¶ Datenschutzziele
Beispieldokument: Diese Seite enthält eine Methode und mögliche Musterziele für die fiktive „Muster GmbH“. Zielwerte, Ausgangswerte, Termine, Verantwortliche und Ergebnisse wurden nicht organisationsbezogen festgelegt oder erfunden.
Aussagegrenze: Ein formuliertes Ziel, eine Kennzahl oder ein grünes Symbol belegt weder Umsetzung noch Zielerreichung oder Wirksamkeit. Ohne freigegebenen Zielwert, belastbare Messdaten und fachlich geprüfte Nachweise bleibt der Status „nicht bewertbar“.
Datenschutzregel: Kennzahlen werden so gestaltet, dass keine unnötigen personenbezogenen Leistungs- oder Verhaltensprofile entstehen. Detaildaten und Einzelfälle werden geschützt ausgewertet.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-ZIE-01-04 |
| Dokumentenart | Zielsystem und Zielregister |
| Wiki.js-Pfad | /DSGVO/01-Governance-und-Organisation/Datenschutzziele |
| Verantwortlich | Geschäftsführung / festzulegender Verantwortlicher |
| Dokumentenpflege | Datenschutzkoordination |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Prozesseigner, ISMS, Recht und Controlling |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung |
| Status | Entwurf – keine organisationsbezogenen Ziele, Zielwerte, Messdaten oder Zielerreichungen freigegeben |
| Version | 0.2 |
| Stand | 09.08.2026 |
| Gültig ab | Nach fachlicher Prüfung und formaler Freigabe des Zielsystems |
| Nächste Prüfung | Mindestens quartalsweise im Zielmonitoring und jährlich im Gesamtprozess sowie anlassbezogen |
| Schutzklasse | Intern; personenbezogene Detailauswertungen und Einzelfalldaten in geschützter Ablage |
| DSGVO-Bezug | Insbesondere Artikel 5 Absatz 2, Artikel 24, 25, 30, 32, 33 bis 35 und 39 DSGVO |
| Nationaler Bezug | BDSG sowie weitere anwendbare nationale und bereichsspezifische Vorschriften |
| Schnittstellen | Datenschutzleitlinie, Rollen, VVT, Betroffenenrechte, DSFA, TOM, Schulung, Kontrollen und Managementbewertung |
Von der Datenschutzleitlinie über messbare Ziele und belastbare Messdaten zu gesteuerten Verbesserungen. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck
Datenschutzziele übersetzen die Datenschutzleitlinie in überprüfbare Ergebnisse. Sie sollen:
- die Einhaltung der Datenschutzgrundsätze und Rechenschaftspflicht unterstützen,
- wesentliche Datenschutzrisiken und Verbesserungsbedarfe priorisieren,
- Verantwortlichkeiten, Ressourcen und Termine transparent machen,
- Fortschritt anhand belastbarer Daten beurteilen,
- Abweichungen frühzeitig erkennen und behandeln,
- der Geschäftsleitung eine sachgerechte Steuerung ermöglichen,
- kontinuierliche Verbesserung belegen, ohne Scheinerfüllung zu erzeugen.
¶ 1.1 Rechtliche Einordnung
Die DSGVO schreibt kein bestimmtes Formular, Zielregister oder formalisiertes Verfahren mit der Bezeichnung „Datenschutzziele“ vor. Der Verantwortliche muss jedoch die Datenschutzgrundsätze einhalten und deren Einhaltung nachweisen können sowie geeignete technische und organisatorische Maßnahmen risikogerecht auswählen, überprüfen und aktualisieren. Ein Zielsystem kann diese Führungs- und Rechenschaftsaufgaben unterstützen.
Datenschutzziele sind deshalb:
- ein freiwilliges Steuerungsinstrument für priorisierte Verbesserungen,
- kein Ersatz für unmittelbar geltende gesetzliche Pflichten,
- kein Beweis der DSGVO-Konformität allein durch das Vorhandensein von Kennzahlen,
- keine automatische Übernahme von ISO-Zielsystemen ohne datenschutzrechtliche Bewertung,
- organisations- und risikobezogen festzulegen.
Gesetzliche Fristen oder Verbote werden nicht als frei verhandelbare Zielwerte behandelt. Ein Ziel wie „Betroffenenanfragen überwiegend fristgerecht beantworten“ wäre ungeeignet, wenn es eine gesetzliche Frist relativiert.
¶ 2. Grundsätze des Zielsystems
- Aus Leitlinie und Risiken abgeleitet: Ziele werden nicht isoliert festgelegt, sondern aus Geltungsbereich, Verarbeitungen, Rechtsanforderungen, Risiken, Vorfällen, Beschwerden, Audits und Managemententscheidungen abgeleitet.
- Messbar und verständlich: Ziel, Kennzahl, Messmethode, Datenquelle, Zeitraum und Zielwert sind eindeutig.
- Beeinflussbar: Die verantwortliche Rolle besitzt angemessene Befugnisse und Ressourcen.
- Keine Scheinpräzision: Ein prozentgenauer Wert wird nur verwendet, wenn Grundgesamtheit und Datenqualität belastbar sind.
- Status getrennt: Geplant, freigegeben, in Umsetzung, gemessen, erreicht und wirksam sind unterschiedliche Aussagen.
- Datensparsame Messung: Personenbezogene Detaildaten werden nur erhoben, wenn dies erforderlich und rechtmäßig ist.
- Abweichungen sichtbar: Fehlende Daten, unvollständige Grundgesamtheiten und Messfehler werden nicht als positive Ergebnisse interpretiert.
- Verbesserungsorientiert: Ziele fördern nachhaltige Prozesse und nicht nur kurzfristige Zahlenoptimierung.
¶ 2.1 Zielhierarchie
| Zielebene | Zeithorizont | Beispielhafte Wirkung | Steuerung |
|---|---|---|---|
| strategisches Datenschutzziel | meist jährlich oder mehrjährig | Datenschutz wird frühzeitig und risikogerecht in Geschäftsentscheidungen integriert | Geschäftsleitung, Datenschutzstrategie und Managementbewertung |
| operatives Prozessziel | quartals- oder jahresbezogen | priorisierte VVT-Einträge, Löschregeln oder Dienstleisterprüfungen werden qualitätsgesichert aktualisiert | Prozess-Owner, Maßnahmenplan und Zielbericht |
| Kontroll- oder Wirksamkeitsziel | prüfungs- beziehungsweise testbezogen | ausgewählte TOM, Fristenwege oder Löschmechanismen funktionieren im festgelegten Umfang | Kontrollplan, Test, Feststellung und Wirksamkeitsentscheidung |
Die Ebenen werden miteinander verknüpft. Ein Kontrollziel darf nicht als strategische Datenschutzwirkung ausgegeben werden, wenn nur ein technischer Einzeltest bestanden wurde.
¶ 3. Zielprozess
- Ausgangslage, Risiken, Anforderungen und Stakeholdererwartungen ermitteln.
- priorisierte Zielthemen und beabsichtigte Wirkung festlegen.
- Ausgangswert und Datenqualität bestimmen.
- Zielwert, Toleranz, Termin und Messintervall definieren.
- Owner, Beteiligte, Ressourcen und Maßnahmen festlegen.
- Datenschutzbeauftragte und betroffene Fachrollen beratend einbinden.
- Ziel und Messmethode durch die befugte Leitung freigeben.
- Maßnahmen umsetzen und Nachweise geschützt erfassen.
- Kennzahl nach festgelegter Methode messen und fachlich prüfen.
- Abweichungen, Ursachen und Risiken bewerten.
- Korrektur- oder Verbesserungsmaßnahmen beschließen und nachverfolgen.
- Zielerreichung und Wirksamkeit getrennt bewerten.
- Ergebnis in Managementbewertung und nächste Zielplanung übernehmen.
¶ 4. Pflichtfelder je Datenschutzziel
| Feld | Mindestanforderung |
|---|---|
| Ziel-ID und Titel | eindeutige Kennung und verständliche Kurzbezeichnung |
| Zielbegründung | Bezug zu Leitlinie, DSGVO-Grundsatz, Risiko, Feststellung oder Verbesserung |
| Geltungsbereich | Rechtsträger, Prozesse, Standorte, Systeme und betroffene Verarbeitungen |
| gewünschte Wirkung | konkrete Veränderung für Datenschutz und betroffene Personen |
| Kennzahl | eindeutig definierte Messgröße |
| Berechnungsregel | Zähler, Nenner, Einheiten, Ein- und Ausschlüsse sowie Rundung |
| Datenquelle | führendes Register, System oder kontrollierter Nachweis |
| Ausgangswert | fachlich geprüfter Wert mit Stichtag und Datenqualität |
| Zielwert und Toleranz | freigegebener Sollwert und zulässiger Bereich |
| Termin und Messintervall | Zieltermin, Stichtag und Wiederholungsrhythmus |
| Ziel-Owner | eine eindeutig verantwortliche Rolle |
| Maßnahmen und Ressourcen | Aktivitäten, Verantwortliche, Budget, Zeit und Abhängigkeiten |
| Schutz und Zugriff | Schutzklasse der Mess- und Einzelfalldaten |
| Status | Entwurf, freigegeben, in Umsetzung, gemessen, erreicht, verfehlt oder archiviert |
| Wirksamkeitsbewertung | fachliche Bewertung, ob die beabsichtigte Wirkung eingetreten ist |
| Freigabe und Review | entscheidende Rolle, Datum, Prüfer und nächster Termin |
¶ 4.1 Interaktiver Zielqualitätscheck
Der folgende Check dient ausschließlich dazu, einen Zielentwurf vor der fachlichen und formalen Prüfung auf Vollständigkeit zu prüfen. Die Auswahl bleibt im Browser, wird nicht gespeichert oder übertragen und bewertet weder Rechtmäßigkeit noch Zielerreichung.
¶ 5. Muster-Zielkatalog
Nur Arbeitsvorschläge: Die folgenden Ziele enthalten bewusst keine erfundenen Zielwerte oder positiven Ergebnisse. Vor Nutzung sind Relevanz, Grundgesamtheit, Ausgangswert, Messmethode und Risikobezug organisationsbezogen zu prüfen.
| Muster-ID | Zielthema | mögliche Kennzahl | Zielwert | Status im Muster |
|---|---|---|---|---|
| DS-Z-01 | VVT vollständig und aktuell halten | Anteil der geprüften relevanten Verarbeitungen mit freigegebenem aktuellem VVT-Eintrag | [festzulegen] |
nicht bewertbar |
| DS-Z-02 | Rechtsgrundlagen und Informationspflichten absichern | Anteil geprüfter Verarbeitungen mit bestätigter Rechtsgrundlage und zugeordneter aktueller Information | [festzulegen] |
nicht bewertbar |
| DS-Z-03 | Betroffenenanfragen fristgerecht und qualitätsgesichert bearbeiten | Anteil abgeschlossener Anfragen innerhalb der anwendbaren Frist und ohne wesentliche Qualitätsabweichung | [festzulegen] |
nicht bewertbar |
| DS-Z-04 | Datenschutzverletzungen rechtzeitig erkennen und bewerten | Anteil fristkritischer Verdachtsfälle mit dokumentiertem Eingang, Erstbewertung und Entscheidung | [festzulegen] |
nicht bewertbar |
| DS-Z-05 | DSFA-Screening vor risikoreichen Änderungen durchführen | Anteil relevanter Projekte und Änderungen mit dokumentiertem Screening vor Produktivsetzung | [festzulegen] |
nicht bewertbar |
| DS-Z-06 | Datenschutz bei Dienstleistern sicherstellen | Anteil relevanter Auftragsverarbeiter mit aktuellem Vertrag, TOM-Prüfung und Unterauftragnehmerstatus | [festzulegen] |
nicht bewertbar |
| DS-Z-07 | Lösch- und Aufbewahrungsregeln wirksam umsetzen | Anteil priorisierter Datenbestände mit freigegebener Regel und nachgewiesenem Test der Umsetzung | [festzulegen] |
nicht bewertbar |
| DS-Z-08 | Rollenbezogene Schulung verbessern | Anteil der Zielgruppen mit fristgerecht absolvierter Schulung und geeignetem Verständnisnachweis | [festzulegen] |
nicht bewertbar |
| DS-Z-09 | DSB frühzeitig einbinden | Anteil relevanter Vorhaben mit dokumentierter rechtzeitiger DSB-Einbindung | [festzulegen] |
nicht bewertbar |
| DS-Z-10 | Wirksamkeit ausgewählter TOM belegen | Anteil der priorisierten Maßnahmen mit planmäßiger Prüfung und fachlich bewertbarem Ergebnis | [festzulegen] |
nicht bewertbar |
Die Auswahl weniger wesentlicher und steuerbarer Ziele ist häufig aussagekräftiger als eine große Liste nicht gepflegter Kennzahlen.
¶ 5.1 Ausgangswert, Zielwert und Wirkung nicht verwechseln
| Begriff | Frage | Beispielhafte Aussage |
|---|---|---|
| Ausgangswert | Wo stehen wir zum festgelegten Stichtag? | 18 von 30 priorisierten Verarbeitungen besitzen einen fachlich geprüften VVT-Eintrag |
| Zielwert | Welcher messbare Zustand soll bis wann erreicht werden? | der organisationsbezogene Sollwert wird vor Maßnahmenbeginn festgelegt und freigegeben |
| Messwert | Was wurde nach der definierten Methode festgestellt? | Zähler, Nenner, Datenquelle, Stichtag und Datenqualität sind dokumentiert |
| Zielerreichung | Liegt der Messwert innerhalb des freigegebenen Ziel- oder Toleranzbereichs? | erreicht, verfehlt oder nicht bewertbar |
| Wirksamkeit | Ist die beabsichtigte Datenschutzwirkung eingetreten und nachhaltig? | weniger wiederkehrende Qualitätsmängel oder nachweislich funktionierender Prozess |
Ein nachträglich konstruierter Ausgangswert oder ein nach der Messung angepasster Zielwert macht die Bewertung unzuverlässig und wird als methodische Abweichung dokumentiert.
¶ 6. Kennzahlendefinition und Datenqualität
Für jede Kennzahl wird vor der ersten Bewertung festgelegt:
- welche Grundgesamtheit betrachtet wird,
- welche Fälle ein- oder ausgeschlossen werden,
- welcher Zeitraum und Stichtag gelten,
- wie Dubletten, stornierte Vorgänge und offene Fälle behandelt werden,
- aus welcher führenden Quelle die Daten stammen,
- wer Messung und Plausibilitätsprüfung durchführt,
- welche bekannte Datenlücke oder Unsicherheit besteht,
- wie Korrekturen und nachträgliche Änderungen versioniert werden.
Eine Kennzahl wird als „nicht bewertbar“ gekennzeichnet, wenn Grundgesamtheit, Datenquelle, Berechnungsregel oder Datenqualität nicht ausreichen.
¶ 7. Zielstatus und Bewertungslogik
| Status | Bedeutung | Zulässige Aussage |
|---|---|---|
| Entwurf | Ziel ist noch nicht fachlich geprüft oder freigegeben | keine Verbindlichkeit |
| Freigegeben | Zielwert, Owner, Messmethode, Termin und Ressourcen sind bestätigt | Ziel ist verbindlich geplant |
| In Umsetzung | Maßnahmen laufen, aber es liegt noch keine abschließende Messung vor | Fortschritt beschreiben, keine Zielerreichung behaupten |
| Gemessen | Messwert und Datenqualität wurden erfasst und geprüft | Ergebnis liegt vor; Bewertung kann folgen |
| Erreicht | freigegebener Zielwert wurde nach festgelegter Methode erreicht | Zielwert erreicht; Wirksamkeit gesondert prüfen |
| Verfehlt | Zielwert oder Toleranz wurde nicht erreicht | Ursache, Risiko und Maßnahme erforderlich |
| Nicht bewertbar | belastbare Messung ist nicht möglich | Daten- oder Methodiklücke offenlegen |
| Archiviert | Ziel ist beendet und nachvollziehbar abgeschlossen | Historie und Abschlussgrund erhalten |
„Erreicht“ bedeutet nicht automatisch „wirksam“. Beispielsweise kann eine Schulungsquote erreicht sein, obwohl wiederkehrende Fehler zeigen, dass das Verständnis nicht ausreichend ist.
¶ 8. Ampellogik
Eine Ampel darf erst nach Freigabe der Schwellenwerte verwendet werden:
| Anzeige | Voraussetzung |
|---|---|
| Grün | Zielwert erreicht und Datenqualität ausreichend; Wirksamkeit nur dann positiv, wenn separat belegt |
| Gelb | Toleranzbereich, Terminrisiko oder begrenzte Abweichung mit gesteuerter Maßnahme |
| Rot | Zielwert verfehlt, wesentliche Abweichung oder erheblicher Handlungsbedarf |
| Grau | Ziel noch nicht freigegeben, Messung ausstehend oder Ergebnis nicht bewertbar |
Fehlende Messwerte werden nicht als grün dargestellt. Schwellenwerte dürfen nicht nachträglich verändert werden, um ein besseres Ergebnis zu erzeugen; Änderungen werden begründet, freigegeben und versioniert.
¶ 9. Ziel-Owner und Beteiligte
Der Ziel-Owner:
- bestätigt Ziel, Geltungsbereich und gewünschte Wirkung,
- stellt Datenquelle, Messmethode und Ressourcen sicher,
- steuert Maßnahmen und Abhängigkeiten,
- bewertet Abweichungen und veranlasst Eskalationen,
- bestätigt die fachliche Aussage des Ergebnisses,
- berichtet Status, Risiken und Entscheidungen.
Die Datenschutzkoordination unterstützt Register, Termine und Nachverfolgung. Prozesseigner liefern fachliche Daten und setzen Maßnahmen um. Die oder der Datenschutzbeauftragte berät und überwacht unabhängig, übernimmt aber nicht automatisch die Ergebnisverantwortung für sämtliche Datenschutzziele.
Die Rollen sind mit Rollen und Verantwortlichkeiten abzugleichen.
¶ 10. Maßnahmenplanung
Jede erforderliche Maßnahme enthält mindestens:
- Maßnahmen-ID und Bezug zum Ziel,
- konkrete Aktivität und erwartetes Ergebnis,
- verantwortliche und beteiligte Rollen,
- Priorität, Termin und Meilensteine,
- benötigte Ressourcen und Abhängigkeiten,
- Risiken und mögliche Nebenwirkungen,
- Status und Nachweisreferenz,
- Prüfkriterium und Wirksamkeitsbewertung.
Eine Maßnahme wird nicht allein durch die Erstellung eines Dokuments als abgeschlossen bewertet. Erforderlich sind je nach Ziel beispielsweise Freigabe, technische Umsetzung, Kommunikation, Schulung, Test und belastbarer Wirksamkeitsnachweis.
¶ 11. Messung und fachliche Prüfung
Der Messprozess trennt:
- Datenerhebung,
- Berechnung,
- Plausibilitätsprüfung,
- fachliche Interpretation,
- Freigabe des Berichts,
- Entscheidung über Folgemaßnahmen.
Wo Interessenkonflikte oder erhebliche Risiken bestehen, wird eine angemessene unabhängige Prüfung vorgesehen. Rohdaten, Berechnung und freigegebene Aussage bleiben nachvollziehbar miteinander verbunden.
¶ 12. Datenschutzgerechte Kennzahlen
Kennzahlen selbst können personenbezogene Daten erzeugen. Deshalb wird geprüft:
- ob aggregierte oder pseudonymisierte Daten ausreichen,
- ob einzelne Beschäftigte oder betroffene Personen identifizierbar werden,
- ob eine Leistungs- oder Verhaltenskontrolle entsteht,
- welche Rechtsgrundlage, Transparenz und Aufbewahrung gelten,
- wer auf Rohdaten und Berichte zugreifen darf,
- wann Detaildaten gelöscht oder verdichtet werden,
- ob arbeitsrechtliche oder mitbestimmungsrechtliche Anforderungen bestehen.
Managementberichte enthalten nur die zur Steuerung erforderlichen Informationen. Einzelfälle werden nur bei sachlicher Notwendigkeit und mit angemessenem Schutz dargestellt.
¶ 12.1 Fehlanreize und Kennzahlenmanipulation vermeiden
Eine Kennzahl ist ungeeignet, wenn sie Beschäftigte oder Fachbereiche dazu verleitet, Datenschutzfälle nicht zu melden, Prüfumfänge künstlich zu verkleinern oder Qualitätsmängel zu verschleiern. Deshalb wird geprüft:
- Kann die Grundgesamtheit ohne nachvollziehbare Freigabe verändert werden?
- Werden schwierige Fälle aus der Messung ausgeschlossen?
- Fördert die Kennzahl Geschwindigkeit zulasten von Identitätsprüfung, Vollständigkeit oder Sicherheit?
- Wird eine hohe Meldezahl fälschlich als schlechte Leistung bewertet, obwohl sie eine funktionierende Meldekultur zeigen kann?
- Werden Schulungsteilnahme, Dokumenterstellung oder Maßnahmenabschluss fälschlich mit Wirksamkeit gleichgesetzt?
- Bestehen persönliche Leistungs- oder Vergütungsanreize, die die Messung beeinflussen?
Kennzahlendefinition, Rohdaten, Berechnung und freigegebene Aussage werden deshalb getrennt prüfbar gehalten.
¶ 13. Berichtswesen
Ein Zielbericht enthält mindestens:
- Ziel-ID, Titel und Berichtszeitraum,
- freigegebenen Zielwert und Toleranz,
- Ausgangswert und aktuellen Messwert,
- Datenquelle, Datenqualität und bekannte Einschränkungen,
- Status der Maßnahmen und wesentliche Abhängigkeiten,
- Bewertung des Ziel-Owners,
- Beratung oder Hinweis der DSB-Rolle, soweit relevant,
- Entscheidung, Eskalation und nächste Schritte,
- Datum, Prüfer und Freigabestatus.
Berichte werden risikogerecht an Geschäftsleitung, Prozesseigner und weitere befugte Rollen verteilt.
¶ 14. Abweichungen und Eskalation
Eine Eskalation erfolgt insbesondere bei:
- drohender oder eingetretener Zielverfehlung,
- unzureichender Datenqualität oder fehlender Grundgesamtheit,
- erheblichen Datenschutzrisiken oder wiederkehrenden Beschwerden,
- überfälligen Maßnahmen oder fehlenden Ressourcen,
- widersprüchlichen Zielsetzungen anderer Bereiche,
- festgestellter Manipulation oder unzulässiger personenbezogener Auswertung,
- fehlender Einbindung befugter oder beratender Rollen.
Abweichungen werden mit Ursache, Auswirkung, Risiko, Sofortmaßnahme, Owner, Termin und Wirksamkeitsprüfung nachverfolgt.
¶ 15. Zielreview und Managementbewertung
Die Geschäftsleitung bewertet regelmäßig:
- Relevanz und Angemessenheit der Ziele,
- Entwicklung der Kennzahlen und Datenqualität,
- Zielerreichung und Wirksamkeit,
- wesentliche Abweichungen und Risiken,
- Ressourcen, Kapazität und Prioritätskonflikte,
- Empfehlungen der Datenschutzbeauftragtenrolle,
- Bedarf an neuen, geänderten oder beendeten Zielen.
Die Managementbewertung Datenschutz vertieft die Leitungsbewertung, ohne sie als ausdrücklich vorgeschriebenes DSGVO-Formular darzustellen.
¶ 15.1 Änderung und Beendigung eines Zieles
Zielwert, Berechnungsregel, Grundgesamtheit oder Termin dürfen während der Laufzeit nur mit dokumentierter Begründung und befugter Freigabe geändert werden. Der ursprüngliche Stand bleibt nachvollziehbar. Typische Änderungsanlässe sind:
- geänderter Geltungsbereich oder neue Rechtsträger,
- belastbar festgestellter Fehler in Ausgangswert oder Datenquelle,
- wesentliche Veränderung von Risiko, Technologie oder Verarbeitung,
- neue gesetzliche oder aufsichtsbehördliche Anforderungen,
- Zielkonflikte oder fehlende Beeinflussbarkeit,
- Erreichen, Ersetzen oder sachlich begründete Aufgabe des Zieles.
Ein Ziel wird nicht allein deshalb beendet oder abgeschwächt, weil es voraussichtlich verfehlt wird. Abschlussgrund, Resthandlungsbedarf, offene Maßnahmen und Übergang in Liniensteuerung oder Folgeziele werden dokumentiert.
¶ 16. Zielregister
Leeres Strukturmuster: Es werden keine positiven Musterergebnisse vorgegeben.
| Ziel-ID | Ziel | Owner | Zielwert | Termin | Messwert | Status | Wirksamkeit | Nachweis |
|---|---|---|---|---|---|---|---|---|
[DS-Z-xx] |
[Zielbeschreibung] |
[Rolle] |
[freigegebener Wert] |
[Datum] |
[Wert / nicht bewertbar] |
[Status] |
[offen / bewertet] |
[geschützte Referenz] |
Das operative Register wird geschützt geführt, wenn es personenbezogene, vertrauliche oder sicherheitsrelevante Detailinformationen enthält.
¶ 17. Nachweise
Geeignete Nachweise sind beispielsweise:
- freigegebenes Zielregister und Änderungshistorie,
- dokumentierte Ausgangswerte und Datenqualitätsprüfung,
- Kennzahlendefinitionen und Berechnungsregeln,
- Maßnahmenpläne und Umsetzungsnachweise,
- Messprotokolle und Plausibilitätsprüfungen,
- Zielberichte und Managemententscheidungen,
- Abweichungs-, Ursachen- und Wirksamkeitsbewertungen,
- Beratungs- und Kontrollnachweise,
- dokumentierte Zielkommunikation.
Die öffentliche Musterseite enthält keine realen Messwerte, Namen, Betroffenenfälle oder vertraulichen Rohdaten.
¶ 18. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| DSGVO-Startseite | Navigation und dokumentierter Gesamtstatus |
| Datenschutzleitlinie | strategische Grundlage und Datenschutzgrundsätze |
| Rollen und Verantwortlichkeiten | Ziel-Owner, Befugnisse und Eskalation |
| Datenschutzbeauftragte und Kontakte | unabhängige Beratung, Überwachung und Berichtslinie |
| Verzeichnis von Verarbeitungstätigkeiten | Grundgesamtheit für ausgewählte Prozess- und VVT-Ziele |
| ISMS-Informationssicherheitsziele | abgestimmte Sicherheitsziele ohne Vermischung der Datenschutzbewertung |
| ISMS-Kennzahlen und Zielerreichung | gemeinsame Messprinzipien und technische Kennzahlen |
Operative DSGVO-Seiten für Messung und Steuerung:
- Fristen- und Nachweisregister
- Datenschutz-Risikoregister
- Kennzahlen und Zielerreichung
- Managementbewertung Datenschutz
¶ 19. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei Datenschutzmanagement, messbaren Zielen, Kennzahlen und Wirksamkeitsbewertung
| SMCT-Information | Beschreibung |
|---|---|
| Datenschutzmanagement | Ziele, Verantwortlichkeiten, Prozesse, Risiken und Kontrollen systematisch verbinden |
| Datenschutz-Leistungen | Unterstützung beim Aufbau und bei der Weiterentwicklung der Datenschutzorganisation |
| Technische und organisatorische Maßnahmen | Maßnahmen und Wirksamkeit risikogerecht bewerten |
Erstgespräch unter info@smct-management.de vereinbaren
Die SMCT-Links sind ergänzende Fach- und Leistungsinformationen. Maßgeblich bleiben die amtlichen Rechtsquellen und die konkrete organisationsbezogene Ziel- und Risikobewertung.
¶ 20. Offizielle Quellen
- Datenschutz-Grundverordnung – amtlicher Text bei EUR-Lex
- Europäischer Datenschutzausschuss – Verantwortlichkeit und Rechenschaft
- Bundesdatenschutzgesetz – Gesetze im Internet
- BfDI – DSGVO und BDSG, Texte und Erläuterungen
¶ 21. Freigabeprüfung
- Sind Ziele aus Leitlinie, Risiken, Anforderungen und tatsächlichen Verbesserungsbedarfen abgeleitet?
- Sind Geltungsbereich, Wirkung, Owner und Beteiligte eindeutig?
- Sind Ausgangswert, Zielwert, Toleranz, Termin und Messintervall festgelegt?
- Sind Kennzahl, Grundgesamtheit, Berechnungsregel und Datenquelle belastbar?
- Wurde die Datenqualität geprüft und wurden Unsicherheiten offengelegt?
- Sind Messung und Bericht datensparsam und rechtmäßig gestaltet?
- Sind Maßnahmen, Ressourcen, Abhängigkeiten und Nachweise festgelegt?
- Sind Zielerreichung und Wirksamkeit getrennt bewertet?
- Werden fehlende Daten als „nicht bewertbar“ und nicht als positives Ergebnis dargestellt?
- Sind Review, Eskalation und Managemententscheidung organisiert?
Die Seite gilt erst nach organisationsbezogener Festlegung und formaler Freigabe als verbindlich. Im aktuellen Musterbestand ist kein Datenschutzziel als erreicht oder wirksam nachgewiesen.
¶ 22. Änderungshistorie und Freigabe
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.2 | 09.08.2026 | Rechtliche Einordnung als freiwilliges Governance-Instrument, Zielhierarchie, interaktiver Zielqualitätscheck ohne Datenspeicherung, klare Trennung von Ausgangs-, Ziel- und Messwert, Schutz vor Fehlanreizen sowie gesteuerte Zieländerung und aktuelle interne und amtliche Links ergänzt | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.1 | 08.08.2026 | Erste Musterfassung mit Zielprozess, Pflichtfeldern, zehn unbewerteten Musterzielen, Kennzahlendefinition, Status- und Ampellogik, datenschutzgerechter Messung, Zielregister, SEO-Beschreibung, SVG sowie amtlichen und SMCT-Links | Datenschutzkoordination / Musterrolle | Ausstehend | – |