¶ Abweichungen und Korrekturmaßnahmen
Musterstatus: Diese Seite enthält keine realen Verstöße, Maßnahmen, Verantwortlichen oder Wirksamkeitsnachweise. Eine Datenschutzabweichung wird getrennt auf Verletzung, Meldepflicht und Betroffenenrisiko geprüft.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-KV-08-03 |
| Dokumentenart | Verfahren und Registerstruktur für Korrekturmaßnahmen |
| Wiki.js-Pfad | /DSGVO/08-Kontrolle-und-Verbesserung/Abweichungen-und-Korrekturmassnahmen |
| Verantwortlich | festzulegende Datenschutzkoordination / Maßnahmen-Owner |
| Status | Entwurf – keine realen Abweichungen oder Schließungen bestätigt |
| Version / Stand | 1.0 / 09.08.2026 |
| Schutzklasse | Vertraulich; Fälle, Ursachen, Risiken und Belege geschützt |
| DSGVO-Bezug | Artikel 5 Absatz 2, 24, 32 bis 36 DSGVO |
Abweichungen ursachenbezogen behandeln und erst nach Wirksamkeitsnachweis schließen. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Quellen und Triage
Abweichungen können aus Kontrollen, Audits, Beschwerden, Betroffenenanfragen, Datenschutzverletzungen, DSFA, Lieferantenprüfungen, Projekten oder Behördenkontakten entstehen. Unmittelbar werden Schutzbedarf, weitere Verarbeitung, Beweissicherung, Betroffenenrisiko und erforderliche Eskalation geprüft.
¶ 2. Registerfelder
ID · Quelle · Sachverhalt · Kriterium · Risiko · Sofortmaßnahme · Verletzungsprüfung · Ursache · Korrektur · Owner · Termin · Status · Wirksamkeitskriterium · Prüfer · Ergebnis · Schließfreigabe
¶ 3. Behandlung
- Korrektur: festgestellten konkreten Fehler beseitigen.
- Ursachenmaßnahme: Wiederholung oder systematische Ausbreitung verhindern.
- Risikobehandlung: Auswirkungen für betroffene Personen senken.
- Systemtransfer: vergleichbare Prozesse, Systeme oder Dienstleister prüfen.
„Mitarbeiter sensibilisieren“ ist ohne Ursachenbezug, Zielgruppe, Inhalt, Termin und Wirksamkeitskriterium keine ausreichende Standardmaßnahme.
¶ 4. Status und Schließung
Offen → Sofortmaßnahme → Ursache geprüft → In Umsetzung → Wirksamkeitsprüfung → Geschlossen oder Nicht wirksam / neu geöffnet. Fristverlängerung und Risikoakzeptanz benötigen dokumentierte Befugnis; gesetzliche Pflichten können nicht intern wegakzeptiert werden.
¶ 5. Abweichung verständlich erfassen
Eine Abweichung beschreibt nicht nur, dass „etwas fehlt“. Sie verbindet ein konkretes Kriterium mit nachgewiesenem Ist-Zustand, Umfang und möglicher Auswirkung auf betroffene Personen. Fakten, Bewertung und Annahmen werden getrennt.
| Feld | Beispielhafte Frage |
|---|---|
| Kriterium | Welche gesetzliche, vertragliche oder interne Anforderung gilt? |
| Nachweis | Was wurde tatsächlich beobachtet oder geprüft? |
| Scope | Welche Prozesse, Systeme, Personen oder Datenarten sind betroffen? |
| Risiko | Welche Folgen für Rechte und Freiheiten können entstehen? |
| Sofortmaßnahme | Was begrenzt aktuelle Auswirkungen? |
| Ursache | Warum konnte die Abweichung entstehen oder unentdeckt bleiben? |
| Korrekturmaßnahme | Welche nachhaltige Änderung wird umgesetzt? |
| Wirksamkeit | Wie und wann wird die Wirkung unabhängig geprüft? |
¶ 6. Datenschutzverletzung und Abweichung trennen
Nicht jede Abweichung ist eine Datenschutzverletzung, kann aber eine begünstigen. Bei unbefugter Offenlegung, Veränderung, Verlust oder Nichtverfügbarkeit personenbezogener Daten wird unverzüglich der Verletzungsprozess ausgelöst. Die 72-Stunden-Steuerung wartet nicht auf Abschluss der Ursachenanalyse.
Umgekehrt bleibt auch ein nicht meldepflichtiger Vorfall eine mögliche Abweichung, die Korrektur und Wirksamkeitsprüfung benötigt. Meldeentscheidung und Maßnahmenentscheidung werden daher verknüpft, aber nicht verwechselt.
¶ 7. Ursachenanalyse
Die Analyse betrachtet Technik, Prozess, Rolle, Kompetenz, Arbeitsumgebung, Anbieter, Veränderung und Kontrollsystem. „Menschlicher Fehler“ ist keine ausreichende Endursache. Es wird gefragt, warum ein einzelner Fehler möglich war, nicht erkannt wurde oder so große Wirkung entfalten konnte.
Geeignete Methoden sind Fünf-Warum-Fragen, Ereignis- und Barrierenanalyse, Ursachenbaum oder Prozess-Walkthrough. Die Methode richtet sich nach Komplexität; sie darf nicht zur bloßen Formularübung werden.
¶ 8. Maßnahmendesign
Starke Maßnahmen verändern Ursache oder Barriere: sichere Voreinstellung, automatisierte Sperre, funktionale Trennung, klare Verantwortlichkeit, redundanter Meldeweg oder belastbarer Anbieterprozess. Schulung und Erinnerung können ergänzen, sollen aber technische und organisatorische Schwächen nicht verdecken.
¶ 8.1 Praxisbeispiel
Mehrere Löschläufe entfernen Datensätze im CRM, nicht aber aus einem Reporting-System. Sofort wird der Export gestoppt und der konkrete Bestand bereinigt. Die Ursachenanalyse findet eine nicht dokumentierte Schnittstelle und fehlende Abnahmetests. Dauerhafte Maßnahmen sind Datenflussinventar, Löschschnittstelle, Owner und Testfall nach jeder Änderung. Wirksamkeit wird durch erneuten End-to-End-Löschtest belegt.
¶ 9. Schließkriterien und Wiedereröffnung
Eine Maßnahme wird geschlossen, wenn Umsetzung nachgewiesen, Abnahmekriterium erreicht, Restrisiko bewertet und befugte Rolle zugestimmt hat. Terminverschiebung erhält Grund und Eskalation. Bei nicht bestandenem Nachtest, erneutem Auftreten oder erweitertem Scope wird der Vorgang wieder geöffnet.
Kennzahlen sind überfällige Maßnahmen, Wiederholungsabweichungen, Zeit bis Sofortmaßnahme, Nachtestquote und Anteil ursachenbezogener Maßnahmen. Eine hohe Schließquote ohne Wirksamkeitsprüfung ist kein Qualitätsbeweis.
¶ 10. Verknüpfte Seiten
- Datenschutzverletzungsregister
- Lessons Learned
- Datenschutz-Audits
- ISMS Abweichungen und Korrekturmaßnahmen
¶ 11. Offizielle Grundlagen
¶ 12. Weiterführende Informationen von SMCT MANAGEMENT
Strukturierte Ursachenanalyse und wirksame Korrekturmaßnahmen
¶ 13. Änderungshistorie
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 1.0 | 09.08.2026 | Feststellungsqualität, Verletzungsabgrenzung, Ursachenanalyse, Maßnahmendesign, Praxisbeispiel und Schließkriterien ergänzt | Ausstehend |
| 0.1 | 08.08.2026 | Musterverfahren für Abweichungen und Korrekturmaßnahmen erstellt | Ausstehend |