¶ Dokumenten- und Nachweislenkung
Beispieldokument: Dieses Verfahren ist ein Musterentwurf für die fiktive „Muster GmbH“. Rollen, Freigaben, Fristen, Schutzklassen, Aufbewahrung und Ablageorte sind nicht organisationsbezogen festgelegt.
Verbindlichkeitsregel: Eine technisch gespeicherte oder veröffentlichte Wiki.js-Seite ist nicht automatisch fachlich geprüft oder formal freigegeben. Nur die eindeutig versionierte, gültige und durch eine befugte Rolle freigegebene Fassung ist verbindlich.
Nachweisregel: Vorlagen, Planungen, leere Checklisten und ausgefüllte Musterfelder belegen keine Durchführung oder Wirksamkeit. Nachweise müssen ein tatsächlich eingetretenes Ereignis oder eine durchgeführte Tätigkeit nachvollziehbar dokumentieren.
Notfallregel: Für erforderliche Richtlinien, Verfahren, Formulare und Register wird eine kontrollierte digitale Notfallfassung außerhalb des Wikis bereitgehalten. Vertrauliche Originale und editierbare Office-Vorlagen werden nicht frei im öffentlichen Wiki veröffentlicht.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-DOC-01-05 |
| Dokumentenart | Verfahren zur Dokumenten- und Nachweislenkung |
| Wiki.js-Pfad | /DSGVO/01-Governance-und-Organisation/Dokumenten-und-Nachweislenkung |
| Verantwortlich | Geschäftsführung / festzulegende Datenschutzkoordination |
| Fachlich geprüft durch | Dokumenten-Owner, Datenschutzbeauftragte/r, sofern benannt, Recht, ISMS, IT und betroffene Prozesseigner |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung |
| Status | Entwurf – Workflow, Register, Berechtigungen, Ablagen und Aufbewahrungsregeln nicht organisationsbezogen freigegeben |
| Version | 0.3 |
| Stand | 09.08.2026 |
| Gültig ab | Nach fachlicher Prüfung, technischer Erprobung und formaler Freigabe |
| Nächste Prüfung | Spätestens zwölf Monate nach Freigabe sowie anlassbezogen |
| Schutzklasse | Intern; konkrete Nachweise entsprechend Inhalt und Risiko geschützt |
| DSGVO-Bezug | Insbesondere Artikel 5 Absatz 2, 24, 25, 28 bis 32, 33 bis 35 und 37 bis 39 DSGVO |
| Nationaler Bezug | BDSG sowie weitere gesetzliche, vertragliche und branchenspezifische Aufbewahrungs- und Nachweispflichten |
| Schnittstellen | Datenschutzleitlinie, Rollen, VVT, Rechtskataster, ISMS-Dokumentenlenkung, Nachweisregister, BCM und geschützte Ablagen |
Gelenkter Lebenszyklus von der Erstellung über Prüfung und Freigabe bis zu geschütztem Nachweis, Review und Archivierung. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck
Dieses Verfahren stellt sicher, dass Datenschutzdokumente und -nachweise:
- eindeutig gekennzeichnet und verantwortet werden,
- fachlich richtig, vollständig und umsetzbar sind,
- vor verbindlicher Nutzung geprüft und befugt freigegeben werden,
- für berechtigte Zielgruppen in der gültigen Fassung verfügbar sind,
- Änderungen, Ablösungen und Historie nachvollziehbar bleiben,
- entsprechend Inhalt und Risiko geschützt werden,
- für festgelegte Fristen lesbar und auffindbar bleiben,
- bei Ausfall des Wikis kontrolliert verfügbar sind,
- nach Fristablauf rechtmäßig gelöscht oder vernichtet werden.
¶ 2. Geltungsbereich
Das Verfahren gilt für:
- Wiki.js-Seiten und kontrollierte Seitenanhänge,
- Datenschutzleitlinien, Richtlinien, Verfahren und Arbeitsanweisungen,
- VVT, Risiko-, DSFA-, Dienstleister-, Vorfall- und Betroffenenregister,
- Pläne, Berichte, Entscheidungen, Freigaben und Protokolle,
- Schulungs-, Kontroll-, Audit-, Test- und Wirksamkeitsnachweise,
- Datenschutzhinweise, Einwilligungs- und Vertragsunterlagen,
- externe Gesetze, Behördeninformationen, Verträge und Vorgaben,
- Vorlagen und Formulare,
- exportierte Notfallfassungen und geschützte Ablagereferenzen.
Es gilt unabhängig von Medium und Speicherort, einschließlich DMS, geschütztem Dateispeicher, Fachsystem, Ticketsystem, E-Mail-Archiv oder Papierakte.
¶ 3. Abgrenzung der Informationsarten
| Informationsart | Zweck | Verbindlichkeit beziehungsweise Aussage |
|---|---|---|
| Leitlinie | Führungsgrundsätze und strategischer Rahmen | nach formaler Freigabe verbindlich |
| Richtlinie / Policy | thematische Vorgaben | nach Freigabe und Gültigkeitsdatum verbindlich |
| Verfahren | Rollen, Ablauf, Entscheidungen und Nachweise | nach Freigabe verbindlicher Prozessrahmen |
| Arbeitsanweisung | konkrete ausführbare Tätigkeit | nach Freigabe für Zielgruppe verbindlich |
| Register | strukturierter aktueller Bestand | gelenkter und fachlich geprüfter Stand maßgeblich |
| Plan | vorgesehene Aktivitäten, Ressourcen und Termine | belegt Planung, nicht Durchführung |
| Bericht | fachliche Bewertung eines Zeitraums oder Ereignisses | nach Abschluss und Freigabe gültig |
| Nachweis / Aufzeichnung | dokumentiert tatsächliche Tätigkeit, Entscheidung oder Ergebnis | nach Prüfung als Beleg nutzbar |
| Vorlage | unausgefülltes Arbeitsmittel | kein Nachweis und keine Umsetzung |
| Arbeitsstand | vorläufige Bearbeitung | nicht verbindlich |
| externes Dokument | Anforderung oder Information einer externen Stelle | nach tatsächlicher Rechts-, Vertrags- oder Sachlage zu bewerten |
¶ 4. Grundsätze
- Jedes gelenkte Dokument besitzt eine eindeutige ID, einen Owner und einen Status.
- Dokumentenstatus und fachlicher Umsetzungsstatus werden getrennt geführt.
- Nur freigegebene und gültige Fassungen dürfen als verbindlich bezeichnet werden.
- Änderungen bleiben über Version, Datum, Anlass und Freigabe nachvollziehbar.
- Veraltete oder gesperrte Fassungen werden gegen unbeabsichtigte Nutzung geschützt.
- Nachweise werden nicht nachträglich unbemerkt verändert oder passend gemacht.
- Sensible Nachweise werden nicht allein wegen komfortabler Suche öffentlich in das Wiki geladen.
- Externe Dokumente werden mit Quelle, Stand, Owner und Review überwacht.
- Wiki-Berechtigung ist keine automatische fachliche Freigabebefugnis.
- Notfallkopien werden kontrolliert erzeugt, geschützt, getestet und veraltet nicht unbemerkt weiterverwendet.
¶ 4.1 Rechtlicher Ausgangspunkt und organisationsbezogene Ausgestaltung
Die DSGVO schreibt kein bestimmtes Wiki, DMS oder allgemeines Dokumentenlenkungsverfahren mit fest vorgegebenen Statusbezeichnungen vor. Sie verlangt jedoch, dass der Verantwortliche die Datenschutzgrundsätze einhält und dies nachweisen kann. Geeignete Maßnahmen müssen risikobezogen umgesetzt sowie erforderlichenfalls überprüft und aktualisiert werden. Einzelne Pflichten verlangen zudem ausdrücklich dokumentierte Informationen, etwa das Verzeichnis von Verarbeitungstätigkeiten oder die Dokumentation von Datenschutzverletzungen.
Die hier beschriebene Dokumenten- und Nachweislenkung ist deshalb eine organisatorische Umsetzung der Rechenschaftspflicht, nicht selbst eine gesetzlich vorgeschriebene Einheitsform. Umfang, Prüfrollen, Aufbewahrung und technische Sicherungen müssen zur Organisation, Verarbeitung und Risikolage passen.
| Rechtsbezug | Bedeutung für die Lenkung |
|---|---|
| Artikel 5 Absatz 2 DSGVO | Einhaltung der Grundsätze muss nachweisbar sein |
| Artikel 24 DSGVO | geeignete Maßnahmen umsetzen, erforderlichenfalls überprüfen und aktualisieren |
| Artikel 30 DSGVO | VVT schriftlich führen; elektronisches Format ist zulässig |
| Artikel 32 DSGVO | Sicherheit risikogerecht gestalten und Wirksamkeit regelmäßig prüfen |
| Artikel 33 Absatz 5 DSGVO | Datenschutzverletzungen einschließlich Auswirkungen und Abhilfemaßnahmen dokumentieren |
| Artikel 35 DSGVO | DSFA, Bewertung und Maßnahmen nachvollziehbar dokumentieren, sofern erforderlich |
¶ 5. Rollen und Verantwortlichkeiten
| Rolle | Verantwortung |
|---|---|
| Geschäftsführung | Leitlinien, wesentliche Verfahren und Befugnisrahmen freigeben |
| Dokumenten-Owner | Zweck, Inhalt, Aktualität, Review, Änderung und Kommunikation verantworten |
| Autor/in beziehungsweise Dokumentenpflege | Entwurf, Metadaten, Links, Version und Änderungshistorie pflegen |
| fachlich Prüfende | Richtigkeit, Vollständigkeit, Rechtsbezug und Umsetzbarkeit bewerten |
| Schnittstellenprüfende | Auswirkungen auf Prozesse, Systeme, ISMS, Verträge und andere Dokumente prüfen |
| freigebende Rolle | Verbindlichkeit innerhalb des freigegebenen Befugnisrahmens entscheiden |
| Datenschutzkoordination | Methodik, Register, Termine, Konsistenz und Eskalation koordinieren |
| Datenschutzbeauftragte/r | unabhängig beraten und Einhaltung überwachen; keine automatische operative Freigabe |
| Wiki-/IT-Administration | Plattform, Rechte, Backup, Export und Verfügbarkeit technisch betreiben |
| Nachweis-Owner | Authentizität, Schutz, Auffindbarkeit, Aufbewahrung und Löschung sicherstellen |
| Nutzende | gültige Fassung anwenden und Fehler, Widersprüche oder veraltete Inhalte melden |
| Auditfunktion | Verfahren und ausgewählte Dokumente beziehungsweise Nachweise objektiv prüfen |
Das übergeordnete Befugnismodell ist unter Rollen und Verantwortlichkeiten beschrieben.
¶ 6. Pflichtmetadaten
Jede gelenkte Seite enthält mindestens:
| Feld | Zweck |
|---|---|
| Dokumenten-ID | eindeutige und dauerhafte Kennzeichnung |
| Dokumentenart | Einordnung der Aussage und Verbindlichkeit |
| Wiki.js-Pfad / führende Ablage | eindeutiger Fundort der maßgeblichen Fassung |
| Verantwortlich | fachlicher Owner |
| fachlich geprüft durch | vorgesehene oder erfolgte Prüffunktionen |
| Freigabe durch | befugte Freigabestelle |
| Status | aktueller Lebenszyklusstand |
| Version und Stand | eindeutiger Inhaltstand und Änderungsdatum |
| gültig ab | Beginn der verbindlichen Anwendung |
| nächste Prüfung | spätester Reviewtermin |
| Schutzklasse | Zugriff, Weitergabe und Ablage |
| Rechts- und Schnittstellenbezug | relevante DSGVO-, BDSG-, Vertrags- und Prozessbezüge |
| Änderungshistorie | Anlass, Inhalt, Rolle und Freigabe der Änderungen |
Je nach Dokumentenart werden Aufbewahrung, Löschfrist, Betroffenengruppe, Nachweisablage, ersetzte Fassung und Notfallkopie ergänzt.
¶ 7. Dokumenten-ID-Schema
| Präfix | Verwendung |
|---|---|
| DSGVO-LT | Leitlinie |
| DSGVO-RL | Richtlinie / Policy |
| DSGVO-ORG | Organisations- und Rollenregelung |
| DSGVO-DOC | Dokumenten- und Nachweisverfahren |
| DSGVO-MA | Methode oder Verfahren |
| DSGVO-REG | Register |
| DSGVO-PLAN | Plan |
| DSGVO-BER | Bericht |
| DSGVO-NW | Nachweis / Aufzeichnung |
| DSGVO-VOR | Vorlage |
| DSGVO-TOOL | interaktive Demonstration oder Hilfsmittel |
Eine vergebene ID wird nach Archivierung nicht für einen anderen Inhalt erneut verwendet.
¶ 8. Dokumentenstatus
| Status | Bedeutung | verbindlich? |
|---|---|---|
| Entwurf | Inhalt wird erstellt oder wesentlich überarbeitet | Nein |
| In Prüfung | benannte Rollen bewerten Inhalt und Schnittstellen | Nein |
| Freigegeben | fachlich geprüft und befugt genehmigt | Ja, ab Gültigkeitsdatum |
| Überarbeitung erforderlich | wesentliche Lücke oder veralteter Inhalt ist erkannt | nur nach dokumentierter Übergangsbewertung |
| Gesperrt | Inhalt darf vorübergehend nicht angewendet werden | Nein |
| Archiviert | ersetzt oder außer Kraft gesetzt | Nein; nur historischer Nachweis |
Technische Veröffentlichung, vorhandene Seite, gespeicherter Entwurf oder farbliche Kennzeichnung ersetzen keine Freigabe.
¶ 8.1 Zulässige Statusübergänge
| Übergang | Mindestkriterium | erforderlicher Nachweis |
|---|---|---|
| Entwurf → In Prüfung | Pflichtmetadaten, Owner, Scope und prüffähiger Inhalt vollständig | Prüfauftrag oder Workfloweintrag |
| In Prüfung → Freigegeben | fachliche Prüfung abgeschlossen; wesentliche Punkte geklärt; befugte Freigabe | Prüf- und Freigabevermerk zur exakten Version |
| Freigegeben → Veröffentlicht / bekannt gemacht | gültige Fassung am führenden Ort bereitgestellt; Zielgruppen bestimmt | Veröffentlichungs- oder Kommunikationsvermerk |
| Freigegeben → Überarbeitung erforderlich | Änderung, Abweichung oder Reviewbedarf bewertet | Änderungsanlass und Übergangsentscheidung |
| gültige Fassung → Gesperrt | Anwendung birgt nicht vertretbares Risiko oder Rechtsverstoß | begründete Sperrentscheidung und Eskalation |
| ersetzt → Archiviert | Nachfolger eindeutig gültig; alte Fassung der Nutzung entzogen | Ablöse- und Archivreferenz |
Eine spätere Stufe darf nicht durch bloßes Anklicken erreicht werden. Der zugehörige Nachweis muss sich auf genau die bezeichnete Fassung, den Scope und den Zeitpunkt beziehen.
¶ 9. Fachstatus von Maßnahmen und Nachweisen
| Fachstatus | Aussage |
|---|---|
| Geplant | Tätigkeit ist vorgesehen, aber nicht durchgeführt |
| In Umsetzung | Bearbeitung wurde begonnen |
| Durchgeführt | Tätigkeit fand statt; Qualität und Wirksamkeit können noch offen sein |
| Zur Prüfung | Nachweis oder Ergebnis wird bewertet |
| Wirksam | beabsichtigte Wirkung wurde anhand geeigneter Kriterien bestätigt |
| Unwirksam / Abweichung | Ergebnis genügt nicht; Behandlung erforderlich |
| Nicht bewertbar | Daten, Kriterien oder Nachweisqualität reichen nicht aus |
Ein freigegebenes Register darf offene oder unwirksame Einträge enthalten. Umgekehrt wird eine Maßnahme nicht allein durch Freigabe ihrer Beschreibung umgesetzt.
¶ 10. Interaktiver Statusassistent
Der Assistent trennt zwei Aussagen: Wie weit ist das Dokument im Freigabeprozess? und was kann der vorhandene Nachweis tatsächlich belegen? Die Auswahl wird nur im Browser ausgewertet, nicht gespeichert und erzeugt weder Freigabe noch Nachweis.
Nur Tatsachen markieren, für die eine konkrete, geschützte Referenz vorhanden ist. Der Assistent ist eine Orientierungshilfe für Review und Übergabe.
¶ 10.1 Aussagegrenzen des Assistenten
| Ergebnis | zulässige Aussage | unzulässige Verkürzung |
|---|---|---|
| prüffähig | Fassung kann in die fachliche Prüfung gegeben werden | „freigegeben“ |
| fachlich geprüft | dokumentierte Prüfung liegt vor | „verbindlich“, wenn formale Freigabe fehlt |
| freigegeben | befugte Freigabe zur exakten Version liegt vor | „umgesetzt“ oder „wirksam“ |
| veröffentlicht | gültige Fassung wurde kontrolliert bereitgestellt | „alle Zielgruppen wenden sie an“ |
| Durchführung belegt | ein konkretes Ereignis oder Ergebnis ist nachvollziehbar | „Maßnahme wirkt“ |
| Wirksamkeit bewertet | Soll-Ist-Kriterium und Bewertung sind dokumentiert | pauschale Aussage außerhalb von Scope und Zeitraum |
¶ 11. Dokumentenlebenszyklus
| Phase | Aktivität | Ergebnis |
|---|---|---|
| Bedarf | Anlass, Zielgruppe, Owner, Dokumentenart und Schnittstellen bestimmen | dokumentierter Bedarf |
| Erstellung | freigegebene Struktur verwenden, Inhalt und Metadaten erstellen | Entwurf |
| Prüfung | Fachlichkeit, Recht, Datenschutz, Sicherheit und Umsetzbarkeit bewerten | Prüfvermerk und offene Punkte |
| Freigabe | befugte Rolle entscheidet über Fassung, Geltung und Kommunikation | freigegebene Version |
| Veröffentlichung | gültige Fassung zielgruppengerecht bereitstellen | kontrollierter Zugang |
| Anwendung | Zielgruppen informieren, Verfahren umsetzen und Nachweise erzeugen | operative Nutzung |
| Review | Aktualität, Konsistenz, Wirksamkeit und Änderungen prüfen | bestätigte oder überarbeitete Fassung |
| Ablösung | neue Fassung aktivieren und alte Fassung sperren | eindeutiger Versionswechsel |
| Archivierung / Löschung | Historie schützen oder nach Fristablauf vernichten | kontrollierter Abschluss |
¶ 12. Erstellung und redaktionelle Qualität
Vor der Prüfung werden mindestens kontrolliert:
- eindeutiger Zweck, Geltungsbereich und Zielgruppe,
- klare Rollen, Entscheidungen, Fristen und Eskalationen,
- konsistente Begriffe und führende Register,
- gültige interne Links ohne
/de/im Markdown-Pfad, - korrekte Quellen und nachvollziehbare externe Links,
- Schutzbedarf und Vermeidung unnötiger personenbezogener Angaben,
- verständliche Status- und Aussagegrenzen,
- vollständige Metadaten und Änderungshistorie,
- browserfähige, responsive und barrierearme SVG-Grafik, soweit vorhanden.
¶ 13. Fachliche Prüfung
Prüfende bestätigen nicht nur Rechtschreibung, sondern bewerten insbesondere:
- sachliche und rechtliche Richtigkeit,
- Übereinstimmung mit tatsächlichen Prozessen und Rollen,
- Vollständigkeit der erforderlichen Datenschutzinformationen,
- Schnittstellen zu ISMS, NIS2, Verträgen und Fachsystemen,
- Umsetzbarkeit, Ressourcen und technische Voraussetzungen,
- Widersprüche zu anderen freigegebenen Dokumenten,
- Schutz, Aufbewahrung und Nachweisführung.
Offene Punkte werden sichtbar dokumentiert. Eine Prüfung mit wesentlichen ungeklärten Punkten wird nicht als vollständige Freigabe dargestellt.
¶ 14. Freigabe und Bekanntgabe
Eine Freigabe enthält mindestens:
- Dokumenten-ID, Titel und Version,
- freigebende Rolle und Befugnis,
- Freigabedatum und Gültigkeitsbeginn,
- Geltungsbereich und gegebenenfalls Übergangsregel,
- bestätigte Prüfergebnisse oder dokumentierte Restpunkte,
- Kommunikations- und Schulungsbedarf,
- Referenz auf den geschützten Freigabenachweis.
Nach Freigabe werden betroffene Zielgruppen angemessen informiert. Bei wesentlichen Verfahrensänderungen wird geprüft, ob Schulung, Bestätigung oder technische Umsetzung erforderlich ist.
¶ 14.1 Muster-Freigabematrix
Anpassung erforderlich: Die Matrix zeigt ein mögliches Befugnismodell. Die Organisation muss Rollen, Wertgrenzen, Vertretung und Vier-Augen-Prinzip selbst festlegen.
| Dokumentenart | erstellt / gepflegt | fachlich geprüft | formal freigegeben | Kenntnisnahme / Anwendung |
|---|---|---|---|---|
| Datenschutzleitlinie | Datenschutzkoordination | DSB beratend, Recht, betroffene Leitung | Geschäftsführung | alle Beschäftigten beziehungsweise definierte Zielgruppe |
| Verfahren / Arbeitsanweisung | Prozess-Owner | Datenschutz, IT/ISMS und Schnittstellen nach Bedarf | zuständige Leitung | betroffene Rollen |
| VVT-Eintrag | Prozesseigner | Datenschutzkoordination / DSB beratend | festgelegter Register-Owner | berechtigte Rollen |
| DSFA | Verarbeitung-/Projekt-Owner | DSB beratend; Fach-, Rechts- und Sicherheitsrollen | Verantwortlicher / befugte Leitung | betroffene Umsetzungsrollen |
| Nachweis | durchführende oder systemseitige Stelle | Nachweis-Owner / Kontrollrolle | nur soweit für Nachweistyp festgelegt | eng begrenzte Prüf- und Auditrollen |
| externe Vorgabe | Rechts-/Compliance-Owner | betroffene Fachrollen | dokumentierte Umsetzungsentscheidung | betroffene Owner |
¶ 15. Versionierung und Änderungshistorie
| Version | Verwendung |
|---|---|
| 0.x | nicht freigegebener Entwurfsstand |
| 1.0 | erste freigegebene Hauptversion |
| 1.x | begrenzte inhaltliche Ergänzung oder Korrektur nach festgelegter Regel |
| 2.0 und höher | wesentliche Änderung mit erneuter umfassender Prüfung und Freigabe |
Wesentliche Änderungen sind beispielsweise neue Zwecke, Rollen, Rechtsgrundlagen, Systeme, Empfänger, Fristen, Schutzmaßnahmen oder Geltungsbereiche. Die Änderungshistorie beschreibt die tatsächliche Änderung und den Anlass; „aktualisiert“ allein reicht nicht aus.
¶ 15.1 Sofortänderung und nachgelagerte Freigabe
Muss eine fehlerhafte oder riskante Anweisung sofort gesperrt beziehungsweise korrigiert werden, dokumentiert die befugte Rolle mindestens Anlass, Risiko, betroffenen Scope, Übergangsregel, Kommunikation und Befristung. Die Sofortmaßnahme darf nicht als regulär freigegebene Dauerfassung erscheinen. Fachliche Prüfung und formale Freigabe werden innerhalb einer festgelegten kurzen Frist nachgeholt oder die Übergangslösung wird beendet.
¶ 16. Wiki.js und kontrollierte Originale
Das Wiki dient als verständliche, vernetzte Arbeits- und Navigationsoberfläche. Es kann die führende freigegebene Darstellung eines Dokuments sein, sofern Workflow, Rechte, Version und Freigabenachweis kontrolliert sind.
Nicht allgemein zugänglich im Wiki abgelegt werden insbesondere:
- personenbezogene Einzelfälle und Betroffenenanfragen,
- Datenschutzverletzungsdetails und forensische Unterlagen,
- vertrauliche Verträge, DSFA, Transfer- und Risikobewertungen,
- Benutzer-, Berechtigungs-, Schulungs- und Auditdetailnachweise,
- Signaturen, persönliche Kontaktdaten und interne Notfalllisten,
- editierbare Word-, Excel- oder PowerPoint-Vorlagen zur freien Weitergabe.
Die öffentliche Seite beschreibt Verfahren und Anforderungsstruktur. Originale werden in einer geschützten, zugriffsgesteuerten Ablage geführt und über kontrollierte Referenzen verknüpft.
¶ 16.1 Führende Fassung und Dubletten
Für jedes gelenkte Dokument wird genau ein führender Ort bestimmt. Kopien, Exporte und Anhänge tragen Quelle, Version, Exportdatum und Verwendungszweck. Wird ein Inhalt parallel in Wiki, DMS und Dateisystem gepflegt, muss eindeutig geregelt sein, welches System den gültigen Stand führt und wie Änderungen in abhängige Darstellungen gelangen.
| Situation | Steuerungsentscheidung |
|---|---|
| Wiki ist führend | Freigabestatus, Version und Historie müssen dort kontrolliert sein; Notfallexport ist als Kopie gekennzeichnet |
| DMS ist führend | Wiki enthält verständliche Darstellung und eindeutige Referenz; verbindliche Originalfassung liegt im DMS |
| Fachsystem führt Register | Wiki beschreibt Methode und Zuständigkeit; operative Einträge verbleiben geschützt im Fachsystem |
| Papieroriginal erforderlich | Standort, Zugriff, Scanstatus, Aufbewahrung und Vernichtung werden dokumentiert |
| mehrere Systeme notwendig | Synchronisationsregel, Owner, Konfliktentscheidung und Abgleichintervall sind festgelegt |
¶ 17. Nachweislenkung
Für jeden Nachweistyp werden mindestens festgelegt:
- Nachweis-ID, Titel und Zweck,
- zugehörige Anforderung, Verarbeitung oder Maßnahme,
- Ersteller, Owner, Prüfer und Freigabestatus,
- Ereignis- oder Durchführungsdatum,
- geschützter Ablageort und Zugriffsgruppe,
- Integritäts- und Änderungsanforderung,
- Aufbewahrungsbeginn, Frist und Löschereignis,
- bekannte Abweichung oder eingeschränkte Aussagekraft,
- Verknüpfung zu Risiko, Maßnahme, Feststellung oder Folgeprüfung.
Nachweise werden so gespeichert, dass unzulässige Änderungen, Verlust, falsche Zuordnung und unbeabsichtigte Veröffentlichung angemessen verhindert werden.
¶ 17.1 Durchgängige Nachweiskette
Eine prüfbare Nachweiskette verbindet:
Anforderung → gelenktes Dokument → zuständige Rolle → tatsächliche Durchführung → Originalnachweis → Qualitätsprüfung → Feststellung → Maßnahme → Wirksamkeitsbewertung
Nicht jeder Einzelfall benötigt ein eigenes komplexes Tool. Entscheidend ist, dass Referenzen eindeutig sind und ein Prüfer die Aussage ohne verdeckte Annahmen vom Ursprung bis zur Bewertung nachvollziehen kann.
¶ 18. Nachweisqualität
Ein Nachweis ist nur belastbar, wenn er:
- den geprüften Sachverhalt eindeutig bezeichnet,
- Zeitraum, Scope und relevante Version erkennen lässt,
- tatsächliche Durchführung oder Entscheidung belegt,
- von einer geeigneten Rolle erstellt und soweit erforderlich geprüft wurde,
- vollständig, lesbar und auffindbar ist,
- vor unbemerkter Veränderung geschützt ist,
- keine widersprüchliche oder überzogene Aussage enthält.
Ein Screenshot ohne Kontext, eine leere Vorlage, ein versandter Link oder eine Selbstauskunft ohne Prüfung genügt nicht automatisch.
¶ 19. Schutz und Zugriffssteuerung
Zugriff richtet sich nach Zweck, Rolle und Schutzbedarf. Mindestens werden geprüft:
- personenbezogene und besondere Kategorien von Daten,
- Geschäftsgeheimnisse, Sicherheitsdetails und Vertragsinhalte,
- Notwendigkeit von Verschlüsselung und Mehrfaktor-Authentisierung,
- berechtigte Rollen für Lesen, Bearbeiten, Prüfen, Freigeben und Löschen,
- Protokollierung kritischer Änderungen und Exporte,
- sichere externe Übermittlung,
- regelmäßige Berechtigungsreviews,
- Entzug von Zugriffen bei Rollenwechsel oder Austritt.
¶ 20. Externe Dokumente und Quellen
Gesetze, Behördeninformationen, Verträge, Leitlinien und sonstige externe Anforderungen werden mit folgenden Metadaten gelenkt:
| Feld | Inhalt |
|---|---|
| Titel und Quelle | eindeutige Bezeichnung und autoritative Fundstelle |
| Stand / Version | Veröffentlichungs- oder Abrufstand |
| Owner | verantwortliche Beobachtungs- und Bewertungsrolle |
| Relevanz | betroffene Rechtsträger, Prozesse und Dokumente |
| Änderungsüberwachung | Intervall, Auslöser oder Informationsdienst |
| Bewertung | Auswirkungen und erforderliche Anpassungen |
| Nachweis | dokumentierter Review und Entscheidung |
Verlinkte Webinhalte können sich ändern. Relevante Änderungen werden nicht allein durch einen funktionierenden Link als geprüft angesehen.
¶ 21. Aufbewahrung, Sperrung und Löschung
Aufbewahrungsfristen werden je Dokumenten- und Nachweistyp anhand von Zweck, Rechtsgrundlage, gesetzlichen oder vertraglichen Pflichten, Rechtsverteidigung und Risiko festgelegt. Dokumentiert werden:
- Fristbeginn und auslösendes Ereignis,
- Regelfrist und begründete Ausnahme,
- Sperrung bei laufender Prüfung oder Rechtsverteidigung,
- betroffene Originale, Kopien, Exporte und Backups,
- verantwortliche Lösch- oder Archivrolle,
- Lösch- oder Vernichtungsnachweis.
„Unbegrenzt aufbewahren“ ist ohne sachliche und rechtliche Begründung keine zulässige Standardregel.
¶ 22. Notfallverfügbarkeit außerhalb des Wikis
Für einen Ausfall von Wiki, Identitätsdienst, Netzwerk oder Internet werden priorisierte Dokumente in einer kontrollierten digitalen Notfallablage bereitgehalten. Dies betrifft je nach tatsächlichem Bedarf insbesondere:
- Datenschutzleitlinie und zentrale Rollenregelungen,
- Meldewege für Datenschutzverletzungen und Betroffenenanfragen,
- Kontakt- und Eskalationsfunktionen,
- freigegebene Notfallformulare und Entscheidungschecklisten,
- Verweise auf geschützte Register und Wiederanlaufverfahren.
Die Notfallkopie besitzt Version, Erstellungsdatum, Verantwortlichkeit, Schutz und nächsten Aktualisierungstermin. Zugriff, Lesbarkeit und Wiederherstellung werden regelmäßig getestet. Eine veraltete Exportkopie wird nicht stillschweigend als gültige Fassung verwendet.
¶ 23. Review- und Änderungsanlässe
Eine anlassbezogene Prüfung erfolgt insbesondere bei:
- Rechts-, Behörden-, Vertrags- oder Organisationsänderungen,
- neuen oder wesentlich geänderten Verarbeitungen und Systemen,
- Rollen-, Standort- oder Dienstleisterwechseln,
- Datenschutzverletzungen, Beschwerden oder Audits,
- unwirksamen oder widersprüchlichen Verfahren,
- geänderten Aufbewahrungs- oder Löschanforderungen,
- Migration von Wiki, DMS oder geschützter Ablage,
- festgestellten Zugriffs-, Backup- oder Wiederherstellungsproblemen.
¶ 24. Dokumenten- und Nachweisregister
Leeres Strukturmuster: Reale Dokumente und geschützte Nachweise werden nicht in dieser öffentlichen Tabelle erfasst.
| ID | Titel | Art | Owner | Status | Version | Schutz | nächste Prüfung | führende Ablage | Nachweis / Freigabe |
|---|---|---|---|---|---|---|---|---|---|
[DSGVO-XXX] |
[Titel] |
[Art] |
[Rolle] |
[Status] |
[Version] |
[Klasse] |
[Datum] |
[Pfad] |
[geschützte Referenz] |
¶ 25. Kennzahlen und Stichprobenprüfung
| Kennzahl / Stichprobe | mögliche Berechnung | Aussagegrenze |
|---|---|---|
| fristgerechte Reviews | termingerecht geprüfte Dokumente / fällige Dokumente | misst Termineinhaltung, nicht Inhaltsqualität |
| überfällige Altstände | nicht fristgerecht entzogene Fassungen | zeigt Verwechslungsrisiko |
| vollständige Pflichtmetadaten | geprüfte Dokumente ohne Metadatenlücke / Stichprobe | nur für geprüften Bestand aussagekräftig |
| belastbare Nachweise | Nachweise ohne wesentliche Qualitätslücke / Stichprobe | keine automatische Wirksamkeitsaussage |
| Wiederherstellung erfolgreich | lesbar wiederhergestellte priorisierte Dokumente / getestete Dokumente | gilt nur für Testumfang und Testzeitpunkt |
| offene Freigabepunkte | wesentliche offene Punkte nach Dokumentenart und Alter | benötigt qualitative Ursachenbewertung |
Eine Auditstichprobe wählt risikobasiert unterschiedliche Dokumentenarten und prüft mindestens Metadaten, exakte Freigabeversion, führenden Ort, Altstandsentzug, Schutz, tatsächlichen Nachweis sowie Nachvollziehbarkeit der Wirksamkeitsaussage.
¶ 26. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| DSGVO-Startseite | Navigation und Gesamtstatus |
| Lesehilfe und Dokumentenstatus | Status-, Versions- und Verbindlichkeitsregeln |
| Datenschutzleitlinie | übergeordnete Datenschutzgrundsätze |
| Rollen und Verantwortlichkeiten | Owner, Prüfer, Freigaben und Befugnisse |
| Datenschutzbeauftragte und Kontakte | unabhängige Beratung und geschützte Kontaktstruktur |
| Datenschutzziele | Zielregister, Messungen und Wirksamkeitsnachweise |
| Verzeichnis von Verarbeitungstätigkeiten | führendes Verarbeitungsregister und Pflegeprozess |
| Datenschutz-Risikoregister | gelenkte Risiko-, Maßnahmen-, Entscheidungs- und Reviewnachweise |
| Dokumentenvorlagen | öffentliche Strukturmodelle und geschützte Bereitstellung editierbarer Arbeitsmittel |
| Archiv und Altstände | kontrollierte Ablösung, Aufbewahrung, Löschsperre und Vernichtung |
| ISMS-Dokumentenlenkung | gemeinsame Lenkungsprinzipien und technische Schnittstellen |
| ISMS-Nachweisregister | zentrale Metadaten für ISMS-Nachweise und geschützte Originale |
Geplante DSGVO-Seiten werden bis zu ihrer Anlage nur als Pfad dargestellt:
/DSGVO/00-Start-und-Navigation/DSGVO-Nachweis-und-Mapping- Datenschutz-Audits
¶ 27. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei gelenkter Datenschutzdokumentation, Registern, Nachweisen und geschützter Ablagestruktur
| SMCT-Information | Beschreibung |
|---|---|
| Datenschutzmanagement | Dokumentation, Verantwortlichkeiten, Prozesse, Risiken und Kontrollen systematisch verbinden |
| Datenschutz-Leistungen | Unterstützung bei Verfahren, Registern und Nachweisen |
| Pflichten von Verantwortlichen und Auftragsverarbeitern | Rechenschaftspflicht und dokumentierte Verantwortlichkeiten einordnen |
Erstgespräch unter info@smct-management.de vereinbaren
Die SMCT-Links sind ergänzende Fach- und Leistungsinformationen. Maßgeblich bleiben amtliche Rechtsquellen, konkrete Pflichten und die organisationsbezogene Schutz- und Aufbewahrungsbewertung.
¶ 28. Offizielle Quellen
- Datenschutz-Grundverordnung – amtlicher Text bei EUR-Lex
- Bundesdatenschutzgesetz – Gesetze im Internet
- BfDI – DSGVO und BDSG
- BfDI – Standard-Datenschutzmodell und Nachweisbarkeit
¶ 29. Freigabeprüfung
- Sind Dokumentenarten, Status, Versionen und Verbindlichkeitsregeln eindeutig?
- Sind Owner, Prüfer, Freigaben und Vertretungen befugt festgelegt?
- Enthält jede Seite die erforderlichen Metadaten und eine nachvollziehbare Änderungshistorie?
- Sind fachliche Prüfung, Schnittstellenprüfung und Freigabenachweis definiert?
- Sind Dokumentenstatus und Umsetzungs- beziehungsweise Wirksamkeitsstatus getrennt?
- Werden sensible Originale und personenbezogene Nachweise geschützt geführt?
- Sind Aufbewahrung, Sperrung, Archivierung und Löschung je Nachweistyp geregelt?
- Werden externe Quellen und Änderungen kontrolliert überwacht?
- Ist die digitale Notfallfassung außerhalb des Wikis aktuell, geschützt und getestet?
- Sind Wiki-Rechte, Backup, Export, Wiederherstellung und Migration praktisch geprüft?
Eine vorhandene Seite oder Datei ist kein Nachweis eines wirksamen Lenkungsprozesses. Verbindlichkeit und Wirksamkeit müssen durch Rollen, Freigaben, technische Kontrollen und tatsächliche Anwendung belegt werden.
¶ 30. Änderungshistorie und Freigabe
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe | Freigabedatum |
|---|---|---|---|---|---|
| 0.3 | 09.08.2026 | Rechtlichen Ausgangspunkt, zulässige Statusübergänge, interaktiven Statusassistenten, Aussagegrenzen, Muster-Freigabematrix, Sofortänderung, führende Fassung, Nachweiskette sowie Kennzahlen und Auditstichprobe ergänzt; externe amtliche Links für neuen Tab vorbereitet | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.2 | 08.08.2026 | Datenschutz-Risikoregister als geschützte Register- und Nachweisschnittstelle verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend | – |
| 0.1 | 08.08.2026 | Erste Musterfassung mit Dokumentenarten, Metadaten, Status, Lebenszyklus, Prüfung, Freigabe, Versionierung, geschützter Nachweislenkung, Aufbewahrung, Notfallkopie außerhalb des Wikis, SEO-Beschreibung, SVG sowie amtlichen und SMCT-Links | Datenschutzkoordination / Musterrolle | Ausstehend | – |