Datenschutzmanagement

Datenschutzmanagement Software für ein DSMS, das auskunftsfähig bleibt

In CRISAM® verwalten Sie Verarbeitungstätigkeiten, Betroffene, Datenkategorien, Rechtsgrundlagen und Nachweise in einem gemeinsamen Datenbestand. Das Verarbeitungsverzeichnis erstellen Sie daraus auf Knopfdruck, die Folgenabschätzung greift auf dieselben Daten zu.

Live-Demo vereinbaren Ihre Vorteile

CRISAM® DatenschutzmanagementBeispielwerte

☰Risk AG/ ISMS und DSMS Musterprojekt↷?

Verarbeitungstätigkeiten ÜbersichtAuftragsverarbeiter ÜbersichtHilfe

Unternehmen auswählen:

Risk AG

Rechtsgrundlagen

Rechtl. Verpfl.2
Vertrag2
Einwilligung2
Berecht. Int.2
weitere4

Betroffene

Mitarbeitende3
Lieferanten2
Bewerber1
Kunden1
weitere5

Liste der Verarbeitungstätigkeiten

Verarbeitungstätigkeit	Rechtsgrundlage	Status
Bewerbermanagement	Einwilligung, Vertrag	In Bearbeitung
Leistungsbeurteilung	Berecht. Interesse	Bewertet
Kundenverwaltung (CRM)	Einwilligung	Neu
Lohnverrechnung	Rechtl. Verpflichtung	Neu
Kundenbindungsprogramm	Einwilligung	Genehmigt
Online-Marketing und Newsletter	Einwilligung	Neu
Personalverwaltung	Einwilligung, Vertrag	Neu
Social-Media-Nutzung	Einwilligung	Akzeptiertes Risiko
Videoüberwachung Standort	Berecht. Interesse	Neu

Anzahl = 12

Kunden

Über 650 Unternehmen arbeiten mit CRISAM®

Vom Lebensmittelhandel über das Klinikum bis zum Industriekonzern: Alle müssen jederzeit belegen können, was mit personenbezogenen Daten geschieht.

650+Unternehmen nutzen CRISAM®

25+nationale und bundesländerspezifische Black- und Whitelists

55+abgedeckte Normen und Standards

7.000Controls in den Content Libraries

Ausgangsbasis

Datenschutzmanagement in Tabellen funktioniert, bis jemand nachfragt

Das Verzeichnis steht in Excel, die Folgenabschätzungen liegen in Word, die Freigaben im Postfach. Bei jeder Auskunftsanfrage und jeder Nachfrage der Aufsichtsbehörde beginnt die Suche von vorn.

Ohne zentrales System

Das Verzeichnis ist nie ganz aktuell

·Jede Gesellschaft pflegt ihre eigene Liste mit eigener Struktur
·Ob eine Folgenabschätzung nötig ist, wird nach Gefühl entschieden
·Die technischen und organisatorischen Maßnahmen werden zweimal erfasst, einmal für den Datenschutz und einmal für die Informationssicherheit
·Jedes Betroffenenbegehren löst eine Rundmail an die Fachbereiche aus

Der Dokumentationsaufwand ist hoch, der aktuelle Stand bleibt trotzdem unklar.

Mit dem CRISAM® DSMS-Modul

Einmal erfasst, bis zum Nachweis

✓Verarbeitungstätigkeiten, Betroffene, Datenkategorien und Übermittlungen sind an einem Objekt verknüpft
✓Die Schwellwertanalyse zeigt, für welche Tätigkeit eine Folgenabschätzung nach Art. 35 DSGVO erforderlich ist
✓Die Beurteilung der Sicherheit der Verarbeitung nach Art. 32 DSGVO übernehmen Sie aus dem Informationssicherheits-Managementsystem
✓Begehren von Betroffenen werden über einen Workflow mit vorgefertigter Beauskunftung bearbeitet

Der Datenstand ist jederzeit aktuell, auch zwischen zwei Prüfungen.

Der Prozess im Modul

Der Datenschutz Management Prozess,
fünf Schritte in einem System

Von der Datenschutzpolitik bis zum fertigen Bericht. Den Rahmen bilden DSGVO, DSG, BDSG sowie ISO/IEC 27701 und ISO/IEC 29151.

Commitment, Datenschutzpolitik, Organisation und Prozessabläufe, dazu Endbenutzerrichtlinie, Vereinbarungen zur Auftragsverarbeitung und Joint-Controllership Agreements: Ihre eigenen Dokumente pflegen Sie zentral in CRISAM®, mit Verantwortlichem, Genehmiger und Prüfzyklus.

CRISAM® Datenschutz-DokumenteBeispielwerte

☰Risk AG/ ISMS und DSMS Musterprojekt↷?

+Neues DokumentSuchen

FILTERN ▾SORTIEREN ▾

★Datenschutz Management CommitmentFreigegeben, jährliche Bestätigung durch die GeschäftsführungDokumentVerantwortlichGeschäftsführungGenehmigerDatenschutzbeauftragter

★Datenschutz PolitikFreigegeben, Geltungsbereich KonzernRichtlinieVerantwortlichDatenschutzbeauftragterPrüfzyklusjährlich

Datenschutz OrganisationIn Überarbeitung, Rollen je Gesellschaft ergänzenRichtlinieVerantwortlichDatenschutzbeauftragterPrüfzyklusjährlich

★Datenschutz ProzessabläufeFreigegeben, inklusive Meldeprozess bei DatenschutzverletzungenProzessVerantwortlichDatenschutzkoordinationPrüfzyklusjährlich

EndbenutzerrichtlinieIn Abstimmung mit dem BetriebsratRichtlinieVerantwortlichPersonalwesenPrüfzykluszweijährlich

Auftragsverarbeiter VereinbarungOffen, Abstimmung mit dem EinkaufVertragVerantwortlichEinkaufGenehmigerRechtsabteilung

Joint-Controllership AgreementOffen, gemeinsame Verantwortlichkeit mit VertriebspartnerVertragVerantwortlichVertriebGenehmigerRechtsabteilung

★Verpflichtung zum DatengeheimnisFreigegeben, Bestandteil des OnboardingsDokumentVerantwortlichPersonalwesenPrüfzykluslaufend

«12»

Zu jeder Verarbeitungstätigkeit sind Unternehmen, Ansprechperson, Genehmiger, Rechtsgrundlage, Zweck und die Kennzeichnung für Profiling hinterlegt. Filtern Sie nach einer Gesellschaft, steht deren Verzeichnis sofort bereit. Konzernstrukturen bilden Sie flexibel ab.

CRISAM® Bericht VerarbeitungsverzeichnisBeispielwerte

☰Risk AG/ ISMS und DSMS Musterprojekt↷?

Verzeichnis von Verarbeitungstätigkeiten

Im Verzeichnis von Verarbeitungstätigkeiten werden die Inhalte gemäß Art. 30 DSGVO dargestellt: Beschreibung, Rechtsgrundlage, Zweck, Speicherdauer und Löschfrist, Datenkategorien, Empfänger und Auftragsverarbeiter je Verarbeitungstätigkeit.

Bewerbermanagement

BeschreibungBearbeitung von Bewerbungen, Durchführung von Auswahlverfahren, Kommunikation mit Bewerberinnen und Bewerbern sowie Dokumentation des Bewerbungsprozesses.

RechtsgrundlageEinwilligung, Rechtliche Verpflichtung, Vertrag

ZweckVerwaltung von Bewerbungen und Auswahl geeigneter Kandidaten

Speicherdauer6 Monate nach Abschluss des Verfahrens, bei Evidenzhaltung mit Einwilligung bis zu 1 Jahr

LöschfristNach Ende der Speicherdauer

Art der VerarbeitungElektronisch, Papierakte

BetroffeneBewerber (Personal)

Profiling

DatenanwendungenBewerberportal, Bürosoftware, Telefonie

Auftragsverarbeiter

Name	Kategorie	Vereinbarung abgeschlossen
Auftragsverarbeiter Softwareentwicklung	Cloud	✓
Cloud-Bürosoftware	Cloud	✓
Personaldienstleister	Dienstleister	✓

Risk AGVERZEICHNIS VON VERARBEITUNGSTÄTIGKEITENSeite 5

Die Schwellwertanalyse klärt zuerst, ob eine Datenschutz-Folgenabschätzung überhaupt erforderlich ist. Ist das der Fall, bewerten Sie Wahrscheinlichkeit und Auswirkung für die Betroffenen, brutto wie netto. Die Matrix zeigt, was die Maßnahmen bewirkt haben.

CRISAM® Datenschutz-FolgenabschätzungBeispielwerte

☰Risk AG/ ISMS und DSMS Musterprojekt↷?

Leistungsbeurteilung

Risikobewertung der Verarbeitungstätigkeit vor und nach Maßnahmen, Brutto zu Netto.

Wahrscheinlichkeit

sehr wahrscheinlich

wahrscheinlich

plausibel

1 : 0

möglich

unwahrscheinlich

0 : 1

nahezu ausgeschlossen

Brutto : Netto

unbedeutend

gering

mittel

hoch

sehr hoch

Risikoklassen Definition

Risikoklasse 1Risikoklasse 31 : 0Risikoklasse 20 : 1Risikoklasse 4

Summe Brutto : Netto

1 : 1

Auswirkung

Risk AGDATENSCHUTZ-FOLGENABSCHÄTZUNG (DSFA)Seite 10

Ihre Fachbereiche beantworten Prüffragen und nutzen bei Unklarheiten den Antwortleitfaden. Die Eintrittswahrscheinlichkeit leitet CRISAM® aus dem Erfüllungsgrad der zugeordneten Controls ab. Workflows fordern die Bewertungen an, die Freigabe bleibt nachvollziehbar.

CRISAM® Prüffragen-BewertungBeispielwerte

☰Risk AG/ ISMS und DSMS Musterprojekt↷?

ÜbersichtHilfe

Übersicht Prüffragen Abweichung

Kein Wert91,23 %
Erfüllt3,84 %
Geringe Abweichung2,33 %
Mittlere Abweichung1,37 %
Übererfüllt0,68 %
Hohe Abweichung0,55 %

Objektabweichungen

Objekte	Baustein	Status	Abweichung
Auftragsverarbeiter Marketing	Auftragsverarbeiter	Neu	Unvollständig bewertet
Auftragsverarbeiter Softwareentwicklung	Auftragsverarbeiter	In Bearbeitung	Mittlere Abweichung
Bewerbermanagement	Verarbeitungstätigkeit	In Bearbeitung	Unvollständig bewertet
Datenschutz-Managementsystem (ISO 27701)	Datenschutz-Managementsystem	In Bearbeitung	Große Abweichung
Datenschutzkoordination	Datenschutzkoordinator	In Bearbeitung	Große Abweichung

Objekte und Prüffragenerfüllung

Objekt	Nr.	Prüffrage	Erfüllung	Abweichung
Auftragsverarbeiter Marketing	10	Wie wurden Verantwortungen, Aufgaben und Verpflichtungen zwischen Verantwortlichem und Auftragsverarbeiter geregelt?	Leer	Kein Wert
Auftragsverarbeiter Softwareentwicklung	30	Wie erfolgt die Überprüfung der Sicherheit, Zuverlässigkeit und Qualifikation des Auftragsverarbeiters vor der Beauftragung?	D	Mittlere Abweichung
Auftragsverarbeiter Softwareentwicklung	40	Wie erfolgt die zyklische Überprüfung der Sicherheit, Zuverlässigkeit und Qualifikation des Auftragsverarbeiters?	B	Erfüllt

Anzahl = 730

Sie legen das Layout einmal fest, danach erstellen Sie den Bericht auf Knopfdruck. Das Verzeichnis nach Art. 30 DSGVO, die Compliance-Übersicht und die Berichte zu ISO/IEC 27701 und ISO/IEC 29151 sind hinterlegt und anpassbar. Zahlen muss niemand mehr abtippen.

CRISAM® Compliance-BerichtBeispielwerte

☰Risk AG/ ISMS und DSMS Musterprojekt↷?

Übersicht

DSGVO

Kapitel II Grundsätze

43 %

Kapitel IV Verantwortlicher und Auftragsverarbeiter

45 %

Kapitel V Übermittlung an Drittländer oder internationale Organisationen

28 %

Kapitel III Rechte der betroffenen Person

45 %

0 %20 %40 %60 %80 %100 %

Zielwert 80 %

Risk AGCOMPLIANCE-BERICHTSeite 2

Ihre Vorteile

Was sich mit einem zentralen Datenschutz-Managementsystem ändert

Was sich für Datenschutzbeauftragte im Arbeitsalltag konkret ändert.

Das Verzeichnis ist kein Projekt mehr

Verarbeitungstätigkeiten, Betroffene, Datenkategorien und Übermittlungen sind am Objekt verknüpft. Das Verzeichnis nach Art. 30 DSGVO erstellen Sie zu jedem Stichtag, statt es vor jeder Prüfung zusammenzutragen.

Die Schwellwertanalyse schafft Klarheit

CRISAM® führt Sie durch die Prüfung, ob eine Folgenabschätzung nach Art. 35 DSGVO erforderlich ist. Das Ergebnis ist begründet und bleibt nachvollziehbar, auch Jahre später.

Datenschutz und Informationssicherheit sind miteinander verknüpft

Die nach Art. 32 DSGVO verpflichtende Beurteilung der Sicherheit der Verarbeitung übernehmen Sie direkt aus dem Informationssicherheits-Managementsystem. Technische und organisatorische Maßnahmen erfassen Sie einmal.

Die Fachbereiche antworten ohne Recherche

Zu jeder Prüffrage gibt es einen Antwortleitfaden. Er erklärt, was gemeint ist und woran Sie eine Erfüllung erkennen. Eine kurze Einweisung reicht, eine mehrtägige Schulung ist nicht nötig.

Länderspezifische Listen sind hinterlegt

Über 25 nationale und bundesländerspezifische Black- und Whitelists sind integriert und werden gepflegt. Sie prüfen gegen den aktuellen Stand, ohne Verordnungen selbst verfolgen zu müssen.

Betroffenenbegehren als strukturierter Prozess

Auskunft, Berichtigung und Löschung folgen einem Workflow mit vorgefertigter Beauskunftung. Die Fristen überwacht das System, nicht der Kalender einer einzelnen Person.

Funktionen

Funktionen, die im DSMS Tool bereits enthalten sind

Prüffragen, Bewertungslogik und Berichte sind hinterlegt und konfigurierbar, ohne Zusatzmodule oder Eigenentwicklung. Den vollen Umfang der Plattform zeigt CRISAM® im Überblick, die hinterlegten Inhalte finden Sie unter CRISAM® Content.

Verarbeitungsverzeichnis auf Knopfdruck

Das Verzeichnis nach Art. 30 DSGVO entsteht aus dem laufenden Datenbestand, je Gesellschaft oder für den Konzern.

Schwellwertanalyse und Folgenabschätzung

Prüft zuerst, ob eine Datenschutz-Folgenabschätzung erforderlich ist, und bewertet dann die Risiken für die Betroffenen.

Black- und Whitelists

Über 25 nationale und bundesländerspezifische Verordnungen sind integriert und werden gepflegt.

Content Libraries mit Antwortleitfäden

Zyklisch aktualisiert, damit Sie Auslegung und Rechtsprechung nicht selbst verfolgen müssen.

Compliance-Mappings

Eine Bewertung gilt für DSGVO, ISO/IEC 27701 und ISO/IEC 29151, Kataloge müssen Sie nicht doppelt pflegen.

Fehlerbaumanalyse

Zerlegt Ursachen strukturiert nach DIN 25424, bis zur einzelnen Schwachstelle in der Verarbeitung.

Abhängigkeiten per Drag-and-Drop

Macht sichtbar, wie Anwendung, Dienstleister und Datenfluss zusammenhängen.

Automatisierte Workflows

Erinnern die Beteiligten automatisch an offene Bewertungen und Aufgaben.

Mehrstufige Freigabe

Bewertungen werden geprüft und freigegeben, nachvollziehbar bis zur Person.

Rollen- und Berechtigungssystem

Jede Rolle sieht genau ihren Bereich, auch über mehrere Gesellschaften hinweg.

Begehren von Betroffenen

Auskunft, Berichtigung und Löschung werden als Prozess mit vorgefertigter Beauskunftung bearbeitet.

Konzernstrukturen

Gesellschaften, Bereiche und gemeinsame Verantwortlichkeiten bilden Sie flexibel ab, ohne Mandanten zu trennen.

Revisionssicherheit

Wer wann was bewertet und freigegeben hat, bleibt nachvollziehbar, auch nach einem Personalwechsel.

Berichtsdesigner

Standardberichte zu DSGVO, ISO/IEC 27701 und ISO/IEC 29151, ohne Programmierung anpassbar.

Methodik

Unterstützte Methoden,
Standards und Regulative

CRISAM® deckt über 55 Normen und Standards ab. Die Verfahren sind hinterlegt, Sie wählen aus, was zu Ihrem Reifegrad passt. Wie CRISAM® rechnet, steht in der CRISAM® Methode.

Methoden

Bewerten und analysieren

Verfahren aus der ISO 31010, hinterlegt und auswählbar.

Datenschutz-FolgenabschätzungPrivacy Impact Assessment Fehlerbaumanalyse (DIN 25424)Brutto- und Nettobetrachtung Gap-AnalyseCompliance Valuation Business Impact AnalyseKosten-Nutzen-Analyse SensitivitätsanalyseCMMI Reifegradmodell

Standards

Rahmenwerke und Normen

Prüffragen und Kontrollziele sind vorkonfiguriert.

ISO/IEC 27701:2019ISO/IEC 29151:2017 ISO/IEC 27001:2022ISO/IEC 27002 ISO 31000BSI IT-Grundschutz-Kompendium

Regulative

Pflichten und Nachweise

Die Anforderungen von Aufsicht und Prüfern sind hinterlegt.

DSGVODSG (Österreich)BDSG (Deutschland) Art. 30 DSGVO VerzeichnisArt. 32 DSGVO Sicherheit der Verarbeitung Art. 35 DSGVO FolgenabschätzungBlack- und Whitelists

Für wen

Drei Rollen, ein Datenschutzmanagement

Jede Rolle erhält die passende Sicht auf dieselben Daten. Wie eine Bewertung zustande kam, ist für alle nachvollziehbar.

Datenschutzbeauftragte

Der Stand ist jederzeit abrufbar

Sie sehen offene Verarbeitungstätigkeiten, anstehende Folgenabschätzungen und den Erfüllungsgrad je Kapitel der DSGVO an einer Stelle. Die Berichterstattung wird zur Routine und ist kein Sonderprojekt mehr.

Fachbereiche und Prozessverantwortliche

Eine Eingabemaske statt vieler Formulare

Wer eine Verarbeitung beschreibt oder eine Prüffrage beantwortet, wird vom Assistenten geführt und findet die Erläuterung direkt daneben. Was einmal erfasst ist, wird nicht erneut abgefragt.

Geschäftsführung und interne Revision

Nachweise ohne Suchaufwand

Verarbeitungstätigkeit, Bewertung und Nachweis sind miteinander verknüpft. Den Stand zum Stichtag können Sie der Aufsicht jederzeit darlegen.

Success Story

Ein Handelsverbund, der auf CRISAM® setzt

EDEKA, Lebensmittelhandel

DeutschlandLebensmittelhandel
Über 115 JahreGenossenschaftlicher Verbund
Netto Marken-DiscountTochterunternehmen im Discountgeschäft

EDEKA setzt auf die vielseitige GRC Lösung CRISAM® zur Optimierung des Risikomanagements

Der EDEKA-Verbund ist das genossenschaftliche Rückgrat der Marke EDEKA. Er ist Nahversorger vor Ort und zugleich regionaler Großhandelsbetrieb, Produzent von frischen Back- und Fleischwaren sowie zahlreicher Eigenmarken und starker Partner für Erzeuger aus der Region.

Ein Verbund dieser Größe verarbeitet personenbezogene Daten in vielen Gesellschaften und Rollen zugleich. Für solche Strukturen ist CRISAM® ausgelegt: ein gemeinsamer Datenbestand, über den sich Risiko, Sicherheit und Datenschutz zusammen steuern lassen.

Alle Kundenerfolge ansehen

Häufige Fragen

Häufige Fragen zum Datenschutzmanagement

Was ist ein Datenschutz-Managementsystem (DSMS)?

Ein Datenschutz-Managementsystem, kurz DSMS, ist das Regelwerk aus Verantwortlichkeiten, Prozessen und Nachweisen, mit dem ein Unternehmen den Umgang mit personenbezogenen Daten steuert. Es hält das Verzeichnis der Verarbeitungstätigkeiten aktuell, bewertet die Risiken für die Betroffenen und belegt die Umsetzung der Vorgaben. Den Rahmen bilden DSGVO, DSG, BDSG sowie ISO/IEC 27701.

Was macht eine Datenschutzmanagement Software?

Eine Datenschutzmanagement Software hält Verarbeitungstätigkeiten, Betroffene, Datenkategorien, Übermittlungen, Bewertungen und Nachweise an einer Stelle und verbindet sie miteinander. Sie steuert die Abfragen bei den Fachbereichen über Workflows, dokumentiert Freigaben revisionssicher und liefert Verzeichnis und Compliance-Bericht auf Knopfdruck. In CRISAM® stammen die Prüffragen und Antwortleitfäden aus den Content Libraries.

Erstellt CRISAM® das Verzeichnis von Verarbeitungstätigkeiten automatisch?

Ja. Das Verzeichnis nach Art. 30 DSGVO entsteht aus dem laufenden Datenbestand, wahlweise je Gesellschaft oder für den gesamten Konzern. Sie erfassen die Verarbeitungstätigkeit einmal mit Betroffenen, Datenkategorien, Rechtsgrundlage, Zweck und Empfängern, danach erstellen Sie das Verzeichnis zu jedem beliebigen Stichtag.

Wie unterstützt CRISAM® die Datenschutz-Folgenabschätzung?

CRISAM® führt zuerst die Schwellwertanalyse durch, ob eine Folgenabschätzung nach Art. 35 DSGVO erforderlich ist. Ist sie es, identifizieren Sie das hohe Risiko für die Betroffenen, bewerten brutto und netto und hinterlegen die mildernden Maßnahmen. Die von der DSGVO geforderten Berichte erstellt das Modul daraus automatisiert.

Wie hängen DSMS und ISMS zusammen?

Durch die Verknüpfung beider Module übernehmen Sie die in Art. 32 DSGVO verpflichtende Beurteilung der Sicherheit der Verarbeitung direkt aus dem Informationssicherheits-Managementsystem. Technische und organisatorische Maßnahmen, die Sie im ISMS geplant und umgesetzt haben, gelten damit auch im Datenschutz, ohne zweite Erfassung.

Müssen wir bestehende Systeme ablösen?

Nein. Ihre vorhandenen Systeme bleiben bestehen, CRISAM® ergänzt sie und bindet sie über Schnittstellen an. Konzernstrukturen lassen sich flexibel abbilden. Wer Datenschutz mit weiteren Disziplinen verbinden möchte, ergänzt Module wie Integrated Risk Management auf demselben Datenbestand.

Wissen zum Thema

Sehen Sie die Plattform im Einsatz

Ein Webinar, ein Kurs zum Selbststudium und der Inhaltskatalog dahinter.

Webinar, Online, 45 Minuten

Datenschutz meistern mit CRISAM®

DSGVO-Anforderungen, Risiken und Maßnahmen zentral verwalten und transparent steuern.

Nächster Termin: 12.11.2026, 14:00 UhrTermine ansehen

Academy, E-Learning

Datenschutzmanagement

Elf Module im eigenen Tempo, von der Datenschutz-Folgenabschätzung bis zu den DSGVO-relevanten Berichten in CRISAM®.

Zum Kurs

Weiterbildung

Alle Termine, Kurse und Unterlagen

Zur Vertiefung das Webinar DSMS Deep Dive. Dazu die Knowledge Packs, darunter EU-DSGVO, und die Produktunterlagen im Downloadcenter.

Zu den Webinaren

DSMS Deep Dive Knowledge Packs Downloadcenter

Nächster Schritt

Sehen Sie Ihr eigenes Verzeichnis in CRISAM®

Bringen Sie zwei oder drei Verarbeitungstätigkeiten aus Ihrem Unternehmen mit. Gemeinsam mit einem GRC-Fachexperten gehen Sie den gesamten Ablauf durch: erfassen, prüfen, bewerten, berichten. Dabei sehen Sie auch, mit welcher Ansicht Ihre Fachbereiche später arbeiten.

Live-Demo vereinbaren Frage stellen