Ebene 2/3 · Deep Validation
DSGVO – Tiefenmatrix
47 artikelbezogene Anforderungen bilden die Arbeitsbasis für die 14 Datenschutz-Bausteine.
Nationale Spezialregeln, Beschäftigtendatenschutz und sektorale Sondernormen werden nicht stillschweigend als durch diese DSGVO-Matrix vollständig abgedeckt behauptet.
| ID | Thema | Rechtsquelle | Anforderung | Verortung | Capability |
|---|---|---|---|---|---|
| GDPR-005-01 | Grundsätze | DSGVO Art. 5(1)(a) | Personenbezogene Daten rechtmäßig, nach Treu und Glauben und transparent verarbeiten. | DSGVO-DOC-03, DSGVO-DOC-04 | CAP-13 |
| GDPR-005-02 | Grundsätze | DSGVO Art. 5(1)(b) | Zwecke festgelegt, eindeutig und legitim bestimmen; Zweckänderungen auf Vereinbarkeit prüfen. | DSGVO-DOC-03 | CAP-13 |
| GDPR-005-03 | Grundsätze | DSGVO Art. 5(1)(c) | Daten auf das für den Zweck notwendige Maß beschränken. | DSGVO-DOC-03, DSGVO-DOC-06 | CAP-13 |
| GDPR-005-04 | Grundsätze | DSGVO Art. 5(1)(d) | Richtigkeit und erforderliche Aktualität personenbezogener Daten sicherstellen. | DSGVO-DOC-03 | CAP-13 |
| GDPR-005-05 | Grundsätze | DSGVO Art. 5(1)(e) | Speicherdauer auf das erforderliche Maß begrenzen und Löschung/Anonymisierung steuern. | DSGVO-DOC-11 | CAP-13 |
| GDPR-005-06 | Grundsätze | DSGVO Art. 5(1)(f) | Integrität und Vertraulichkeit durch angemessene Sicherheit gewährleisten. | DSGVO-DOC-08 | CAP-04 |
| GDPR-005-07 | Rechenschaft | DSGVO Art. 5(2) | Einhaltung der Grundsätze verantworten und nachweisen können. | DSGVO-DOC-01, DSGVO-DOC-14 | CAP-14 |
| GDPR-006-01 | Rechtsgrundlage | DSGVO Art. 6 | Für jede Verarbeitung eine tragfähige Rechtsgrundlage bestimmen und dokumentierbar machen. | DSGVO-DOC-03 | CAP-13 |
| GDPR-009-01 | Besondere Daten | DSGVO Art. 9 | Bei besonderen Kategorien personenbezogener Daten zusätzlich eine zulässige Ausnahme vom Verbot der Verarbeitung bestimmen. | DSGVO-DOC-03 | CAP-13 |
| GDPR-012-01 | Transparenz | DSGVO Art. 12 | Informationen und Kommunikation in präziser, transparenter, verständlicher und leicht zugänglicher Form bereitstellen; Betroffenenrechte organisatorisch ermöglichen. | DSGVO-DOC-04, DSGVO-DOC-05 | CAP-14 |
| GDPR-013-01 | Transparenz | DSGVO Art. 13 | Bei Erhebung bei der betroffenen Person die vorgeschriebenen Informationen bereitstellen. | DSGVO-DOC-04 | CAP-14 |
| GDPR-014-01 | Transparenz | DSGVO Art. 14 | Bei Datenerhebung nicht bei der betroffenen Person die vorgeschriebenen Informationen und Fristen beachten. | DSGVO-DOC-04 | CAP-14 |
| GDPR-15-01 | Betroffenenrechte | DSGVO Art. 15 | Verfahren für Auskunft so gestalten, dass Anträge erkannt, fristgerecht bearbeitet und Entscheidungen nachvollziehbar dokumentiert werden. | DSGVO-DOC-05 | CAP-14 |
| GDPR-16-01 | Betroffenenrechte | DSGVO Art. 16 | Verfahren für Berichtigung so gestalten, dass Anträge erkannt, fristgerecht bearbeitet und Entscheidungen nachvollziehbar dokumentiert werden. | DSGVO-DOC-05 | CAP-14 |
| GDPR-17-01 | Betroffenenrechte | DSGVO Art. 17 | Verfahren für Löschung so gestalten, dass Anträge erkannt, fristgerecht bearbeitet und Entscheidungen nachvollziehbar dokumentiert werden. | DSGVO-DOC-05 | CAP-14 |
| GDPR-18-01 | Betroffenenrechte | DSGVO Art. 18 | Verfahren für Einschränkung so gestalten, dass Anträge erkannt, fristgerecht bearbeitet und Entscheidungen nachvollziehbar dokumentiert werden. | DSGVO-DOC-05 | CAP-14 |
| GDPR-20-01 | Betroffenenrechte | DSGVO Art. 20 | Verfahren für Datenübertragbarkeit so gestalten, dass Anträge erkannt, fristgerecht bearbeitet und Entscheidungen nachvollziehbar dokumentiert werden. | DSGVO-DOC-05 | CAP-14 |
| GDPR-21-01 | Betroffenenrechte | DSGVO Art. 21 | Verfahren für Widerspruch so gestalten, dass Anträge erkannt, fristgerecht bearbeitet und Entscheidungen nachvollziehbar dokumentiert werden. | DSGVO-DOC-05 | CAP-14 |
| GDPR-22-01 | Betroffenenrechte | DSGVO Art. 22 | Verfahren für Automatisierte Entscheidungen so gestalten, dass Anträge erkannt, fristgerecht bearbeitet und Entscheidungen nachvollziehbar dokumentiert werden. | DSGVO-DOC-05 | CAP-14 |
| GDPR-019-01 | Betroffenenrechte | DSGVO Art. 19 | Empfänger über Berichtigung, Löschung oder Einschränkung informieren, soweit die gesetzlichen Voraussetzungen vorliegen. | DSGVO-DOC-05 | CAP-14 |
| GDPR-024-01 | Governance | DSGVO Art. 24(1) | Unter Berücksichtigung von Art, Umfang, Umständen, Zwecken und Risiken geeignete TOM umsetzen und deren Eignung bei Bedarf überprüfen/aktualisieren. | DSGVO-DOC-01, DSGVO-DOC-14 | CAP-01 |
| GDPR-025-01 | Privacy by Design | DSGVO Art. 25(1) | Datenschutzgrundsätze und notwendige Garantien bereits bei Festlegung der Mittel und während der Verarbeitung durch geeignete technische und organisatorische Maßnahmen umsetzen. | DSGVO-DOC-06 | CAP-11 |
| GDPR-025-02 | Privacy by Default | DSGVO Art. 25(2) | Voreinstellungen so gestalten, dass standardmäßig nur für den jeweiligen Zweck notwendige personenbezogene Daten verarbeitet werden. | DSGVO-DOC-06 | CAP-11 |
| GDPR-028-01 | Auftragsverarbeitung | DSGVO Art. 28(1) | Nur Auftragsverarbeiter einsetzen, die hinreichende Garantien für geeignete TOM bieten. | DSGVO-DOC-07 | CAP-10 |
| GDPR-028-02 | Auftragsverarbeitung | DSGVO Art. 28(2) | Unterauftragsverarbeiter nur nach den gesetzlichen Bedingungen und Genehmigungsmechanismen einsetzen. | DSGVO-DOC-07 | CAP-10 |
| GDPR-028-03 | Auftragsverarbeitung | DSGVO Art. 28(3) | Auftragsverarbeitung durch Vertrag/Rechtsinstrument mit den vorgeschriebenen Mindestinhalten regeln. | DSGVO-DOC-07 | CAP-10 |
| GDPR-029-01 | Weisung | DSGVO Art. 29 | Personen mit Zugang zu personenbezogenen Daten nur auf Weisung des Verantwortlichen verarbeiten lassen, soweit keine gesetzliche Verpflichtung entgegensteht. | DSGVO-DOC-07, DSGVO-DOC-08 | CAP-05 |
| GDPR-030-01 | Verzeichnis | DSGVO Art. 30(1) | Verzeichnis der Verarbeitungstätigkeiten mit den vorgeschriebenen Angaben führen. | DSGVO-DOC-02 | CAP-02 |
| GDPR-030-02 | Verzeichnis | DSGVO Art. 30(3)-(4) | Verzeichnis schriftlich/elektronisch führen und der Aufsichtsbehörde auf Anfrage zur Verfügung stellen. | DSGVO-DOC-02 | CAP-14 |
| GDPR-032-01 | Sicherheit | DSGVO Art. 32(1) | Unter Berücksichtigung des Risikos ein angemessenes Schutzniveau durch geeignete technische und organisatorische Maßnahmen gewährleisten. | DSGVO-DOC-08 | CAP-04 |
| GDPR-032-02 | Sicherheit | DSGVO Art. 32(1)(a) | Pseudonymisierung und Verschlüsselung personenbezogener Daten als geeignete Maßnahmen berücksichtigen, soweit angemessen. | DSGVO-DOC-08 | CAP-04 |
| GDPR-032-03 | Sicherheit | DSGVO Art. 32(1)(b) | Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste dauerhaft sicherstellen. | DSGVO-DOC-08 | CAP-04 |
| GDPR-032-04 | BC/Recovery | DSGVO Art. 32(1)(c) | Verfügbarkeit personenbezogener Daten und Zugang bei einem physischen oder technischen Zwischenfall rasch wiederherstellen können. | DSGVO-DOC-08 | CAP-08 |
| GDPR-032-05 | Testing | DSGVO Art. 32(1)(d) | Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der TOM vorsehen. | DSGVO-DOC-08, DSGVO-DOC-14 | CAP-09 |
| GDPR-033-01 | Datenschutzverletzung | DSGVO Art. 33(1) | Meldepflichtige Verletzungen des Schutzes personenbezogener Daten grundsätzlich binnen 72 Stunden der zuständigen Aufsichtsbehörde melden. | DSGVO-DOC-09, DSGVO-DOC-13 | CAP-07 |
| GDPR-033-02 | Datenschutzverletzung | DSGVO Art. 33(5) | Alle Verletzungen des Schutzes personenbezogener Daten einschließlich Sachverhalt, Auswirkungen und Abhilfemaßnahmen dokumentieren. | DSGVO-DOC-09 | CAP-14 |
| GDPR-034-01 | Datenschutzverletzung | DSGVO Art. 34 | Betroffene bei voraussichtlich hohem Risiko grundsätzlich unverzüglich benachrichtigen, soweit keine Ausnahme greift. | DSGVO-DOC-09, DSGVO-DOC-13 | CAP-07 |
| GDPR-035-01 | DSFA | DSGVO Art. 35(1) | Vor voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung durchführen. | DSGVO-DOC-10 | CAP-03 |
| GDPR-035-02 | DSFA | DSGVO Art. 35(7) | DSFA mindestens mit Verarbeitung, Notwendigkeit/Verhältnismäßigkeit, Risikobewertung und Abhilfemaßnahmen dokumentieren. | DSGVO-DOC-10 | CAP-03 |
| GDPR-036-01 | Konsultation | DSGVO Art. 36 | Vorherige Konsultation der Aufsichtsbehörde vorsehen, wenn die DSFA trotz Maßnahmen ein hohes Risiko ergibt. | DSGVO-DOC-10 | CAP-03 |
| GDPR-037-01 | DSB | DSGVO Art. 37 | Pflicht zur Benennung eines Datenschutzbeauftragten anhand der gesetzlichen Kriterien prüfen und gegebenenfalls erfüllen. | DSGVO-DOC-01 | CAP-01 |
| GDPR-038-01 | DSB | DSGVO Art. 38 | DSB ordnungsgemäß und frühzeitig einbinden, Ressourcen/Unabhängigkeit sicherstellen und Interessenkonflikte vermeiden. | DSGVO-DOC-01 | CAP-01 |
| GDPR-039-01 | DSB | DSGVO Art. 39 | Aufgaben des DSB einschließlich Unterrichtung/Beratung, Überwachung, Schulung/Audits, DSFA-Beratung und Aufsichtskontakt berücksichtigen. | DSGVO-DOC-01, DSGVO-DOC-14 | CAP-12 |
| GDPR-044-01 | Drittlandtransfer | DSGVO Art. 44 | Übermittlungen in Drittländer nur unter Einhaltung der Voraussetzungen des Kapitels V durchführen. | DSGVO-DOC-12 | CAP-10 |
| GDPR-045-01 | Drittlandtransfer | DSGVO Art. 45 | Angemessenheitsbeschlüsse als mögliche Transfergrundlage prüfen. | DSGVO-DOC-12 | CAP-10 |
| GDPR-046-01 | Drittlandtransfer | DSGVO Art. 46 | Bei fehlendem Angemessenheitsbeschluss geeignete Garantien und durchsetzbare Rechte/Rechtsbehelfe sicherstellen. | DSGVO-DOC-12 | CAP-10 |
| GDPR-049-01 | Drittlandtransfer | DSGVO Art. 49 | Ausnahmen für bestimmte Fälle nur unter den gesetzlichen Voraussetzungen anwenden und nicht als Regelmechanismus behandeln. | DSGVO-DOC-12 | CAP-10 |