 %
Kapitel III Rechte der betroffenen Person
45 %
0 %20 %40 %60 %80 %100 %
Zielwert 80 %
Risk AGCOMPLIANCE-BERICHTSeite 2
Kurzantwort

Was ist die DSGVO?

Die DSGVO ist die Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Sie verpflichtet Verantwortliche unter anderem dazu, ein Verzeichnis von Verarbeitungstätigkeiten zu führen, geeignete technische und organisatorische Maßnahmen zu treffen, bei hohem Risiko eine Datenschutz-Folgenabschätzung durchzuführen, Verletzungen zu melden und die Einhaltung jederzeit nachweisen zu können.

Das Besondere ist die Rechenschaftspflicht: Es genügt nicht, die Vorgaben einzuhalten. Sie müssen belegen können, dass Sie sie einhalten.

RechtsaktVerordnung (EU) 2016/679
Angenommen am27. April 2016
AufsichtDatenschutzbehörden der Mitgliedstaaten
GeltungsraumEU, unmittelbar geltend
Der Takt

Die DSGVO ist kein Projekt mit Enddatum

Die Stichtage liegen hinter uns. Geblieben sind wiederkehrende Pflichten: Manche gelten dauerhaft, andere sind an Fristen gebunden, die erst mit einem bestimmten Ereignis beginnen.

Dauerhaft

Verzeichnis führen

Das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 ist im Regelfall laufend zu führen und aktuell zu halten, eine einmalige Erstellung reicht nicht aus.

Vor der Verarbeitung

Folgenabschätzung

Bei voraussichtlich hohem Risiko verlangt Artikel 35 eine Datenschutz-Folgenabschätzung, bevor die Verarbeitung beginnt.

Regelmäßig

Wirksamkeit prüfen

Artikel 32 verlangt geeignete technische und organisatorische Maßnahmen und deren regelmäßige Überprüfung auf Wirksamkeit.

Binnen 72 Stunden

Verletzung melden

Eine Verletzung des Schutzes personenbezogener Daten ist nach Artikel 33 unverzüglich und möglichst binnen 72 Stunden zu melden.

Jederzeit

Nachweisen können

Nach der Rechenschaftspflicht gemäß Artikel 5 Absatz 2 und Artikel 24 müssen Sie die Einhaltung auf Verlangen belegen können.

Anwendungsbereich

Betroffen ist, wer personenbezogene Daten verarbeitet

Es gibt weder Schwellenwerte noch eine Sektorenliste. Die Frage ist nicht, ob die DSGVO gilt, sondern in welcher Rolle und mit welchem Aufwand.

Typische Auslöser für ein Managementsystem

  • Das Verzeichnis ist für eine Tabelle zu umfangreich geworden
  • Eine Aufsichtsbehörde fragt nach, und die Unterlagen sind über mehrere Ablagen verteilt
  • Ein Kunde verlangt im Auftragsverarbeitungsvertrag Nachweise über Ihre Maßnahmen
  • Betroffenenanfragen gehen regelmäßig ein, die Antworten werden jedes Mal neu zusammengestellt
  • Der Konzern gibt ein einheitliches Vorgehen über alle Gesellschaften vor
  • Datenschutz und Informationssicherheit pflegen dieselben Maßnahmen doppelt

Verantwortlicher oder Auftragsverarbeiter

Wer über Zwecke und Mittel der Verarbeitung entscheidet, ist Verantwortlicher und trägt die Pflichten aus Artikel 30, 32, 33 und 35. Wer im Auftrag verarbeitet, braucht nach Artikel 28 einen Vertrag mit dem Verantwortlichen. Viele Unternehmen sind beides, je nach Verarbeitung.

Wann ein Datenschutzbeauftragter nötig ist

Nach Artikel 37 ff. ist ein Datenschutzbeauftragter unter anderem bei Behörden und öffentlichen Stellen zu benennen sowie dann, wenn die Kerntätigkeit in einer umfangreichen regelmäßigen und systematischen Überwachung besteht oder in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten.

Die Rechenschaftspflicht verschiebt die Beweislast

Nach Artikel 5 Absatz 2 und Artikel 24 müssen Verantwortliche die Einhaltung der Grundsätze nachweisen können. Im Streitfall reicht es nicht, richtig gehandelt zu haben, es muss auch dokumentiert sein.

Pflichten

Was die DSGVO von Verantwortlichen verlangt

Die acht Pflichten hängen eng zusammen. Eine Verarbeitung ohne Rechtsgrundlage bleibt auch dann eine Lücke, wenn die Maßnahmen dokumentiert sind.

Pflicht Grundlage Was verlangt wird So bilden Sie es in CRISAM® ab
Rechenschaftspflicht Art. 5 Abs. 2, Art. 24 Die Einhaltung der Grundsätze ist nachzuweisen, nicht nur herzustellen Compliance-Dashboards zeigen den Stand zu Verzeichnis, Folgenabschätzungen und Maßnahmen. Automatisierte Berichte und Export-Funktionen liefern die Unterlagen für Audits, Management und externe Prüfungen.
Betroffenenrechte Art. 12 ff. Auskunft, Berichtigung, Löschung und die weiteren Rechte sind zu erfüllen. Artikel 12 regelt Verfahren und Fristen Auskunftsberichte für Betroffenenanfragen werden direkt aus dem Verzeichnis erstellt und müssen nicht für jede Anfrage neu zusammengesucht werden.
Auftragsverarbeiter Art. 28 Wer externe Dienstleister mit der Verarbeitung beauftragt, braucht einen schriftlichen Vertrag über die Auftragsverarbeitung Auftragsverarbeiter werden vollständig dokumentiert, einschließlich Vertragsstatus und Prüfergebnissen. Datenübermittlungen in Drittländer werden mit Garantien und Rechtsgrundlage erfasst.
Verzeichnis von Verarbeitungstätigkeiten Art. 30 Verantwortliche führen im Regelfall ein Verzeichnis aller Verarbeitungstätigkeiten Erstellen und pflegen Sie ein vollständiges Verzeichnis nach Artikel 30, inklusive Zweck, Rechtsgrundlage, Empfänger, Aufbewahrungsfristen und technischer Maßnahmen.
Technische und organisatorische Maßnahmen Art. 32 Geeignete Maßnahmen im Verhältnis zum Risiko, etwa Pseudonymisierung und Verschlüsselung, mit regelmäßiger Überprüfung der Wirksamkeit Dokumentieren, verwalten und bewerten Sie die Maßnahmen nach Artikel 32. Die Verknüpfung mit dem ISMS hält technische und organisatorische Zusammenhänge nachvollziehbar.
Meldung einer Verletzung Art. 33 Unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde, wenn Rechte und Freiheiten betroffen sein können Der Meldeweg samt Verantwortlichen und Fristen ist im selben Modell hinterlegt wie die betroffene Verarbeitung. Export-Funktionen liefern die Unterlagen für die Behörde.
Datenschutz-Folgenabschätzung Art. 35 Erforderlich bei voraussichtlich hohem Risiko, etwa bei automatisierten Entscheidungen, umfangreicher Verarbeitung besonderer Kategorien oder systematischer Überwachung öffentlicher Bereiche CRISAM® unterstützt Schwellwertanalysen, Risikobewertungen und die Erstellung vollständiger Berichte nach Artikel 35. Risiken werden strukturiert bewertet und nachvollziehbar dokumentiert.
Datenschutzbeauftragter Art. 37 ff. Verpflichtend bei Behörden und öffentlichen Stellen sowie bei umfangreicher systematischer Überwachung oder umfangreicher Verarbeitung besonderer Kategorien Verantwortlichkeiten sind je Verarbeitung hinterlegt. Integrierte Workflows sorgen für klare Zuständigkeiten, Fristenkontrolle und Transparenz über den Umsetzungsstatus.
Umsetzung

DSGVO umsetzen, Schritt für Schritt

Vom Verarbeitungsverzeichnis bis zu den Berichten, die eine Aufsichtsbehörde anfordert.

Zweck, Rechtsgrundlage, Datenkategorien, Empfänger und Fristen: Alle Angaben nach Artikel 30 erfassen Sie in einem strukturierten Formular statt in einer Tabelle.

CRISAM® Bericht VerarbeitungsverzeichnisBeispielwerte
☰Risk AG/ ISMS und DSMS Musterprojekt↷?

Verzeichnis von Verarbeitungstätigkeiten

Im Verzeichnis von Verarbeitungstätigkeiten werden die Inhalte gemäß Art. 30 DSGVO dargestellt: Beschreibung, Rechtsgrundlage, Zweck, Speicherdauer und Löschfrist, Datenkategorien, Empfänger und Auftragsverarbeiter je Verarbeitungstätigkeit.

Bewerbermanagement
BeschreibungBearbeitung von Bewerbungen, Durchführung von Auswahlverfahren, Kommunikation mit Bewerberinnen und Bewerbern sowie Dokumentation des Bewerbungsprozesses.
RechtsgrundlageEinwilligung, Rechtliche Verpflichtung, Vertrag
ZweckVerwaltung von Bewerbungen und Auswahl geeigneter Kandidaten
Speicherdauer6 Monate nach Abschluss des Verfahrens, bei Evidenzhaltung mit Einwilligung bis zu 1 Jahr
LöschfristNach Ende der Speicherdauer
Art der VerarbeitungElektronisch, Papierakte
BetroffeneBewerber (Personal)
Profiling
DatenanwendungenBewerberportal, Bürosoftware, Telefonie
Auftragsverarbeiter
NameKategorieVereinbarung abgeschlossen
Auftragsverarbeiter SoftwareentwicklungCloud✓
Cloud-BürosoftwareCloud✓
PersonaldienstleisterDienstleister✓
Risk AGVERZEICHNIS VON VERARBEITUNGSTÄTIGKEITENSeite 5

Die Schwellwertanalyse zeigt, ob eine Folgenabschätzung nötig ist. Ist das der Fall, wird die Verarbeitung strukturiert bewertet und nachvollziehbar dokumentiert.

CRISAM® SchwellwertanalyseBeispielwerte
☰Risk AG/ ISMS und DSMS Musterprojekt↷?

Verarbeitungstätigkeiten: Schwellwertanalyse

In diesem Kapitel erhalten Sie eine Übersicht, für welche Verarbeitungstätigkeiten eine Datenschutz-Folgenabschätzung erforderlich ist und für welche eine durchgeführt wurde.

NameArt. 35 DSGVOG29BlacklistWhitelistSonstiges hohes RisikoDSFA erforderlichDSFA durchgeführtAnzahl Risiken
Bewerbermanagement1
Leistungsbeurteilung✓✓✓✓✓1
Kundenverwaltung (CRM)1
Lohnverrechnung1
Kundenbindungsprogramm0
Gehaltsabrechnung✓✓✓1
Personalverwaltung0
Social-Media-Nutzung✓✓✓✓✓2
Videoüberwachung Standort0
Zutrittskontrolle Standort0
Risk AGSCHWELLWERTANALYSE UND DSFASeite 5

Die technischen und organisatorischen Maßnahmen sind direkt mit der Verarbeitung verknüpft, für die sie gelten, statt als Anlage im Vertragsordner zu liegen. Mit den Objekten im ISMS sind sie verknüpft.

CRISAM® MaßnahmenBeispielwerte
☰Risk AG/ ISMS und DSMS Musterprojekt↷?
VerantwortlichMaßnahmen
nicht zugeordnet149
Datenschutz27
IT-Betrieb16
Personal, Facility5
Status
  • Neu158
  • Nicht begonnen12
  • Genehmigt9
  • In Bearbeitung7
  • Nicht genehmigt7
  • Zurückgestellt4
Kategorie
  • Technisch78
  • Organisatorisch61
  • Org. und techn.58
NameKategorieVerantwortlichPrioritätStatus
⚲⚲⚲⚲⚲
ZugriffsprotokollierungOrganisatorisch und technischIT-BetriebHoch In Bearbeitung
Rollenbasierte ZugriffsrechteOrganisatorisch und technischIT-BetriebMittel Neu
AnonymisierungTechnischDatenschutzGeringNeu
AuftragsverarbeitungsvertragOrganisatorischMittel Neu
Automatische SicherheitsupdatesTechnischIT-BetriebMittel Neu
BesucherregelungOrganisatorischFacilityMittel Neu
Clean-Desk-PolicyOrganisatorischPersonalMittel Nicht begonnen
Clear-Screen-PolicyOrganisatorisch und technischIT-BetriebMittel Nicht begonnen
Data Loss PreventionTechnischDatenschutzMittel Neu
Anzahl = 197

Jeder Dienstleister mit Zugriff auf personenbezogene Daten braucht einen Vertrag. Bei Übermittlungen in Drittländer werden zusätzlich Garantien und Rechtsgrundlage erfasst.

CRISAM® Prüffragen-BewertungBeispielwerte
☰Risk AG/ ISMS und DSMS Musterprojekt↷?
ÜbersichtHilfe
Übersicht Prüffragen Abweichung
  • Kein Wert91,23 %
  • Erfüllt3,84 %
  • Geringe Abweichung2,33 %
  • Mittlere Abweichung1,37 %
  • Übererfüllt0,68 %
  • Hohe Abweichung0,55 %
Objektabweichungen
ObjekteBausteinStatusAbweichung
Auftragsverarbeiter MarketingAuftragsverarbeiterNeuUnvollständig bewertet
Auftragsverarbeiter SoftwareentwicklungAuftragsverarbeiterIn BearbeitungMittlere Abweichung
BewerbermanagementVerarbeitungstätigkeitIn BearbeitungUnvollständig bewertet
Datenschutz-Managementsystem (ISO 27701)Datenschutz-ManagementsystemIn BearbeitungGroße Abweichung
DatenschutzkoordinationDatenschutzkoordinatorIn BearbeitungGroße Abweichung
Objekte und Prüffragenerfüllung
ObjektNr.PrüffrageErfüllungAbweichung
Auftragsverarbeiter Marketing10Wie wurden Verantwortungen, Aufgaben und Verpflichtungen zwischen Verantwortlichem und Auftragsverarbeiter geregelt?LeerKein Wert
Auftragsverarbeiter Softwareentwicklung30Wie erfolgt die Überprüfung der Sicherheit, Zuverlässigkeit und Qualifikation des Auftragsverarbeiters vor der Beauftragung?DMittlere Abweichung
Auftragsverarbeiter Softwareentwicklung40Wie erfolgt die zyklische Überprüfung der Sicherheit, Zuverlässigkeit und Qualifikation des Auftragsverarbeiters?BErfüllt
Anzahl = 730

Speicherdauer und Löschfrist sind je Verarbeitungstätigkeit hinterlegt. Der Bericht listet sie gesammelt auf, statt sie in einem eigenen Löschkonzept zu führen.

CRISAM® Bericht VerarbeitungsverzeichnisBeispielwerte
☰Risk AG/ ISMS und DSMS Musterprojekt↷?

Speicherdauern

Dieses Kapitel listet alle ausgewählten Verarbeitungstätigkeiten alphabetisch auf, inklusive Speicherdauer und Löschfrist.

Betrieb und Support eines Vertragsmanagementsystems (SaaS)
SpeicherdauerNach Beendigung des Auftrags werden die Daten gemäß Weisung des Verantwortlichen gelöscht oder zurückgegeben, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
LöschfristNach Beendigung des Auftrags gemäß Weisung des Verantwortlichen.
Leistungsbeurteilung
Speicherdauer1 Jahr
LöschfristNach Ende der Speicherdauer
Bewerbermanagement
Speicherdauer6+1 Monate (Gleichbehandlungsgesetz), bei Evidenzhaltung mit Einwilligung darüber hinaus 1 Jahr. Bei aufrechtem Dienstverhältnis bis zum Austritt.
LöschfristNach Ende der Speicherdauer
Externe Lohn- und Gehaltsabrechnung für Auftraggeber
SpeicherdauerSteuerlich relevante Daten: 7 Jahre gemäß § 132 BAO und UGB. Sozialversicherungsunterlagen: 7 Jahre. Arbeitszeitaufzeichnungen: 2 Jahre.
LöschfristLöschung oder Anonymisierung, sobald die Daten für die Abrechnung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten mehr bestehen.
Risk AGVERZEICHNIS VON VERARBEITUNGSTÄTIGKEITENSeite 7

Am Ende stehen die Berichte, die eine Aufsichtsbehörde oder ein Kunde anfordert. Sie werden direkt aus dem Modell erstellt, statt aus verstreuten Ordnern zusammengesucht zu werden.

CRISAM® Bericht technische und organisatorische MaßnahmenBeispielwerte
☰Risk AG/ ISMS und DSMS Musterprojekt↷?

Übersicht der Maßnahmen

Die folgende Liste gibt einen Überblick über alle Maßnahmen. Die Maßnahmen sind nach Oberkategorie gruppiert und nach Priorität und Name sortiert.

Arbeitsplatzsicherheit
PrioritätMaßnahmeVerantwortlichLaufendStatusKategorie
MittelVerbot privater Geräte (BYOD-Regelung)-NeuOrganisatorisch
MittelBesucherregelungFacilityNeuOrganisatorisch
MittelClean-Desk-PolicyPersonal✓Nicht begonnenOrganisatorisch
MittelClear-Screen-PolicyIT-Betrieb✓Nicht begonnenOrganisatorisch und technisch
Schutz vor Shoulder Surfing-In BearbeitungOrganisatorisch
Audit und Compliance
PrioritätMaßnahmeVerantwortlichLaufendStatusKategorie
Regelmäßige Überprüfung der Sicherheitsmaßnahmen-NeuOrganisatorisch
Regelmäßige IT-Sicherheitsaudits-NeuOrganisatorisch
Sicherheitszertifizierungen-NeuOrganisatorisch
Awareness und Compliance
PrioritätMaßnahmeVerantwortlichLaufendStatusKategorie
Regelmäßige Datenschutz-Schulungen-NeuOrganisatorisch
Risk AGTOMS BERICHTSeite 3
Datenschutzbeauftragte

Verzeichnis, Folgenabschätzungen, Betroffenenanfragen, Berichterstattung.

Geschäftsführung

Rechenschaftspflicht, Ressourcen, Freigabe von Verarbeitungen mit hohem Risiko.

IT-Betrieb und Informationssicherheit

Technische Maßnahmen, Protokollierung, Löschung, Verknüpfung mit dem ISMS.

Einkauf und Fachbereiche

Verträge über Auftragsverarbeitung, Auskunft über Verarbeitungen im Tagesgeschäft.

Multi-Compliance

Einmal erheben, mehrfach nutzen

Datenschutz und Informationssicherheit verlangen vielfach dieselben Maßnahmen, nur aus unterschiedlichen Blickwinkeln. CRISAM® integriert den Datenschutz in die GRC-Plattform, sodass Risiken, Kontrollen, Maßnahmen und Compliance-Anforderungen werden gemeinsam betrachtet.

Eine Maßnahme, zwei Nachweise

Die Verknüpfung mit dem ISMS stellt sicher, dass technische und organisatorische Zusammenhänge jederzeit nachvollziehbar bleiben und nicht doppelt gepflegt werden müssen.

Auch ISO 27701 und ISO 29151

Neben der DSGVO lassen sich internationale Standards wie ISO 27701 und ISO 29151 abdecken und auswerten.

AI-Systeme im selben Modell

Verarbeitet ein AI-System personenbezogene Daten, gehört es in beide Verzeichnisse. In CRISAM® werden die beiden Objekte miteinander verknüpft.

Berichte statt Sammelordner

Automatisierte Berichte zu Verzeichnis, Folgenabschätzungen, Maßnahmen und Betroffenenanfragen, dazu Export-Funktionen für Audits, Management und externe Prüfungen.

Abgrenzung

DSGVO und NIS2: zwei Meldewege, zwei Behörden

Ein Sicherheitsvorfall kann beide Meldepflichten gleichzeitig auslösen. Die DSGVO verlangt nach Artikel 33 eine Meldung an die Datenschutzbehörde, unverzüglich und möglichst binnen 72 Stunden. NIS2 verlangt eine Frühwarnung binnen 24 Stunden und eine vollständige Meldung binnen 72 Stunden an eine andere Stelle. Wer nur einen der beiden Wege kennt, riskiert, zu spät oder an die falsche Stelle zu melden.

Kriterium DSGVO NIS2
Rechtsakt Verordnung (EU) 2016/679, unmittelbar geltend Richtlinie (EU) 2022/2555, über nationales Recht
Schutzgut Rechte und Freiheiten natürlicher Personen Funktionsfähigkeit wesentlicher und wichtiger Einrichtungen
Wer betroffen ist Jede Stelle, die personenbezogene Daten verarbeitet Einrichtungen aus 18 Sektoren ab mittlerer Größe
Auslöser der Meldung Verletzung des Schutzes personenbezogener Daten Erheblicher Sicherheitsvorfall, auch ohne Personenbezug
Frist Unverzüglich und möglichst binnen 72 Stunden Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden
Empfänger Zuständige Datenschutzbehörde In Deutschland das BSI-Portal, in Österreich die NIS2-Meldeplattform von CERT.at
Abbildung in CRISAM® Verarbeitung, Risiko, Maßnahmen und Meldeweg im DPMS Vorfall, Einstufung und Meldekette im ISMS

Warum das zusammengehört

Ein verschlüsseltes Kundensystem nach einem Angriff ist beides: ein erheblicher Sicherheitsvorfall und eine Verletzung des Schutzes personenbezogener Daten. In CRISAM® ist der Vorfall mit denselben Objekten verknüpft wie die betroffenen Verarbeitungen. So lassen sich beide Meldewege aus einer Erhebung bedienen. Was für NIS2 gilt, steht auf der eigenen Seite. Eine Übersicht aller Regelwerke, die CRISAM® abdeckt, finden Sie unter Normen und Standards.

Wissen zum Thema

Sehen Sie die Plattform im Einsatz

Ein Kurs zum Selbststudium, eine Schulung mit Trainerin oder Trainer und der zugehörige Inhaltskatalog.

CRISAM® Bildwelt: vernetzter Globus
Academy, E-Learning

Datenschutzmanagement

Verzeichnis, Folgenabschätzung und Maßnahmen in CRISAM®, im eigenen Tempo.

Zum Kurs
CRISAM® Bildwelt: vernetzte Datenpunkte
Schulung, Online

CRISAM® Intermediate IRM und DSMS

Risikomanagement und Datenschutzmanagement im Zusammenspiel, mit Trainerin oder Trainer.

Termine ansehen
Unterlagen

DSGVO Knowledge Pack

Der Inhaltskatalog, auf dessen Basis Sie in CRISAM® bewerten. Dazu alle Termine, Kurse und Produktunterlagen im Überblick.

Zum Knowledge Pack
AcademyDownloadcenter
Der Einstieg

So starten Sie mit CRISAM®

Der erste Schritt hängt davon ab, wo Sie heute stehen.

Ausgangslage A

Das Verzeichnis liegt in einer Tabelle

Sie beginnen mit dem Import. Zweck, Rechtsgrundlage, Empfänger und Fristen werden übernommen. Was bisher in Tabellenspalten stand, ist danach als auswertbares Objekt im System hinterlegt.

Ausgangslage B

Die Folgenabschätzungen fehlen

Am Anfang steht die Schwellwertanalyse. Sie zeigt, welche Verarbeitungen eine Folgenabschätzung brauchen. Daraus entstehen strukturierte Bewertungen statt freier Textdokumente.

Sie benötigen dafür die CRISAM® GRC Plattform und das CRISAM® DPMS Modul. In der Demo besprechen wir Ihre Ausgangslage und zeigen, was davon bei Ihnen bereits vorhanden ist.

Demo vereinbaren
Häufige Fragen

Häufige Fragen zu DSGVO

  • Die DSGVO ist die Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten. Sie verpflichtet Verantwortliche unter anderem dazu, ein Verzeichnis von Verarbeitungstätigkeiten zu führen, geeignete technische und organisatorische Maßnahmen zu treffen, bei hohem Risiko eine Datenschutz-Folgenabschätzung durchzuführen, Verletzungen zu melden und die Einhaltung jederzeit nachweisen zu können.

  • Die Datenschutzbehörde nennt unter anderem: ein Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30, geeignete technische und organisatorische Maßnahmen nach Artikel 32, eine Datenschutz-Folgenabschätzung nach Artikel 35 bei hohem Risiko, die Meldung von Verletzungen nach Artikel 33, die Bestellung eines Datenschutzbeauftragten nach Artikel 37 ff., die Erfüllung der Betroffenenrechte nach Artikel 12 ff., einen Vertrag mit Auftragsverarbeitern nach Artikel 28 sowie die Rechenschaftspflicht nach Artikel 5 Absatz 2 und Artikel 24.

  • Nach Artikel 33 unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt geworden ist, sofern Rechte und Freiheiten betroffener Personen betroffen sein können. Die Meldung geht an die zuständige Datenschutzbehörde.

  • Nach Artikel 35 bei einer Verarbeitung mit voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen. Die Datenschutzbehörde nennt als Beispiele automatisierte Entscheidungsfindung, die umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten und die systematische Überwachung öffentlich zugänglicher Bereiche. Zusätzlich gibt es nationale Black- und Whitelists der Aufsichtsbehörden.

  • Ein Sicherheitsvorfall kann beide Meldepflichten gleichzeitig auslösen. Die DSGVO verlangt nach Artikel 33 eine Meldung an die Datenschutzbehörde, unverzüglich und möglichst binnen 72 Stunden. NIS2 verlangt eine Frühwarnung binnen 24 Stunden und eine vollständige Meldung binnen 72 Stunden an eine andere Stelle. Wer nur einen der beiden Wege kennt, riskiert, zu spät oder an die falsche Stelle zu melden.

  • Nach Artikel 5 Absatz 2 und Artikel 24 müssen Verantwortliche die Einhaltung der Grundsätze nachweisen können. Es genügt nicht, die Vorgaben einzuhalten, die Einhaltung muss belegbar dokumentiert sein. In der Prüfung zählt deshalb vor allem, ob sich die Einhaltung belegen lässt.

  • Entscheidend ist, ob Verzeichnis, Risiken, Maßnahmen und Nachweise in einem gemeinsamen Modell verknüpft sind oder in getrennten Dateien liegen. CRISAM® führt ein vollständiges Verzeichnis nach Artikel 30 inklusive Zweck, Rechtsgrundlage, Empfänger, Aufbewahrungsfristen und technischer Maßnahmen, unterstützt Schwellwertanalysen und Folgenabschätzungen nach Artikel 35 und dokumentiert Auftragsverarbeiter samt Vertragsstatus und Prüfergebnissen.

  • Ja, und das vermeidet doppelte Pflege. Die technischen und organisatorischen Maßnahmen nach Artikel 32 sind weitgehend dieselben, die ein Informationssicherheits-Managementsystem ohnehin verlangt. Die Verknüpfung mit dem ISMS stellt sicher, dass technische und organisatorische Zusammenhänge jederzeit nachvollziehbar bleiben. Neben der DSGVO lassen sich internationale Standards wie ISO 27701 und ISO 29151 abdecken und auswerten.

Belege

Quellen und Stand

Die regulatorischen Angaben auf dieser Seite stammen aus den folgenden Quellen.

  • Verordnung (EU) 2016/679 vom 27. April 2016, Datenschutz-Grundverordnung, Volltext auf EUR-LexRechtsakt
  • Datenschutzbehörde Österreich, Ihre Pflichten als Verantwortliche oder VerantwortlicherPflichten
  • Datenschutzbehörde Österreich, Data-Breach-VerfahrenMeldung
  • Bundesbeauftragter für den Datenschutz und die Informationsfreiheit, Meldung von DatenschutzverstößenMeldung Deutschland

Die Angaben geben den Stand der genannten Quellen zum oben angeführten Prüfstand wieder.

Nächster Schritt

Die Unterlagen sind vorhanden. Nur nicht an einer Stelle.

In der Demo gehen wir Ihren Fall durch: Verzeichnis, Schwellwertanalyse, Maßnahmen, Auftragsverarbeiter und die fertigen Berichte.

Demo vereinbaren

Bleiben wir in Kontakt

Telefonsymbol in grün für Kontaktaufnahme.

Telefon

+43 732 601 216-0

Umschlag-Icon in grün, das den Versand von E-Mails symbolisiert.

E-Mail

office@crisam.net

Papierflieger in grün für Newsletter.

Newsletter

Jetzt anmelden

CRISAM GRC Bannerbild
Crisam Logo

CALPANA business consulting GmbH

Blumauerstraße 45-47

4020 Linz, Austria

+43 732 601 216-0 office@crisam.net

CALPANA business consulting Deutschland GmbH

Paul-Dessau-Straße 1

22761 Hamburg, Germany

+49 40 35 98 29 21 office@crisam.net

CALPANA business consulting GmbH

Blumauerstraße 45-47

4020 Linz, Austria

+43 732 601 216-0 office@crisam.net

CALPANA business consulting Deutschland GmbH

Paul-Dessau-Straße 1

22761 Hamburg, Germany

+49 40 35 98 29 21 office@crisam.net
CRISAM®
  • Was ist CRISAM®
  • CRISAM® Methode
  • CRISAM® Content
  • Kunden
  • Academy
  • Webinare
  • Events
  • CRISAM® Academy
Einsatzbereiche
  • Integrated Risk Management
  • Information Security Management
  • CRISAM® AI
  • ESG
  • Datenschutzmanagement
  • Internes Kontrollsystem & Audit Management
  • Compliance Management
  • Business Continuity Management
  • Tax Compliance Management System
  • Projekt Risiko Management
  • CRISAM® Supply Chain Security Monitoring
  • Rechtskataster
  • Conflicts of Interest Software
  • CRISAM® Legal Hold Software
Branchen
  • Automobil
  • Energie
  • Fertigung
  • Finanzen
  • Gesundheit
  • Handel
  • Immobilien- & Baubranche
  • Rundfunk & Telekommunikation
  • Technologie
  • Transport & Logistik
Mehr
  • Downloadcenter
  • Academy
  • Webinare
  • CRISAM® Partner
  • Jobs
  • News
  • Trustcenter
  • Kontakt

© 2026 CALPANA business consulting GmbH. Alle Rechte vorbehalten.

  • Impressum
  • Datenschutz
  • Trustcenter
linkedin
xing
Chartis Research Category LeaderChartis RiskTech Quadrant® für GRC Analytics 2025

Die Anmeldung schließen Sie auf der nächsten Seite ab. Abmeldung jederzeit möglich.

Bitte geben Sie eine gültige E-Mail-Adresse ein.

Lösungen

  • Risikomanagement
  • Information & Cyber Security (ISMS)
  • Internes Kontrollsystem
  • Compliance Management
  • Alle Lösungen

Plattform

  • Plattform im Überblick
  • CRISAM® AI
  • Reporting
  • Normen und Standards

Ressourcen

  • Success Stories
  • News
  • Webinare
  • Events
  • Karriere

Kontakt

  • Österreich+43 732 601 216-0
  • Deutschland+49 40 35 98 29 21
  • E-Mailoffice@crisam.net
Live-Demo buchen

© 2026 CALPANA business consulting GmbH. Alle Rechte vorbehalten.

CALPANA business consulting GmbH, Blumauerstraße 45-47, 4020 Linz, Österreich

CALPANA business consulting Deutschland GmbH, Paul-Dessau-Straße 1, 22761 Hamburg, Deutschland

  • Impressum
  • Datenschutz
  • Trustcenter
  • Cookie-Einstellungen
  • GGovernanceStrategie & Ziele

    • Strategic Management
    • Lean Management Systems
    • GRC Twins
    • Decision Intelligence
    • Policy Management

    Überblick

    Alle Lösungen auf einer Plattform

    Alle Lösungen ansehen

    RRiskRisiko & Resilienz

    • Integriertes Risikomanagement (IRM)
    • Projekt-Risikomanagement
    • Information & Cyber Security (ISMS)
    • Business Continuity Management (BCM)
    • Supply Chain Security

    CComplianceCompliance & Regulatorik

    • Rechtskataster
    • Datenschutzmanagement (DSMS)
    • AI-Management System
    • ESG-Management
    • Internes Kontrollsystem (IKS)
    • Audit Management
    • Compliance Management
    • Tax Compliance (TCMS)
    • Legal Hold
    • Conflicts of Interest
  • Funktionen

    • CRISAM® Plattform im Überblick
    • Reporting
    • Integrationen
    • CRISAM® Methode
    • Content
    • Einführung & Implementierung
    • Trust Center

    Regulatorik & Frameworks

    • DORA
    • NIS-2
    • ISO/IEC 27001
    • DSGVO
    • EU AI Act
    • CSRD
    • TISAX
    • ISO 22301
    Alle abgedeckten Normen und Standards

    Featured

    CRISAM® AI

    AI Risk Intelligence und AI Risk Assistance erkennen Risiken früh und schlagen Maßnahmen vor.

    Zu CRISAM® AI
  • Branchen

    • Finanzdienstleister
    • Gesundheitswesen
    • Energie & Versorger
    • Öffentlicher Sektor
    • Automobilindustrie
    • Industrie & Produktion
    • Transport & Logistik
    • Handel & Konsumgüter
    • Immobilien & Bau
    • Rundfunk & Telekommunikation
    • Technologie

    Teams

    • Risikomanagement
    • CFO & CRO
    • CISO & ISMS-Verantwortliche
    • CIO
    • Compliance
    • Interne Revision & IKS
    • Datenschutzbeauftragte
    • ESG & Nachhaltigkeit
    • KI-Beauftragte

    Kunden

    • Success Stories

    Success Story

    Vossloh

    Vossloh

    Wie die Vossloh AG CRISAM® GRC einführt, um die Anforderungen des IDW PS 340 n.F. zu erfüllen.

    Zur Story
  • Über CRISAM®

    • Wer wir sind
    • Karriere
    • Kontakt

    Partner

    • CRISAM® Partner
    • Beratung Calpana
    • Partner werden
  • Ressourcen

    • News
    • Download-Center
    • Academy

    Events

    • Events
    • Webinare

    Nächster Termin

    it-sa 2026

    27. bis 29.10.2026, Messezentrum Nürnberg

    Zum Event
DE Login
Live-Demo buchen
Live-Demo buchen
#RISK Meet CRISAM® at #RISK Expo Europe, ExCeL London, 10 to 11 November, Stand 13. Learn more