Vollständiger DSGVO Data Mapping Guide

Mit der Einführung der Allgemeinen Datenschutzverordnung (DSGVO) und den damit verbundenen Compliance-Anforderungen für Unternehmen haben Sie wahrscheinlich schon einmal das Wort "Data Mapping" gehört.

Aber was genau ist Data Mapping? Warum ist es so entscheidend mit der DSGVO verbunden?

In diesem Leitfaden erläutern wir Ihnen die Definition des Datenmappings, seinen Zweck und seine Vorteile und warum es für die Einhaltung der Bestimmungen von DSGVO wichtig ist. Außerdem wird der Prozess des Datenmappings Schritt für Schritt erläutert, und es werden einige hilfreiche Beispiele und Ressourcen vorgestellt, damit Sie eine Datenkarte für Ihr Unternehmen erstellen können.

Dies ist ein umfangreicher Leitfaden für die Datenzuordnung. Nutzen Sie daher das Inhaltsverzeichnis unten, um bei Bedarf zu springen.

Was ist Data Mapping?

Data Mapping ist ein System, das katalogisiert, welche Daten Sie sammeln, wie sie verwendet werden, wo sie gespeichert sind und wie sie in Ihrem Unternehmen und darüber hinaus weitergegeben werden. Es gibt verschiedene Möglichkeiten, dieses Ziel zu erreichen - ob mit einer einfachen Tabelle oder einem speziellen Datenmapping-Programm - und der Umfang oder die Grenzen Ihres Datenmappings hängen von Ihrem Unternehmen ab.

Die meisten Datenkarten sollten jedoch die folgenden Informationen enthalten:

• Welche Daten Sie sammeln
• Ob es sich um sensible oder persönliche Daten handelt
• Die Rechtsgrundlage für die Verarbeitung dieser Daten - diese sollte sich auf die sechs Rechtsgrundlagen beziehen, die in der DSGVO festgelegt sind und die wir im Folgenden erläutern werden
• Warum werden die Daten gesammelt?
• Wo die Daten gespeichert werden
• Wie lange werden die Daten gespeichert?
• Unter welchen Bedingungen werden die Daten gespeichert - Sie sollten die Frage beantworten: Welche Schutzmaßnahmen gibt es in Ihrer Organisation?
• Wohin die Daten übermittelt werden
• Wo sich Drittempfänger befinden - unter besonderer Berücksichtigung der internationalen Datenübermittlung
• Welche Protokolle gibt es zum Schutz der Daten bei der Übertragung?

Die Datenzuordnung ist eine Kombination aus Ihrem Datenbestand und Ihrem Datenfluss

Eine Datentabelle besteht häufig aus zwei Teilen: einer Tabelle, in der die gesammelten Daten aufgeführt sind, und einem Flussdiagramm, das die Bewegung dieser Daten durch interne Systeme und externe Transfers darstellt.

Wirksame Datenkarten erfordern den Beitrag fast aller Abteilungen

Besonders wichtig ist der Beitrag von IT, Recht, Marketing und HR. Außerdem sollte die Dokumentation aller Daten von Ihrem Datenschutzbeauftragten (DSB) oder einem leitenden Mitglied Ihres Datenschutzteams genau überwacht werden.

Datenmapping ist keine einmalige Aktivität

Sie sollte so bald wie möglich durchgeführt werden - vor allem, wenn Sie sich an die DSGVO halten müssen.

Was ist der Zweck von Data Mapping?

Der Zweck des Data Mapping besteht darin, alle Informationen darüber, wie Ihr Unternehmen Daten verwendet, zu sammeln und an einem einzigen Ort zu präsentieren.

Datenkarten bieten eine leicht lesbare Struktur, die zeigt, woher Ihre Daten kommen, wer sie verwendet, wie sie gespeichert werden und wohin sie gesendet werden. Durch die Erstellung einer Datentabelle stellen Sie sicher, dass Sie über alle Informationen verfügen, die Sie benötigen, um die internationalen Datenschutzgesetze einzuhalten.

Ein weiterer Zweck einer Datentabelle ist es, Wege zur Rationalisierung Ihrer Datenprozesse zu finden. Mit einer Datentabelle können Sie Redundanzen und Verstöße gegen die Vorschriften aufdecken. So können Sie diese Probleme beheben, bevor sie zu erheblichen rechtlichen Problemen werden.

Vorteile des Data Mapping für den Datenschutz

Data Mapping ist nicht nur ein hilfreiches Visualisierungswerkzeug. Es bietet auch zahlreiche Vorteile, die Ihnen dabei helfen können, den Datenschutz für Ihre Kunden zu verbessern und Ihre Compliance mit der DSGVO zu verbessern.

Zu den wertvollsten Vorteilen des Datenmappings gehören:

Was sind die Herausforderungen beim Data Mapping?

Das Mapping von Daten hat zwar viele Vorteile, wie z. B. die Einhaltung der Bestimmungen von DSGVO , aber es ist auch nicht ohne Herausforderungen. Wenn Sie zum Beispiel mit dem Mapping von Datenprozessen beginnen, werden Sie wahrscheinlich auf Probleme wie die folgenden stoßen:

Feststellung, ob Daten personenbezogen sind

Die DSGVO gilt für Informationen, die mit einer identifizierten oder identifizierbaren natürlichen Person in Verbindung gebracht werden können, einschließlich Informationen wie:

• Namen
• Identifikationsnummern
• Online identifiziert
• Telefonnummern
• Adressen
• Kreditkartennummern
• Erscheinungsbild
• Standortdaten
• Ethnische, religiöse, genetische, physiologische, soziale oder kommerzielle Identifikatoren

Im Wesentlichen fallen alle Informationen, die zur Identifizierung einer Person führen könnten, unter die DSGVO. Um eine korrekte Datenzuordnung vorzunehmen, müssen Sie daher bestimmen, ob die Daten als personenbezogen gelten oder nicht, und dies in der Karte selbst angeben.

Identifizierung aller Datenverarbeitungstätigkeiten

Sobald Sie festgestellt haben, ob Daten personenbezogen sind, müssen Sie die Aktivitäten Ihres Unternehmens durchgehen und jede Art der Nutzung dieser Informationen ermitteln.

Datenverarbeitung im Sinne der EU ist die:

"das Erheben, das Erfassen, die Organisation, die Strukturierung, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung personenbezogener Daten".

Beispiele hierfür sind:

• Speichern von MAC- und IP-Adressen
• Kunden per E-Mail über Werbeaktionen informieren
• Speicherung von Kundendaten für zukünftige Kontakte
• Veröffentlichung von Fotos einer Person
• Aufzeichnung von Sicherheitsvideos
• Verwaltung der Gehaltsabrechnung

Sie müssen alle diese Aktivitäten in Ihrer Datentabelle benennen, was für große Organisationen ein erheblicher Aufwand sein kann.

Verfolgung Ihrer rechtlichen und regulatorischen Verpflichtungen

Die DSGVO ist eine relativ neue Verordnung, so dass sich Präzedenzfälle und die Durchsetzung des Gesetzes noch ändern können. Da diese Änderungen vorgenommen werden, sind Sie dafür verantwortlich, Ihre aktuellen Verpflichtungen in Bezug auf den Verbraucherschutz zu überwachen. Wenn Änderungen eintreten, müssen Sie diese in Ihrem Datenzuordnungsprozess berücksichtigen, indem Sie klarstellen, wie Ihr Unternehmen die neuen Anforderungen erfüllt.

Datenmapping ist für moderne Organisationen von unschätzbarem Wert. Sie hilft Ihnen nicht nur zu verstehen, wie Sie Informationen verwenden und sammeln, sondern auch, die Bestimmungen der DSGVO einzuhalten. Obwohl die Datenzuordnung ihre Tücken hat, lohnt sie sich wegen ihres direkten Nutzens und ihrer Fähigkeit, Ihre Aufmerksamkeit auf Datenschutzrisiken und Sicherheitsmängel zu lenken.

Bewährte Verfahren für die Datenzuordnung

Bei der Verwaltung des Mapping-Prozesses kann es leicht passieren, dass man das Gesamtbild aus den Augen verliert. Wenn Sie einige bewährte Verfahren für die Datenzuordnung befolgen, behalten Sie den Überblick über den Prozess und minimieren die Anzahl der erforderlichen Überarbeitungen.

Wählen Sie Ihre Tools

Bevor Sie mit der Sammlung von Informationen beginnen, sollten Sie entscheiden, wie Sie die Daten abbilden wollen. Wenn Sie Ihre Werkzeuge und Ressourcen im Voraus einrichten, können Sie Ihre Datenprozesse effizient abbilden.

Welche Lösung Sie wählen, hängt davon ab, wie viele Daten Ihr Unternehmen verarbeitet und welche Art von Daten Sie sammeln.

Sie können jedoch mit einer einfachen Tabellenkalkulation beginnen, wenn Sie eine große Organisation abbilden oder wissen, dass Sie eine Vielzahl von Daten sammeln. In diesem Fall ist es vielleicht besser, von Anfang an mit einem speziellen Datenmapping-Tool wie DPOrganizer zu arbeiten:

Identifizieren Sie Ihre Datenquellen und -typen klar und deutlich

Der Zweck des Data Mapping besteht darin, jeden Aspekt Ihrer Datenprozesse genau zu identifizieren. Das bedeutet, dass Sie sich darüber im Klaren sein müssen, woher Ihre Daten stammen und um welche Art von Informationen es sich handelt.

Ihre Datenkarte sollte Fragen wie diese beantworten:

• Haben Sie die Informationen direkt vom Kunden oder von einer dritten Partei erhalten?
• Ist dem Kunden bewusst, dass Sie seine Daten gesammelt haben?
• Welche Art von Daten haben Sie gesammelt? Handelt es sich zum Beispiel um einen Namen, eine IP-Adresse, eine E-Mail-Adresse, eine Telefonnummer, einen Standort oder eine andere identifizierende Information?

Je spezifischer Sie sein können, desto genauer wird Ihre Gesamtdatenkarte sein.

Sicherheit des Mapping-Prozesses

Beim Daten-Mapping interagieren Sie oft direkt mit den privaten Daten, die Sie schützen wollen. Daher muss der Mapping-Prozess genauso sicher sein wie jede andere Datenverarbeitungsaktivität.

Schließlich erklärt Ihre Datenkarte genau, wie Sie die Verbraucherdaten schützen, was böswilligen Agenten möglicherweise die Informationen liefert, die sie benötigen, um Ihre Sicherheitsmaßnahmen zu unterlaufen.

Ihre Datenmapping-Tools sollten genauso stark geschützt sein wie die sichersten Informationen, die Sie speichern. So sollten beispielsweise nur befugte Personen auf die Karte zugreifen oder sie aktualisieren können - so ist die Karte vor neugierigen Blicken geschützt.

Regelmäßige Updates durchführen

Ihr Unternehmen ändert sich, und die gesammelten Daten ändern sich auch. Daher gilt es als bewährte Praxis, Ihre Datenkarte mindestens vierteljährlich, wenn nicht monatlich oder sogar wöchentlich zu aktualisieren. Je häufiger Sie Aktualisierungen vornehmen, desto geringer ist die Wahrscheinlichkeit, dass Datenschutzmängel oder nicht konforme Aktivitäten durch die Maschen schlüpfen und rechtliche Probleme verursachen.

Aufzeichnungen aufbewahren

Ihre Karte allein reicht nicht aus, um den Nachweis zu erbringen, wie Sie Kundendaten verwalten. Zusätzlich zu Ihrer Karte sollten Sie auch Aufzeichnungen gemäß Artikel 30 Absatz 1 und 2 der DSGVO aufbewahren, in denen erläutert wird, wie Sie Daten innerhalb Ihres Unternehmens und an externe Anbieter weitergeben.

Diese Aufzeichnungen sollten Folgendes enthalten:

• Der für die Übermittlung verantwortliche für die Verarbeitung Verantwortliche und seine Kontaktangaben
• An wen die Daten übermittelt wurden
• Warum und wie sie übertragen wurde
• Kontaktaufnahme mit dieser Partei
• Sicherheitsmaßnahmen für den Transfer
• Eine Beschreibung der übermittelten Daten
• Wann die Daten voraussichtlich gelöscht werden

Wenn Sie diese Aufzeichnungen aufbewahren, können Sie nachweisen, dass Ihre Karten korrekt sind, und zusätzliche Ressourcen bereitstellen, falls Sie einer Prüfung unterzogen werden DSGVO .

Beispiele für die Datenzuordnung

Es gibt kein allgemeingültiges Format oder Verfahren für Datenmapping. Stattdessen können sie in den unterschiedlichsten Formen, mit verschiedenen Ausführungsmethoden und in einem breiten Spektrum von Größen und Tiefen auftreten.

Wie Ihre Datenkarte aussieht, hängt hauptsächlich von Ihren Datenverarbeitungsaktivitäten und Ihrem Budget ab.

Wenn Ihr Unternehmen viele Daten sammelt, verarbeitet oder weitergibt, sollten Sie in ein Softwareprogramm für Datenmapping investieren. Mit einer Datenmapping-Software werden Sie wahrscheinlich mit einem Dashboard arbeiten, über das Sie zu Ihrem Datenbestand, Flussdiagramm, Standortdetails und Analysen navigieren können.

Einige Programme sind technisch anspruchsvoller und sollten von entsprechendem Personal beaufsichtigt werden. Nehmen Sie z. B. die folgenden Beispiele:

Altova MapForce

Flüssige Technologien

Einige CRM-Lösungen verfügen über Datenmapping-Funktionen, so dass Sie mit der Wahl des richtigen CRM für Ihr Unternehmen möglicherweise zwei Fliegen mit einer Klappe schlagen können.

Wenn Sie es vorziehen, Ihre Datenkarte außerhalb eines speziellen Softwaredienstes zu erstellen, werden Sie höchstwahrscheinlich ein Dokument, eine Tabelle oder eine Karte (oder alle drei) erhalten, die Ihre Datenverarbeitung detailliert beschreibt.

Nachfolgend finden Sie ein Beispiel für ein Datenmapping-Diagramm in seiner einfachsten Form:

von Anthony Budd

Der oben beschriebene Kartenstil kann entweder als Dokument oder als Tabellenkalkulation erstellt werden und ist ideal für Unternehmen, die keine großen Datenmengen sammeln, verarbeiten oder übertragen. Diese Lösung erfordert ausschließlich manuelle Eingaben und ist nicht sehr detailliert.

Für umfangreichere Datenaktivitäten ist die Erstellung einer interaktiven Excel-Karte eine gute Option. Dies ist eine skalierbare Lösung, die zwar immer noch manuelle Eingaben erfordert, Ihnen aber mehr Möglichkeiten zur Verfolgung und Visualisierung von Datenprozessen bietet.

Nachfolgend sehen Sie ein Beispiel dafür, wie eine interaktive Excel-Datenkarte aussehen könnte:

Probieren Sie diese Schritt-für-Schritt-Anleitung aus, um interaktive Excel-Karten wie die oben abgebildete zu erstellen.

Dies sind nur einige der vielen Beispiele dafür, wie eine Datenkarte aussehen kann. Ihre kann eines davon sein - oder eine Kombination davon.

Der kritische Teil des Datenmappings ist, dass das Ergebnis alle notwendigen Informationen über Ihre Datenverarbeitungsaktivitäten enthält.

Warum die Datenzuordnung für die Einhaltung von DSGVO wichtig ist

Auf der Website DSGVO geht es darum, bestehende Systeme zu aktualisieren und neue Systeme einzuführen, um die sichere Aufbewahrung und den fairen Umgang mit den von Ihnen verwalteten Nutzerdaten zu gewährleisten. Um die Datensicherheit richtig beurteilen zu können, müssen Sie jedoch zunächst in der Lage sein, die Daten von der Erfassung bis zu ihrer Löschung zu verfolgen.

Ohne den gesamten Lebenszyklus Ihrer Daten aus der Vogelperspektive zu überblicken, sind alle Sicherheitsmaßnahmen, die Sie umsetzen, bestenfalls Stückwerk.

Die Datenzuordnung ist nicht nur eine wesentliche Grundlage für die Verwirklichung der allgemeinen Ziele der DSGVO, sondern sie wird auch in mehreren Artikeln der Verordnung direkt vorgeschrieben. Das bedeutet, dass Sie rechtlich verpflichtet sind, regelmäßig ein Data Mapping durchzuführen, um die gesetzlichen Bestimmungen einzuhalten.

Im Folgenden werden Gründe genannt , warum die Datenzuordnung Ihrem Unternehmen helfen wird, die Anforderungen der DSGVO zu erfüllen.

Grund Nr. 1: Aufzeichnungen über die Verarbeitungstätigkeiten (Artikel 30)

Der wichtigste Artikel in Bezug auf die Anforderungen an die Datenzuordnung DSGVO ist DSGVO Artikel 30 mit dem Titel "Aufzeichnungen über Verarbeitungstätigkeiten". Dieser Artikel ist am unmittelbarsten dafür verantwortlich, dass Organisationen die Datenzuordnung vorschreiben.

Die Verordnung besagt Folgendes:

• Jeder für die Verarbeitung Verantwortliche und gegebenenfalls der Vertreter des für die Verarbeitung Verantwortlichen führt ein Verzeichnis der Verarbeitungstätigkeiten unter seiner Verantwortung.
• Jeder Auftragsverarbeiter und gegebenenfalls sein Vertreter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die im Auftrag eines für die Verarbeitung Verantwortlichen durchgeführt werden.
• Die Aufzeichnungen ...müssen schriftlich erfolgen, auch in elektronischer Form.
• Der für die Verarbeitung Verantwortliche oder der Auftragsverarbeiter ...stellt der Aufsichtsbehörde die Aufzeichnungen auf Anfrage zur Verfügung.

Die oben genannten Verpflichtungen gelten nicht für Unternehmen oder Organisationen, die weniger als 250 Personen beschäftigen, es sei denn:

• Die Verarbeitung, die er vornimmt, kann zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen führen
• Die Verarbeitung ist nicht gelegentlich
• Die Verarbeitung umfasst besondere Datenkategorien im Sinne von Artikel 9 Absatz 1 oder personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Artikel 10

Im Wesentlichen schreibt dieser Artikel der Verordnung vor, dass Unternehmen ihre Daten abbilden und diese Aufzeichnungen den Aufsichtsbehörden auf Anfrage zur Verfügung stellen.

Grund Nr. 2: Durchführung von Datenschutzfolgenabschätzungen (Artikel 35)

Gemäß Artikel 35 der DSGVO müssen Sie eine Datenschutz-Folgenabschätzung (DPIA) durchführen, wenn Sie Daten mit neuen Technologien oder auf eine Weise verarbeiten, die potenziell die Rechte und Daten der Verbraucher gefährdet.

Eine DPIA ist nach der Definition des britischen Information Commissioner's Office (ICO):

"...ein Verfahren, das Ihnen helfen soll, die Datenschutzrisiken eines Projekts oder Plans systematisch zu analysieren, zu identifizieren und zu minimieren."

Laut IT Governance sind für die Durchführung einer Datenschutzfolgenabschätzung die folgenden sechs Schritte erforderlich:

1. Identifizieren Sie die Notwendigkeit der DPIA
2. Beschreiben Sie den Informationsfluss
3. Identifizierung des Datenschutzes und der damit verbundenen Risiken
4. Identifizierung und Bewertung von Datenschutzlösungen
5. Abzeichnen und Aufzeichnen der DPIA-Ergebnisse
6. Integration der DPIA-Ergebnisse in den Projektplan

Die Schritte 2 und 3 dieses DPIA-Plans stehen in direktem Zusammenhang mit der Datenkartierung. Schritt 2 ist die eigentliche Datenkartierung, während Schritt 3 ein wesentlicher Bestandteil der Erstellung einer hilfreichen Datenkarte ist.

Wenn Sie eine Datenschutzfolgenabschätzung durchführen müssen, wird es für Sie oder Ihren Datenschutzbeauftragten einfacher und schneller sein, wenn Sie diese kritischen Schritte bereits bei der Datenzuordnung durchgeführt haben.

Grund Nr. 3: Demonstration des eingebauten Datenschutzes (Artikel 5)

Das grundlegende Ziel der DSGVO ist der Schutz von Nutzerdaten durch die Festlegung strengerer Richtlinien für die Erhebung und Verarbeitung personenbezogener Daten. In Artikel 5 der DSGVO legt die Verordnung die wichtigsten Grundsätze der Datenverarbeitung fest, die Unternehmen befolgen sollten, um dieses Ziel zu erreichen.

Zu diesen Grundsätzen gehört die Idee des Datenschutz durch Design (PbD) - das Konzept, dass Sie Maßnahmen zum Datenschutz und zur Wahrung der Privatsphäre in jedes Element Ihres Unternehmens als wesentlichen Baustein und nicht als nachträglichen Gedanken einbauen sollten.

Nach dem Text der Website DSGVO müssen Sie sicherstellen, dass personenbezogene Daten geschützt sind:

"so verarbeitet werden, dass eine angemessene Sicherheit der personenbezogenen Daten, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Beschädigung, durch geeignete technische oder organisatorische Maßnahmen gewährleistet ist ("Integrität und Vertraulichkeit")."

Die Buchführung über Ihre Daten und die Untersuchung Ihrer Prozesse auf Schwachstellen durch Data Mapping sind wichtige Schritte bei der Umsetzung von PbD und der Gewährleistung der sicheren Aufbewahrung von Nutzerdaten.

Grund Nr. 4: Rechtmäßige Grundlage der Verarbeitung festlegen (Artikel 6)

Nach Artikel 6 der DSGVO ist die Verarbeitung von Daten nur dann rechtmäßig, wenn sie auf einer oder mehreren der folgenden sechs Grundlagen erfolgt:

1. Mit DSGVO Zustimmung der betroffenen Person
2. Für DSGVO berechtigte Interessen
3. Für die Erfüllung eines Vertrags
4. Um einer gesetzlichen Verpflichtung nachzukommen
5. Zum Schutz der lebenswichtigen Interessen der betroffenen Person
6. Für das öffentliche Interesse

Bei der Erstellung Ihrer Datenkarte sollten Sie die Zwecke, für die Sie Daten erheben oder verarbeiten, zusammen mit der rechtlichen Rechtfertigung für diese Aktivitäten festhalten.

Wenn Sie beispielsweise E-Mail-Adressen von Nutzern sammeln, die sich für den Erhalt von Newslettern anmelden, können Sie diese Datenkategorie zusammen mit dem Hinweis protokollieren, dass dies auf der Grundlage der Zustimmung des Nutzers geschieht.

Wenn Sie Ihre Daten durchgehen und feststellen, welche Grundlage für jede Ihrer Verarbeitungstätigkeiten gilt, können Sie sicherstellen, dass Sie nicht versehentlich unrechtmäßig Daten sammeln oder verarbeiten. Dieser Prozess kann Sie im Falle einer Datenschutzuntersuchung schützen und Ihnen helfen, die nächste Aufgabe auf unserer Liste DSGVO zu erfüllen.

Grund Nr. 5: Detaillierte Datenpraktiken (Artikel 12)

Artikel 12 der DSGVO schreibt vor, dass Unternehmen ihren Nutzern klare und umfassende Datenschutzrichtlinien vorlegen müssen, die auch als Datenschutzhinweise bezeichnet werden. In diesen Richtlinien sollte der Umgang mit Nutzerdaten genau beschrieben werden, einschließlich der Frage, welche Daten gesammelt werden, warum sie gesammelt werden, wie sie gespeichert werden, wohin sie weitergegeben werden können und andere Einzelheiten zur Sammlung und Weitergabe der personenbezogenen Daten der Nutzer.

Um dieses Dokument zu erstellen - und es mit DSGVO in Einklang zu bringen - müssen Sie genau wissen, welche Daten Ihr Unternehmen durchlaufen. Mit einer vollständigen Datenkarte wird es für Sie viel einfacher, diese Informationen in eine benutzerfreundliche Datenschutzrichtlinie zu übertragen.

Wenn Sie nicht sicher sind, wie Sie Ihren Datenschutzhinweis konform gestalten können, nutzen Sie unsere DSGVO-ready Datenschutzerklärung Generator. Wenn Sie es vorziehen, Ihren eigenen zu erstellen, können Sie mit einer Datenschutzerklärung vorlage um sicherzustellen, dass Sie keine notwendigen Abschnitte übersehen.

Grund Nr. 6: Verwaltung von Anträgen auf Zugang zu Daten (Artikel 15-18, 20-21)

Die DSGVO legt Wert darauf, den Internetnutzern neue Rechte an ihren Daten einzuräumen. Einige der wichtigsten neuen Rechte ergeben sich aus den Artikeln 15-18 und 20-21 der DSGVO, die festlegen:

Dies sind alles Bestandteile der Aufgabe von DSGVO, den Nutzern mehr Kontrolle über ihre Daten zu geben. Damit die Unternehmen diesen Abschnitt der Verordnung einhalten, müssen sie den Nutzern die Möglichkeit geben, diese Rechte auszuüben.

Das gängigste Mittel dazu ist die Bereitstellung eines DSAR-Formulars (Data Subject Access Request ) - ein Popup-Fenster oder eine Seite, auf der die Nutzer den Zugriff auf ihre personenbezogenen Daten, deren Bearbeitung, Übertragung oder Löschung beantragen können.

Den Nutzern ein DSAR-Formular zur Verfügung zu stellen, mit dem sie ihre Nutzerrechte ausüben können, ist eine Sache - aber Ihre Arbeit ist erst dann getan, wenn die Anfragen bearbeitet wurden. Darüber hinaus ist die Organisation der Daten im Falle von DSAR-Anfragen umso wichtiger, als die DSGVO eine einmonatige Frist vorschreibt, innerhalb derer Unternehmen auf diese Anfragen reagieren müssen.

Ohne eine leicht zugängliche, gut organisierte Aufzeichnung der für jeden Nutzer gesammelten und verarbeiteten Daten sowie der Gründe für jede Verarbeitungsaktivität kann die Beantwortung jedes DSAR zeit- und kostenaufwendig sein. Hier kann eine Datentabelle helfen, die Last der Suche nach allen von einem Nutzer erfassten Daten zu verringern.

Im Falle einer DSAR-Meldung können Sie schnell und einfach die richtigen Maßnahmen ergreifen, wenn Sie Ihre Daten bereits erfasst haben und leicht auf die erforderlichen Informationen und begleitenden Angaben zugreifen können.

Nachdem Sie nun erfahren haben, warum Data Mapping wichtig ist und welche Vorteile es Ihrem Unternehmen bietet, ist es nun an der Zeit zu erkunden , wie man ein Data Map erstellt.

Auch wenn das Mapping in jedem Unternehmen anders aussieht, bleibt der grundlegende Prozess derselbe. Im Folgenden erfahren Sie, wie Sie Datenmapping durchführen, einige Best Practices und Beispiele für Datenmapping und die Auswahl von Tools zur Vereinfachung des Prozesses.

Anleitung: Data Mapping Tutorial für DSGVO

Die Datenzuordnung gemäß DSGVO ist ein aufwändiger Prozess. Wenn Sie es jedoch beim ersten Mal richtig machen, können Sie auf lange Sicht viel Zeit und Mühe sparen. Im Folgenden erfahren Sie, wie Sie Schritt für Schritt eine Datenkarte erstellen und was Sie dabei berücksichtigen sollten.

DSGVO Daten-Mapping-Prozess Schritt für Schritt

Der eigentliche Prozess des Data Mapping kann verwirrend sein. Eine Unterteilung in einzelne Schritte kann Ihnen helfen zu verstehen, was Sie tun müssen. Der grundlegende Prozess des Datenmappings kann in sechs Stufen unterteilt werden, von denen jede einzelne es Ihnen ermöglicht, Ihre Karten genauer zu machen.

1. Datenverarbeitungsstandorte sammeln

Um die Grundkarte zu erstellen, müssen Sie wissen, wo Sie mit Daten arbeiten. Bitten Sie dazu alle Mitarbeiter Ihres Unternehmens, die von ihnen durchgeführte Datenverarbeitung zu erläutern.

Wenn Ihre Mitarbeiter nicht wissen, was sie anbieten sollen, können Sie dies in zwei Fragen unterteilen:

• Was sind Ihre täglichen, monatlichen und jährlichen Aufgaben?
• Welche Metriken und KPIs verfolgen Sie oder interagieren mit ihnen?

Wenn Sie zum ersten Mal ein Data Mapping durchführen, werden Sie wahrscheinlich einige Zeit damit verbringen müssen, diese Antworten zu sichten, um die Antworten zu finden, die sich auf Daten beziehen.

In Kombination geben Ihnen diese Fragen jedoch einen vollständigen Überblick über alle Informationen, mit denen Ihr Personal in irgendeiner Weise interagiert.

2. Sammeln Sie spezifische Details

Sobald Sie die Datenverarbeitungstätigkeiten identifiziert haben, können Sie weitere Informationen über jede dieser Tätigkeiten sammeln. In diesem Schritt ist es an der Zeit, sich über Dinge zu informieren, die durch die DSGVO geregelt sind, wie zum Beispiel:

• Datenerhebung: Dazu gehören der Zweck, die Quelle, die Rechtsgrundlage, der Ort und die Zustimmung zu den erhobenen Daten.
• Verwendung der Daten: Warum und wie die Informationen verwendet werden.
• Datenspeicherung: Die Sicherheitsmaßnahmen, die Bedingungen, das Format und die Dauer der Speicherung der Daten.
• Datenübermittlung: Die Orte und Parteien, an die Daten übermittelt werden, der Zweck der Übermittlung und die Sicherheitsmaßnahmen im Zusammenhang mit der Übermittlung.

Ein solides Verständnis von Datenbankabfragen kann in dieser Phase besonders hilfreich sein. Das Erlernen grundlegender SQL-Kenntnisse kann Ihre Fähigkeit, Datenpunkte effizient abzufragen und zu analysieren, erheblich verbessern und letztlich den Prozess der Datenzuordnung für die Einhaltung von DSGVO rationalisieren.

Wenn Sie diese Informationen manuell erfassen, sollten Sie sie am besten in einer Art Tabellenkalkulation organisieren. So behalten Sie den Überblick über die einzelnen Daten und können sie später leichter miteinander vergleichen.

Die folgende Tabelle veranschaulicht beispielsweise, wie Sie eine einfache Datenkarte unter Verwendung des ICO Accountability Tracker des Vereinigten Königreichs erstellen können.

3. Datenprozesse und Verantwortliche verbinden

Sobald Sie all diese Informationen gesammelt haben, können Sie Ihre Karte erstellen.

Die einfachste Methode ist das Hochladen der gesammelten Daten in ein Tabellenkalkulationsprogramm. Es gibt jedoch auch Datenkarten-Tools, die verschiedene Eingaben akzeptieren und sie für Sie organisieren können.

Mehr über die Auswahl der richtigen Datenmapping-Tools erfahren Sie später in diesem Leitfaden.

Wenn Sie eine grafische Karte entwickeln, können Sie jede verantwortliche Partei als Knotenpunkt strukturieren, wobei die Datenübertragungen sie verbinden. Die Prozesse der Datennutzung und -speicherung können unter jedem Knotenpunkt gruppiert werden. Das Ergebnis sollte eine klare und leicht lesbare visuelle Darstellung der Datennutzung in Ihrem Unternehmen sein.

4. Suche nach Lücken

Sobald Sie alles in einem übersichtlichen Format vor sich haben, können Sie nach Lücken suchen, z. B:

• Stellen, an denen Sie nicht über alle Informationen verfügen, die Sie benötigen, um festzustellen, ob Sie die Vorschriften einhalten
• Datenprozesse, die nicht konform sind
• Fehlende Überweisungen
• Fehlende verantwortliche Parteien
• Vage, ungenaue oder widersprüchliche Prozesse

Diese Lücken sind die Stellen, die Sie angehen müssen, damit Ihre Karte genau ist und Ihre Datenschutzpraktiken mit der DSGVO übereinstimmen. Wenn Sie diese Lücken entdeckt haben, können Sie gründlichere Untersuchungen durchführen, um zu verstehen, was Ihnen fehlt, und alle notwendigen Verbesserungen vornehmen.

5. Berichte generieren

Ihre Datentabelle ist für die Erstellung rechtlicher Berichte unerlässlich. Insbesondere benötigen Sie die vollständige Datentabelle, um Ihren Artikel 30 ROPA-Bericht zu erstellen. Sie können die Karte auch zur Erstellung von Bestandsvisualisierungen, Datenflussdiagrammen und Karten für den grenzüberschreitenden Datentransfer verwenden.

6. Wiederholen und beibehalten

Nach Abschluss des Prozesses ist es an der Zeit, zum Anfang zurückzukehren. Es ist ratsam, Ihre Datenkarten mindestens einmal im Quartal zu aktualisieren, damit sie nicht zu sehr veralten.

Wenn Sie Ihre Daten regelmäßig neu kartieren, können Sie auf allgemein genauen Karten aufbauen und kleinere Aktualisierungen vornehmen, anstatt jedes Mal bei Null anfangen zu müssen. Diese Wartung stellt sicher, dass Sie immer ein angemessenes Verständnis Ihrer Datenprozesse haben, wenn Sie eine Dokumentation darüber erstellen müssen.

Was ist in einer Datenkarte enthalten?

Auch wenn jede Datenkarte anders ist, sollten Sie dennoch grundlegende Angaben zu den Informationen machen, die Sie sammeln. Diese Details umfassen:

Anhand eines Datenzuordnungsdiagramms wie diesem auf Github können Sie sicherstellen, dass Sie alle erforderlichen Details berücksichtigt haben. Darüber hinaus wird ein einfaches Datenmapping-Tutorial angeboten, das Sie bei der Durchführung des Prozesses unterstützt.

Daten-Mapping-Techniken

Es gibt zwei Hauptarten von Datenmapping-Techniken: manuelles und automatisches Datenmapping. Diese Techniken sind für unterschiedliche Anwendungsfälle geeignet.

Die Wahl des richtigen Systems wird Ihnen helfen, eine möglichst genaue Datenkarte zu erhalten, ohne Ihr Budget zu überlasten oder Ihre Zeit zu verschwenden.

Manuelle Datenzuordnung

Wenn Sie noch nie eine Datentabelle erstellt haben, ist das manuelle Data Mapping vielleicht die richtige Lösung. Bei der manuellen Datenzuordnung sammeln Sie alle Informationen über Ihre verarbeiteten Daten von Hand und geben sie einzeln in ein Arbeitsblatt ein.

Sobald Sie alle relevanten Details gesammelt haben, können Sie diese Tabelle verwenden, um eine visuelle Darstellung aller verantwortlichen Parteien, Datenübertragungen und Verarbeitungsaktivitäten in Ihrem Unternehmen zu erstellen.

Manuelles Data Mapping kann schnell zeitaufwändig werden, wenn die Menge der in Ihrem Unternehmen verarbeiteten Daten wächst. Wenn Sie jedoch nur eine kleine Menge an Daten verwalten und nicht mit vielen externen Anbietern zusammenarbeiten, ist dies auch eine weniger ressourcenintensive Technik. Alles, was Sie brauchen, ist ein Tabellenkalkulationsprogramm und ein einfaches Grafikprogramm wie Microsoft Excel und die in Microsoft Word angebotenen Flussdiagramme.

Automatisiertes Datenmapping

Die Alternative ist die Verwendung eines speziellen Datenmapping-Tools, das diesen Prozess automatisiert. Die meisten Datenmapping-Programme scannen die Systeme Ihres Unternehmens, um nach allen Datenquellen, gespeicherten Informationen und Details zu diesen Informationen zu suchen. Anschließend stellen sie diese Informationen in einer automatisch generierten Karte zusammen, die alle Feinheiten der Datenverarbeitung abdeckt.

Sie brauchen nur die Ergebnisse des Programms zu prüfen und Dinge wie die Namen der Verantwortlichen und die Datenprozesse zu optimieren.

Die automatisierte Datenzuordnung ist ressourcenintensiver, aber für die meisten größeren Unternehmen auch schneller und genauer.

Sie müssen sich vergewissern, dass das Tool sicher ist, und wahrscheinlich müssen Sie für seine Nutzung bezahlen. Aber im Gegenzug reduzieren Sie die Zeit, die Sie für das Schreiben von Umfragen, das Zusammentragen von Antworten und die manuelle Eingabe von Daten aufwenden müssen, auf ein Minimum, was zu einer Karte mit weniger menschlichen Fehlern führt.

Verwendung eines Data Mapping Tools

Die Werkzeuge, die Sie für die Datenzuordnung verwenden, wirken sich auf jeden Teil des Prozesses aus. Sie können das Datenmapping zwar von Hand durchführen, aber für die meisten größeren Unternehmen ist das nicht praktikabel.

Die Lösung besteht darin, ein Datenmapping-Tool zu verwenden, das die Feinheiten für Sie erledigt.

Mit einer Software zur Datenzuordnung liegt die Verantwortung für die Verknüpfung der Punkte beim Computer. Sie müssen lediglich das Programm sichern, ihm die entsprechenden Berechtigungen zum Scannen Ihrer Systeme erteilen und dann auswählen, wie Ihre Karte formatiert werden soll.

Wie das richtige Data Mapping Tool helfen kann

Die Wahl des richtigen Datenmapping-Tools kann den Unterschied ausmachen, wie schnell und genau Sie Ihre Datenkarten erstellen können. Wenn Sie mit dem richtigen Tool arbeiten, können Sie Vorteile erwarten wie:

• Optimierte Datenanalyse: Sie müssen Daten aus Dutzenden oder gar Hunderten von verschiedenen Quellen in Ihrer Datenkarte verfolgen. Diese Daten werden in vielen verschiedenen Formaten vorliegen, die in einer einzigen Karte zusammengeführt werden müssen. Ein gutes Datenmapping-Tool übernimmt die Umwandlung dieser Daten und rationalisiert den Analyseprozess, indem es sicherstellt, dass alle Daten genau in einer einzigen Quelle zusammengefasst werden.
• Bessere Transparenz: Der Zweck einer Datentabelle besteht darin, zu verdeutlichen, wie Sie Informationen sammeln, verwenden, speichern und versenden. Ein exzellentes Datenmapping-Tool wird dazu beitragen, jeden Schritt dieses Prozesses transparenter zu machen. Ihre Analysten sollten in der Lage sein, mit Hilfe des Tools jeden Schritt des Prozesses zu überprüfen und die Details der Gesamtdatenkarte zu bestätigen. Diese Transparenz kann Ihnen helfen, Fehler, Pannen und potenzielle Risiken zu erkennen, was mit einem undurchsichtigen Tool nicht möglich ist.
• Leichte Aktualisierbarkeit: Data Mapping muss regelmäßig durchgeführt werden. Ein gutes Tool erleichtert die regelmäßige Aktualisierung Ihrer Karten und die Nachverfolgung der bei jeder Aktualisierung vorgenommenen Änderungen, um zu erfahren, wie sich Ihr Unternehmen verbessert. Außerdem sollte es Ihnen helfen, Datenverluste zu vermeiden, indem es alte Karten speichert und Ihnen ermöglicht, im Falle von Dateibeschädigungen oder Fehlern zu früheren Versionen zurückzukehren.

Worauf Sie bei einem guten Data Mapping Tool achten sollten

Da das Data Mapping regelmäßig durchgeführt werden muss, können Sie mit der Wahl eines guten Tools viel Zeit und Mühe sparen. Aber natürlich ist nicht jedes Datenmapping-Tool gleich wertvoll.

Sie müssen sich für eine qualitativ hochwertige Software für die Datenzuordnung entscheiden, sonst könnten Sie mehr Ressourcen verschwenden als einsparen.

Aber wie sieht ein gutes Datenmapping-Tool DSGVO aus? Wenn Sie Ihre Wahl treffen, sollten Sie Elemente wie diese berücksichtigen:

• Benutzerfreundlichkeit: Jedes Tool, das Sie regelmäßig verwenden müssen, sollte intuitiv und einfach zu bedienen sein. Die besten Datenmapping-Tools machen es Ihnen leicht, Daten einzugeben, das Ergebnis zu lesen und Ihre Erfahrung anzupassen. So können Sie die regelmäßigen Anforderungen des Datenmappings in kürzerer Zeit bewältigen, jedes Mal.
• Flexibilität: Gute Tools sollten auch flexibel sein. Wenn Sie Informationen hochladen, müssen Sie wahrscheinlich mit einer Vielzahl von Dateiformaten arbeiten können. Das richtige Datenmapping-Programm für Sie sollte so flexibel sein, dass es die von Ihnen am häufigsten verwendeten Formate verarbeiten kann, egal ob es sich um XML-, JSON-, Excel-, SQL-, SAP-, SAS- oder Microsoft CRM-Dateien handelt.
• Automatisierung: Die besten Datenmapping-Tools helfen Ihnen, Zeitverluste zu vermeiden. Diese Programme bieten Automatisierungsfunktionen, um neue Datenkartenberichte für Sie zu erstellen. Sie können Programme finden, die neue Berichte automatisch an bestimmten Tagen oder nach bestimmten Ereignissen ausführen. Diese Programme machen das Data Mapping fast vollständig überflüssig und verkürzen den Prozess von Tagen oder Wochen auf nur wenige Stunden.

Ressourcen für die Datenzuordnung

Für das Mapping von Daten gibt es sowohl kostenlose als auch kostenpflichtige Ressourcen im Internet.

Wenn Sie die Datenkarte Ihres Unternehmens intern ohne ein spezielles Softwarepaket erstellen, finden Sie hier einige Quellen, in denen Sie kostenlose Dokumente und Datenkarten in Excel-Tabellen finden können, um Ihre Arbeit zu beginnen:

• Isle of Man Information Commissioner: Hier finden Sie einige hilfreiche Leitfäden zur Datenzuordnung sowie ausdruckbare Vorlagen für Datenzuordnungsdokumente, die Sie mit den entsprechenden Informationen Ihres Unternehmens ausfüllen können.
• Büro des britischen Informationsbeauftragten (ICO): Das ICO bietet einen detaillierten Leitfaden mit Checklisten und herunterladbaren Dokumentationsvorlagen sowohl für Datenverarbeiter als auch für für die Datenverarbeitung Verantwortliche.
• IAPP Daten-Mapping-Tool: Obwohl diese Ressource technisch gesehen kostenlos ist, müssen Sie IAPP-Mitglied sein, um darauf zugreifen zu können. Sie können auf eine kostenlose Demo des Tools zugreifen, um herauszufinden, ob sich die IAPP-Mitgliedschaft für die Nutzung des Tools lohnt.
• Grünbuch zum IT-Governance-Datenmapping: Hier finden Sie ein kostenloses Grünbuch über Data Mapping oder können auf eines der kostenpflichtigen Data Mapping Tools zugreifen.
• Astera Daten Mapping eBook: Im Austausch für Ihre Kontaktdaten können Sie ein kostenloses eBook über die Besonderheiten des Data Mapping von Astera herunterladen.
• Pinterest: Es ist vielleicht nicht der erste Ort, an dem Sie suchen, aber Pinterest bietet eine Vielzahl von kostenlosen Vorlagen für Datenflüsse, Checklisten, Tabellen und Infografiken.

Wenn Sie bereit sind, etwas Geld in die Hand zu nehmen, damit Ihr Unternehmen DSGVO einhalten kann, finden Sie hier einige kostenpflichtige Tools für die Datenzuordnung, die Ihnen dabei helfen können:

• IT-Governance-Datenfluss-Audit
• Vigilant Software's Datenfluss Mapping Tool
• Astera Daten-Mapping

Bessere Datenzuordnung durchführen

In den letzten Jahren hat die Welt die Auswirkungen von DSGVO und den sich ändernden Datenschutzstandards zu spüren bekommen. Die Einhaltung der massiven Verordnung mag wie ein unerreichbares Ziel erscheinen, aber wenn Sie die DSGVO Stück für Stück angehen, können Sie Ihr Unternehmen an die sich entwickelnden Datenschutzstandards und Kundenanforderungen anpassen.

Einer der wichtigsten Schritte, die Sie zu diesem Zweck unternehmen können, ist die Erfassung Ihrer Daten. Dies ist nicht nur ein wichtiger Schritt zur Einhaltung von DSGVO , sondern auch eine gute Geschäftspraxis. Wenn Sie die Überschneidungen zwischen der Datenzuordnung und der Einhaltung der Bestimmungen von DSGVO verstehen und die oben genannten Tools und Ressourcen nutzen, werden Sie letztendlich die Daten Ihrer Benutzer - und Ihr Unternehmen - schützen.

Mehr über die Autorin

Geschrieben von Masha Komnenic CIPP/E, CIPM, CIPT, FIP

Masha ist Spezialistin für Informationssicherheit und Datenschutz und zertifizierte Datenschutzbeauftragte. In den letzten sechs Jahren war sie als Datenschutzbeauftragte tätig und half kleinen und mittleren Unternehmen bei der Einhaltung von Rechtsvorschriften. Außerdem war sie Mentorin für die Einhaltung von Datenschutzbestimmungen bei vielen internationalen Business Accelerators. Sie ist spezialisiert auf die Umsetzung, Überwachung und Prüfung der Einhaltung von Datenschutzvorschriften (HIPAA, PIPEDA, ePrivacy-Richtlinie, DSGVO, CCPA, POPIA, LGPD). Masha hat an der Universität Belgrad Jura studiert und 2016 die Anwaltsprüfung abgelegt. Mehr über die Autorin