Bausteine eines Datenschutzaudits

Schwerpunkt

DuD • Datenschutz und Datensicherheit 30 (2006) 1 5

Bausteine eines Datenschutzaudits

Erste Schritte zu einem Schema für freiwillige Auditierungen

Johann Bizer

Langsam, aber stetig beginnt das Schiffchen des Datenschutzaudits an Fahrt zu gewin-nen. Zu Beginn der Diskussion überwogen noch die Zweifel: Die einen mäkelten an der Freiwilligkeit, die anderen witterten Zwang. Mittlerweile ist die Einsicht verbreitet, dass der Status von Organisationen der Daten-verarbeitung einer kontinuierlichen Über-prüfung bedarf, die wiederum auf aner-kannten und zuverlässigen Verfahren auf-bauen sollte. Die Nachfrage nach einer Auditierung nach Datenschutzanforderun-gen wächst, woran es noch fehlt, sind aner-kannte Schemata und Standards, um die Vergleichbarkeit derartiger Prüfungen zu gewährleisten. Dieser Beitrag versteht sich als einen ersten Schritt, Bausteine eines Datenschutzaudits zu beschreiben und damit eine Vorarbeit für seine Durchfüh-rung zu leisten.

Dr. Johann Bizer Stellvertretender Landesbeauftragter für den Datenschutz Schleswig-Holstein. Unabhängiges Lan-deszentrum für Datenschutz (ULD).

E-Mail: [email protected]

1 Datenschutz-management

Unter einem Datenschutzmanagement sind die unternehmensinternen Regelungen und Mechanismen bzw. Prozesse zusammenge-fasst, eine datenschutzkonforme Datenver-arbeitung zu gewährleisten.

1.1 Verantwortlichkeit Adressat des Datenschutzaudits ist die Daten verarbeitende Stelle. Sie ist für die Rechts- und damit Datenschutzkonformität ihrer Datenverarbeitung verantwortlich (§ 3 Abs. 7 BDGS).

Der betriebliche Datenschutzbeauftragte ist nach der Konzeption des BDSG lediglich ein innerbetriebliches Instrument, damit das Unternehmen seiner gesetzlichen Verpflich-tung nachkommen kann. Damit der betrieb-liche Datenschutzbeauftragte seine Aufgabe erfüllen kann, hat ihn die verantwortliche Stelle nach § 4 f Abs. 5 BDSG zu unterstüt-zen und mit den erforderlichen Ressourcen auszustatten.

Gegenstand des Datenschutzaudits kann sein, ob der betriebliche Datenschutzbeauf-tragte seine Aufgabe unter den gegebenen Bedingungen erfüllen kann. Im Mittelpunkt des Datenschutzaudits steht aber nicht der betriebliche Datenschutzbeauftragte, son-dern ob die verantwortliche Stelle ihre gesetzlichen Aufgaben erfüllt und unter den gegebenen Umständen erfüllen kann.

Das Datenschutzaudit dient also dazu, die verantwortliche Stelle und insbeson-dere ihre Organe über den Zustand ihrer Organisation in Datenschutzfragen zu unterrichten, damit sie diesen gegebe-nenfalls verbessern kann. Das Daten-schutzaudit kann auch unternehmensin-tern als Anreiz gesetzt werden, um die Umsetzung der Datenschutzziele konti-nuierlich zu verbessern.

1.2 Datenschutz als Führungsaufgabe

Die Formatierung und Implementierung eines Datenschutzmanagements ist Füh-rungsaufgabe. Sie liegt in der Verantwor-tung der jeweiligen Daten verarbeitenden Stelle bzw. deren verantwortlicher Organe (Vorstand, Geschäftsführung).

1.2.1 Riskmanagement Das Datenschutzmanagement kann als Bestandteil des Risikomanagements ver-standen werden. Vorstand und Geschäfts-führung sind rechtlich verpflichtet, ausrei-chend Vorsorge zu treffen, um von dem Unternehmen Schaden abzuwenden. Recht-lich leitet sich diese Verpflichtung z.B. aus § 91 Abs. 2 AktG bzw. aus der Verpflich-tung einer sorgfältigen Geschäftsführung ab.

Im Regelfall wird diese Verpflichtung zur Risikovorsorge durch eine Gestaltung der Unternehmensorganisation erfüllt. So wird bspw. die Aufgabe der IT-Sicherheit an eine Organisationseinheit bzw. bestimmte Personen übertragen, um Schäden durch den Ausfall der IT von dem Unternehmen abzuwenden. Entsprechendes gilt für den Datenschutz. Die Unternehmensführung etabliert ein Datenschutzmanagement mit dem Ziel zu verhindern, dass bspw. Perso-naldaten oder Kundendaten „in falsche Hände“ geraten und auf diese Weise das Unternehmen einen materiellen oder imma-teriellen Schaden erleidet. Mit einem Da-tenschutzaudit wird dem Unternehmen bestätigt, dass das Datenschutzmanagement funktioniert.


6 DuD • Datenschutz und Datensicherheit 30 (2006) 1

1.2.2 Compliance Mit Compliance ist die Aufgabe gemeint, in einer Unternehmensstruktur dafür zu sor-gen, dass die für und in dem Unternehmen geltenden Normen eingehalten werden. Soweit durch Regelverstöße Schäden für das Unternehmen entstehen können, weil bspw. Dritten ein Schaden ersetzt werden muss, staatliche Auflagen drohen oder dem Unternehmen wegen des Normverstoßes ein Imageschaden droht, ist Compliance auch ein Thema des Risikomanagements.

Mit Compliance ist aber auch die Steue-rungsfähigkeit des Unternehmens „von oben nach unten“ gemeint. Ein Manage-ment kann seiner Verantwortung gegenüber den Eigentümern nicht nachkommen, wenn es nicht gewährleistet, dass die einzelnen Organisationseinheiten respektive ihre Mitarbeiter ihre Regelwerke und Anwei-sungen befolgen. Compliance bedeutet unter diesem Gesichtspunkt die Gewährleis-tung der Normbefolgung im Interesse der Steuerungsfähigkeit des Unternehmens.

Compliance muss also immer gewähr-leistet werden, wenn das Management Regeln zur IT-Sicherheit und zum Daten-schutz in Form von Dienstanweisungen, Codes of Conduct, Privacy oder Security Policies in Kraft setzt oder mit dem Be-triebsrat im Rahmen einer Betriebsvereinba-rungen vereinbart, welche Mitarbeiterdaten zu welchen Zwecken wie lange erhoben, verarbeitet oder genutzt werden dürfen.

Mit einem Datenschutzaudit wird dem Unternehmen bzw. der Organisationseinheit nach einer Prüfung bestätigt, dass die ent-sprechenden Anweisungen implementiert und befolgt werden.

2 Datenschutz-kontrolle

Aufgabe des betrieblichen Datenschutzbe-auftragten ist nach § 4 g Abs. 1 Satz 3 Nr. 1 BDSG die Überwachung der DV-Programme, soweit mit ihnen personenbe-zogene Daten erhoben, verarbeitet oder genutzt werden. Neben der Aufgabe der Schulung (Nr. 2) hat der betriebliche Daten-schutzbeauftragte ferner nach § 4 d Abs. 6 BDSG die Vorabkontrolle durchzuführen.

2.1 Reaktive Kontrolle Seiner Kontrollaufgabe kann der betriebli-che Datenschutzbeauftragte zum einen anlassbezogen und damit punktuell in Reak-tion (reaktiv) auf konkrete Vorfälle nach-kommen. Häufig können auf diese Weise grundlegende und nicht gelöste Fragen des Datenschutzrechts oder der Datensicherheit identifiziert werden. Je nach Ressourcen wird der betriebliche Datenschutzbeauftrag-te auch in der Lage sein, durch entspre-chende Empfehlungen einen rechtskonfor-men Zustand herbeizuführen.

Im Wege eines Datenschutzaudits kön-nen identifizierte Mängel und Schwachstel-len einschließlich der Implementierung ihrer Lösungen systematisch in der Organi-sation abgefragt werden. Das Datenschut-zaudit hat in dieser prüfenden Variante also den Charakter eines Statusberichts.

Bei der Überprüfung eines DV-Systems auf die Rechtmäßigkeit einer Verarbeitung wird bspw. festgestellt, dass die Unterrich-tungspflicht gegenüber dem Betroffenen nach § 4 Abs. 3 BDSG unzureichend erfüllt wird. Die betroffenen Organisationseinhei-ten werden auf diesen Fehler verbunden mit einem Vorschlag zu seiner Verbesserung hingewiesen Im Rahmen eines prüfenden Datenschutzaudits könnte dann der Status des Problems und seiner Lösung systema-tisch abgefragt und geprüft werden.

Der betriebliche Datenschutzbeauftragte würde in einem solchen Fall also nicht nur seiner Überwachungsaufgabe in Sachen Datenschutz nachkommen, sondern gleich-zeitig auch über eine systematische Erhe-bung im Rahmen des Audits Einblick in die Normbefolgung in den betreffenden Organi-sationseinheiten bekommen.

2.2 Proaktiv Eine andere Vorgehensweise für die Daten-schutzkontrolle ist proaktiv. In diesem Fall erfüllt der Datenschutzbeauftragte seine Überwachungsaufgabe durch eine qualifi-zierte Beratung bevor ein automatisiertes DV-Verfahren eingesetzt und damit produk-tiv wird. Mit der Vorabkontrolle nach § 4 d Abs. 6 BDSG weist der Gesetzgeber bereits für diese Fallgruppe in eine solche proakti-ve Richtung, weil die Rechtmäßigkeit des Verarbeitung vor seiner Freigabe geprüft und bewertet werden muss.

Die Erfolgschancen eines proaktiven Ansatzes hängen maßgebend davon ab, wie gut die Inputs aus dem Datenschutz und der

Datensicherheit in die jeweiligen Ge-schäftsmodelle strukturell integriert werden können. Vom Datenschutzbeauftragten verlangt eine solche Orientierung in erster Linie, die Datenflüsse nachzuzeichnen und die jeweiligen Datenschutzanforderungen einzubringen und in den Prozessen zu ver-ankern.

Am Beispiel der Zweckbindung erläutert gibt es einen regulatorischen Zusammen-hang zwischen ♦ der Festlegung des Zwecks vor der

Erhebung nach § 28 Abs. 1 Satz 2 BDSG,

♦ der Aufnahme der Zweckbestimmungen in das Verfahrensverzeichnis nach § 4 e Nr. 4 BDSG sowie

♦ der Unterrichtung des Betroffenen bei der Erhebung über ihre Zweck nach § 4 Abs. 3 Nr. 2 BDSG.

Alle drei Regelungen stehen nicht nach dem Gesetz, wohl aber systematisch in einem Prozessmodell in einem notwendigen Zu-sammenhang, weil sie aufeinander aufbau-en. Für die Implementierung des Daten-schutzes bedeutet dies bspw., dass die Da-tenschutzanforderung der Zweckbindung in den Prozess der Verarbeitung integriert werden muss. Für ein Datenschutzaudit folgt daraus, dass sein Erkenntniswert und seine Durchsetzungschancen im Unterneh-men steigen, je deutlicher es sich auf die jeweiligen Prozesse einzustellen vermag.

3 Datenschutzaudit

3.1 Freiwilligkeit Die Durchführung eines Datenschutzaudits ist freiwillig.

§ 9 a BDSG enthält zwar eine Rechts-grundlage für das Datenschutzaudit. Die Vorschrift regelt im Wesentlichen aber nur den Anwendungsbereich des Datenschut-zaudit und enthält die Rechtsgrundlage für ein Ausführungsgesetz für Audit und Güte-siegel. Jedoch ist das Ausführungsgesetz zum Datenschutzaudit trotz zahlreicher Ankündigungen aus der Politik noch immer nicht erlassen worden. Auf der Grundlage des § 9 a BDSG können also keine Zertifi-zierungen durchgeführt werden können, was jedoch andererseits die Entwicklung freiwilliger Auditierung nicht weiter behin-dert.

Einige Landesdatenschutzgesetze ken-nen ebenfalls das Datenschutzaudit. Die meisten verweisen jedoch ebenfalls auf ein Ausführungsgesetz, welches der Bundes-

Johann Bizer


gesetzgeber noch immer nicht erlassen hat. Lediglich in Schleswig-Holstein hat der Landesgesetzgeber eine Rechtsgrundlage für die Auditierung der Datenverarbeitung von Stellen und ihren technischen Einrich-tungen der Behörden dieses Landes ge-schaffen. Mittlerweile sind seit 2002 über 12 Audits durchgeführt und abgeschlossen worden1. Beispiele sind die Datenverarbei-tung mehrerer Kommunen, die Internetan-bindung, das Zutrittberechtigungssystem zum Landtag, die pseudonymisierte Blutda-tenbank einer Universität sowie das Kon-zept der OstseeCard. Zahlreiche weitere Audits sind derzeit in Bearbeitung bzw. stehen in der Beauftragung.

Zumindest in Schleswig-Holstein beste-hen also umfassende Erfahrungen in der Durchführung von Datenschutzaudits. Da die technischen Systeme für die Verarbei-tung von Personal- und Bürgerdaten, der Internetanbindung oder von Zugangs-kontrollsystemen sich nicht Wesentlich von vergleichbaren Verfahren in der Wirtschaft unterscheiden, können diese Erfahrungen ohne weiteres übertragen werden.

Darüber hinaus werden aber auch in zahlreichen Unternehmen Auditierungen bspw. im Rahmen einer Qualitätssicherung im weitesten Sinne also von Controlling-maßnahmen durchgeführt2. Überwiegend orientieren sich in diesen Fällen die Daten-schutzaudits an den Standards, die bereits im Unternehmen eingeführt und praktiziert werden. Auf diese Weise wird der Vermitt-lungs- und Durchsetzungsaufwand für das Datenschutzaudit erheblich reduziert, gleich-zeitig können seine Ergebnisse mit denen anderer Fachauditierungen verglichen wer-den.

3.2 Leitfragen

Die Vorbereitung eines Datenschutzaudits lässt sich – ohne Anspruch auf Vollständig-keit – mit Hilfe von vier Leitfragen operati-onalisieren:

In welchen Verfahren werden welche personenbezogenen Daten für welchen Zweck erhoben, verarbeitet oder ge-nutzt?

Wer ist gegenüber den Betroffenen sowie innerhalb der Organisation für die

1 Siehe den Beitrag von Behrendt (in diesem

Heft) 2 Bijok, Kling, Weibler, DuD 2004, 621; Voß-

bein, DuD 2004, 92; Ulmer, Zwick, DuD 2004, 85; u.a.

Datenverarbeitung und seine Daten-schutzkonformität verantwortlich?

Entspricht das Verfahren seiner Doku-mentation? Ist das Sicherheitskonzept nachvollziehbar und implementiert?

Auf welcher Rechtsgrundlage erfolgt die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten und werden die entsprechenden Anforderungen er-füllt?

3.3 Vorgehen Ein Datenschutzaudit sollte in folgenden Schritten durchgeführt werden.

Festlegung des Prüfungsgegenstandes In der Festlegung des Prüfungsgegenstandes ist die verantwortliche Stelle weitgehend frei, so dass sie auch nach strategischen Gesichtspunkten erfolgen kann. So ist die verantwortliche Stelle nicht gehindert, die Datenverarbeitung in Organisationseinhei-ten zu prüfen, bei denen sie einen guten oder einen schlechten Standard vermutet. Sie kann ebenso gut auch eine „gemischte“ Strategie fahren.

Normative Anforderungen (Soll) Die normativen Anforderungen für das Audit kommen aus dem Datenschutzrecht sowie den Vorgaben für die Datensicherheit. Beispiele werden im nächsten Kapitel be-schrieben.

Bestandsaufnahme (Ist)

Auf die Soll-Anforderungen folgt die Be-standsaufnahme der Datenverarbeitung selbst, um sie im nächsten Schritt bewerten zu können.

Bewertung (Soll-Ist-Vergleich)

In der Bewertung wird festgestellt, ob und inwieweit die Soll-Anforderungen aus dem Datenschutzrecht und der Datensicherheit erfüllt werden.

Ergebnis

Das Ergebnis dieser Bewertung sollte fest-gehalten werden. Entweder in Form einer negativen Bewertung oder eines positiven Bestätigung des erreichten Zustandes (Zerti-fikat).

4 Datenschutz-organisation

In den folgenden drei Kapiteln werden baukastenmäßig Anforderungen beschrie-ben, deren Einhaltung Gegenstand eines

Datenschutzaudits sein könnten. Die Auflis-tung erhebt keinen Anspruch auf Vollstän-digkeit. Ihr Ziel ist es vielmehr, einen ersten systematischen Überblick zu geben und Anregungen für die Durchführung eines Datenschutzaudits zu liefern.

4.1 Bestellung von Datenschutzbeauftragten

Eine nicht-öffentliche Stelle ist nach § 4 f Abs. 1 BDSG verpflichtet, einen betriebli-chen Datenschutzbeauftragten zu bestellen, wenn sie mehr als vier Arbeitnehmer mit der automatisierten Erhebung, Verarbeitung oder Nutzung personenbezogener Daten beschäftigt. Unabhängig von der Zahl der Beschäftigten haben Stellen, deren Daten-verarbeitung einer Vorabkontrolle unterliegt oder die personenbezogene Daten nach § 29 BDSG erheben, verarbeiten oder nutzen, obligatorisch einen betrieblichen Daten-schutzbeauftragten zu bestellen (§ 4 f Abs. 1 Satz 5 BDSG).

Aufgabe des betrieblichen Datenschutz-beauftragten ist es, auf die Einhaltung der Datenschutzgesetze hinzuwirken (§ 4 g Abs. 1 Satz 1 BDSG). Hierzu hat er insbe-sondere die ordnungsgemäße Anwendung der Datenverarbeitungsprogramme zu ü-berwachen (§ 4 g Abs. 1 Satz 2 Nr. 3 Nr. 1 BDSG). Ein Datenschutzaudit kann diese Aufgabe des Datenschutzbeauftragten durch eine regelmäßige Überprüfung des Unter-nehmens oder einzelner seiner Teile auf die Einhaltung von Datenschutzanforderungen unterstützen.

Adressat dieser Verpflichtung ist die je-weilige Stelle. Wegen des funktionalen Stellenbegriffs im Datenschutzrecht kann bspw. ein Konzern aus mehreren Daten verarbeitenden Stellen bestehen, die jeweils für ihren Bereich einen betrieblichen Daten-schutzbeauftragten bestellen müssen. Das BDSG ermöglicht es für derartige Konstel-lationen, den Datenschutzbeauftragten eines Unternehmensteils auch als externer Daten-schutzbeauftragter für andere Unterneh-mensteile zu bestellen. Dies setzt jedoch erstens einen Überblick über die Daten verarbeitenden Stellen im Unternehmen und zweitens eine förmliche Bestellung für jede einzelne Stelle voraus. Die Überprüfung dieser Anforderung kann Gegenstand eines Datenschutzaudits sein.

Ebenfalls Gegenstand der Auditierung kann die Qualifizierung der betrieblichen Datenschutzbeauftragten in einer dezentra-len Datenschutzorganisation sein. Nach



§ 4 f Abs. 2 Satz 1 BDSG ist Voraussetzung der Bestellung zum Datenschutzbeauftrag-ten, dass er über die erforderliche Fachkun-de und Zuverlässigkeit verfügt.

In manchen Unternehmen werden zudem für einzelne Daten verarbeitenden Stellen einzelne Mitarbeiter in der Funktion eines örtlichen Datenschutzverantwortlichen beru-fen, ohne dass diese die Aufgabe eines be-trieblichen Datenschutzbeauftragten er-füllen. Eine derartige Datenschutzorganisa-tion „in der Fläche“ kann vor allem in lokal verteilten Unternehmen sinnvoll sein, um Ansprechpartner für die Mitarbeiter, aber auch den betrieblichen Datenschutzbeauf-tragten vor Ort zu haben. Auswahl und Ernennung derartiger Verantwortlicher sowie ihre ausreichende Qualifizierung können ebenfalls Gegenstand einer Auditie-rung sein.

Gegenstand des Datenschutzaudits kann die Organisation des Datenschutzes im Unternehmen sein.

4.2 Verpflichtung auf Datengeheimnis

Die Verpflichtung auf das Datengeheimnis nach § 5 BDSG wird zwar häufig als lästi-ges Übel gesehen, ist aber eine wichtige Maßnahme zur Sensibilisierung der Mitar-beiter. Gesetzlich vorgeschrieben ist, dass die Mitarbeiter bei der Aufnahme ihre Tä-tigkeit auf das Datengeheimnis zu ver-pflichten sind (§ 5 Satz 2 BDSG). Zeitlich sind die Mitarbeiter zumindest bei ihrer Einstellung förmlich zu verpflichten, es kann aber auch je nach Aufgabenfeld gebo-ten sein, einzelne Mitarbeiter bei einem Wechsel ihrer Tätigkeit im Unternehmen erneut auf die Bedeutung ihrer Verpflich-tung hinzuweisen. Ihr besonderes Gewicht erhält die Verpflichtung auf das Datenge-heimnis dadurch, dass ein Verstoß gegen das Datengeheimnis neben anderen Folgen für den einzelnen Mitarbeiter auch zu ar-beitsrechtliche Konsequenzen führen kann.

Über das Datengeheimnis hinaus können je nach Unternehmen auch berufsrechtliche Verschwiegenheitsverpflichtungen von Be-deutung sein, auf die die Mitarbeiter hinzu-weisen sind. Hierzu zählen insbesondere die in § 203 StGB genannten Berufsgruppen und ihre Gehilfen, aber auch die Verpflichtung auf das Fernmeldegeheimnis nach § 88 TKG. Von Bedeutung können ferner vertragliche Verschwiegenheitspflichten gegenüber Kun-den sein wie bspw. das Bankgeheimnis.

Im Rahmen eines Audits können der Inhalt der Verpflichtungserklärung sowie die Durchführung der Verpflichtung geprüft werden. Das Audit kann bspw. Anlass ge-ben, unterschiedliche Verpflichtungserklä-rungen zu vereinheitlichen. Einzelne Ele-mente des Audits können sein, ob und auf welche Weise dem Mitarbeiter der Inhalt der Verpflichtungserklärung erläutert wird.

Gegenstand des Datenschutzaudits kann das Management der Verpflichtungser-klärungen auf das Datengeheimnis sein.

4.3 Implementierung Verfahrensverzeichnis

Die verantwortliche Stelle sind nach § 4 d Abs. 1 BDSG verpflichtet, Verfahren auto-matisierter Verarbeitungen vor ihrer Inbe-triebnahme der zuständigen Aufsichtsbe-hörde zu melden. Der Inhalt des Verfah-rensverzeichnis ergibt sich aus § 4 e Satz 1 BDSG.

Diese Verpflichtung entfällt nach § 4 d Abs. 2 BDSG, wenn das Unternehmen einen betrieblichen Datenschutzbeauftragten be-stellt hat. In diesem Fall haben die verant-wortliche Stelle ihrem betrieblichen Daten-schutzbeauftragten das Verfahrensverzeich-nis sowie die zugriffsberechtigten Personen nach § 4 g Abs. 2 Satz 1 BDSG zur Verfü-gung zu stellen. Auf die Meldung an die Aufsichtsbehörde darf jedoch nach § 4 d Abs. 4 BDSG dann nicht verzichtet werden, wenn personenbezogene Daten zum Zweck der Übermittlung oder zum Zweck der anonymisierten Übermittlung (vgl. § 29 BDSG) gespeichert werden. Eine weitere Ausnahme, das Verfahrensverzeichnis zu führen, ergibt sich unter den Voraussetzun-gen des § 4 g Abs. 2 Satz 3 i.V.m. § 4 d Abs. 3 BDSG, wenn die verantwortliche Stelle weniger als vier Arbeitnehmer be-schäftigt.3

Das Führen des Verfahrensverzeichnis-ses kann Gegenstand eines Audits sein, indem nicht nur seine Vollständigkeit, son-dern insbesondere der Prozess seiner lau-fenden Pflege überprüft wird. Dabei ist zu bedenken, dass das Verfahrensverzeichnis auch aus betriebswirtschaftlicher Sicht eine wichtige Funktion erfüllt, unternehmensin-tern einen Überblick über die Instrumente

3 Derzeit liegt im Bundestag ein Entwurf ei-

nes Gesetzes zur Änderung des BDSG des Bun-desrates vom 3. November 2005 zur Beratung vor, wonach das Mindestquorum auf mindestens 19 Beschäftige erhöht werden soll, BT-Drs. 16/31.

der automatisierten Datenverarbeitung zu verschaffen. Wer schon nicht weiß, welche Verfahren der automatisierten Verarbeitung er für welche Zwecke in seinem Unterneh-men einsetzt, kann weder wirtschaftlich agieren noch Vorsorge für den Ausfall seiner automatisierten Datenverarbeitung treffen. Darüber hinaus enthält das Verfah-rensverzeichnis nicht weniger als die Aus-gangsinformationen, die für die IT-Kon-zepte der einzelnen Verfahren erforderlich sind.

Gegenstand des Datenschutzaudits kann die Führung des Verfahrensverzeichnis-ses sein.

4.4 Unterweisung der Mitarbeiter

Zu den gesetzlichen Aufgaben des betriebli-chen Datenschutzbeauftragten gehört nach § 4 g Abs. 1 Nr. 2 BDSG, die bei der Verar-beitung personenbezogener Daten tätigen Personen „durch geeignete Maßnahmen“ mit den Vorschriften dieses Gesetzes sowie anderer Vorschriften über den Datenschutz und mit den jeweiligen besonderen Erfor-dernissen des Datenschutzes vertraut zu machen. Adressiert ist diese Schulungsver-pflichtung nicht lediglich an das Führungs-personal, sondern an alle Mitarbeiter, die unmittelbar mit personenbezogenen Daten umgehen.

Die Regelung enthält einen gewissen Umsetzungsspielraum, welche Maßnahmen jeweils geeignet sind und lässt je nach Tätigkeitsfeld Differenzierungen zu. Die Unterweisung kann in systematischen Schu-lungen, aber auch in arbeitsplatzspezifi-schen Unterweisungen liegen, die jeweils durch Merkblätter, Webseiten im Intranet oder durch ein WBT (Web Based Training) unterstützt werden können. Schulungen zum Datenschutz lassen sich zudem mit denjenigen zur IT-Sicherheit verbinden.

Kein Zweifel besteht jedoch an der Grundpflicht, die Mitarbeiter in Daten-schutzfragen zu unterweisen. Diese erfor-dert in der Regel, dass den Mitarbeitern von ihren Vorgesetzen auch Gelegenheit gege-ben wird, sich unterweisen oder schulen zu lassen.

Gegenstand der Auditierung kann dem-nach sein, ob und inwieweit das betriebliche Unterweisungs- und Schulungsangebot wahrgenommen wird. Hierbei kann je nach Arbeitsplatz und Funktion differenziert werden. Datenschutzverantwortliche in einzelnen Teilen des Unternehmens haben

Johann Bizer


einen breiteren Schulungsbedarf, wohinge-gen einzelne Sachbearbeiter eher aufgaben-bezogen zu unterweisen sind.

Gegenstand des Datenschutzaudits kann die Qualifizierung der Mitarbeiter in Da-tenschutzfragen sein.

4.5 Durchgeführte Vorabkontrollen

Vorabkontrollen sind durch die betriebli-chen Datenschutzbeauftragten nach § 4 d Abs. 6 BDSG durchzuführen. Vorausset-zung ist allerdings, dass sie die entspre-chenden Unterlagen von der Unternehmens-leitung zur Verfügung gestellt bekommen haben. Vorabkontrollen sind durchzuführen, wenn die automatisierte Datenverarbeitung besondere Risiken für die Rechte und Frei-heiten der Betroffenen aufweisen (§ 4 d Abs. 5 Satz 1 BDSG).

Dies ist regelmäßig der Fall, wenn be-sondere Datenarten verarbeitet werden oder die Verarbeitung dazu bestimmt ist, die Persönlichkeit des Betroffenen zu bewerten einschließlich seiner Fähigkeiten, seiner Leistungen oder seines Verhaltens (§ 4 d Abs. 5 Satz 2 BDSG). Ausgeschlossen ist dies nur, wenn die Verarbeitung auf einer gesetzlichen Verpflichtung oder der Einwil-ligung des Betroffenen beruht, oder der Zweckbestimmung eines Vertragsverhält-nisses dient. Anlass, Anzahl und Durchfüh-rung von Vorabkontrollen können Ge-gen-stand eines Datenschutzaudits sein.

Gegenstand des Datenschutzaudits kann die Durchführung von Vorabkontrollen sein.

4.6 Auftrags-datenverarbeitung

Liegt eine Auftragsdatenverarbeitung nach § 11 BDSG oder eine Funktionsübertragung vor? Erfolgt eine Kontrolle der vertragli-chen Verpflichtungen durch den Auftragge-ber bzw. den behördlichen Datenschutzbe-auftragten?

Die Überprüfung der Auftragsdatenver-arbeitung sollte schon wegen der Abhän-gigkeit des Unternehmens von Auftrag-nehmern regelmäßig Gegenstand einer Auditierung sein.

4.7 Betriebs-vereinbarungen

Wer sich mit dem Datenschutz in größeren Unternehmen beschäftigt, stößt auf eine Vielzahl an Regeln, die in Dienstanweisun-gen, Nutzungsbestimmungen, Betriebsver-einbarungen und sonstigen Regelwerken niedergelegt sind. Häufig unterscheiden sich diese nach einzelnen Anwendungsberei-chen. Hat sich die Unternehmensstruktur mit der Zeit verändert, so sind häufig unter-schiedliche Traditionslinien nebeneinander festzustellen.

Die Vielzahl an Regelungen führt zu ei-ner Überbürokratisierung des Datenschut-zes. Wenn nur noch Experten wissen, an welchem Ort welche Regelung niedergelegt ist, dann führt dies strukturell dazu, dass diese Regelungen nicht beachtet werden. Wie auch in anderen Bereichen kann das Datenschutzmanagement durch eine Verein-heitlichung der Regelwerke mit Daten-schutzbezug erheblich vereinfacht werden und die Normbefolgung (Compliance) erhöhen.

Gegenstand einer Auditierung kann die Systematisierung und Vereinheitlichung von Regelwerken sein, die den Umgang mit personenbezogenen Daten regeln.

4.8 Überwachung und Kontrolle

Für die Rechtmäßigkeit der Datenverarbei-tung sind die Daten verarbeitende Stelle und damit ihre Organe wie der Vorstand oder die Geschäftsführung verantwortlich. Der Daten-schutzbeauftragte dient lediglich als unter-nehmensinternes Instrument, der auf die Einhaltung der Datenschutzgesetz hinwirkt sowie die ordnungsgemäße Anwendung der Datenverarbeitungsprogramme überwacht (Siehe § 4 g Abs. 1 BDSG).

Ein Datenschutzaudit kann ihn bei der Er-füllung dieser Aufgaben unterstützen, indem es die unternehmensinternen Entscheidungs-prozesse über die Rechtmäßigkeit der Daten-verarbeitung zum Gegenstand einer Prüfung macht. Nur beispielhaft und ohne Anspruch auf Vollständigkeit werden im Folgenden einzelne Beispiele an Hand von Prüfungsfra-gen für ein Datenschutzaudit skizziert. Die Fragestellungen sind auf die jeweiligen Gegebenheiten des Unternehmens anzupas-sen und zu präzisieren. Sie bieten jedoch ein erstes grobes Raster. Im Regelfall sollte sich ein unternehmensinternes Audit auf einzel-

ne Problemausschnitte und Anwendungen beschränken.

5 Datensicherheit Die für die Datenverarbeitung verantwortli-che Stelle muss durch geeignete technische und organisatorische Maßnahmen für die Sicherheit der personenbezogenen Daten Sorge tragen. An diesem Punkt besteht eine Schnittmenge zwischen den Anforderungen der IT-Sicherheit und den technisch-organisatorischen Maßnahmen nach § 9 BDSG. Die aus der IT-Sicherheit bekannten Anforderungen der Vertraulichkeit, der Verfügbarkeit und der Integrität (mit zuge-hörigen Unteraspekten wie Authentizität und ggfs. Nichtabstreitbarkeit) finden im Datenschutzrecht ihre Entsprechung:

5.1 IT-Sicherheitsziele Die Vertraulichkeit findet sich in den Verpflichtungen auf das Datengeheimnis sowie den berufsrechtlichen Verschwie-genheitspflichten wieder. Im Katalog der Regelbeispiele der Anlage zu § 9 BDSG sind einzelne Maßnahmen wie bspw. der Zutritts-, Zugangs-, Zugriffs- und Wei-tergabekontrolle aufgenommen, die dem Ziel des Vertraulichkeitsschutzes dienen.

Die Verfügbarkeit der Daten ist eine Anforderung des Datenschutzes, denn unvollständige Datensätze sind unrichtig und müssen berichtigt werden.

Die Integrität gehört zu den Grundsätzen des Datenschutzes, weil personenbezo-gene Daten nur verarbeitet und genutzt werden dürfen, wenn sie auch zutreffend sind – andernfalls müssen sie berichtigt werden. In den großen IT-Sicherheits-kriteriensystemen (z.B. ISO/EIC 17799 und IT-Grundschutz) werden Authentizi-tät und Nichtabstreitbarkeit als Unteras-pekte der Integrität verstanden.

Die Authentizität von Daten ist erforder-lich, um das Prinzip der Verantwortlich-keit jeder Datenverarbeitung nachzuvoll-ziehen zu können. Für jede Erhebung, Verarbeitung oder Nutzung personenbe-zogener Daten muss eine Stelle verant-wortlich sein, andernfalls wäre sie schon deswegen rechtswidrig.

Die Nichtabstreitbarkeit hat unter Daten-schutzaspekten ihre Bedeutung, wenn es z.B. um die Übermittlung von Daten geht. Bei Verwendung digitaler Doku-mente und Verträge kann sie vor allem vertragsrechtlich von Bedeutung sein



und ist daher durch besondere technische und organisatorische Sicherheitsmaß-nahmen zu gewährleisten. Die Auditierung der technisch-organisa-torischer Maßnahmen der Datensicher-heit setzt voraus, dass sich Soll-Anforderungen dem Ist-Zustand gegen-über stellen lassen.

5.2 Klassischer Systemdatenschutz

Die Konkretisierung der einzelnen Anforde-rungen an das jeweilige (Fach)Verfahren ist Gegenstand der Planung und Implementie-rung. Typischerweise erfolgt die Beschrei-bung des Verfahrens in einem IT-Konzept und die der erforderlichen Maßnahmen der Datensicherheit in einem IT-Sicherheits-konzept, in dem aufgrund einer Risikoana-lyse „nach Art der zu schützenden perso-nenbezogenen Daten oder Datenkategorien“ (Anlage zu § 9 Satz 2 BDSG) konkrete Maßnahmen festgelegt werden.4

Das Datenschutzaudit kann sich für den Soll-Zustand an diesen Unterlagen orientie-ren. Fehlen sie bereits, dann ist das Verfah-ren nicht auditierungsfähig. Gleichzeitig fehlt es an einer grundlegenden Vorausset-zung für die Ordnungsmäßigkeit der Daten-verarbeitung.

Gegenstand einer Auditierung können insbesondere die folgenden, noch kon-kretisierungsbedürftigen Maßnahmen nach der Anlage zu § 9 BDSG sein:

Zutrittskontrolle, um Unbefugten den Zutritt zu den Anlagen der Datenverar-beitung zu verwehren (z.B. durch eine Sicherheitsschleuse zum Serverraum),

Zugangskontrolle, um zu verhindern, dass ein Datenverarbeitungssystem von Unbefugten genutzt werden kann (ge-eignete Authentifizierung der berechtig-ten Benutzer),

Zugriffskontrolle, um zu gewährleisten, dass nur Berechtigte im Rahmen ihrer Berechtigung auf personenbezogene Da-ten zugreifen können und Unberechtigte abgewiesen werden (Autorisierung der Benutzer, Umsetzung eines geeigneten Berechtigungskonzepts; hierzu werden üblicherweise Verzeichnisdienste wie Open LDAP, Active Directory oder an-dere eingesetzt),

Weitergabekontrolle, um zu gewährleis-ten, dass personenbezogene Daten bspw. bei der elektronischen Übertragung nicht

4 Siehe Thomsen (in diesem Heft).

unbefugt zur Kenntnis genommen und verarbeitet werden können (z.B. durch Verschlüsselung),

Eingabekontrolle, um zu gewährleisten, dass nachträglich überprüft und festge-stellt werden kann, ob und von wem per-sonenbezogene Daten eingegeben, ver-ändert oder entfernt worden sind (Proto-kollierung),

Auftragskontrolle, um zu gewährleisten, dass personenbezogene Daten nur nach den Weisungen des Auftraggebers verar-beitet werden (Arbeitsanweisungen, Pro-tokollierung, Kontrolle)

Verfügbarkeitskontrolle, um zu gewähr-leisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt (Datensicherungs- und ggfs. Redundanzkonzept),

Getrennte Datenhaltung, um zu gewähr-leisten, dass zu unterschiedlichen Zwe-cken erhobene Daten getrennt verarbeitet werden können (z.B. durch Einsatz ge-trennte Mandanten).

6 Rechtmäßigkeit Datenverarbeitung

Gegenstand des Audits kann die Prüfung, Entscheidung und Dokumentation sein, ob und dass die Erhebung, Verarbeitung oder Nutzung bestimmter personenbezogener Daten für einen bestimmten Zweck auf einer vertraglichen Grundlage mit dem Betroffenen, einer Einwilligung des Betrof-fenen, einer Betriebsvereinbarung oder einer ausdrücklichen gesetzlichen Verpflich-tung beruht (§ 4 Abs. 1 BDSG).

6.1 Einwilligung Prüfung, Entscheidung und Dokumentation, ob die Voraussetzung einer freiwilligen und informierten Einwilligung nach § 4 a Abs. 1 BDSG erfüllt werden.

In welchen Fällen wird der Betroffene auf die Folgen hingewiesen, die eine Verweigerung seiner Einwilligung ge-mäß § 4 Abs. 1 Satz 3 BDSG nach sich zieht?

Auf welche Weise werden in den Ent-scheidungsprozessen „Sonderfälle“ wie bspw. die Situation von Mitarbeitern, Kindern und Jugendlichen oder älteren Menschen berücksichtigt?

Wird geprüft, ob sich die Einwilligung auf besondere Datenarten nach § 3 Abs. 9 BDSG bezieht und dass sich die

Einwilligung ausdrücklich auf diese be-ziehen muss (§ 4 a Abs. 3 BDSG)?

Werden Einwilligungen formularmäßig erhoben? Wenn ja, werden die daten-schutz- und verbraucherrechtlichen An-forderungen an eine Einwilligungserklä-rung in Allgemeinen Geschäftsbedin-gungen berücksichtigt?

Werden die Anforderungen an eine schriftliche Einwilligung (§ 4 Abs. 1 Satz 2 BDSG) erfüllt? Werden sie nach-vollziehbar dokumentiert?

In welchen typischen Fällen ist eine (mündliche oder elektronische) Einwilli-gung im Sinne von § 4 Abs. 1 Satz 3 BDSG ausreichend und auf welche Wei-se wird sie nachvollziehbar dokumen-tiert?

Soweit eine elektronische Einwilligung zulässig ist, werden die spezifischen An-forderungen nach § 94 TKG bzw. § 4 Abs. 2 TDDSG erfüllt?

Ist sichergestellt, dass der Widerruf einer Einwilligung durch den Betroffenen im Verarbeitungsprozess berücksichtigt wird? Diese Anforderungen können zu einem gesonderten Datenschutz-Einwilligungs-management im Unternehmen zusam-mengefasst und auditiert werden.

6.2 Vertragliche Grundlage

♦ Erfolgt die Datenverarbeitung zur Zweckerfüllung eines Vertragsverhältnis-ses nach § 28 Abs. 1 Satz 1 Nr. 1 BDSG? In welchen Fällen wird die Verarbeitung zulässig auf ein das schutzwürdige Inte-resse des Betroffenen überwiegendes be-rechtigtes Interesse nach § 28 Abs. 1 Satz 1 Nr. 2 BDSG gestützt?

♦ Werden besondere Datenarten nach § 3 Abs. 9 BDSG verarbeitet und liegen die besonderen Voraussetzungen der Abs. 6 ff des § 28 BDSG vor?

♦ Wird der Verarbeitungszweck vor der Erhebung nach § 28 Abs. 1 Satz 2 BDSG festgelegt? Ist diese Entscheidung bspw. im Verfahrensverzeichnis nach § 4 e Satz 1 Nr. 4 BDSG dokumentiert?

♦ Auf welcher Rechtsgrundlage erfolgt zu welchen Zwecken eine Übermittlung an Dritte? Ist die Zweckbindung nach § 28 Abs. 5 Satz 1 BDSG sichergestellt? Ent-sprechen die Übermittlungen den Anga-ben im Verfahrensverzeichnis nach § 4 Satz 1 Nr. 6 BDSG?

Johann Bizer


♦ Erfolgt die Datenverarbeitung für Zwe-cke der Werbung, der Markt- oder Mei-nungsforschung?

♦ Werden die Betroffenen über ihr Wider-spruchsrecht nach § 28 Abs. 4 BDSG in-formiert?

♦ Werden Widersprüche nach § 28 Abs. 4 BDSG durch eine Sperrung der betref-fenden Daten beachtet? Die Verarbeitung von Kundendaten aus Vertragsbeziehungen kann in einem Da-tenschutz-Vertragsmanagement zusam-mengefasst und auditiert werden. Aus-schnitte können das Widerspruchsmana-gement oder die Verwendung von Kun-dendaten zu Werbezwecke sein.

6.3 Personaldaten Auf welchen Rechtsgrundlagen sind Verfahren der offenen oder heimlichen Überwachung der Mitarbeiter am Ar-beitsplatz installiert?

Beruht die Erhebung, Verarbeitung oder Nutzung der Daten von Beschäftigten auf einer Betriebsvereinbarung oder ist eine solche notwendig, um die Erhe-bung, Verarbeitung oder Nutzung durch-führen zu können?

Dürfen technische Einrichtungen des Arbeitgebers der Telekommunikation und des Internet auch privat genutzt werden? Auf welche Weise wird dem Schutzbedürfnis der privaten Kommuni-kation, insbesondere dem Fernmeldege-heimnis Rechnung getragen?

Werden die Ein- und Zugriffe der Sys-temadministratoren auf die einzelnen Verfahren protokolliert und zugriffsge-schützt zur Kontrolle durch den Daten-schutzbeauftragten abgelegt?

Wer erhält Kenntnis von den Daten von Bewerbern und wie wird mit den Daten nach der Auswahl des Bewerbers umge-gangen?

In welchen Fällen muss den Trägern von Sozialleistungen Auskunft erteilt wer-den? Die Prozesse der Verarbeitung von Per-sonaldaten lassen sich gesondert einem Datenschutzaudit unterziehen.

6.4 Datenübermittlung in Drittstaaten

Eine zunehmende Bedeutung gewinnt für Unternehmen die Frage, ob die Vorausset-zungen für eine Datenübermittlung in das Ausland insbesondere einen Drittstaat

vorliegen. Prüfungsfragen für ein Daten-schutzaudit können bspw. sein.

Liegen die gesetzlichen Grundlagen für eine Übermittlung personenbezogener Daten in Drittstaaten vor?

Auf welche Weise wird das angemessene Datenschutzniveau geprüft?

Werden Standardvertragsklauseln ver-wendet? Übermittelt das Unternehmen personen-bezogene Daten in Drittstaaten, so kann auch der gesetzlich vorgesehene Prüfme-chanismus Gegenstand eines Daten-schutzaudits sein

6.5 Informationspflichten Ist sichergestellt, dass im Fall einer Erhebung personenbezogener Daten beim Betroffenen dieser nach § 4 Abs. 3 Satz 1 BDSG über die

♦ Identität der verarbeitenden Stelle, ♦ die Zweckbestimmung der Erhebung,

Verarbeitung oder Nutzung sowie ♦ die Kategorien von Empfängern unter-

richtet wird? Wird der Betroffene auf die Freiwillig-keit seiner Angaben hingewiesen? Wird der Betroffene darüber unterrichtet, dass eine gesetzliche Auskunftspflicht besteht? Wird der Betroffene darüber unterrichtet, dass seine Auskunft Voraussetzung für die Gewährung von Rechtsvorteilen ist? In welchen Fällen wird er auf die Folgen hingewiesen, die eine Verweigerung von Angaben nach sich zieht (vgl. § 4 Abs. 3 Satz 2 BDSG)?

In welchen Fällen werden die Daten des Betroffenen bei Dritten erhoben, so dass er nach § 33 Abs. 1 BDSG von der Spei-cherung zu benachrichtigen ist? In wel-chen Fällen wird zulässigerweise auf die Benachrichtigung nach § 33 Abs. 2 Satz 1 BDSG verzichtet? Sind diese An-forderungen schriftlich nach § 33 Abs. 2 Satz 2 BDSG festgehalten?

Werden die Betroffenen über installierte Videoüberwachungsanlagen nach § 6 b Abs. 2 BDSG informiert?

Werden die Betroffenen nach § 6 c Abs. 1 unterrichtet, wenn Chipkarten ausgegeben werden? Auditierungsfähig ist, auf welche Weise das Unternehmen seinen datenschutz-rechtlichen Informationspflichten nach-kommt. Dieses Audit lässt sich auch auf die Befolgung anderer verbraucherrele-vanter Informationspflichten ausweiten.

6.6 Löschungsfristen Entsprechen die im Verfahrensverzeichnis nach § 4 e Satz 1 Nr. 7 BDSG vorgesehenen Regelfristen für die Löschung personenbe-zogener Daten den gesetzlichen Anforde-rungen nach § 35 Abs. 2 f. BDSG? In wel-chen Fällen werden die Daten der Betroffe-nen wegen gesetzlicher Aufbewahrungs-pflichten zunächst gesperrt und nach Ablauf gelöscht?

Das Löschungsmanagement zur Einhal-tung von Prüf- und Löschungsfristen-kann Gegenstand eines Datenschutzau-dits sein

6.7 Berichtigung Werden unrichtige Daten berichtigt (§ 35 Abs. 1 BDSG), sobald dies erkannt wird oder erst auf Beschwerde des Betroffenen?

Das Berichtigungsmanagement falscher Daten ist unter Datenschutzgesichts-punkten ein wichtiger Aspekt der Quali-tätssicherung.

6.8 Auskunftsanspruch Ist vom Call Center bis zur Rechtabteilung festgelegt, wer in welchen Fällen für die Bearbeitung eines datenschutzrechtlichen Auskunftsbegehrens zuständig ist?

6.9 Datenübermittlung in Drittstaaten

Liegen die gesetzlichen Grundlagen für eine Übermittlung personenbezogener Daten in Drittstaaten vor? Auf welche Weise wird das angemessene Datenschutzniveau ge-prüft? Werden Standardvertragsklauseln verwendet?

Übermittelt das Unternehmen personen-bezogene Daten in Drittstaaten, so kann auch der gesetzlich vorgesehene Prüfme-chanismus Gegenstand eines Daten-schutzaudits sein

6.10 Internet Welche Verfahren der Erhebung, Verarbei-tung und Nutzung personenbezogener Daten über Online-Dienste werden einge-setzt? Entspricht die Gestaltung den Anfor-derungen des Teledienstdatenschutzgesetzes (TDDSG)?

Werden die Anforderungen an eine frühzeitige Unterrichtung der Betroffe-



nen nach § 4 Abs. 1 TDDSG eingehal-ten? Erfolgt die Unterrichtung auch in Hinblick auf Cookies und vergleichbare Verfahren, die eine automatisierte Verar-beitung vorbereiten?

Werden IP-Adressen und vergleichbare personenbeziehbare Informationen un-mittelbar nach Nutzung nach § 6 Abs. 1 i.V.m. § 4 Abs. 2 Nr. 2 TDDSG gelöscht oder gesperrt? Werden diese Nutzungs-daten für Abrechnungszwecken benötigt oder erfolgt die Nutzung kostenfrei?

Wie lange werden personenbeziehbare Daten aus der Internetnutzung bspw. nach § 110 TKG aus Gründen der Be-triebssicherheit gespeichert? Die elektronische Erhebung, Verarbei-tung oder Nutzung personenbezogener

Daten über Telekommunikation- und Online-Dienste kann Gegenstand eines eigenen Datenschutzaudits sein.

7 Fazit Das Datenschutzaudit ist freiwillig. Die Daten verarbeitenden Stellen bestimmen selbst Art, Umfang und Dauer der Auditprü-fungen und damit auch den Parameter ihres Erfolges.

Die Unsicherheit über die Möglichkeiten des Datenschutzaudits sind nicht begründet. Der Beitrag zeigt eine Fülle von möglichen Prüfungsgegenständen auf. Das Kunststück des Auditdesigns besteht in der Auswahl der Prüfungsgegenstände.

Empfehlenswert ist eine Strategie der Flexi-bilität: Nicht alles muss bei jeder Stelle auf einmal geprüft werden. Vielmehr kann durch eine geschickte Auswahl der Gegens-tände das Prüfungsprogramm so gesteuert werden, dass die Sensibilität bei den Ver-antwortlichen steigt, weil sie sich nicht blamieren wollen. Gleichzeitig kann aber auch darauf geachtet werden, dass von den Verantwortlichen Erfolgserlebnisse „eines guten Zustandes“ eingefahren werden kön-nen.

Literatur Bizer, Johann / Meints, Martin, Auditierung,

Zertifizierung, Gütesiegel, Lektion 13, Euroforum Verlag 2005.

Documents

Bausteine eines Datenschutzaudits