Privacy Engineering und
DSGVO-Zertifizierung
Datenschutz, der in Ihrem Produkt funktioniert
Sie entwickeln Software, Cloud- oder SaaS-Lösungen, Apps, Plattformen oder datenbasierte Dienste? Wir unterstützen Sie dabei, Datenschutzanforderungen frühzeitig in Architektur, Funktionen und Entwicklungsprozesse zu integrieren, wenn
- Enterprise-Kunden DSGVO-Nachweise verlangen
- Datenschutzfragen Sales-Prozesse verzögern
- ein ISO-27001- oder Compliance-Programm erweitert werden soll
- internationale Kunden Datenschutzzertifizierungen erwarten
- Investoren oder Due-Diligence-Prüfungen Datenschutzreife fordern
Als Implementer begleiten wir Sie außerdem bei der Vorbereitung auf eine Datenschutzzertifizierung nach Art. 42 DSGVO. Von der Definition des Zertifizierungsgegenstands über die Gap-Analyse und Umsetzung der Kriterien bis zur strukturierten Vorbereitung auf die unabhängige Konformitätsbewertung.
Datenschutz, der sich wirtschaftlich auszahlt
- Schnellere Vertriebsprozesse: Datenschutzprüfungen und Kundenfragebögen effizienter beantworten
- Weniger Entwicklungskosten: Kostspielige Nachbesserungen durch Privacy by Design vermeiden
- Bessere Marktchancen: Datenschutzreife als Vorteil bei Ausschreibungen und Enterprise-Deals nutzen
- Geringeres Risiko: Schwachstellen früh erkennen und Compliance-Risiken reduzieren
- Kürzerer Weg zur Zertifizierung: Strukturen und Nachweise von Anfang an zertifizierungsfähig aufbauen
Datenschutzfreundlich entwickeln. Zertifizierungsreife erreichen. Vertrauen schaffen.
Privacy Engineering für digitale Produkte und Dienste
Datenschutz lässt sich am wirksamsten umsetzen, wenn er nicht erst kurz vor der Markteinführung oder im Rahmen eines Audits geprüft wird.
Privacy Engineering integriert Datenschutz von Beginn an in Produktentwicklung, Systemarchitektur und Betrieb. So werden rechtliche, technische und organisatorische Anforderungen wirksam umgesetzt, Compliance-Risiken reduziert, kostspielige Nachbesserungen vermieden und Vertrauen bei Kunden, Auditoren und Investoren geschaffen.
Wir unterstützen Produktverantwortliche, Entwicklerteams, Informationssicherheitsverantwortliche und Datenschutzfunktionen dabei, regulatorische Anforderungen in konkrete, technisch realisierbare Lösungen zu übersetzen.
Dabei betrachten wir nicht nur Dokumente und Richtlinien. Wir analysieren die tatsächlichen Verarbeitungsvorgänge, Datenflüsse, Rollen, Schnittstellen, Berechtigungskonzepte und Schutzmaßnahmen Ihres Produkts.
Unser Ziel ist eine Lösung, die datenschutzkonform, nachvollziehbar und im Alltag beherrschbar ist.
Mit mehr als zehn Jahren Erfahrung als Sachverständige, Gutachter und Evaluatoren für Datenschutzgütesiegel kennen wir die Anforderungen nicht nur aus der Beratung, sondern auch aus der Perspektive von Prüf- und Zertifizierungsverfahren. Diese Erfahrung nutzen wir, um mögliche Lücken frühzeitig zu erkennen und gemeinsam mit Ihnen praktikable Lösungen zu entwickeln.
Privacy Engineering
Datenschutzanforderungen im Produkt umsetzen
Privacy Engineering macht aus abstrakten Anforderungen konkrete Gestaltungsentscheidungen. Statt Datenschutz ausschließlich über Verträge, Richtlinien und Datenschutzerklärungen abzubilden, wird er Bestandteil der technischen Lösung.
Abhängig von Ihrem Produkt und seinem Entwicklungsstand unterstützen wir Sie beispielsweise bei folgenden Themen:
- Datenminimierung und Zweckbindung
- datenschutzfreundliche Voreinstellungen
- Rollen- und Berechtigungskonzepte
- Mandantentrennung
- Lösch- und Aufbewahrungskonzepte
- Umsetzung von Betroffenenrechten
- Protokollierung und Nachvollziehbarkeit
- Transparenz gegenüber Nutzern und Verantwortlichen
- Pseudonymisierung und Anonymisierung
- Schutz von Daten bei Speicherung und Übertragung
- sichere Schnittstellen und Datenexporte
- Steuerung von Unterauftragnehmern und Drittanbietern
- internationale Datenübermittlungen
- Risikobewertungen und Datenschutz-Folgenabschätzungen
- Nachweisbarkeit der Datenschutzkonformität
Dabei berücksichtigen wir die Arbeitsweise Ihrer Produkt-, Entwicklungs- und Betriebsteams. Empfehlungen werden so formuliert, dass sie in Anforderungen, Tickets, Akzeptanzkriterien, technische Spezifikationen und betriebliche Vorgaben überführt werden können.
Privacy by Design statt nachträglicher Korrekturen
Werden Datenschutzanforderungen erst am Ende eines Entwicklungsprojekts betrachtet, sind notwendige Änderungen häufig technisch aufwendig und wirtschaftlich unattraktiv. Frühzeitiges Privacy Engineering hilft dabei, ungeeignete Architekturentscheidungen, unnötige Datenverarbeitungen und spätere Nachbesserungen zu vermeiden.
Wir unterstützen Sie deshalb möglichst frühzeitig bei:
- der Beschreibung des vorgesehenen Verarbeitungsvorgangs,
- der Identifikation personenbezogener Daten und Datenflüsse,
- der Bestimmung von Zwecken, Rollen und Verantwortlichkeiten,
- der Analyse rechtlicher und technischer Anforderungen,
- der Bewertung von Risiken für betroffene Personen,
- der Auswahl geeigneter Schutzmaßnahmen,
- der Dokumentation der getroffenen Entscheidungen und
- der Überprüfung der wirksamen Umsetzung.
So entsteht Datenschutz nicht neben dem Produkt, sondern im Produkt.
Datenschutzzertifizierung nach Art. 42 DSGVO
Ihr Weg zur nachweisbaren Datenschutzkonformität
Eine Zertifizierung nach Art. 42 DSGVO kann genutzt werden, um die Konformität bestimmter Verarbeitungsvorgänge von Verantwortlichen oder Auftragsverarbeitern nachvollziehbar nachzuweisen. Die Zertifizierung ist freiwillig, erfolgt in einem transparenten Verfahren und wird grundsätzlich für höchstens drei Jahre erteilt. Sie entbindet Verantwortliche oder Auftragsverarbeiter nicht von ihrer fortbestehenden Verantwortung für die Einhaltung der DSGVO.
Gegenstand einer Zertifizierung ist regelmäßig nicht ein Unternehmen als Ganzes. Entscheidend ist ein eindeutig abgegrenzter Zertifizierungsgegenstand, der die zu bewertenden Verarbeitungsvorgänge, Produkte, Prozesse, Systeme und organisatorischen Rahmenbedingungen nachvollziehbar beschreibt. Die sorgfältige Bestimmung dieses Gegenstands ist daher ein wesentlicher Teil der Zertifizierungsvorbereitung.
Wir begleiten Sie als Implementer bei dieser Vorbereitung. Die eigentliche Konformitätsbewertung und Entscheidung über die Erteilung des Zertifikats erfolgt unabhängig durch die zuständige Zertifizierungsstelle.
Implementer von PriLaTec
Was macht ein Implementer?
Ein Implementer unterstützt Unternehmen dabei, die Anforderungen eines Zertifizierungsmechanismus zu verstehen, auf den konkreten Zertifizierungsgegenstand zu übertragen, umzusetzen und nachvollziehbar zu dokumentieren.
Dazu gehören insbesondere:
- Unterstützung bei der Definition des Zertifizierungsgegenstands
- Analyse der anwendbaren rechtlichen und technischen Anforderungen
- Durchführung einer Gap-Analyse
- Strukturierung der erforderlichen Maßnahmen
- Unterstützung bei der Umsetzung der Zertifizierungskriterien
- Aufbau und Prüfung der erforderlichen Nachweise
- Vorbereitung der internen Beteiligten auf das Zertifizierungsverfahren
- Begleitung der Kommunikation mit der Zertifizierungsstelle
- Unterstützung bei der Bearbeitung festgestellter Abweichungen
- Vorbereitung auf die Aufrechterhaltung und spätere Erneuerung der Zertifizierung
Bei Europrivacy umfasst die Implementer-Rolle insbesondere die Anwendung des Zertifizierungssystems, die Dokumentation der Konformität, die Vorbereitung von Verarbeitungsvorgängen auf die Zertifizierung, den Umgang mit Prüf- und Kontrolllisten sowie Aspekte der Aufrechterhaltung der Zertifizierung.
Auch beim „DSGVO Information Privacy Standard“ sind Scoping, Zertifizierungsphasen, Ermittlungsmethoden, Nachweise und die Anwendung der Kriterien wesentliche Bestandteile einer professionellen Vorbereitung.
Unsere Leistungen als Implementer
- Orientierung und Auswahl des Vorgehens: Welcher Zertifizierungsweg passt zu Ihrem Produkt?
- Scoping: Ein klarer Zertifizierungsgegenstand schafft Klarheit
- Maturity Assessment: Wissen, wo Sie stehen
- Anforderungsmanagement: Aus Kriterien werden umsetzbare Aufgaben
- Umsetzung und Privacy Engineering: Gemeinsam zur zertifizierungsfähigen Lösung
- Dokumentation und Nachweisführung: Gute Umsetzung muss prüfbar sein
- Begleitung im Zertifizierungsverfahren: Unterstützung bis zum Abschluss
Unterstützung unabhängig vom gewählten Mechanismus
Wir unterstützen Sie bei der Vorbereitung auf anerkannte Zertifizierungsmechanismen und bei der Auswahl eines zu Ihrem Zertifizierungsgegenstand passenden Ansatzes. Dazu zählen insbesondere:
Europrivacy ist als Europäisches Datenschutzsiegel konzipiert. Implementer unterstützen bei der Anwendung der Methodik, bei der Dokumentation der Konformität und bei der Vorbereitung der Verarbeitungsvorgänge auf die Zertifizierung.
Der „DSGVO Information Privacy Standard“ ermöglicht die Zertifizierung ausgewählter Datenverarbeitungsvorgänge nach Art. 42 DSGVO. Für die Vorbereitung sind insbesondere ein belastbares Scoping, die Anwendung des Kriterienkatalogs und eine geeignete Nachweisführung erforderlich.
Hersteller- und mechanismusunabhängige Vorbereitung
Viele grundlegende Anforderungen ergeben sich unmittelbar aus der DSGVO und sind unabhängig vom später ausgewählten Zertifizierungsmechanismus relevant. Deshalb kann es sinnvoll sein, zunächst den Zertifizierungsgegenstand zu definieren, den Reifegrad zu bewerten und grundlegende Lücken zu schließen.
Auf dieser Basis lässt sich anschließend fundierter entscheiden, welcher Mechanismus für Ihr Produkt, Ihre Kunden und Ihre Marktstrategie geeignet ist.
Ihre Vorteile
Was Sie durch unsere Unterstützung gewinnen
- Klare Orientierung: Sie wissen, welcher Gegenstand zertifiziert werden kann, welche Anforderungen gelten und welche Schritte erforderlich sind.
- Weniger Überraschungen im Audit: Lücken werden vor der unabhängigen Konformitätsbewertung erkannt und strukturiert bearbeitet.
- Technisch umsetzbare Anforderungen: Wir verbinden datenschutzrechtliche Expertise mit technischem Verständnis und übersetzen Kriterien in praktikable Maßnahmen.
- Belastbare Nachweise: Ihre Dokumentation wird systematisch aufgebaut und den jeweiligen Anforderungen zugeordnet.
- Effizienter Ressourceneinsatz: Maßnahmen werden risikobasiert priorisiert. So konzentrieren Sie interne Ressourcen auf die tatsächlich relevanten Aufgaben.
- Nachhaltige Datenschutzstrukturen: Die erarbeiteten Prozesse, Nachweise und Zuständigkeiten helfen Ihnen auch nach der erstmaligen Zertifizierung.
- Vertrauen im Markt: Eine unabhängige Zertifizierung kann die Datenschutzkonformität des definierten Zertifizierungsgegenstands nach außen nachvollziehbar machen. Sie ersetzt allerdings nicht die fortlaufende Verantwortung des Unternehmens für die Einhaltung der DSGVO.
Für wen ist unsere Unterstützung geeignet?
Für Anbieter digitaler Produkte und datenbasierter Dienste
Unsere Leistungen richten sich insbesondere an:
- Softwarehersteller
- Anbieter von Cloud- und SaaS-Lösungen
- Plattformbetreiber
- App-Entwickler
- Anbieter von KI- und datenbasierten Diensten
- Hosting- und IT-Service-Provider
- Anbieter von Lösungen für Beschäftigte, Kunden oder Patienten
- Unternehmen mit komplexen oder besonders sensiblen Datenverarbeitungen
- Verantwortliche und Auftragsverarbeiter, die eine Zertifizierung nach Art. 42 DSGVO vorbereiten
- Unternehmen, die Datenschutz als Qualitäts- und Wettbewerbsmerkmal etablieren möchten
Eine Zertifizierung kann sowohl für neue als auch für bereits etablierte Produkte vorbereitet werden. Je früher Privacy Engineering in Entwicklung und Produktmanagement einbezogen wird, desto besser lassen sich Anforderungen in Architektur und Prozesse integrieren.
Warum PriLaTec?
Erfahrung aus Beratung, Technik und Bewertung
Wir verbinden juristische Datenschutzexpertise mit technischem Verständnis und Erfahrung aus der Begutachtung digitaler Produkte.
Seit mehr als einem Jahrzehnt befassen wir uns mit der Bewertung datenschutzrelevanter IT-Produkte und Dienste. Hersteller unter anderem folgender Lösungen wurden bereits von uns beraten:
- Videomanagementsoftware
- Onlinedienst für Meldeauskünfte
- Software für Hinweisgebersysteme
- Plattform zur Mitarbeitendenentwicklung
- Zugangsmanagement für verschiedene Onlinedienste eines internationalen Anbieters
Unsere Erfahrung als Sachverständige, Gutachter und Evaluatoren hilft uns dabei, Anforderungen aus unterschiedlichen Perspektiven zu betrachten. Wir wissen, welche Fragen in Prüfverfahren relevant werden können und wie technische, rechtliche und organisatorische Nachweise sinnvoll zusammenspielen.
Ablauf der Zusammenarbeit
In sechs Schritten zur Zertifizierungsreife
- Unverbindliches Erstgespräch
Wir besprechen Ihr Produkt, Ihre Ziele, den Entwicklungsstand und den geplanten Zeitrahmen. - Scoping und Projektplanung
Wir grenzen den möglichen Zertifizierungsgegenstand ab und definieren das weitere Vorgehen. - Maturity Assessment
Wir bewerten den aktuellen Stand und identifizieren Lücken gegenüber den relevanten Anforderungen. - Umsetzungsphase
Wir priorisieren Maßnahmen und begleiten Ihre Teams bei der technischen, rechtlichen und organisatorischen Umsetzung. - Zertifizierungsverfahren
Wir unterstützen Sie bei der Zusammenarbeit mit der Zertifizierungsstelle und bei der Bearbeitung möglicher Abweichungen.
Entwickeln Sie Datenschutz zum Qualitätsmerkmal Ihres Produkts
Sie möchten wissen, ob Ihr Produkt für eine Datenschutzzertifizierung geeignet ist oder welche Schritte noch bis zur Zertifizierungsreife erforderlich sind?
In einem unverbindlichen Erstgespräch klären wir Ihren Ausgangspunkt, mögliche Zertifizierungsgegenstände und ein sinnvolles weiteres Vorgehen.
Häufige Fragen Privacy Engineering und Art. 42 DSGVO-Zertifizierung
Was ist Privacy Engineering?
Privacy Engineering bezeichnet die systematische Übersetzung von Datenschutzanforderungen in technische und organisatorische Lösungen. Dabei werden Datenschutzprinzipien in Architektur, Funktionen, Voreinstellungen, Datenflüsse und Entwicklungsprozesse integriert.
Privacy Engineering verbindet damit Datenschutzrecht, Softwareentwicklung, Informationssicherheit, Risikomanagement und Produktgestaltung.
Was ist eine Datenschutzzertifizierung nach Art. 42 DSGVO?
Eine Zertifizierung nach Art. 42 DSGVO dient dazu, die Konformität bestimmter Verarbeitungsvorgänge eines Verantwortlichen oder Auftragsverarbeiters mit der DSGVO nachzuweisen.
Die Zertifizierung ist freiwillig und wird in einem transparenten Verfahren durch eine akkreditierte Zertifizierungsstelle erteilt.
Wird unser gesamtes Unternehmen zertifiziert?
Nein. Gegenstand sind eindeutig abgegrenzte Verarbeitungsvorgänge und die damit verbundenen Produkte, Prozesse, Systeme und organisatorischen Rahmenbedingungen.
Welche Bestandteile einbezogen werden, wird im Scoping festgelegt. Der Zertifizierungsgegenstand muss aussagekräftig, nachvollziehbar und prüfbar sein.
Was ist ein Implementer?
Ein Implementer unterstützt das antragstellende Unternehmen bei der Vorbereitung auf die Zertifizierung. Er hilft dabei, die Kriterien zu verstehen, auf den konkreten Verarbeitungsvorgang anzuwenden, erforderliche Maßnahmen umzusetzen und geeignete Nachweise aufzubauen.
Der Implementer erteilt das Zertifikat nicht. Die unabhängige Prüfung und Zertifizierungsentscheidung erfolgen durch die zuständige Zertifizierungsstelle.
Worin unterscheidet sich ein Implementer von einem Auditor?
Der Implementer unterstützt das Unternehmen bei der Vorbereitung und Umsetzung. Er arbeitet gemeinsam mit dem Unternehmen an der Zertifizierungsreife.
Der Auditor bewertet dagegen unabhängig, ob der definierte Zertifizierungsgegenstand die anwendbaren Kriterien erfüllt.
Kann PriLaTec die Zertifizierung selbst erteilen?
Nein. Als Implementer unterstützen wir Sie bei der Vorbereitung und Umsetzung. Das Zertifikat wird von einer hierfür akkreditierten und unabhängigen Zertifizierungsstelle erteilt.
Diese Trennung ist wichtig, weil das Ergebnis der Konformitätsbewertung nicht durch denjenigen bestimmt werden soll, der die vorbereitende Beratung und Umsetzung begleitet hat.
Welcher Zertifizierungsmechanismus ist der richtige?
Das hängt unter anderem von Ihrem Produkt, dem Zertifizierungsgegenstand, den betroffenen Märkten, den Anforderungen Ihrer Kunden und der Verfügbarkeit geeigneter Zertifizierungsstellen ab.
Wir beraten Sie mechanismusunabhängig und unterstützen Sie dabei, Kriterien, Geltungsbereich, Vorgehen und wirtschaftlichen Nutzen miteinander zu vergleichen.
Können wir bereits mit der Vorbereitung beginnen, wenn der Zertifizierungsmechanismus noch nicht feststeht?
Ja. Viele grundlegende Anforderungen ergeben sich unmittelbar aus der DSGVO und spielen in unterschiedlichen Zertifizierungsmechanismen eine Rolle.
Dazu zählen beispielsweise die Definition des Verarbeitungsvorgangs, Datenschutzgrundsätze, Rechtsgrundlagen, Transparenz, Betroffenenrechte, Risikomanagement, technische und organisatorische Maßnahmen sowie die Nachweisführung.
Es kann deshalb sinnvoll sein, zunächst den Zertifizierungsgegenstand zu definieren, eine Gap-Analyse durchzuführen und grundlegende Anforderungen umzusetzen. Die endgültige Auswahl des Mechanismus kann anschließend erfolgen.
Wann sollten wir mit Privacy Engineering beginnen?
Idealerweise beginnt Privacy Engineering bereits bei der Produktidee, der Anforderungsanalyse oder der Systemarchitektur. Zu diesem Zeitpunkt können datenschutzfreundliche Lösungen meist leichter und wirtschaftlicher berücksichtigt werden.
Ein Einstieg ist aber auch bei bestehenden Produkten möglich. In diesem Fall analysieren wir die vorhandene Lösung, priorisieren festgestellte Lücken und entwickeln gemeinsam mit Ihnen einen realistischen Maßnahmenplan.
Was wird bei einem Maturity Assessment geprüft?
Der genaue Umfang richtet sich nach dem Produkt und dem vorgesehenen Zertifizierungsgegenstand. Typischerweise betrachten wir:
- Verarbeitungsvorgänge und Datenflüsse
- Zwecke und Rechtsgrundlagen
- Datenschutzinformationen
- Betroffenenrechte
- Löschung und Aufbewahrung
- Rollen und Berechtigungen
- Auftragsverarbeiter und Unterauftragnehmer
- Drittlandübermittlungen
- technische und organisatorische Maßnahmen
- Risiken und Datenschutz-Folgenabschätzungen
- Produktentwicklungs- und Änderungsprozesse
- Dokumentation und Nachweise
Das Ergebnis ist eine strukturierte Gap-Analyse mit priorisierten Handlungsempfehlungen.
Müssen alle Anforderungen technisch umgesetzt werden?
Nicht jede Anforderung führt zwangsläufig zu einer Softwarefunktion. Je nach Kriterium kann eine technische, organisatorische, vertragliche oder dokumentarische Maßnahme erforderlich sein.
Entscheidend ist, dass die gewählte Lösung angemessen, wirksam und nachweisbar ist. Wir helfen Ihnen dabei, unterschiedliche Umsetzungsoptionen zu bewerten und eine für Ihr Produkt geeignete Lösung zu wählen.
Wie lange dauert die Vorbereitung auf eine Zertifizierung?
Das hängt wesentlich von folgenden Faktoren ab:
Umfang des Zertifizierungsgegenstands
Reifegrad des Produkts
Qualität der vorhandenen Dokumentation
Anzahl und Bedeutung festgestellter Lücken
Verfügbarkeit interner Ansprechpartner
erforderliche Entwicklungs- und Prozessänderungen
gewählter Zertifizierungsmechanismus
Terminplanung der Zertifizierungsstelle
Nach einer ersten Bestandsaufnahme oder einem Maturity Assessment können wir den voraussichtlichen Aufwand deutlich belastbarer einschätzen.
Welche internen Ressourcen benötigen wir?
Auch bei einer extern begleiteten Umsetzung benötigen Sie interne Ansprechpartner. Typischerweise sollten Produktmanagement, Entwicklung oder IT, Datenschutz, Informationssicherheit und gegebenenfalls Recht, Einkauf oder Vertragsmanagement eingebunden werden.
Wichtig sind klare Zuständigkeiten, verfügbare Entscheidungswege und ausreichende Zeit für die Umsetzung notwendiger Maßnahmen. Ein Implementer kann Fachwissen, Struktur und Projektunterstützung liefern, aber nicht sämtliche internen Entscheidungen und Tätigkeiten ersetzen.
Benötigen wir zusätzlich einen Datenschutzbeauftragten?
Das hängt von den gesetzlichen Voraussetzungen und Ihrer Organisationsstruktur ab. Der Datenschutzbeauftragte und der Implementer haben unterschiedliche Aufgaben.
Der Datenschutzbeauftragte berät und überwacht das Unternehmen im Rahmen seiner gesetzlichen Stellung. Der Implementer begleitet dagegen ein konkretes Zertifizierungs- oder Umsetzungsprojekt operativ.
Falls erforderlich, können wir Sie unabhängig vom Zertifizierungsprojekt auch im betrieblichen Datenschutz unterstützen.
Garantiert die Vorbereitung durch einen Implementer die Zertifizierung?
Nein. Die Entscheidung über die Erteilung des Zertifikats trifft ausschließlich die zuständige Zertifizierungsstelle auf Grundlage ihrer unabhängigen Bewertung.
Eine professionelle Vorbereitung reduziert jedoch das Risiko vermeidbarer Lücken, unvollständiger Nachweise und organisatorischer Verzögerungen. Festgestellte Abweichungen können strukturiert und möglichst vor der abschließenden Zertifizierungsentscheidung bearbeitet werden.
Bedeutet eine Zertifizierung, dass vollständig DSGVO-konform gearbeitet wird?
Eine Zertifizierung bezieht sich auf den festgelegten Zertifizierungsgegenstand und die zugrunde liegenden Kriterien. Sie ist ein wichtiges Instrument zur Demonstration der Konformität, stellt aber keine pauschale Freistellung von allen datenschutzrechtlichen Pflichten dar.
Art. 42 DSGVO stellt ausdrücklich klar, dass eine Zertifizierung die Verantwortung des Verantwortlichen oder Auftragsverarbeiters für die Einhaltung der DSGVO nicht reduziert.
Was passiert nach der Zertifizierung?
Eine Zertifizierung muss über ihre Laufzeit aufrechterhalten werden. Änderungen am Produkt, an Verarbeitungsvorgängen, Dienstleistern, Systemen oder rechtlichen Rahmenbedingungen können Auswirkungen auf den zertifizierten Gegenstand haben.
Deshalb sollten Sie Prozesse einrichten, mit denen Änderungen bewertet, Nachweise aktualisiert und Anforderungen dauerhaft überwacht werden. Zertifizierungen nach Art. 42 DSGVO werden für höchstens drei Jahre erteilt und können bei fortbestehender Erfüllung der Anforderungen erneuert werden.
Wir haben bereits viel dokumentiert. Können Sie darauf aufbauen?
Ja. Wir beginnen nicht automatisch von vorn. Vorhandene Datenschutz-, Sicherheits-, Entwicklungs- und Qualitätsdokumentationen werden auf Verwendbarkeit, Konsistenz und Aktualität geprüft.
Geeignete Unterlagen können weiterverwendet oder gezielt ergänzt werden. Unser Ziel ist eine wirksame und wirtschaftliche Vorbereitung, keine Dokumentation um ihrer selbst willen.
Wir nutzen bereits ISO 27001. Hilft uns das?
Ein bestehendes Informationssicherheitsmanagement kann eine wertvolle Grundlage sein, weil häufig bereits Prozesse für Risikomanagement, Berechtigungen, Vorfälle, Lieferanten, Änderungen und Nachweise vorhanden sind.
Eine ISO-27001-Zertifizierung ersetzt jedoch keine Datenschutzzertifizierung nach Art. 42 DSGVO. Datenschutzrechtliche Anforderungen, Betroffenenrechte, Rechtsgrundlagen, Transparenz und die spezifischen Zertifizierungskriterien müssen zusätzlich betrachtet werden.
Ist eine Zertifizierung auch für kleinere Unternehmen sinnvoll?
Ja, sofern ein klarer geschäftlicher Nutzen besteht und der Zertifizierungsgegenstand angemessen abgegrenzt werden kann. Art. 42 DSGVO sieht ausdrücklich vor, dass die besonderen Bedürfnisse von Kleinstunternehmen sowie kleinen und mittleren Unternehmen berücksichtigt werden sollen.
Ob sich eine Zertifizierung wirtschaftlich lohnt, hängt unter anderem von Kundenanforderungen, Ausschreibungen, Marktpositionierung, Risikoprofil und Produktstrategie ab.
Was kostet die Vorbereitung auf eine Datenschutzzertifizierung?
Die Kosten hängen vom Zertifizierungsgegenstand, dem Reifegrad, dem Umfang der Dokumentation und den erforderlichen technischen oder organisatorischen Änderungen ab.
Wir empfehlen deshalb ein stufenweises Vorgehen:
- Erstgespräch und erste Einordnung
- Scoping
- Maturity Assessment oder Gap-Analyse
- Aufwandsschätzung für die Umsetzung
- Begleitung bis zur Zertifizierungsreife
So erhalten Sie frühzeitig Transparenz und können fundiert entscheiden, welche weiteren Schritte wirtschaftlich sinnvoll sind.
Können Sie ein bereits begonnenes Zertifizierungsprojekt übernehmen?
Ja. Wir können auch in laufende oder ins Stocken geratene Projekte einsteigen. Dafür prüfen wir den bisherigen Projektstand, vorhandene Bewertungen, offene Abweichungen, Dokumentationen und die Kommunikation mit der Zertifizierungsstelle.
Anschließend schlagen wir ein strukturiertes Vorgehen für die noch erforderlichen Schritte vor.
Lassen Sie uns über Ihr Zertifizierungsprojekt sprechen
Ob erste Orientierung, Maturity Assessment, Privacy Engineering oder konkrete Vorbereitung auf die Zertifizierung: Wir unterstützen Sie dort, wo Ihr Projekt aktuell steht.
In einem unverbindlichen Erstgespräch klären wir, welche nächsten Schritte für Ihr Produkt sinnvoll sind.