Datenschutz-Roadmap für den CISO: pragmatisch priorisiert

Problem in der Praxis

Datenschutz wird oft entlang von Dringlichkeit statt entlang von Abhängigkeit getrieben. Ein Kundenaudit erzwingt eine TOM-Liste, ein Vorfall einen improvisierten Meldeprozess, eine neue Software eine hastige Folgenabschätzung. So entstehen Einzelartefakte ohne Fundament. Das fällt auf, sobald das Verzeichnis fehlt oder veraltet ist: Dann sind TOMs nicht risikobezogen begründbar, der Breach-Prozess kann betroffene Verarbeitungen nicht zuordnen, und Drittlandtransfers bleiben unklar.

CISO-Einordnung

Der CISO sollte die Pflichten als Stapel mit Abhängigkeiten lesen, nicht als gleichrangige Liste. Jede Stufe macht die nächste billiger und belastbarer.

• Fundament, Art. 30: das Verzeichnis als Inventar, auf das alles zugreift. Erleichterungen unter 250 Beschäftigten greifen praktisch oft nicht.
• Schutz, Art. 32: technische und organisatorische Maßnahmen nach Stand der Technik, am Risiko für die Rechte und Freiheiten orientiert; konzeptionell genannt sind u. a. Pseudonymisierung und Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit, Wiederherstellbarkeit und regelmäßige Wirksamkeitsprüfung. Hier dockt das ISMS an: ISO/IEC 27001 und IT-Grundschutz liefern das nachweisbare Wie, die DSGVO das Schutzziel.
• Reaktion, Art. 33 und 34: Meldung an die Aufsicht unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden, sofern ein Risiko besteht; bei hohem Risiko zusätzlich unverzügliche Benachrichtigung der Betroffenen (Ausnahmen etwa bei wirksamer Verschlüsselung). Alle Verletzungen sind zu dokumentieren.
• Vorsorge, Art. 35 und 36: Folgenabschätzung bei voraussichtlich hohem Risiko, etwa bei neuen Technologien, systematischer umfangreicher Überwachung oder umfangreicher Verarbeitung sensibler Daten; bei verbleibendem hohem Risiko vorherige Konsultation der Aufsicht.
• Lieferkette, Art. 28 und 44 bis 49: Auftragsverarbeitung per Vertrag mit Mindestinhalten und Unterauftragsregelung; Drittlandtransfers nur mit Rechtsgrundlage (Angemessenheitsbeschluss oder geeignete Garantien wie Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften).
• Nachweis: ISO/IEC 27701 strukturiert die Rechenschaftsfähigkeit, ersetzt aber keine rechtliche Konformität.

Umsetzungsperspektive

Die Roadmap lässt sich als Wellen denken, nicht als Stichtag.

• Welle eins: Verzeichnis aufbauen und mit dem ISMS-Inventar verknüpfen, sodass schutzbedürftige Verarbeitungen als Werte im Risikoregister erscheinen.
• Welle zwei: TOMs aus diesem Inventar ableiten statt isoliert pflegen; jede Maßnahme einmal im Maßnahmenregister führen, das Wirksamkeitsverfahren in der ISMS-Taktung mitlaufen lassen.
• Welle drei: Meldeprozess operativ machen (Erkennung, Risikoschwelle, Eskalation, vorbereitete Texte, laufende 72-Stunden-Uhr). Ein Vorfall kann parallele Pflichten auslösen, etwa Art. 33 und, je nach Sektor, NIS2 oder DORA mit eigenen Triggern und Fristen; der Prozess sollte aus einer Erkennung alle Pfade ableiten.
• Welle vier: Folgenabschätzung als Trigger im Change- und Beschaffungsprozess verankern.
• Welle fünf: Verträge und Transfers ordnen (Register der Auftragsverarbeiter, geprüfte Verträge nach Art. 28, gepflegte Transfer-Bewertung).

Typische Fehler

1. Start mit einer TOM-Liste, bevor das Verzeichnis nach Art. 30 existiert.
2. Das Verzeichnis wird als einmaliges Dokument erstellt statt als gepflegtes Inventar betrieben.
3. TOMs werden getrennt vom ISMS geführt, womit Doppelstrukturen auseinanderlaufen.
4. Der Breach-Prozess wird nur für die DSGVO gedacht, sodass NIS2- oder DORA-Pflichten übersehen werden.
5. Die Folgenabschätzung wird reaktiv statt vorgelagert ausgelöst.
6. Eine ISO/IEC-27701-Zertifizierung wird als Beleg rechtlicher DSGVO-Konformität kommuniziert.

Risiken und Trade-offs

Geschwindigkeit gegen Fundament: Schnell sichtbare Artefakte können das Verzeichnis überspringen und alle späteren Schichten untergraben; umgekehrt darf das Fundament nicht zur Dauerbaustelle werden.

Integration gegen Rollenklarheit: Die Kopplung von Datenschutz und ISMS spart Aufwand, kann aber Verantwortlichkeiten verwischen. Rechtliche Bewertung verantwortet der Datenschutzbeauftragte, Betrieb und Nachweis der CISO, die Entscheidung die Leitung.

Falsche Sicherheit durch Nachweisinstrumente: Eine Zertifizierung oder ein ausgefülltes TOM-Dokument belegt Struktur, ersetzt aber keine einzelfallbezogene rechtliche Bewertung durch Aufsicht, Gerichte und Rechtsberatung.

Entscheidungspunkte

• In welcher Reihenfolge bauen wir die Schichten, und welche Abhängigkeiten dürfen nicht übersprungen werden?
• Führen wir Verzeichnis und TOMs integriert mit dem ISMS oder getrennt?
• Ab welcher Risikoschwelle löst eine Verarbeitung verpflichtend eine Folgenabschätzung nach Art. 35 aus, und wer entscheidet?
• Wie leitet der Vorfallprozess aus einer Erkennung die 72-Stunden-Pflicht nach Art. 33 und weitere Meldepfade ab?
• Welche Drittlandtransfers bestehen tatsächlich, und welche Garantien sind dokumentiert und gepflegt?

Praktische Empfehlungen

1. Mit dem Verzeichnis nach Art. 30 beginnen und es mit dem ISMS-Inventar verknüpfen.
2. TOMs nach Art. 32 aus dem Inventar ableiten und das Wirksamkeitsverfahren in die ISMS-Taktung integrieren.
3. Den Breach-Prozess vor dem ersten Vorfall operativ machen, mit klaren Schwellen und Mehrfach-Trigger-Mapping für Art. 33, NIS2 und DORA.
4. Die Folgenabschätzung als vorgelagerten Trigger im Change- und Beschaffungsprozess verankern.
5. Ein gepflegtes Register der Auftragsverarbeiter und Drittlandtransfers mit Garantien führen.
6. ISO/IEC 27701 als Nachweisinstrument nutzen, nicht als Ersatz für die rechtliche Bewertung, und bei Auslegungs-, Angemessenheits- und Transferfragen rechtlichen Rat einholen.

Relevante Normreferenzen

• DSGVO (Verordnung (EU) 2016/679): insbesondere Art. 5 Abs. 2, Art. 24, 28, 30, 32, 33, 34, 35, 36 sowie Art. 44 bis 49. Der Volltext ist amtliches EU-Recht und frei zitierbar (EUR-Lex); ergänzend das BDSG, dessen jüngste Novelle vor verbindlichen Aussagen gegen die Aktualfassung zu prüfen ist.
• ISO/IEC 27001 und IT-Grundschutz: Referenz für Managementsystem und Maßnahmenrahmen, die das Wie der TOMs aus Art. 32 tragen (reference-only, keine Control-Listen).
• ISO/IEC 27701: Referenz für das Privacy Information Management System als Nachweisinstrument; erste Ausgabe 2019 als Erweiterung zu 27001/27002, zweite Ausgabe 2025 als eigenständiger, zertifizierbarer Standard. Editionswechsel sind üblicherweise mit einer Übergangsfrist versehen, deren genaue Regeln gegen den Aktualstand der Zertifizierungs- und Akkreditierungsstellen zu prüfen sind (reference-only).