In der TOM-Liste steht „Zugriffsschutz“. Für den Betrieb ist entscheidend, ob nur die vorgesehenen Personen auf die benötigten Daten zugreifen können. Eine nachvollziehbare Wirksamkeitsprüfung verbindet die beschriebene Maßnahme mit einer konkreten Frage, einem abgegrenzten Test und einem dokumentierten Ergebnis.
Welche personenbezogenen Daten werden für welchen Arbeitsweg benötigt, und was würde ein Verlust, eine Veränderung oder ein unbefugter Zugriff bedeuten? Dieser Zusammenhang bestimmt, was geschützt werden muss. Ein pauschal kopierter Maßnahmenkatalog beantwortet die Frage nicht. Die technische Prüfung benötigt deshalb einen beschriebenen Bereich und einen verantwortlichen Ansprechpartner.
Artikel 32 verlangt ein dem Risiko angemessenes Schutzniveau. Die Norm nennt unter anderem Verschlüsselung, dauerhafte Verfügbarkeit und Vertraulichkeit, Wiederherstellbarkeit sowie regelmäßige Wirksamkeitsbewertung. Welche Maßnahmen angemessen sind, hängt vom konkreten Kontext ab. Ein einzelner technischer Mechanismus bildet deshalb nur einen Teil des Schutzkonzepts.
Aus „Zugriffsschutz vorhanden“ kann die Frage werden: Hat das ausgeschiedene Teammitglied noch einen aktiven Zugang zum betrachteten System? Aus „Datensicherung vorhanden“ wird die Frage nach einem nachvollziehbaren Wiederherstellungsversuch. Der Test sollte die Wirksamkeit der gewählten Maßnahme untersuchen und nicht nur bestätigen, dass eine Einstellung irgendwo angezeigt wird.
Zum Beleg gehören Datum, System, Methode, Berechtigung und Ergebnis. Bei einer Stichprobe muss erkennbar bleiben, welche Konten oder Geräte einbezogen waren. Ein nicht erreichbares System ist kein bestandenes Prüfergebnis. Auch Ausnahmen, fehlende Rechte und nicht überprüfbare Annahmen gehören in den Bericht, damit er später richtig eingeordnet werden kann.
Ein festgestellter unberechtigter Zugang erhält eine zuständige Person und eine geplante Korrektur. Bis zur bestätigten Änderung bleibt der Befund offen. Wenn eine Maßnahme Auswirkungen auf den Betrieb hat, werden Freigabe, Wartungsfenster und Rückweg abgestimmt. Erst die passende Nachprüfung zeigt, ob die konkret untersuchte Abweichung behoben ist.
Neue Systeme, geänderte Berechtigungen oder ein anderer Dienstleister können den bisherigen Nachweis überholen. Ein sinnvoller Prüfplan berücksichtigt solche Anlässe und die Bedeutung des jeweiligen Bereichs. Artikel 32 enthält keine allgemeine Regel, wonach jedes Unternehmen durch einen jährlichen Scan sämtliche Anforderungen erfüllt. Organisation und fortlaufende Pflege bleiben erforderlich.
Öffnen Sie die Stationen. Jede zeigt eine konkrete Prüffrage und den nächsten verantwortlichen Schritt.
Im Beispiel darf die Lohnbuchhaltung nur von dafür vorgesehenen Personen eingesehen werden. Geprüft wird ein ausdrücklich ausgewählter Systembereich.
Ein ehemaliger Aufgabeninhaber besitzt noch ein Recht. Fundstelle und Prüfdatum werden dokumentiert; es werden keine echten Personaldaten in eine öffentliche Anfrage übernommen.
Die zuständige Administration gleicht Aufgabe, Gruppe und verbleibende Rechte ab. Die Änderung erfolgt kontrolliert und wird bestätigt.
Das überprüfte Konto hat das Recht nicht mehr. Der Nachweis gilt für diesen geprüften Bereich und sagt nichts über ungeprüfte Systeme aus.
Ein vereinbarter Sicherheitscheck kann ausgewählte TOMs technisch untersuchen und nachvollziehbare Befunde liefern. Er ersetzt weder die vollständige Datenschutzorganisation noch die rechtliche Beurteilung aller Verarbeitungsvorgänge.
Buzzard arbeitet DSGVO-konform; Hosting in Deutschland ist bestätigt. Für einen konkreten Prüfauftrag werden benötigte Daten, Zugriffe, beteiligte Personen und Berichtsübergabe festgelegt. Ein Sicherheitsbericht ist kein pauschales DSGVO-Zertifikat.
Er kann einen abgegrenzten technischen Teil belegen. Organisatorische Maßnahmen, Berechtigungen, Wiederherstellung und der konkrete Verarbeitungszusammenhang benötigen passende eigene Prüfungen.
Nein. Maßgeblich ist ein angemessenes Schutzniveau unter Berücksichtigung des Risikos und des gesetzlichen Bewertungsrahmens. Diese Seite empfiehlt kein bestimmtes Produkt als allgemeine Erfüllungsgarantie.
Der ursprüngliche Befund, die dokumentierte Änderung, das betroffene System, der Prüfzeitpunkt und das Ergebnis im vereinbarten Umfang. Nicht geprüfte Bereiche bleiben ausdrücklich offen.
Nein. Ein technisches Ergebnis beantwortet die untersuchten Sicherheitsfragen. Rechtsgrundlage, Informationspflichten, Verträge und weitere Datenschutzanforderungen werden dadurch nicht pauschal beurteilt.
Wir klären mit Ihnen und Ihrer IT-Betreuung, was untersucht werden soll, welche Systeme dazugehören und wer das Ergebnis weiterbearbeitet. Umfang, erlaubte Methoden, Bericht und Betreuung stehen im individuellen Angebot.
Bringen Sie für das erste Gespräch die betroffenen Arbeitsbereiche und Ihre Ansprechpartner mit. Zugangsdaten, interne Netzwerkpläne und vertrauliche Befunde gehören nicht in das öffentliche Kontaktformular.
Mustafa Sahinli · Buzzard AI, Erlensee
TULPAR und das Sicherheitsangebot →Wir besprechen die technische Wirksamkeitsprüfung ausgewählter TOMs, vorhandene Systeme und die beteiligten Personen. Sie erhalten eine klare Einordnung, welcher Teil sich sinnvoll unterstützen lässt und was dafür benötigt wird.
Bitte senden Sie über dieses erste Kontaktformular keine Patienten-, Mandanten- oder anderen vertraulichen Falldaten.
Direkt anrufen: 06183 909 99 92
Buzzard AI