FAQ – Erstbestandsaufnahme

Nachfolgend finden Sie Antworten auf häufig gestellte Fragen zur Erstbestandsaufnahme. Sollte Ihre Frage hier nicht beantwortet werden oder wünschen Sie eine individuelle Einschätzung für Ihre Organisation, kontaktieren Sie uns gerne. Wir beraten Sie unverbindlich und erläutern Ihnen den Ablauf, den voraussichtlichen Zeitbedarf sowie die für Ihre Organisation sinnvolle Vorgehensweise.

Die Erstbestandsaufnahme bildet die Grundlage für die Datenschutzbetreuung beziehungsweise die Tätigkeit als externer Datenschutzbeauftragter. Ziel ist es, die in der Organisation durchgeführten Verarbeitungen systematisch zu erfassen, Datenschutzrisiken zu identifizieren und den erforderlichen Handlungsbedarf festzustellen.

Hierzu werden strukturierte Gespräche mit den jeweils zuständigen Ansprechpartnern geführt. Aufgenommen werden insbesondere die durchgeführten Verarbeitungen, eingesetzten Anwendungen, beteiligten Dienstleister sowie relevante Empfänger personenbezogener Daten.

Auf Basis dieser Informationen werden die erforderlichen Datenschutzdokumente erstellt oder ergänzt. In den meisten Fällen liegt nach der Erstbestandsaufnahme bereits ein grundlegendes Verzeichnis der Verarbeitungstätigkeiten vor, das gemäß Art. 30 DSGVO von Verantwortlichen zu führen ist.

Wichtig: Die Erstbestandsaufnahme dient dazu, die wesentlichen datenschutzrelevanten Prozesse einer Organisation strukturiert aufzunehmen. Hierbei wird ein belastbarer Überblick über die Verarbeitung personenbezogener Daten, eingesetzte Anwendungen, Dienstleister und organisatorische Abläufe geschaffen. Vertiefende technische oder rechtliche Detailprüfungen einzelner Systeme, Dokumente oder Prozesse können bei Bedarf anschließend gezielt erfolgen. Der Schwerpunkt liegt auf den Prozessen und den hierfür eingesetzten Ressourcen, nicht auf der vollständigen Detailprüfung einzelner Nachweise, Dokumente oder Systeme.

Bei kleinen und mittleren Organisationen kann eine grundlegende Erstbestandsaufnahme bei guter Vorbereitung häufig innerhalb eines Beratungstages durchgeführt werden.

Bei größeren Organisationen steigt der Zeitbedarf entsprechend der Anzahl von Standorten, Fachbereichen, Verarbeitungsvorgängen und Ansprechpartnern. Auch komplexe Unternehmensstrukturen oder umfangreiche Datenverarbeitungen können zusätzliche Gespräche erforderlich machen.

Nicht zuletzt hängt die Dauer auch davon ab, wie gut die Organisation vorbereitet ist und ob erforderliche Informationen bereits vorliegen.

Gerne geben wir Ihnen nach einem ersten Gespräch eine individuelle Einschätzung des voraussichtlichen Zeitbedarfs.

Eine gute Vorbereitung verkürzt den Zeitaufwand der Erstbestandsaufnahme erheblich. Sofern vorhanden, bitten wir daher um eine frühzeitige Bereitstellung relevanter Unterlagen.

Typische Dokumente sind beispielsweise:

Datenschutz

  • vorhandene Datenschutzdokumentation
  • Verzeichnis der Verarbeitungstätigkeiten
  • technische und organisatorische Maßnahmen (TOM)
  • Vereinbarungen zur Auftragsverarbeitung
  • vorhandene Richtlinien
  • eingesetzte Formulare
  • Übersicht der eingesetzten Anwendungen

Personal

  • Arbeitsverträge
  • Verpflichtung auf Vertraulichkeit
  • Datenschutz- und Sicherheitsregelungen
  • Stammblatt
  • Checklisten für Eintritt und Austritt
  • Einwilligungen (z. B. Foto- und Videoaufnahmen)
  • Informationen nach Art. 13 und 14 DSGVO
  • Betriebsvereinbarungen mit Datenschutz- oder Informationssicherheitsbezug

Verkauf / Leistungserbringung

  • Formulare (digital oder Papier)
  • Angebote
  • Verträge
  • Rechnungen
  • AGB
  • Informationen nach Art. 13 und 14 DSGVO
  • gegebenenfalls Vereinbarungen zur Auftragsverarbeitung

IT

  • Übersicht der eingesetzten Anwendungen
  • Übersicht der Dienstleister (Auftragsverarbeiter)
  • kurze Beschreibung des jeweiligen Zwecks der Anwendung und Dienstleister

Weitere Dokumente werden im Gespräch gemeinsam betrachtet. Dabei genügt in vielen Fällen bereits eine kurze Einsicht. Interne Informationen wie IP-Adressen oder administrative Zugangsdaten werden selbstverständlich nicht benötigt.

Qualitätsmanagement

  • vorhandene Prozessbeschreibungen
  • Ablaufpläne
  • relevante Arbeitsanweisungen

Marketing

  • Einwilligungsformulare
  • eingesetzte Dienstleister
  • verwendete Marketing- und Online-Tools

Auf Wunsch stellen wir Ihnen einen geschützten Online-Datenraum zur Verfügung, über den Sie uns die erforderlichen Unterlagen sicher übermitteln können.

Dokumente sollten möglichst keine besonders sensiblen Informationen enthalten, die für die Erstbestandsaufnahme nicht erforderlich sind. Hierzu zählen etwa Gehaltsangaben in den Personaldokumenten, Passwörter, administrative Zugangsdaten oder vergleichbare vertrauliche Informationen. Diese können vor der Übermittlung problemlos geschwärzt oder entfernt werden.

Selbstverständlich behandeln wir sämtliche übermittelten Unterlagen vertraulich und verwenden diese ausschließlich zur Vorbereitung und Durchführung der beauftragten Erstbestandsaufnahme.

Bei einer Erstbestandsaufnahme bevorzugen wir Gespräche vor Ort, um einen möglichst realistischen Eindruck der gelebten Prozesse und Arbeitsabläufe zu erhalten. Außerdem können vor Ort häufig kurzfristig weitere Beschäftigte hinzugezogen und Rückfragen unmittelbar geklärt werden.

Selbstverständlich können Gespräche auch telefonisch oder per Videokonferenz durchgeführt werden. Dies bietet sich insbesondere bei vollständig remote arbeitenden Organisationen oder Unternehmen mit mehreren, weit voneinander entfernten Standorten an.

Zu Beginn stimmen wir gemeinsam den voraussichtlichen Umfang sowie den Ablauf der Erstbestandsaufnahme ab. Außerdem legen wir fest, mit welchen Personen Gespräche geführt werden sollten und welcher zeitliche Aufwand hierfür voraussichtlich erforderlich ist.

Sofern die Erstbestandsaufnahme nicht gemeinsam mit der Geschäftsführung oder dem Unternehmensinhaber erfolgt, ist ein zusätzliches Kennenlernen mit der Unternehmensleitung üblich. Je nach Organisation werden hierbei auch weitere zentrale Ansprechpartner, beispielsweise aus den Bereichen Compliance, Recht, Informationssicherheit oder Risikomanagement, einbezogen.

Eine Vor-Ort-Bestandsaufnahme bietet darüber hinaus häufig die Möglichkeit, Beschäftigte direkt für Datenschutz- und Informationssicherheitsthemen zu sensibilisieren.

Im Idealfall erhalten wir bereits vor Beginn der Erstbestandsaufnahme – sofern vorhanden – erste Datenschutzunterlagen sowie weitere relevante Dokumente. Hierzu zählen beispielsweise vorhandene Datenschutzdokumentationen, Vereinbarungen zur Auftragsverarbeitung, Einwilligungsformulare, Übersichten der eingesetzten Anwendungen, Sicherheitsvorgaben oder verwendete Formulare.

Diese Informationen ermöglichen es uns, die Gespräche gezielter vorzubereiten, konkretere Fragen zu stellen und oftmals bereits während der Erstbestandsaufnahme erste Empfehlungen auszusprechen.

Die Erstbestandsaufnahme erfolgt standardmäßig risikobasiert. Im Mittelpunkt stehen daher zunächst die Verarbeitungen mit dem höchsten Datenschutzrisiko.

In nahezu jeder Organisation betrifft dies die Verarbeitung von Beschäftigtendaten. Je nach Unternehmen kommen beispielsweise Kunden-, Interessenten-, Patienten-, Bewohner-, Mandanten- oder Mitgliederdaten hinzu.

Ein Produktionsunternehmen mit wenigen Geschäftskunden weist häufig andere Datenschutzrisiken auf als ein Autohaus mit mehreren hunderttausend Endkunden oder ein IT-Dienstleister, der umfangreiche Daten seiner Kunden verarbeitet oder hostet.

In kleineren Unternehmen kann häufig eine Person einen Großteil der Fragen beantworten und bei Bedarf einzelne Details intern abstimmen. In mittelständischen und größeren Unternehmen sind dagegen meist mehrere Gespräche mit unterschiedlichen Fachbereichen erforderlich.

Typische Gesprächspartner sind beispielsweise:

  • Personalverwaltung
  • IT (einschließlich technischer und organisatorischer Maßnahmen)
  • Marketing und Werbung
  • Vertrieb
  • Buchhaltung und Controlling
  • Fachbereiche mit erhöhtem Datenschutzrisiko

Je nach Organisation können außerdem Gespräche mit folgenden Bereichen sinnvoll oder erforderlich sein:

  • Produktion und Arbeitsvorbereitung
  • Lager und Logistik
  • Versand
  • Einkauf und Beschaffung
  • Verwaltung
  • Service und Support
  • Softwareentwicklung
  • Qualitätsmanagement
  • Compliance und Recht
  • Informationssicherheit
  • Digitalisierung
  • Betriebsrat
  • Verantwortliche für Videoüberwachung, Geldwäscheprävention, Zoll oder vergleichbare Spezialthemen

Sofern die Erstbestandsaufnahme nicht gemeinsam mit der Geschäftsführung oder dem Unternehmensinhaber erfolgt, ist zusätzlich ein Kennenlernen mit der Unternehmensleitung üblich. Dabei werden häufig auch organisatorische Besonderheiten, strategische Ziele sowie die weitere Zusammenarbeit besprochen.

Werden besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO verarbeitet, werden diese Verarbeitungen ebenfalls aufgenommen. Hierzu zählen insbesondere Gesundheitsdaten, biometrische und genetische Daten sowie Angaben zur religiösen oder weltanschaulichen Überzeugung, zur Gewerkschaftszugehörigkeit oder zum Sexualleben beziehungsweise der sexuellen Orientierung.

Werden personenbezogene Daten im Auftrag anderer Organisationen verarbeitet und stellt dies einen wesentlichen Teil der Geschäftstätigkeit dar oder erfolgt die Verarbeitung in größerem Umfang, werden auch diese Prozesse betrachtet. Dies betrifft beispielsweise IT-Dienstleister, Software- und SaaS-Anbieter, externe Lohn- und Finanzbuchhaltungen, Marketing- und Webagenturen oder Callcenter. Gleiches gilt für zentrale Dienstleistungen innerhalb von Unternehmensgruppen, beispielsweise wenn Personalverwaltung, IT oder Marketing für mehrere Tochtergesellschaften erbracht werden.

Die konkreten Inhalte hängen von der Organisation und der Aufgabenverteilung ab. Typische Themen sind unter anderem:

  • Bewerbungsprozess
  • Einstellung neuer Beschäftigter
  • Personalverwaltung
  • Lohn- und Gehaltsabrechnung
  • Arbeitszeit- und Urlaubsverwaltung
  • Verwaltung geplanter und ungeplanter Fehlzeiten
  • betriebliche Altersvorsorge
  • betriebliches Eingliederungsmanagement (BEM)
  • Austrittsprozess

Darüber hinaus betrachten wir insbesondere die eingesetzten Anwendungen, beteiligte Dienstleister, verwendete Dokumente und Formulare, Aufbewahrungs- und Löschfristen sowie die jeweiligen Zuständigkeiten.

Bei kleinen und mittleren Unternehmen dauert das Gespräch in der Regel zwischen 30 und 60 Minuten. In größeren Unternehmen oder bei komplexeren Personalstrukturen kann entsprechend mehr Zeit erforderlich sein.

Die konkreten Inhalte hängen von der Organisation und der Aufgabenverteilung ab. Typische Themen sind unter anderem:

  • grundlegende IT- und TK-Infrastruktur
  • wesentliche technische und organisatorische Maßnahmen einschließlich Datensicherung
  • eingesetzte Anwendungen und Systeme
  • mitwirkende Dienstleister
  • IT-Organisation und Dokumentation
  • Zuständigkeiten und Abläufe, beispielsweise bei der Einführung neuer Anwendungen oder Geräte
  • Prozesse für den Eintritt und Austritt von Beschäftigten
  • Arbeitsanweisungen und weitere Dokumente zur Informationssicherheit

Darüber hinaus betrachten wir insbesondere den Einsatz von Cloud-Diensten, Berechtigungskonzepte, Authentifizierungsverfahren, Fernzugriffe sowie grundlegende Sicherheitsprozesse.

Bei kleinen und mittleren Unternehmen dauert das Gespräch in der Regel zwischen 45 und 90 Minuten. In größeren Unternehmen oder bei komplexen IT-Landschaften kann entsprechend mehr Zeit erforderlich sein. Werden IT-Leistungen gegenüber Dritten als Leistung erbraucht steigt der Zeitbedarf selbstverständlich entsprechend.

Bitte beachten Sie: Im Rahmen der Erstbestandsaufnahme verschaffen wir uns zunächst einen Überblick über die eingesetzten Systeme, Abläufe und Sicherheitsmaßnahmen. Eine technische Detailprüfung einzelner Berechtigungen, Benutzerkonten oder Systemeinstellungen erfolgt hierbei grundsätzlich nicht. Sofern ein entsprechender Bedarf besteht, kann eine vertiefende Prüfung selbstverständlich separat durchgeführt werden.

Die konkreten Inhalte hängen von der Organisation und der Aufgabenverteilung ab. Typische Themen sind unter anderem:

  • verwendete Werbekanäle (z. B. Website, Landingpages, Newsletter, Social Media, Online-Werbung, Werbepost, Telefonmarketing, Gewinnspiele oder Messeauftritte)
  • Veröffentlichung von Bildern und Videos von Beschäftigten oder Dritten
  • Abläufe für die unterschiedlichen Werbemaßnahmen
  • mitwirkende Dienstleister sowie gegebenenfalls weitere Beteiligte (z. B. Handelsvertreter oder Vermittler)
  • eingesetzte Anwendungen und Online-Dienste
  • Organisation und Dokumentation, beispielsweise Einwilligungen oder Zielgruppen- und Verteilerverwaltung
  • Zuständigkeiten und interne Abläufe
  • Bearbeitung von Widersprüchen und Widerrufen

Darüber hinaus betrachten wir insbesondere die eingesetzten Marketing- und Analysewerkzeuge, Cookie- und Consent-Lösungen, die Einbindung externer Dienste auf Websites sowie die datenschutzkonforme Gestaltung von Werbemaßnahmen.

Bei kleinen und mittleren Unternehmen dauert das Gespräch – abhängig vom Umfang der Marketingaktivitäten – in der Regel zwischen 15 und 60 Minuten. In größeren Unternehmen oder bei Marketing- und Werbeagenturen kann entsprechend mehr Zeit erforderlich sein, insbesondere weil dann auch Auftragsdaten verarbeitet werden.

Die konkreten Inhalte hängen von der Organisation und der Aufgabenverteilung ab. Typische Themen sind unter anderem:

  • Gewinnung neuer Interessenten
  • Leadmanagement
  • Angebots- und Auftragsabwicklung
  • Kundenbetreuung
  • eingesetzte Anwendungen
  • mitwirkende Dienstleister
  • Zusammenarbeit mit Vertriebspartnern oder Handelsvertretern
  • verwendete Formulare und Dokumente
  • Einwilligungen
  • Datenflüsse zu anderen Fachbereichen

Darüber hinaus betrachten wir insbesondere den Weg personenbezogener Daten von der ersten Kontaktaufnahme bis zum Abschluss der Leistungserbringung. Hierbei werden auch Schnittstellen zu anderen Bereichen, beispielsweise Marketing, Service, Buchhaltung oder IT, berücksichtigt.

Bitte beachten Sie: Im Rahmen der Erstbestandsaufnahme erfolgt eine Aufnahme der wesentlichen Prozesse und Datenflüsse. Eine vollständige Prüfung einzelner Kundenakten, Verträge oder CRM-Systeme erfolgt hierbei grundsätzlich nicht.

Bei kleinen und mittleren Unternehmen dauert das Gespräch – abhängig von den Vertriebsprozessen – in der Regel zwischen 15 und 90 Minuten. Unternehmen mit mehreren Vertriebsteams, unterschiedlichen Marken oder internationalen Vertriebsstrukturen benötigen entsprechend mehr Zeit.

Die konkreten Inhalte hängen von der Organisation, den Aufgaben des jeweiligen Fachbereichs und den dort durchgeführten Verarbeitungen ab. Im Mittelpunkt stehen insbesondere:

  • Beginn und Ende der jeweiligen Verarbeitung
  • Datenflüsse innerhalb und außerhalb der Organisation
  • betroffene Personengruppen
  • verarbeitete Datenkategorien
  • Zweck der Verarbeitung
  • einzelne Prozessschritte
  • eingesetzte Anwendungen und Systeme
  • eingesetzte Dienstleister
  • Empfänger personenbezogener Daten
  • Speicher- und Löschfristen
  • verwendete Formulare und Dokumente

Je nach Fachbereich können darüber hinaus weitere Besonderheiten betrachtet werden, beispielsweise gesetzliche Aufbewahrungspflichten, branchenspezifische Anforderungen oder besondere technische Abläufe.

Die Dauer der Gespräche richtet sich nach Umfang und Komplexität der jeweiligen Verarbeitung und wird im Rahmen der Planung der Erstbestandsaufnahme gemeinsam abgestimmt.

Nach einer erfolgreich durchgeführten Erstbestandsaufnahme verfügen wir im Regelfall über alle wesentlichen Informationen, um die erforderliche Datenschutzdokumentation aufzubauen oder vorhandene Unterlagen gezielt zu ergänzen.

Hierzu gehören insbesondere:

  • dokumentierte Verarbeitungstätigkeiten für das Verzeichnis der Verarbeitungstätigkeiten,
  • eingesetzte Anwendungen,
  • eingesetzte Auftragsverarbeiter sowie weitere relevante Empfänger personenbezogener Daten,
  • identifizierte Risiken und Handlungsbedarfe,
  • empfohlene Maßnahmen zur Verbesserung der Datenschutzorganisation.

Sofern uns bereits Unterlagen übermittelt wurden, werden diese – soweit sinnvoll – den jeweiligen Verarbeitungstätigkeiten oder Dienstleistern zugeordnet. Hierzu zählen etwa Vereinbarungen zur Auftragsverarbeitung, Informationspflichten nach Art. 13 und 14 DSGVO, Einwilligungsformulare oder weitere relevante Nachweisdokumente.

Die Erstbestandsaufnahme bildet damit die Grundlage für die weitere Datenschutzbetreuung und ermöglicht es, zukünftige Änderungen wesentlich effizienter zu dokumentieren und zu bewerten.

Die Erstbestandsaufnahme kann remote oder vor Ort durchgeführt werden.

Die Pauschale beträgt 1.800,00 EUR netto für den ersten Beratungstag sowie 1.080,00 EUR netto für jeden weiteren Beratungstag.

Im Preis enthalten sind insbesondere:

  • Vorbereitung der Erstbestandsaufnahme,
  • Durchführung der vereinbarten Gespräche,
  • Dokumentation der aufgenommenen Informationen,
  • Erstellung erster Maßnahmenempfehlungen,
  • Abschlussbesprechung (telefonisch oder per Videokonferenz).

Der erste Beratungstag umfasst neben den eigentlichen Gesprächen insbesondere auch die strukturierte Nachbereitung und Dokumentation der aufgenommenen Informationen. Da dieser Dokumentationsaufwand bei mehrtägigen Erstbestandsaufnahmen in der Regel nicht proportional mit jedem weiteren Beratungstag steigt, reduziert sich die Pauschale für die Folgetage entsprechend.

Für vereinbarte Vor-Ort-Termine innerhalb Deutschlands sind beim ersten Beratungstag Reisezeiten von bis zu zwei Stunden bereits enthalten. Darüber hinausgehende Reisezeiten werden mit dem vereinbarten Zeitkontingent verrechnet oder zum jeweils gültigen Stundensatz abgerechnet.

Ist aufgrund der Entfernung eine Übernachtung erforderlich, berechnen wir hierfür pauschal eine weitere Beratungsstunde. Weitere Reise-, Kilometer- oder Übernachtungskosten fallen grundsätzlich nicht an.

Abweichende Vereinbarungen sind selbstverständlich möglich, beispielsweise bei kurzfristigen Einsätzen oder besonderen Rahmenbedingungen.

Ja. Datenschutz ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Organisationen verändern sich kontinuierlich. Neue Anwendungen werden eingeführt, Dienstleister wechseln, gesetzliche Anforderungen ändern sich oder neue Geschäftsbereiche entstehen. Damit die Datenschutzdokumentation aktuell bleibt, sollte sie daher regelmäßig überprüft und bei Bedarf angepasst werden.

Typische Anlässe für eine Folgebestandsaufnahme sind beispielsweise:

  • Einführung neuer Anwendungen oder Cloud-Dienste,
  • Wechsel oder Hinzunahme neuer Dienstleister,
  • neue Geschäftsbereiche oder Produkte,
  • Unternehmenszukäufe, Verschmelzungen oder Umstrukturierungen,
  • neue Standorte,
  • wesentliche Änderungen bestehender Prozesse,
  • neue gesetzliche oder behördliche Anforderungen.

Im Gegensatz zur Erstbestandsaufnahme beschränken sich Folgebestandsaufnahmen häufig auf einzelne Fachbereiche oder konkrete Änderungen. Dadurch ist der Aufwand regelmäßig deutlich geringer.

Bei Vor-Ort-Terminen prüfen wir auf Wunsch zusätzlich typische Datenschutzthemen und häufig auftretende Schwachstellen, die wir aus unserer langjährigen Beratungspraxis kennen. Für Organisationen mit mehreren Standorten stellen wir hierfür auf Wunsch auch entsprechende Prüflisten zur Verfügung, sodass interne Prüfungen eigenständig durchgeführt werden können.

Im Paket „Externer Datenschutzbeauftragter“ kann das vereinbarte jährliche Betreuungskontingent auch für Folgebestandsaufnahmen genutzt werden. Nicht verbrauchte Beratungszeiten können dabei bis zu drei Jahre angespart werden. Gerade bei kleineren Organisationen entstehen häufig nur wenige Änderungen, sodass die angesammelten Stunden gezielt für umfangreichere Folgebestandsaufnahmen eingesetzt werden können.

Im Paket „DSB-Support“ dient das enthaltene Zeitkontingent in erster Linie der Beantwortung datenschutzrechtlicher Fragen. Folgebestandsaufnahmen können selbstverständlich ebenfalls durchgeführt oder durch ein zusätzliches Zeitkontingent ergänzt werden.

Wichtig: Unabhängig von geplanten Folgebestandsaufnahmen empfehlen wir, uns – insbesondere als benannten Datenschutzbeauftragten – möglichst frühzeitig in geplante Änderungen einzubeziehen. Dies betrifft beispielsweise die Einführung neuer Anwendungen, Änderungen von Prozessen, neue Dienstleister oder organisatorische Veränderungen. Eine frühzeitige Einbindung ermöglicht es, mögliche Datenschutzrisiken rechtzeitig zu erkennen und gemeinsam praxistaugliche Lösungen zu entwickeln. Häufig lassen sich dadurch spätere Anpassungen, zusätzlicher Aufwand oder unnötige Kosten vermeiden.

Nein.

Viele Organisationen verfügen nur über wenige oder nicht mehr aktuelle Datenschutzunterlagen. Die Erstellung beziehungsweise Vervollständigung der Datenschutzdokumentation ist daher regelmäßig ein wesentliches Ziel der Erstbestandsaufnahme.

Gleichzeitig gibt es nur wenige Organisationen, die überhaupt keine datenschutzrelevanten Unterlagen besitzen. Häufig bestehen bereits Arbeitsverträge mit Datenschutz- oder Vertraulichkeitsregelungen, Einwilligungsformulare, Informationspflichten, Verträge mit Dienstleistern oder andere Dokumente, die für die Datenschutzorganisation genutzt oder weiterentwickelt werden können.

Bereits vorhandene und vorab übermittelte Unterlagen erleichtern die Vorbereitung und können den Zeitaufwand der Erstbestandsaufnahme reduzieren. Sie sind jedoch keine Voraussetzung für deren Durchführung.

Sofern bereits Datenschutzdokumente vorhanden sind, prüfen wir gemeinsam, welche Inhalte übernommen, aktualisiert oder ergänzt werden können.

So vermeiden wir unnötige Doppelarbeit und können bereits vorhandene Dokumente häufig weiterverwenden oder gezielt aktualisieren.

Nein.

Die Erstbestandsaufnahme dient in erster Linie dazu, einen strukturierten Überblick über die datenschutzrelevanten Prozesse, eingesetzten Anwendungen, Dienstleister und organisatorischen Abläufe zu gewinnen. Sie bildet damit die Grundlage für die Datenschutzorganisation und die weitere Betreuung.

Vertiefende technische oder organisatorische Prüfungen können anschließend gezielt durchgeführt werden. Hierzu gehören beispielsweise:

  • technische Sicherheitsprüfungen,
  • detaillierte Prüfungen von Berechtigungskonzepten,
  • Dokumenten- oder Vertragsprüfungen,
  • Audits einzelner Fachbereiche oder Standorte.

Durch dieses stufenweise Vorgehen kann der Prüfungsumfang gezielt auf die tatsächlichen Risiken und den individuellen Bedarf der Organisation abgestimmt werden.

Ja.

Auf Wunsch können die Kosten der Erstbestandsaufnahme auf 12 oder 24 Monate verteilt werden. Die Abrechnung erfolgt dann gemeinsam mit der monatlichen Betreuung beziehungsweise der vereinbarten Leistung.

Gerade für kleinere und mittlere Organisationen ermöglicht dies eine bessere Planbarkeit der Kosten, ohne auf eine strukturierte Datenschutzorganisation verzichten zu müssen.

Bitte beachten Sie: Die monatliche Zahlung stellt lediglich eine Verteilung der vereinbarten Vergütung dar. Sollte die Zusammenarbeit vor Ablauf der vereinbarten Laufzeit enden, wird der zu diesem Zeitpunkt noch offene Restbetrag mit Beendigung der Zusammenarbeit fällig.