Trainingsmodul
Betriebliche Datenschutzmassnahmen auditieren
Beurteilen, ob Datenschutzmassnahmen wirksam umgesetzt und bei der Verarbeitung personenbezogener Daten einheitlich angewendet werden
Gibt es Datenschutzmassnahmen nur auf dem Papier, während die gelebte Praxis stillschweigend davon abweicht?
Datenschutzmassnahmen erscheinen oft klar definiert, während sich die tägliche Bearbeitungspraxis von den beabsichtigten Vorgaben entfernt. Dieses Modul entwickelt die Fähigkeit, zu prüfen, ob operative Datenschutzmassnahmen über Systeme, Teams und externe Bearbeitungsaktivitäten hinweg tatsächlich funktionieren.
Überblick
Worum es in diesem Modul geht
Operative Datenschutzmassnahmen übersetzen Datenschutzvorgaben und Risikoentscheidungen in die tägliche Bearbeitung personenbezogener Daten. Diese Massnahmen steuern, wie personenbezogene Daten in organisatorischen Prozessen und technischen Systemen erhoben, abgerufen, verarbeitet, weitergegeben, aufbewahrt und gelöscht werden.
In der Praxis wirken Datenschutzmassnahmen in Politiken und Verfahren oft vollständig, während die operative Nachweislage eine inkonsistente Anwendung, unklare Verantwortung oder Lücken über Systeme und externe Auftragsbearbeiter hinweg offenbart. Audits müssen deshalb prüfen, ob Datenschutzmassnahmen in realen Bearbeitungsumgebungen tatsächlich wie vorgesehen funktionieren.
Dieses Modul entwickelt die Fähigkeit, operative Datenschutzmassnahmen in einem an ISO/IEC 27701 ausgerichteten PIMS zu auditieren. Die Teilnehmenden sehen, wie Datenschutzmassnahmen innerhalb eines PIMS wirken, und lernen dann, wie Auditoren die Umsetzung prüfen, operative Nachweise nachverfolgen und typische Schwachstellen erkennen, ohne in die Entwicklung oder technische Ausgestaltung von Datenschutzmassnahmen abzudriften.
Zielgruppe
Für wen es gedacht ist
Wer ein Managementsystem einführt oder koordiniert
Führungskräfte und Bereichsleitungen, die für die Leistung des Managementsystems einstehen
Wer Prozesse, Politiken, Assets, Risiken und Steuerungsmassnahmen verantwortet
Auditoren, die Einblick in die Managementpraxis suchen und nicht in die Audittechnik
Beratende, die an Gestaltung, Governance oder Verbesserung von Managementsystemen arbeiten
EntscheidungshilfeIst dieses Modul für Sie das Richtige?
Es passt gut für Sie, wenn Sie…
operative Datenschutzmassnahmen in einem PIMS auditieren.
beurteilen möchten, ob Datenschutzanforderungen in der Praxis einheitlich angewendet werden.
die operative Steuerung von Bearbeitungsaktivitäten personenbezogener Daten beurteilen müssen.
Nachweiswege über Systeme, Teams und externe Auftragsbearbeiter hinweg nachverfolgen wollen.
Schlussfolgerungen aus dem Audit zur Wirksamkeit von Datenschutzmassnahmen stärken möchten.
Es passt möglicherweise weniger gut für Sie, wenn Sie…
Datenschutzmassnahmen oder Schutzmassnahmen selbst entwickeln möchten.
Methoden zur Einführung von Datenschutzprogrammen oder Steuerungsstrukturen suchen.
sich vor allem auf Datenschutztechnik oder die Umsetzung von Massnahmen konzentrieren.
nicht vorhaben, operative Datenschutzmassnahmen zu auditieren.
Was Sie mitbringen
Dieses Modul setzt voraus, dass die Teilnehmenden grundlegende Audittätigkeiten ausführen und nachweisbasiert beurteilen können.
Hilfreiche Vorkenntnisse sind:
Allgemeines Verständnis von Datenschutzkonzepten und der Bearbeitung personenbezogener Daten
Fähigkeit, Nachweiswege über Systeme, dokumentierte Informationen und organisatorische Prozesse hinweg nachzuverfolgen
Grundkenntnisse zu Datenschutzpolitiken, Verfahren und operativen Praktiken der Datenbearbeitung
Agenda
Der Lehrstoff
6 Teile01Operative Datenschutzmassnahmen in einem PIMS
Wie Datenschutzanforderungen in operative Massnahmen übersetzt werden, die Erhebung, Bearbeitung, Weitergabe, Aufbewahrung und Löschung personenbezogener Daten steuern
02Wirksamkeit operativer Datenschutzmassnahmen auditieren
Wie Auditoren beurteilen, ob Datenschutzmassnahmen wirksam funktionieren, statt sich auf Politikaussagen oder Verfahrensbeschreibungen zu stützen
03Umsetzung operativer Massnahmen
Wie sich beurteilen lässt, ob Datenschutzanforderungen in Systemen, Arbeitsabläufen und operativen Prozessen zur Bearbeitung personenbezogener Daten umgesetzt sind
04Nachweise für die Wirksamkeit von Massnahmen
Wie operative Nachweise wie Systemkonfigurationen, Bearbeitungsprotokolle und Praktiken der Mitarbeitenden zu prüfen sind, um festzustellen, ob Massnahmen in der Praxis funktionieren
05Bearbeitung durch Dritte und geteilte Verantwortung
Wie die Umsetzung von Datenschutzmassnahmen bei externen Auftragsbearbeitern, Dienstleistern und in gemeinsam genutzten operativen Umgebungen zu auditieren ist
06Typische Muster des Versagens operativer Massnahmen erkennen
Wie typische Schwachstellen wie Massnahmen nur auf dem Papier, inkonsistente Durchsetzung im System oder informelle Umgehungslösungen zu erkennen sind
Ergebnisse
Lernergebnisse
01
Konsequente Umsetzung operativer Datenschutzmassnahmen über Bearbeitungsaktivitäten hinweg beurteilen
02
Nachvollziehen, ob Datenschutzanforderungen in der operativen Praxis und im Systemverhalten abgebildet sind
03
Operative Datenschutzmassnahmen über Systeme, Aufzeichnungen und organisatorische Rollen hinweg nachverfolgen
Beurteilen, ob Datenschutzmassnahmen über organisatorische Grenzen und Grenzen zur Bearbeitung durch Dritte hinweg funktionieren
Typische Schwachstellen wie Massnahmen nur auf dem Papier oder inkonsistente Umsetzung erkennen
Aussagekräftige Stichprobenzielpunkte bei der Auditierung operativer Datenschutzmassnahmen auswählen
Nachvollziehbare Schlussfolgerungen aus dem Audit zur Wirksamkeit von Datenschutzmassnahmen formulieren
Unterlagen
Die Inhalte und die Beurteilung
Schriftliches Modul
Der vollständige Inhalt in Schriftform, in sich abgeschlossen. Zu Teilen davon werden Videos aufgezeichnet, als zweiter Weg durch den Stoff; das schriftliche Modul trägt immer alles.
Übungen
Bewertete Arbeit an den Registern der Fallorganisation selbst: strukturierte Antworten werden gegen den kodierten Fall geprüft, Freitextantworten gegen ein daran zurückgebundenes Bewertungsraster, und bei jedem bewerteten Element hat der Trainer das letzte Wort.
Zum Abschluss
Die bewerteten Übungen müssen bestanden sein, bevor das Zertifikat ausgestellt wird.
Termine
Zurzeit ist keine öffentliche Durchführung von Betriebliche Datenschutzmassnahmen auditieren geplant. Sagen Sie uns Bescheid, und wir melden uns, sobald die nächste öffnet. Oder wir sprechen über eine interne Durchführung.
Eckdaten
- Modul-ID
- HAM-DP-A-02
- Fachbereich
- Datenschutz
- Kompetenzbereiche
- Assurance · Steuerungsmassnahmen
- Teil von Lehrgängen
- Managementsystem-Auditor
Fallorganisation
Alle Module spielen im selben Unternehmen
Jedes Modul steigt an einem bestimmten Punkt in die Geschichte des Unternehmens ein und findet es so vor, wie diese Geschichte es hinterlassen hat.
Die Northstar Integrated Services AG ist eine Gruppe mit Sitz in Zürich, die in sechs europäischen Ländern tätig ist und Ende 2025 rund 1350 Mitarbeitende beschäftigte. Die Gruppe bietet regulierten Organisationen im Gesundheitswesen, im öffentlichen Sektor und in industriellen Dienstleistungen Plattformen für den digitalen Betrieb und betriebliche Managed Services an. Gegründet wurde sie 2008 als Anbieter von Vor-Ort-Dienstleistungen für Geschäftskunden. Das Unternehmen hatte rund fünfundzwanzig Mitarbeitende, als sein erster regulierter Kunde, eine Spitalgruppe, dokumentierte Entscheidungen, benannte Verantwortlichkeiten und Nachweise auf Anfrage verlangte. 2016 wechselte es ins Plattformgeschäft, und 2024 übernahm es ein operatives Geschäft in Polen und Tschechien, dessen Gesellschaft innerhalb der Gruppe fortbesteht.
Verknüpfte Register
Organisation und Personen, Rollen, Risiken, Ziele, Politiken, Dokumente und Aufzeichnungen, Kommunikation, Feststellungen, Audits und Überprüfungen, Anspruchsgruppen, Prozesse
Aufzeichnungen statt Zusammenfassungen
Die Nachweise liegen in den Registern und Dokumenten, in denen eine echte Organisation sie führen würde.
Eine Geschichte
Das Unternehmen hat eine Zeitachse ab 2008, sodass sich eine Struktur vor und nach einer Veränderung untersuchen lässt.
Mehr als eine Gesellschaft
Eine Schweizer Muttergesellschaft und eine zugekaufte Tochtergesellschaft in Polen und Tschechien, mit Kunden in mehreren Rechtsordnungen
Warum das zählt
Urteilsvermögen entwickelt sich an Material, das unvollständig und teilweise widersprüchlich ist, wie in der Praxis. Northstar ist bewusst so angelegt. Weil die Module an verschiedenen Punkten seiner Geschichte ansetzen, lässt sich eine Governance-Struktur verfolgen, während sie aufgebaut wird, wenn sie zu klein wird und wenn sie neu gebaut wird.
Durchführung & Termine
Wie dieses Modul zu Ihnen kommt
Live online durchgeführt, mit konzeptioneller Einordnung, Diskussion, Fallarbeit und direktem Austausch mit dem Trainer. Interne und auf Ihre Organisation zugeschnittene Durchführungen sind auf Anfrage möglich.
Zurzeit ist keine öffentliche Durchführung geplant. Die meisten Module laufen auch auf Anfrage und nicht nur nach öffentlichem Kalender. Sagen Sie uns, welcher Zeitraum Ihnen passt.
Sollen wir dieses Modul ansetzen?
Wir melden uns, sobald die nächste Durchführung angesetzt ist. Oder wir führen dieses Modul intern mit Ihrem eigenen Fallmaterial durch.
Unsicher, ob es das richtige Modul ist?
Beschreiben Sie Ihren Kontext in einer kurzen Nachricht, und wir antworten ehrlich.