¶ Datenschutz-Kontrollprogramm
Musterstatus: Diese Seite bestätigt weder ein beschlossenes Kontrollprogramm noch durchgeführte oder bestandene Kontrollen der fiktiven „Muster GmbH“.
Rechenschaftspflicht: Kontrollen sollen die Einhaltung und Wirksamkeit nachvollziehbar beurteilen. Eine ausgefüllte Prüfliste allein beweist keine rechtmäßige Verarbeitung.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-KV-08-01 |
| Dokumentenart | Verfahren und Jahresprogramm für Datenschutzkontrollen |
| Wiki.js-Pfad | /DSGVO/08-Kontrolle-und-Verbesserung/Datenschutz-Kontrollprogramm |
| Verantwortlich | festzulegende Leitung / Datenschutzkoordination |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Recht, Revision und Prozesseigner |
| Freigabe durch | Geschäftsführung beziehungsweise befugte Leitung |
| Status | Entwurf – kein reales Programm, keine Termine oder Ergebnisse bestätigt |
| Version / Stand | 1.0 / 09.08.2026 |
| Schutzklasse | Intern; Prüfdetails, Stichproben und Feststellungen vertraulich |
| DSGVO-Bezug | Artikel 5 Absatz 2, 24, 25, 28, 32, 35 und 39 DSGVO |
Kontrollen risikobasiert planen, belegen und nachverfolgen. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Kontrolluniversum und Planung
Das Kontrolluniversum umfasst VVT, Rechtsgrundlagen, Informationen, Betroffenenrechte, Einwilligungen, Auftragsverarbeiter, Transfers, DSFA, TOM, Löschung, Verletzungen, Schulung und spezielle Verarbeitungen. Priorität und Frequenz folgen insbesondere Risiko, Datenumfang, betroffenen Personen, Änderungen, Vorfällen, Beschwerden, früheren Feststellungen und regulatorischer Bedeutung.
| Planungsfeld | Mindestinhalt |
|---|---|
| Kontroll-ID und Thema | eindeutiger Gegenstand und führende Anforderung |
| Ziel und Kriterien | erwarteter Zustand und Bewertungsmaßstab |
| Umfang | Prozesse, Systeme, Standorte, Zeitraum und Stichprobe |
| Methode | Interview, Dokumentenprüfung, Beobachtung oder technischer Test |
| Rollen | Prüfer, Ansprechpartner, Freigabe und Unabhängigkeit |
| Termin und Status | geplant, laufend, berichtet, nachverfolgt oder geschlossen |
¶ 2. Durchführung und Bewertung
Kontrollen verwenden freigegebene Kriterien, nachvollziehbare Stichproben und geschützte Belege. Ergebnisse werden als erfüllt, teilweise erfüllt, nicht erfüllt oder nicht bewertet eingeordnet; „nicht bewertet“ ist kein positives Ergebnis. Feststellungen erhalten Ursache, Risiko, Sofortmaßnahme, Owner, Termin und Wirksamkeitsprüfung.
¶ 3. Mindestkontrollen
- Fristen und Qualität von Betroffenenanfragen,
- Aktualität und Vollständigkeit von VVT und Informationen,
- Berechtigungen, Löschung, Wiederherstellung und technische Schutzmaßnahmen,
- Verträge, Unterauftragnehmer und Drittlandtransfers,
- DSFA-Screenings und Änderungsprüfungen,
- Verletzungsregister, Entscheidungen und Meldebereitschaft,
- Schulungen, Verpflichtungen und wiederkehrende Rollenreviews.
¶ 4. Berichterstattung und Nachweise
Berichte trennen Umfang, Kriterien, Beobachtungen, Feststellungen, Schlussfolgerungen und offene Grenzen. Originalstichproben bleiben geschützt. Quartals- oder Jahresauswertungen speisen Kennzahlen und Managementbewertung; überfällige oder wesentliche Feststellungen werden eskaliert.
¶ 5. Risikobasierte Jahresplanung
Die Planung beginnt mit dem Kontrolluniversum: VVT, Standorte, Systeme, Betroffenenrechte, Löschung, Dienstleister, Transfers, Einwilligungen, besondere Daten, KI, Video, Beschäftigte und Datenschutzverletzungen. Für jedes Thema werden Risiko, Änderung, letzte Prüfung, Feststellungen, Beschwerden und gesetzliche Relevanz bewertet.
| Prioritätsfaktor | Beispiel |
|---|---|
| hohes Risiko für Personen | umfangreiche sensible Daten oder Überwachung |
| wesentliche Änderung | neues System, Anbieter, Zweck oder Datenfluss |
| schwache Nachweise | fehlende Tests, Verträge oder aktuelle Freigaben |
| negative Signale | Vorfälle, Beschwerden, Auditfeststellungen oder Fristüberschreitungen |
| lange ungeprüft | Kontrolle oder DSFA seit längerer Zeit nicht aktualisiert |
| Abhängigkeit | zentraler Dienst oder Prozess wirkt auf viele Verarbeitungen |
Die Priorisierung ersetzt keine gesetzlich notwendige Prüfung. Kritische Themen werden nicht aus Kapazitätsgründen dauerhaft verschoben; fehlende Ressourcen werden an die Leitung eskaliert.
¶ 6. Kontrollsteckbrief
Jede wiederkehrende Kontrolle erhält Ziel, Kriterium, Umfang, Methode, Stichprobe, Datenquelle, Frequenz, ausführende und prüfende Rolle, Nachweis, Bewertungsskala und Eskalationsregel. Dadurch bleibt sie bei Personalwechsel reproduzierbar.
¶ 6.1 Kontrollmethoden
- Dokumenten- und Vertragsprüfung,
- Systemkonfiguration und technische Stichprobe,
- Rollen- und Berechtigungsreview,
- Interview und Walkthrough,
- End-to-End-Test eines Betroffenenrechts,
- Lösch-, Restore-, Meldeweg- oder Incident-Test,
- Dienstleister- und Transferprüfung,
- Datenabgleich zwischen Register und tatsächlichem Bestand.
Selbstauskunft allein reicht bei hohem Risiko regelmäßig nicht. Methode und Stichprobe werden so gewählt, dass nicht nur dokumentierte Soll-Aussagen, sondern tatsächliche Umsetzung geprüft wird.
¶ 7. Feststellungen und Bewertung
Eine Feststellung benennt Kriterium, objektiven Nachweis, Abweichung, betroffenen Prozess und mögliches Risiko. Beobachtung, Verbesserungshinweis und Nichtkonformität werden klar getrennt. Wertungen ohne Beleg und bloße Dokumentenlisten sind zu vermeiden.
| Stufe | Bedeutung | Reaktion |
|---|---|---|
| kritisch | unmittelbare erhebliche Gefährdung oder möglicher Gesetzesverstoß | Sofortmaßnahme und Leitungseinschaltung |
| hoch | wesentliche Kontrolle fehlt oder ist unwirksam | priorisierte Korrektur und enger Nachtest |
| mittel | begrenzte Lücke mit nachvollziehbarem Risiko | Maßnahme mit Termin und Review |
| niedrig | geringe Abweichung oder lokale Verbesserung | planmäßige Bearbeitung |
¶ 8. Unabhängigkeit und Funktionstrennung
Wer eine Kontrolle ausführt, sollte nicht allein die eigene Arbeit bestätigen. Je Risiko werden Vier-Augen-Prinzip, unabhängige Stichprobe, interne Revision oder externe Fachprüfung eingesetzt. Der Datenschutzbeauftragte berät und überwacht im Rahmen seiner gesetzlichen Stellung; operative Verantwortung und Freigabe verbleiben bei der Organisation.
¶ 9. Nachweis und Wirksamkeitsprüfung
Kontrollnachweise enthalten Version, Datum, Scope, Prüfer, Stichprobe, Quellen, Ergebnis, Unsicherheiten und Folgemaßnahmen. Sensible Originale werden geschützt referenziert. Eine Feststellung wird erst geschlossen, wenn Korrektur umgesetzt und die Wirksamkeit mit einer geeigneten Methode geprüft wurde.
¶ 9.1 Kennzahlen des Programms
Sinnvoll sind Planerfüllung, überfällige Hochrisikokontrollen, wiederholte Feststellungen, Zeit bis Maßnahme, Nachtestquote und Anteil nicht belastbarer Nachweise. Eine reine Anzahl durchgeführter Kontrollen kann Aktivität zeigen, aber keine Wirksamkeit beweisen.
¶ 10. Verknüpfte Seiten
- Datenschutz-Audits
- Abweichungen und Korrekturmaßnahmen
- Kennzahlen und Zielerreichung
- Managementbewertung Datenschutz
¶ 11. Offizielle Grundlagen
¶ 12. Weiterführende Informationen von SMCT MANAGEMENT
Risikobasierte Datenschutzkontrollen und belastbare Nachweisstrukturen
¶ 13. Änderungshistorie
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 1.0 | 09.08.2026 | Risikobasierte Planung, Kontrollsteckbrief, Methoden, Bewertungsstufen, Unabhängigkeit und Wirksamkeitsprüfung ergänzt | Ausstehend |
| 0.1 | 08.08.2026 | Muster-Kontrollprogramm erstellt | Ausstehend |