Art. 42 DSGVO-Implementer

Was macht ein Implementer?

Ein Implementer unterstützt Unternehmen dabei, die Anforderungen eines Zertifizierungsmechanismus zu verstehen, auf den konkreten Zertifizierungsgegenstand zu übertragen, umzusetzen und nachvollziehbar zu dokumentieren.

Dazu gehören insbesondere:

  • Unterstützung bei der Definition des Zertifizierungsgegenstands
  • Analyse der anwendbaren rechtlichen und technischen Anforderungen
  • Durchführung einer Gap-Analyse
  • Strukturierung der erforderlichen Maßnahmen
  • Unterstützung bei der Umsetzung der Zertifizierungskriterien
  • Aufbau und Prüfung der erforderlichen Nachweise
  • Vorbereitung der internen Beteiligten auf das Zertifizierungsverfahren
  • Begleitung der Kommunikation mit der Zertifizierungsstelle
  • Unterstützung bei der Bearbeitung festgestellter Abweichungen
  • Vorbereitung auf die Aufrechterhaltung und spätere Erneuerung der Zertifizierung

Bei Europrivacy umfasst die Implementer-Rolle insbesondere die Anwendung des Zertifizierungssystems, die Dokumentation der Konformität, die Vorbereitung von Verarbeitungsvorgängen auf die Zertifizierung, den Umgang mit Prüf- und Kontrolllisten sowie Aspekte der Aufrechterhaltung der Zertifizierung.

Auch beim „DSGVO Information Privacy Standard“ sind Scoping, Zertifizierungsphasen, Ermittlungsmethoden, Nachweise und die Anwendung der Kriterien wesentliche Bestandteile einer professionellen Vorbereitung.

Unsere Leistungen als Implementer

1. Orientierung und Auswahl des Vorgehens

Welcher Zertifizierungsweg passt zu Ihrem Produkt?

Zu Beginn klären wir gemeinsam:

  • Was soll zertifiziert werden?
  • Wer ist Verantwortlicher oder Auftragsverarbeiter?
  • Welche Verarbeitungsvorgänge sollen einbezogen werden?
  • Welche Kunden- oder Marktanforderungen bestehen?
  • Welcher Zertifizierungsmechanismus kommt in Betracht?
  • Ist das Produkt bereits zertifizierungsreif?
  • Welche internen Ressourcen stehen zur Verfügung?
  • Welcher Zeitrahmen ist realistisch?

Da sich Zertifizierungsmechanismen in Kriterien, Geltungsbereich, Nachweisführung und Verfahrensgestaltung unterscheiden können, sollte die Auswahl nicht allein anhand der Bekanntheit eines Siegels erfolgen.

2. Scoping

Ein klarer Zertifizierungsgegenstand schafft Klarheit

Gemeinsam definieren wir den Gegenstand der geplanten Zertifizierung. Dazu grenzen wir die relevanten Verarbeitungsvorgänge, Produktbestandteile, Systeme, Standorte, Schnittstellen und beteiligten Organisationen voneinander ab.

Ein gutes Scoping verhindert, dass der Zertifizierungsgegenstand unnötig groß, unklar oder kaum prüfbar wird. Gleichzeitig muss die Abgrenzung fachlich nachvollziehbar sein und das tatsächlich angebotene Produkt oder den Dienst angemessen abbilden.

Das Ergebnis dokumentieren wir so, dass es als belastbare Grundlage für die weitere Vorbereitung und die Abstimmung mit der Zertifizierungsstelle dienen kann.

3. Gap-Analyse

Wissen, wo Sie vor dem Audit stehen

Wir prüfen strukturiert, inwieweit Ihr Produkt oder Verarbeitungsvorgang die anwendbaren Anforderungen bereits erfüllt.

Dabei analysieren wir unter anderem:

  • Produkt- und Systemarchitektur
  • Datenarten und Datenflüsse
  • Zwecke und Rechtsgrundlagen
  • Rollen und datenschutzrechtliche Verantwortlichkeiten
  • Informationspflichten
  • Prozesse zur Wahrnehmung von Betroffenenrechten
  • Lösch- und Aufbewahrungsregeln
  • Auftragsverarbeitung und Unterauftragnehmer
  • Drittlandübermittlungen
  • technische und organisatorische Maßnahmen
  • Risikobewertungen
  • gegebenenfalls Datenschutz-Folgenabschätzungen
  • Entwicklungs-, Änderungs- und Freigabeprozesse
  • vorhandene Richtlinien, Nachweise und Testdokumentationen

Sie erhalten keine abstrakte Mängelliste, sondern eine priorisierte Übersicht mit konkreten Handlungsempfehlungen.

4. Anforderungsmanagement

Aus Kriterien werden umsetzbare Aufgaben

Zertifizierungskriterien sind nicht automatisch technische Spezifikationen. Wir übersetzen die Anforderungen gemeinsam mit Ihren Fachabteilungen in konkrete Maßnahmen.

Je nach Arbeitsweise Ihres Unternehmens können daraus entstehen:

  • Anforderungen an die Systemarchitektur
  • technische und organisatorische Maßnahmen
  • User Stories und Entwicklungstickets
  • Akzeptanz- und Testkriterien
  • Anpassungen von Prozessen und Zuständigkeiten
  • Richtlinien und Arbeitsanweisungen
  • Vertrags- und Informationsanforderungen
  • Dokumentations- und Nachweispflichten

Dabei berücksichtigen wir Abhängigkeiten, Prioritäten und wirtschaftliche Auswirkungen. Nicht jede Lücke verlangt eine vollständige Neuentwicklung. Häufig lässt sich die Zertifizierungsreife durch eine Kombination aus technischen Anpassungen, klareren Prozessen und besserer Nachweisführung erreichen.

5. Umsetzung und Privacy Engineering

Gemeinsam zur zertifizierungsfähigen Lösung

Wir begleiten Ihre Fach-, Produkt-, Entwicklungs-, Datenschutz- und Informationssicherheitsteams bei der Umsetzung.

Unsere Rolle kann dabei umfassen:

  • Erläuterung der Zertifizierungsanforderungen
  • Moderation zwischen Recht, Datenschutz und Technik
  • Bewertung vorgeschlagener Lösungsvarianten
  • Erstellung fachlicher Umsetzungsempfehlungen
  • Prüfung von Konzepten und Spezifikationen
  • Unterstützung bei Datenschutz-Folgenabschätzungen
  • Prüfung der Umsetzung anhand definierter Kriterien
  • Vorbereitung geeigneter Nachweise
  • Unterstützung bei offenen Fragen gegenüber der Zertifizierungsstelle

Unser Anspruch ist nicht, Ihre internen Teams zu ersetzen. Wir vermitteln das notwendige Wissen und schaffen Strukturen, mit denen Ihr Unternehmen Datenschutzanforderungen langfristig selbstständig beherrschen kann.

6. Dokumentation und Nachweisführung

Gute Umsetzung muss prüfbar sein

Eine datenschutzfreundliche Funktion allein genügt im Zertifizierungsverfahren häufig nicht. Ihre Eignung, Umsetzung und Wirksamkeit müssen nachvollziehbar dargestellt und belegt werden können.

Wir unterstützen Sie deshalb beim Aufbau einer strukturierten Nachweisführung, beispielsweise durch:

  • Beschreibungen von Verarbeitungsvorgängen
  • Datenfluss- und Systemdarstellungen
  • Rollen- und Berechtigungskonzepte
  • Löschkonzepte
  • Richtlinien und Verfahrensanweisungen
  • technische Spezifikationen
  • Testfälle und Testergebnisse
  • Risikoanalysen
  • Datenschutz-Folgenabschätzungen
  • Vertrags- und Lieferantendokumentation
  • Schulungs- und Berechtigungsnachweise
  • Protokolle von Prüfungen und Freigaben
  • Zuordnung von Nachweisen zu Zertifizierungskriterien

Das Ziel ist eine konsistente Dokumentation, die nicht nur für die Zertifizierung erstellt wird, sondern auch intern nutzbar bleibt.

7. Maturity Assessment

Gut vorbereitet in die unabhängige Prüfung

Vor Beginn der eigentlichen Konformitätsbewertung führen wir auf Wunsch eine abschließende Prüfung der Zertifizierungsreife durch.

Wir kontrollieren, ob:

  • der Zertifizierungsgegenstand eindeutig definiert ist,
  • die anwendbaren Kriterien vollständig berücksichtigt wurden,
  • Maßnahmen tatsächlich umgesetzt sind,
  • Nachweise vollständig und konsistent vorliegen,
  • Verantwortlichkeiten geklärt sind,
  • interne Ansprechpartner vorbereitet sind und
  • noch erkennbare Abweichungen bearbeitet wurden.

So reduzieren Sie vermeidbare Rückfragen, Verzögerungen und Nacharbeiten im Zertifizierungsverfahren.

8. Begleitung im Zertifizierungsverfahren

Unterstützung bis zum Abschluss

Auch während der unabhängigen Bewertung bleiben wir an Ihrer Seite.

Wir unterstützen Sie bei:

  • der organisatorischen Vorbereitung des Verfahrens,
  • der Bereitstellung und Strukturierung von Nachweisen,
  • der fachlichen Einordnung von Rückfragen,
  • der Koordination interner Ansprechpartner,
  • der Bearbeitung festgestellter Abweichungen und
  • der Planung erforderlicher Korrekturmaßnahmen.

Die Prüfung und Zertifizierungsentscheidung selbst verbleiben bei der unabhängigen Zertifizierungsstelle. So bleiben Beratung, Implementierung und Konformitätsbewertung klar voneinander getrennt.