Datenschutzkonzept erstellen lassen — DSGVO-konform und praxistauglich

Was ein vollständiges Datenschutzkonzept enthält

Ein trag­fä­hi­ges Datenschutz­konzept do­ku­men­tiert sechs Kern-Elemente. Ver­zeich­nis von Ver­ar­bei­tungs­tä­tig­kei­ten (Art. 30 DSGVO) mit Zwecken, Rechts­grund­la­gen und Lösch­fris­ten. Technisch-or­ga­ni­sa­to­ri­sche Maßnahmen (TOM) zur Sicherung der Da­ten­ver­ar­bei­tung. Da­ten­schutz-Fol­gen­ab­schät­zun­gen (DSFA) für riskante Ver­ar­bei­tun­gen. Be­trof­fe­nen­rech­te-Prozesse (Auskunft, Löschung, Por­ta­bi­li­tät). Mel­de­pro­zes­se bei Da­ten­pan­nen (Art. 33/34 DSGVO). Auf­trags­ver­ar­bei­tungs-Verträge mit Dienst­leis­tern (Art. 28 DSGVO).

PITCH & PAPER ori­en­tiert sich an den Emp­feh­lun­gen der Da­ten­schutz­kon­fe­renz (DSK) und des BfDI als uni­ver­sel­le Re­fe­ren­zen, ergänzt um Lan­des­hand­bü­cher (z. B. BayLDA, LfDI BW) und relevante ISO-Normen (27001, 27701). Die Inhalte werden so auf­be­rei­tet, dass sie für interne Schulung und externe Prüfung brauchbar sind.

Für welche Situationen ein Datenschutzkonzept gebraucht wird

DSGVO-Erst­auf­bau nach Wachs­tums­pha­se. Un­ter­neh­men mit mehr als 20 mit per­so­nen­be­zo­ge­nen Daten be­schäf­tig­ten Mit­ar­bei­tern brauchen einen Da­ten­schutz­be­auf­trag­ten und ein Konzept.

Audit-Vor­be­rei­tung. Be­hör­den­prü­fung (Aufsichts­behörde), Kunden-Audit (Großkunde) oder Zer­ti­fi­zie­rungs-Vor­be­rei­tung (ISO 27701).

Kun­den­an­for­de­rung. B2B-Kunden fordern zunehmend Nachweise über DSGVO-Kon­for­mi­tät als Vor­aus­set­zung für die Be­auf­tra­gung.

Da­ten­pan­nen-Nach­be­rei­tung. Nach einer Da­ten­pan­ne ist ein nach­voll­zieh­ba­res Konzept die Grundlage für die Kom­mu­ni­ka­ti­on mit Aufsichts­behörde und Be­trof­fe­nen.

Was PITCH & PAPER an Datenschutzkonzept anders macht

Viele Datenschutz­konzepte sind Text­bau­stei­ne aus dem Internet, die auf den konkreten Betrieb nicht passen. Sie scheitern im ersten Audit. PITCH & PAPER erhebt die realen Ver­ar­bei­tungs­tä­tig­kei­ten vor Ort, be­schreibt sie präzise und struk­tu­riert die Do­ku­men­ta­ti­on so, dass sie im Alltag gepflegt und im Audit bestanden werden kann.

Die Arbeit erfolgt in enger Ab­stim­mung mit Ihrem internen Da­ten­schutz­be­auf­trag­ten oder externen Rechts­an­walt — die recht­li­che Prüfung liegt dort. PITCH & PAPER übernimmt Erhebung, Struk­tu­rie­rung und pra­xis­taug­li­che For­mu­lie­rung.

Was ein Datenschutzkonzept enthalten muss

Ver­zeich­nis von Ver­ar­bei­tungs­tä­tig­kei­ten (VVT). Pflicht nach Art. 30 DSGVO für jeden Ver­ant­wort­li­chen mit ≥250 Mit­ar­bei­ten­den bzw. bei riskanter Ver­ar­bei­tung. Do­ku­men­tiert Zweck, Rechts­grund­la­ge, Empfänger, Lösch­fris­ten, technisch-or­ga­ni­sa­to­ri­sche Maßnahmen je Verfahren.

Technisch-or­ga­ni­sa­to­ri­sche Maßnahmen (TOM). Art. 32 DSGVO verlangt an­ge­mes­se­nes Schutz­ni­veau — Zu­tritts­kon­trol­le, Zu­gangs­kon­trol­le, Zu­griffs­kon­trol­le, Tren­nungs­ge­bot, Pseud­ony­mi­sie­rung, Ver­schlüs­se­lung, Ver­füg­bar­keit, Auf­trags­ver­ar­bei­tung. PITCH & PAPER struk­tu­riert TOM nach DSK-Emp­feh­lun­gen, ergänzt durch ISO 27001/27701-Bezüge.

Da­ten­schutz-Fol­gen­ab­schät­zung (DSFA). Pflicht bei vor­aus­sicht­lich hohem Risiko (Art. 35 DSGVO) — z. B. sys­te­ma­ti­sche Be­ob­ach­tung, sensible Daten, au­to­ma­ti­sier­te Ent­schei­dun­gen mit Rechts­fol­ge.

Mel­de­pro­zes­se. Da­ten­pan­nen nach Art. 33 (Aufsichts­behörde, 72 h) und Art. 34 (Be­trof­fe­ne, "ohne un­an­ge­mes­se­ne Ver­zö­ge­rung").

Be­trof­fe­nen­rech­te. Auskunft, Be­rich­ti­gung, Löschung, Ein­schrän­kung, Da­ten­über­trag­bar­keit, Wi­der­spruch. Struk­tu­rier­te Ant­wort­pro­zes­se mit do­ku­men­tier­ten Ver­ant­wort­lich­kei­ten.

Was die Tiefen-Stufen konkret abdecken

PITCH & PAPER bietet jeden Service in drei Tiefen — Basis, Referenz, Opus. Die folgenden Bausteine ent­schei­den, welche Tiefe Sie brauchen:

Ver­ar­bei­tungs­ver­zeich­nis. Basis: Kern-Prozesse · Referenz: Voll­stän­dig · Opus: Inkl. Tie­fen­ana­ly­se.

Technisch-or­ga­ni­sa­to­ri­sche Maßnahmen. Basis: Kern-TOM · Referenz: Voll­stän­dig do­ku­men­tiert · Opus: Inkl. ISO-27001-Mapping.

DSFA (Da­ten­schutz-Fol­gen­ab­schät­zung). Basis: nicht enthalten · Referenz: Für riskante Prozesse · Opus: Für alle re­le­van­ten Prozesse.

Mel­de­pro­zes­se Da­ten­pan­nen. Basis: Flow · Referenz: Voll­stän­dig mit Es­ka­la­ti­on · Opus: Inkl. Kom­mu­ni­ka­ti­ons­bau­stei­ne.

AV-Vertrags-Templates. Basis: nicht enthalten · Referenz: Kern-Vorlagen · Opus: Voll­stän­di­ges Ver­trags­pa­ket.

Welche Tiefe für Ihr Vorhaben passt, klären wir in der kos­ten­lo­sen Erst­ein­schät­zung — Faust­re­gel: Basis für interne Anlässe, Referenz für externe Stan­dard­prü­fung, Opus für hohe Adres­sa­ten-Erwartung (Inves­toren, Behörden, formaler Audit).