Compliance & Governance
Vollständige Umsetzung der Verordnung (EU) 2016/679 und des italienischen Datenschutzkodex: von der ersten Bestandsaufnahme der Verarbeitungstätigkeiten bis zu einem Managementsystem, das dauerhaft trägt – mit praxistauglichen Dokumenten und geschulten Beschäftigten.
Was wir tun
Wir erfassen Verarbeitungstätigkeiten, Datenflüsse, Systeme und Dienstleister und messen den Abstand zu den Anforderungen der Verordnung und zu den Vorgaben des Garante, der italienischen Datenschutzbehörde – mit klaren Prioritäten für die Umsetzung.
Wir erstellen das Verzeichnis (Art. 30), Datenschutzhinweise, Benennungen von Auftragsverarbeitern und autorisierten Personen, Richtlinien und Verfahren – abgestimmt auf die betriebliche Realität statt auf Standardvorlagen.
Wir führen die DSFA für Verarbeitungen mit hohem Risiko (Art. 35) durch, bewerten die technischen und organisatorischen Maßnahmen und dokumentieren die Entscheidungen im Sinne der Rechenschaftspflicht.
Verfahren und Verzeichnisse, um Datenschutzverletzungen zu erkennen, zu bewerten und innerhalb von 72 Stunden zu melden, sowie um Betroffenenanfragen fristgerecht zu beantworten.
Wir prüfen die Auftragsverarbeiter, erstellen die Auftragsverarbeitungsverträge (Art. 28) und regeln Übermittlungen in Drittländer mit geeigneten Vertragsklauseln und Risikobewertungen.
Wir schulen die Belegschaft in rollenspezifischen Modulen, halten das System durch regelmäßige Audits aktuell und unterstützen bei behördlichen Kontrollen.
Die Datenschutz-Grundverordnung (DSGVO) hat die Logik des Datenschutzes im Unternehmen verändert: An die Stelle einer Liste formaler Pflichten tritt der Grundsatz der Rechenschaftspflicht (Accountability). Er verlangt von jedem Verantwortlichen, anhand von Nachweisen darzulegen, dass er die Risiken bewertet und angemessene Maßnahmen getroffen hat. Hinzu kommen der italienische Datenschutzkodex, die Entscheidungen des Garante zu einzelnen Themen wie Videoüberwachung, Marketing, Kontrolle von Beschäftigten und Cookies sowie die europäischen Leitlinien des EDPB.
Die Bußgelder können bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro erreichen. Der häufigere Schaden ist jedoch ein anderer: der Vertrauensverlust bei Kunden und Partnern und die Kosten einer schlecht gehandhabten Datenschutzverletzung.
Wir beginnen nicht bei den Vorlagen, sondern beim Unternehmen. Jedes Projekt startet mit einer Erfassung der tatsächlichen Verarbeitungstätigkeiten: welche Daten eingehen, wo sie gespeichert werden, wer sie einsehen kann, wie lange sie aufbewahrt werden und welche Dienstleister eingebunden sind. Erst danach entstehen die Dokumente – so beschreiben sie die gelebte Praxis und halten einer Prüfung stand.
Wir arbeiten mit den beteiligten Fachbereichen zusammen, insbesondere IT, Personal, Marketing und Vertrieb, denn Datenschutz ist ein Querschnittsthema. Wo es sinnvoll ist, verbinden wir die DSGVO-Konformität mit der Informationssicherheit (technische Maßnahmen, Schwachstellenanalysen), mit dem Organisationsmodell nach dem italienischen Gesetzesdekret 231/2001 und mit zertifizierten Managementsystemen wie ISO/IEC 27001, um doppelte Verfahren und Kontrollen zu vermeiden.
Unsere Methode
Wir treffen die Geschäftsführung und die Fachverantwortlichen, sichten die vorhandene Dokumentation und legen Projektumfang, Zeitplan und Ansprechpartner fest.
In strukturierten Interviews und Systemanalysen erheben wir Verarbeitungstätigkeiten, Rechtsgrundlagen, Datenflüsse, Speicherfristen und Sicherheitsmaßnahmen.
Ein Bericht mit den nach Risiko klassifizierten Abweichungen sowie ein gemeinsam abgestimmter Maßnahmenplan mit Verantwortlichkeiten und Fristen.
Wir erstellen die Dokumente, begleiten Anpassungen an Prozessen und Systemen, übernehmen die Abstimmung mit den Dienstleistern und schulen die Belegschaft.
Regelmäßige Audits, Aktualisierung bei geänderten Vorschriften oder Organisationsstrukturen, Unterstützung bei Betroffenenanfragen, Datenschutzverletzungen und behördlichen Kontrollen.
Nutzen
Arbeitsergebnisse
Häufige Fragen
Ja. Die Verordnung gilt für jede Organisation, die personenbezogene Daten verarbeitet, unabhängig von der Größe. Unterschiedlich sind Komplexität und Verhältnismäßigkeit der Maßnahmen, nicht die Pflicht zur Konformität. Unser Ansatz richtet die Pflichten an der tatsächlichen Größe des Unternehmens aus.
Das hängt von der Größe, der Anzahl der Verarbeitungstätigkeiten und dem Reifegrad zu Projektbeginn ab. Bei einem KMU mit üblichen Prozessen benötigen Assessment und Basisdokumentation in der Regel einige Wochen; komplexe Organisationen oder Gruppen mit mehreren Gesellschaften brauchen mehr Zeit. Verbindliche Termine legen wir im Angebot fest.
Häufig nur teilweise. Vorschriften, Vorgaben des Garante, eingesetzte digitale Werkzeuge und Organisationsstrukturen ändern sich: Verzeichnis, Datenschutzhinweise und Sicherheitsmaßnahmen sind regelmäßig zu überprüfen. Ein gezieltes Assessment zeigt, was zu aktualisieren ist, ohne alles neu zu erstellen.
Verpflichtend ist die Benennung für Behörden, für Stellen, die eine umfangreiche regelmäßige und systematische Überwachung durchführen, sowie für die Verarbeitung besonderer Kategorien von Daten oder von Daten über Straftaten in großem Umfang. In den übrigen Fällen ist sie freiwillig, aber häufig ratsam. Wir prüfen den konkreten Fall gemeinsam und übernehmen auf Wunsch die Funktion des externen Datenschutzbeauftragten.
Wir begleiten das Unternehmen bei der Vorbereitung der Unterlagen, während der Prüfung vor Ort und in der Nachbereitung. Ein auf die Rechenschaftspflicht ausgerichtetes Datenschutzsystem erlaubt es, die getroffenen Entscheidungen zu belegen, und senkt das Sanktionsrisiko deutlich.
Verwandte Leistungen
Datenschutzbeauftragter als ausgelagerte Funktion: Unabhängigkeit, spezialisierte Fachkompetenz und laufende Überwachung aller Datenschutzpflichten.
Mehr erfahrenAnpassung an die EU-Richtlinie 2022/2555 und das italienische Gesetzesdekret 138/2024: Anwendungsbereich, Gap-Analyse, Sicherheitsmaßnahmen, Governance und Meldung von Vorfällen.
Mehr erfahrenTechnische Sicherheitsprüfungen von Netzwerken, Anwendungen und Infrastrukturen: Wir finden die Schwachstellen, bevor ein Angreifer es tut.
Mehr erfahrenSprechen wir darüber
Erzählen Sie uns von den Prioritäten Ihres Unternehmens: In einem ersten, unverbindlichen Gespräch analysieren wir die Ausgangslage und schlagen Ihnen einen konkreten Weg mit Zeitplan und messbaren Ergebnissen vor.