Geprüfte:r Datenschutzauditor:in

Einführung und Grundlagen zum Datenschutzaudit

• Sinn, Zweck und Zielsetzungen eines Audits.
• Fachliche und persönliche Anforderungen an den:die interne:n/externe:n Datenschutzbeauftragte:n/Datenschutzauditor:in.
• Stellung von Datenschutzauditor:innen.
• Audittypen und Auditarten.
• Bestimmung des Scope von Audits.

Der:die interne Datenschutzbeauftragte (DSB) als Prüfer:in im Unternehmen

• Gesetzliche Pflichten des DSB – Prüfung, Beratung und Überwachung eines DSMS.
• Stellung und Rolle des internen DSB als Datenschutzprüfer:in.
• Vorgehensweise des DSB bei Neubestellung: Bestandsaufnahmeaudit und fortlaufende Re-Überwachungsaudits.

Rechtliche Rahmenbedingungen und Anforderungen an ein betriebliches Datenschutzmanagementsystem (DSMS)

• Vertiefung rechtlicher Grundlagen des Datenschutzrechts anhand von Case Studies: Allgemeine Vorgaben und Anwendungsbereiche, Rechtsgrundlagen und Bedeutung der Datenschutzgrundsätze, Betroffenenrechte, datenschutzrechtliche Vertragstypologien.
• Datenschutz durch Technikgestaltung, Datensicherheit und Schutzverletzung.
• Spezialgesetze und rechtliche Besonderheiten.
• Aktuelle Urteile im Datenschutzrecht und Auffassungen der Aufsichtsbehörden.
• Aufbau und Elemente eines DSMS.
• Verhältnis zu anderen betrieblichen Managementsystemen (z.B: ISO 9000 ff.; ISO 27001 ff.; BS; IDW PS 980) und anerkannte Standards im Bereich Datenschutz (Standard-Datenschutzmodell).

Planung und Vorbereitung eines Datenschutzaudits

• Methoden und Hilfsmittel für das Datenschutzaudit.
• Entwicklung eines Audit-Programms – Bestimmung des Auditgegenstands, inkl. Klärung von Verantwortlichkeiten.
• Vorbereitung der Gesprächspartner:innen.
• Voraudit durch den:die Auditor:in, inkl. Elemente einer Kurzcheckliste.
• Entwicklung eines Fragenkatalogs für das Audit.

Durchführung eines Datenschutzaudits

• Prüfung der Aufbau- und Ablauforganisation – Gliederung und Begehung.
• Interviews als Informationsquelle – Inhalte und Vorgehensweise.
• Dokumente als Informationsquelle.
• Sichtung und Prüfung von datenschutzrechtlichen Dokumenten und Verträgen.
• Prozesse und Ausgestaltung als Informationsquelle.
• Prüfung der technischen/organisatorischen Sicherungsmaßnahmen.
• Begehung und eigene Wahrnehmung als Informationsquelle.

Abschluss/Beendigung eines Datenschutzaudits

• Ist-Erfassung und -Analyse; Schwachstellen- und Risikoanalyse.
• Gestaltung der Auditdokumentation (Findings).
• Auswertung und Bewertung der Ergebnisse: Bildung eines Scorewertes/Skala für das Datenschutzniveau.
• Behandlung von Abweichungen und Konformitäten.
• Entwicklung eines Maßnahmenplans zur Angleichung/Anhebung des Datenschutzniveaus – Nachauditierung nach Angleichung.
• Der Auditbericht – Gliederung, Inhalte und Anforderungen.
• Abschlussgespräch zum Audit – Erläuterung und Vorstellung des Berichts.
• Wirksamkeitsnachweise – Zertifikate, Siegel & Co. am Ende des Audits.

Kritische Auditsituationen – Verhalten und Lösungsmöglichkeiten

Handlungsempfehlungen und Leitfäden für die Praxis

Erläuterung von Musterprozessen im betrieblichen Unternehmensalltag und Vorstellung von Hilfsmitteln (Fragenkatalog, Prüfkriterien für einzelne Verarbeitungen, Berichtsmuster).

Fazit, Besprechung offener Fragen und Prüfungsvorbereitung