Sicher einsteigen.
Datenschutz nachvollziehbar dokumentieren.

Anmelden und orientieren

Beginnen Sie mit dem richtigen Arbeitsbereich. Eine Datenbank beziehungsweise ein Mandant enthält die Datenschutzdokumentation einer Organisation. Wenn Sie mehrere Organisationen betreuen, prüfen Sie vor jeder Bearbeitung, welche Datenbank ausgewählt ist.

1. Anmelden: Öffnen Sie Ihren MoeWe-Zugang und melden Sie sich mit E-Mail-Adresse und Passwort an. Bei fehlendem Zugang wenden Sie sich an die für Benutzerverwaltung zuständige Person.
2. Datenbank auswählen: Öffnen Sie oben Datenbanken und wählen Sie den passenden Eintrag. Bei mehreren Einträgen hilft der Filter nach Name oder Beschreibung. Der Name der ausgewählten Datenbank steht oben in der Kopfzeile.
3. Dashboard öffnen: Unter Start → Dashboard erhalten Sie einen Überblick über Auditfragen und VVT sowie direkte Links in die Bereiche. Die farbigen Übersichten zeigen den Bearbeitungsstand; sie ersetzen die Prüfung einzelner Inhalte nicht.
4. Profil einstellen: Über Ihren Namen rechts oben öffnen Sie das Benutzerprofil, aktualisieren Ihre Angaben oder ändern Ihr Passwort. Dort können Sie sich auch abmelden.
5. Sprache wählen: Über die Sprachauswahl wechseln Sie zwischen Deutsch und Englisch. Die Auswahl betrifft die Oberfläche; Ihre eingegebenen Texte werden dadurch nicht automatisch übersetzt.

Welcher Bereich ist wofür da?

Benutzer und Berechtigungen

Die Benutzerverwaltung zeigt Namen, E-Mail-Adressen und zugewiesene Rollen. Unter Rollenbeschreibung können Sie den Umfang der jeweiligen Rolle nachlesen. Die Einrichtung übernimmt eine Person mit Berechtigung zur Benutzerverwaltung.

Die Rollen im Überblick

Benutzer einrichten und Zugriff prüfen

1. Arbeitsauftrag klären: Legen Sie fest, welche Aufgaben die Person übernimmt und welche Datenbank sie benötigt. Wählen Sie eine dazu passende Rolle.
2. Benutzer aufnehmen: Verwenden Sie Benutzer einladen und folgen Sie dem Dialog. Prüfen Sie Empfängeradresse und gewünschte Berechtigung vor dem Absenden.
3. Rolle zuordnen: Öffnen Sie bei der betreffenden Person die Rollenbearbeitung über das Plus-Symbol am rechten Zeilenrand. Prüfen Sie die Zuordnung anschließend in der Spalte Rollen. Ein Eintrag „unknown“ ist keine verständlich bestätigte Berechtigung und sollte durch die Administration geklärt werden.
4. Datensätze zuweisen: Ergänzen Sie bei den betroffenen VVT-Einträgen unter Zugewiesene Benutzer die zuständige Person. Beachten Sie auch die verwendeten Fachapplikationen und Infrastrukturen: Prüfen Sie deren Zuordnung einzeln, wenn die Person sie bearbeiten soll.
5. Ergebnis kontrollieren: Lassen Sie die Person prüfen, ob die benötigten Einträge sichtbar und die vorgesehenen Felder bearbeitbar sind. Bei Aufgabenwechseln überprüfen Sie Rollen und Zuordnungen erneut.

Auditfragen und TOM bearbeiten

Mit Auditfragen erfassen Sie, wie Ihre Organisation Datenschutz und Schutzmaßnahmen umsetzt. Der Bereich bietet eine organisationsweite Sicht. Im VVT prüfen Sie anschließend, wie die Maßnahmen bei einem konkreten Prozess, seiner Anwendung und Infrastruktur wirken.

Eine Frage finden und beantworten

1. Auswahl eingrenzen: Suchen Sie nach Frage oder Nummer. Kombinieren Sie bei Bedarf die Filter Organisationseinheit, Themenblock, Schutzziele und Status. Im Statusfilter lassen sich mehrere Werte auswählen. „Nicht zutreffend“ kann standardmäßig ausgeblendet sein; wählen Sie diesen Status ausdrücklich aus, wenn Sie auch diese Fragen sehen möchten. Wenn Einträge fehlen, prüfen und leeren Sie zuerst die Filter.
2. Frage öffnen: Wählen Sie einen Eintrag aus der Liste. Lesen Sie Frage / Maßnahme und prüfen Sie, welchen Themenblock sowie welche Schutzziele und Organisationseinheiten der Eintrag betrifft.
3. Ist-Zustand dokumentieren: Erfassen Sie unter Bemerkungen / Begründungen, was tatsächlich umgesetzt ist, woran es erkennbar ist und was noch fehlt.
4. Nächste Schritte festhalten: Tragen Sie unter Empfehlung die notwendige Verbesserung ein. Verknüpfen Sie bei Bedarf ein bestehendes Arbeitsticket unter Ticket (Link) und fügen Sie passende Nachweise unter Dokumente hinzu.
5. Status bewerten: Wählen Sie einen zum belegten Ist-Zustand passenden Wert. Eine Empfehlung allein bedeutet noch nicht, dass die Maßnahme umgesetzt ist.
6. Speichern: Speichern Sie Ihre Änderungen, bevor Sie zur nächsten Frage wechseln. Über die Pfeile können Sie innerhalb der Auswahl weiterblättern.

Themen, Zuständigkeiten und Auswertung

Unter Themenblöcke, Schutzziele und Organisationseinheiten pflegen berechtigte Personen die verwendeten Zuordnungen. Eigene Themenblöcke und zusätzliche Fragen lassen sich ergänzen; vergeben Sie eindeutige Nummern und ordnen Sie sie den passenden Bereichen zu. Eine Frage kann mehrere Zuordnungen haben. Die zusätzlichen Kategorien im Auditbereich sind nicht mit den genau sieben SDM-Gewährleistungszielen gleichzusetzen.

Unter Datenschutzerreichungsgrad sehen Sie die Verteilung der Bewertungen je Schutzziel und den Gesamtstand. Nutzen Sie kritische, fehlende und ungeprüfte Einträge als Arbeitsliste. Ein Prozentwert oder eine grüne Übersicht ist keine pauschale Bestätigung, dass alle Datenschutzanforderungen erfüllt sind.

Im Report intern beziehungsweise im verfügbaren Report können Sie die Auswahl filtern, den Datenschutzerreichungsgrad ein- oder ausblenden, Freitext ergänzen und die Ausgabe über das Drucksymbol erzeugen. Kontrollieren Sie den Inhalt auch bei einem externen Report vor der Weitergabe.

Was am Ende vorliegen soll

Ihr Ziel ist eine zusammenhängende Dokumentation: Was passiert mit welchen Daten, zu welchem Zweck, mit welchen Beteiligten – und wie werden die betroffenen Personen geschützt? Dazu gehören die Beschreibung der Verarbeitung, ihre technischen Abhängigkeiten sowie nachvollziehbar bewertete Risiken und Maßnahmen.

Wer liefert welche Informationen?

Die Dokumentation entsteht gemeinsam durch Fachbereich, IT, Dienstleister und Datenschutzbeauftragte. Für Nutzerinnen und Nutzer heißt das: Beschreiben Sie zuerst Ihren tatsächlichen Arbeitsablauf in einfachen Worten. Die fachliche Datenschutzbewertung folgt darauf.

Diese Informationen benötigen Sie

• Eine klar abgegrenzte Verarbeitung und eine fachlich zuständige Person.
• Angaben aus dem Fachbereich zu Zweck, Ablauf, Datenarten, betroffenen Personen und Aufbewahrung.
• Informationen der IT bzw. Dienstleister zu Anwendungen, Speicherorten, Infrastruktur, Zugriffen, Löschung und Sicherungen.
• Vorhandene Nachweise, etwa technische und organisatorische Maßnahmen (TOM), Verträge zur Auftragsverarbeitung, Sicherheitskonzepte und Prüfberichte.

Liefern, bewerten, freigeben: drei getrennte Aufgaben

Tragen Sie für Ihr Verfahren konkrete Namen zu diesen Rollen ein. Die folgende Aufteilung ist eine Arbeitsvorlage; verbindlich ist die Zuständigkeitsregelung Ihrer Organisation.

DSB bedeutet Beratung und Überwachung: Die Stellungnahme der oder des Datenschutzbeauftragten ersetzt nicht die Entscheidung der verantwortlichen Organisation. Dokumentieren Sie, wer was geprüft und wer die Entscheidung getroffen hat.

Die Grunddaten verständlich ausfüllen

Eintrag finden oder neu anlegen

Öffnen Sie VVT → Verarbeitungstätigkeiten. Suchen Sie zunächst nach Gruppe, Nummer oder Name, Verantwortlich oder Status, um vorhandene Beschreibungen wiederzuverwenden. Das Symbol zum Leeren der Filter befindet sich im Filterbereich; es löscht die Filterauswahl, nicht den Datensatz. Inaktive Verarbeitungen können standardmäßig ausgeblendet sein; blenden Sie sie bei Bedarf im Statusfilter ein. Einen neuen Datensatz beginnen Sie über Eintrag hinzufügen.

Vergeben Sie einen verständlichen Namen und bei Bedarf Nummer und Gruppe zur Sortierung. Ergänzen Sie unter Verantwortlich die Kontaktdaten der fachlich zuständigen Person und unter Zugewiesene Benutzer die vorgesehenen Benutzerkonten. Die Rolle und die Zuweisung bestimmen gemeinsam den Zugriff. „Verantwortlich“ meint hier die Person für die Verfahrensbeschreibung, nicht die verantwortliche Organisation als Ganzes. Die Übersichten zeigen außerdem die letzte Bearbeitung. Je nach Rolle steht zusätzlich eine Ansicht für die eigenen Verfahren zur Verfügung; alternativ filtern Sie nach „Verantwortlich“. Für längere Beschreibungen lassen sich Textfelder an ihrem unteren Rand vergrößern.

Info-Symbole neben Feldern öffnen Erläuterungen. Nutzen Sie Speichern vor dem Wechsel zum nächsten Eintrag. Der Gesamtstatus des Datensatzes umfasst Werte wie „unbewertet“, „prüfen“, „Optimierungsbedarf“, „kritisch“, „OK“ und „inaktiv“; er ist von den einzelnen SDM-Bewertungen zu unterscheiden.

1. Öffnen Sie den zu bearbeitenden Eintrag. Prüfen Sie, ob seine Bezeichnung den konkreten Geschäftsprozess beschreibt.
2. Ergänzen Sie die Grunddaten anhand der folgenden Orientierung.
3. Prüfen Sie die Angaben mit den fachlich zuständigen Personen. Halten Sie noch offene Punkte als offen fest.
4. Sichern Sie Ihre Änderungen über Speichern.

Die übrigen Grundfelder nicht übersehen

• Datenweitergabe außerhalb der EU: Prüfen Sie die tatsächlichen Empfänger und Datenflüsse. Tragen Sie die fachlich geprüfte Einordnung ein; übernehmen Sie keine Voreinstellung ungeprüft.
• Aufbewahrungsfristen: Nennen Sie Fristen, Auslöser und den Bezug zum Löschkonzept. Die Angaben müssen zum Reiter „Daten beseitigen“ passen.
• Sicherheit / TOM: Beschreiben Sie den allgemeinen Schutz und verweisen Sie auf konkrete Konzepte oder Nachweise.
• Risiko / Schaden und Eingriffsintensität: Halten Sie mögliche Folgen für betroffene Personen und die Einordnung des Verfahrens fest. Die Auswahl zur Eingriffsintensität enthält „hoch“, „mittel“, „gering“ und „unbewertet“. Die detaillierte Erklärung folgt unter Risiken & Maßnahmen.
• Notwendige Maßnahmen: Sammeln Sie noch umzusetzende Verbesserungen mit Zuständigkeit und nächstem Schritt.
• Datenschutz-Folgenabschätzung: Halten Sie fest, ob eine DSFA erforderlich ist, und begründen Sie die Entscheidung. Bei Bedarf bearbeiten Sie den DSFA-Reiter.
• Bemerkungen / Tätigkeitsprotokoll DSB: Ergänzende Hinweise gehören in die Bemerkungen. Das Tätigkeitsprotokoll DSB wird von der oder dem Datenschutzbeauftragten zur Dokumentation der Prüfung geführt.

Die Schalter für gemeinsame Verantwortung oder Verarbeitung im Auftrag können die Bearbeitung des Zweckfelds sperren. Ändern Sie bei einem solchen Verfahren den Zweck erst nach Abstimmung mit der zuständigen Datenschutz-/Rechtsfunktion und Prüfung der zugehörigen Vereinbarung. Bei Berechtigtes Interesse? führt die aktivierte Auswahl zum Reiter Ber. Interessen; dort wird die Begründung und Abwägung dokumentiert.

Den Weg der Daten beschreiben

Bearbeiten Sie die vier Reiter nacheinander. Formulieren Sie konkret, damit auch eine Person außerhalb des Fachbereichs den Datenfluss nachvollziehen kann.

Verarbeitung, Anwendung und Infrastruktur verbinden

VVT und SDM gehören zusammen: Die Grundbeschreibung beantwortet, wofür und wie Daten verarbeitet werden. Die SDM-Bewertung prüft den Schutz je Phase und Ziel. Fachapplikationen und Infrastruktur besitzen eigene Beschreibungen, Phasen und Bewertungen. Das Verknüpfen eines Eintrags übernimmt deshalb nicht automatisch eine ausreichende Bewertung.

Das Standard-Datenschutzmodell (SDM) unterscheidet drei Ebenen. MoeWe bildet sie im VVT-Bereich mit eigenen Einträgen ab.

1. Öffnen Sie Beziehungen.
2. Ordnen Sie unter Fachapplikationen die verwendete Software zu. Nutzen Sie dafür Eintrag hinzufügen.
3. Verknüpfen Sie unter Infrastruktur die tatsächlich beteiligten technischen Grundlagen.
4. Ergänzen Sie unter Datenweitergaben die Empfänger, an die Daten weitergegeben werden.
5. Kontrollieren Sie die angezeigten Beziehungen und speichern Sie die Änderungen.

Gemeinsam genutzte Einträge wiederverwenden: Die IT beschreibt eine gemeinsam genutzte Infrastruktur einmal. Mehrere Verarbeitungen können anschließend denselben Eintrag verknüpfen. Ein Verfahren kann zugleich mehrere Anwendungen und Infrastrukturen benötigen. Prüfen Sie deshalb die vollständige Kette und nicht nur das zuerst genannte System.

Vertragsbeziehungen passend erfassen: Klären Sie, ob Ihre Organisation einen eigenen Vertrag mit einem Anbieter hat oder dieser als Unterauftragnehmer eines anderen Dienstleisters beteiligt ist. Prüfen Sie auch beim Supportportal, welche Anbieter eigene Vertragspartner sind und welche als Unterauftragnehmer tätig werden. Übernehmen Sie diese Einordnung nur, wenn sie für Ihren Fall stimmt.

Die zugehörigen Anwendungen und Infrastrukturen finden Sie auch über VVT → Fachapplikationen bzw. VVT → Infrastruktur. Prüfen Sie vorhandene Einträge, bevor Sie gleichartige Datensätze doppelt führen.

Jedes Schutzziel nachvollziehbar bewerten

In den Phasen finden Sie den Bereich Risikobeschreibung & Maßnahmen. Für jede Phase werden sieben Gewährleistungsziele betrachtet. Über das Info-Symbol neben einem Ziel können Sie erläuternde Hinweise und Maßnahmenbeispiele öffnen. Eine hilfreiche Einstiegsfrage lautet: „Was würde für die betroffenen Menschen passieren, wenn dieses Ziel nicht erfüllt wäre?“ Beschreiben Sie anschließend, wie Sie dies im konkreten Prozess verhindern.

Drei Fragen statt einer Gesamtampel

Gute Maßnahmen verändern den Status. Sie setzen die Eingriffsintensität eines unveränderten Verfahrens oder das ausdrücklich ohne Maßnahmen betrachtete Risiko nicht automatisch herab.

So bearbeiten Sie eine Bewertungszeile

1. Risiko ohne Maßnahmen einschätzen. Wählen Sie im Feld „Risiko“ die passende Bewertung: hoch, mittel, gering oder zunächst unbewertet. Beschreiben Sie, was den betroffenen Personen ohne Schutzmaßnahmen passieren könnte.
2. Risikobeschreibung eintragen. Nennen Sie das konkrete Szenario und die mögliche Auswirkung auf die betroffenen Personen.
3. Maßnahmen beschreiben. Halten Sie fest, welche organisatorischen oder technischen Maßnahmen dieses Risiko reduzieren. Machen Sie erkennbar, was bereits umgesetzt und was erst geplant ist.
4. Bemerkungen / Nachweise ergänzen. Benennen Sie die zugehörigen Belege möglichst mit Dokument, Version, Abschnitt oder Seite. Ergänzen Sie offene Fragen und Prüfergebnisse.
5. Status nach wirksamer Umsetzung bewerten. Prüfen Sie, ob die Maßnahmen tatsächlich umgesetzt und ausreichend wirksam sind. Setzen Sie erst dann den passenden Status und speichern Sie.

Die Statuswerte der Bewertungszeile

Nutzen Sie diese Erläuterungen als Orientierung für die Bearbeitung.

Die allgemeine Statusleiste oben im Datensatz verwendet teilweise andere Bezeichnungen, darunter „Optimierungsbedarf“. Verwechseln Sie diese nicht mit der Auswahl innerhalb einer einzelnen Bewertungszeile.

Auditmaßnahmen für den konkreten Prozess nutzen

1. Lassen Sie den VVT-Eintrag geöffnet und öffnen Sie Auditfragen / TOM über das Kontextmenü des Links in einem zweiten Browser-Tab.
2. Filtern Sie dort nach dem gerade betrachteten Schutzziel und lesen Sie die bereits beschriebenen Maßnahmen und Nachweise.
3. Prüfen Sie für jede mögliche Übernahme: Gilt die Maßnahme für diesen Prozess, diese Anwendung und diese Datenphase? Ist ihre Umsetzung dort nachgewiesen?
4. Übernehmen Sie nur den passenden Inhalt, konkretisieren Sie ihn und nennen Sie den Nachweis. Den Status bewerten Sie für die konkrete Zeile neu.

84 Kombinationen: systematisch prüfen, passend dokumentieren

Vier Phasen × sieben Ziele ergeben 28 Prüffragen pro Eintrag. Ein Eintrag auf jeder der drei Ebenen ergibt 84 Kombinationen. Das ist ein Raster gegen übersehene Themen, keine Vorgabe für 84 lange Texte. Bei mehreren Anwendungen oder Infrastrukturen kommen deren relevante Einträge hinzu.

1. Phase für Phase sichten: Betrachten Sie alle sieben Ziele für jeden relevanten Eintrag. Beginnen Sie im Muster bei „Sammeln“ des Supportprozesses.
2. Passend begründen: Für einen einfachen Fall reichen häufig wenige klare Sätze: Risiko → Maßnahme → Nachweis → Ergebnis. Bei hohem Risiko, Unsicherheiten oder komplexen Abhängigkeiten erläutern Sie Annahmen, Auswirkungen und Prüfung ausführlicher. Es gibt hier keine feste Wortzahl.
3. Vorhandenes nutzen: Verweisen Sie präzise auf geprüfte gemeinsame Maßnahmen, etwa das Berechtigungskonzept der verknüpften Anwendung. Ergänzen Sie, warum es die aktuelle Phase und das Ziel abdeckt. Ein pauschales „siehe IT“ genügt nicht.
4. Unklar bleibt offen: Fehlendes Wissen bedeutet „unbewertet“ oder „prüfen“, mit zuständiger Person und nächstem Schritt.

Wann ist „nicht zutreffend“ nachvollziehbar?

Nur wenn die konkrete Anforderung in dieser Phase und bei diesem Eintrag sachlich nicht anwendbar ist. Ein geringes Risiko, gute Maßnahmen, fehlende Belege oder Zeitmangel sind keine Begründung. Prüfen Sie zuerst, ob der Datenfluss korrekt abgegrenzt ist. Die Bewertungsrolle bestätigt die Einordnung.

Dokumentieren Sie kurz: Welche Anforderung? Warum nicht anwendbar? Womit geprüft? Wer hat es beurteilt? Beispiel aus dem Support: „Keine Papiervernichtung erforderlich: Der Ablauf arbeitet ausschließlich digital, Ausdrucke sind nicht vorgesehen; Ablaufprüfung durch Supportleitung bestätigt.“ Das begründet nur den Entfall dieser Einzelmaßnahme. Es rechtfertigt nicht, das gesamte Ziel bei „Beseitigen“ auf „nicht zutreffend“ zu setzen: Die digitalen Daten müssen weiterhin sicher gelöscht werden.

Lücken erkennen und Nachweise zusammenstellen

1. Öffnen Sie den Reiter Report. Dort finden Sie unter „Gewährleistung der Schutzziele“ die Matrizen für die Verarbeitung sowie die verknüpften Anwendungen und Infrastrukturen.
2. Prüfen Sie auffällige oder noch unbewertete Felder. Kehren Sie zur entsprechenden Phase und zum Gewährleistungsziel zurück und ergänzen Sie die Bewertung.
3. Kontrollieren Sie auch die Datenweitergaben. Auch bei vielen grünen Bewertungsfeldern können dort noch Einträge mit „Unbekannt“ vorhanden sein.
4. Öffnen Sie für eine zusammenhängende Ausgabe VVT Reports → Report intern. Nutzen Sie bei Bedarf die Filter Gruppe, Nummer oder Name, Verantwortlich und Status.
5. Wählen Sie die gewünschten Anzeigeoptionen. Zur Auswahl stehen Verantwortlich, Datenweitergaben und Verknüpfte Datenweitergaben. Für die Weitergabe an eine KI können Sie die Namen der Verantwortlichen über die entsprechende Anzeigeoption aus der Ausgabe herausnehmen. Prüfen Sie die erzeugte Datei zusätzlich auf weitere enthaltene Personenangaben; die Option anonymisiert nicht automatisch das gesamte Dokument.
6. Verwenden Sie das Drucksymbol für die Ausgabe. Wenn der anschließende Druckdialog dies anbietet, können Sie die Ausgabe als PDF speichern.

Welcher Report passt zum Zweck?

Zur Prüfung übergeben und wiederfinden

1. Prüfen Sie zunächst die Einträge und Nachweise auf den eigenen Aufgabenbereich. Benennen Sie verbleibende Lücken.
2. Setzen Sie im Datensatz, soweit für Ihre Rolle verfügbar, Fertig zur Prüfung DSB und speichern Sie. Dadurch markieren Sie den Eintrag für die Prüfung; Sie erteilen damit keine Freigabe.
3. Die prüfende Person öffnet VVT → Prüfung ausstehend und bearbeitet die vorgemerkten Einträge.
4. Halten Sie Prüfergebnis, Rückfragen und Maßnahmen im vorgesehenen Protokoll beziehungsweise Ticket fest. Passen Sie die Bewertungs- und Gesamtstatuswerte mit der dafür berechtigten Rolle an und nehmen Sie nach erledigter Prüfung die Prüfmarkierung wieder zurück.

Die Matrix lesen: Spalten stehen für Sammeln, Aufbewahren, Benutzen und Beseitigen; Zeilen für die sieben Gewährleistungsziele. Prüfen Sie auffällige Zellen anhand der zugehörigen Detailfelder. Kontrollieren Sie auch die Matrizen der verknüpften Anwendungen und Infrastrukturen. Ein grünes Feld der Verarbeitung macht einen noch unbewerteten technischen Eintrag nicht automatisch ausreichend.

Daten als Excel exportieren

Der Datenexport stellt die Daten der gewählten Datenbank in einer Excel-Datei bereit. Er dient dazu, einen bearbeitbaren Datenstand außerhalb von MoeWe aufzubewahren. Ein gefilterter Report hat dagegen eine gezielt ausgewählte Darstellung für eine bestimmte Prüfung oder Empfängergruppe.

1. Datenbank kontrollieren: Prüfen Sie oben in der Kopfzeile, welche Organisation ausgewählt ist. Speichern Sie zuvor noch offene Änderungen.
2. Export öffnen: Wählen Sie Start → Datenexport. Wenn der Punkt nicht verfügbar ist, lassen Sie Ihre Berechtigung von der Administration prüfen. Die Rolle „Datenschutzbeauftragte(r)“ umfasst Exportfunktionen.
3. Datei erzeugen: Klicken Sie im Bereich Excel auf Start Excel export und warten Sie, bis der Download abgeschlossen ist.
4. Ergebnis prüfen: Öffnen Sie die heruntergeladene Datei. Kontrollieren Sie die enthaltenen Tabellen und stichprobenartig bekannte Einträge, etwa den zuletzt gespeicherten Supportprozess. Prüfen Sie gesondert, wie Dokumentverweise und Anhänge berücksichtigt sind.
5. Geordnet aufbewahren: Legen Sie die Datei am vorgesehenen geschützten Speicherort ab, beispielsweise als MoeWe_Supportorganisation_2026-09-21.xlsx. Geben Sie sie nur an den vorgesehenen Empfängerkreis weiter.

Zuständigkeit: Die befugte Person erstellt den Export; der fachlich zuständige Bereich prüft den benötigten Inhalt; Administration beziehungsweise IT legen Ablage und Zugriff fest.

Vorhandene Dokumentation prüfen und ergänzen

Nutzen Sie KI zur Ergänzung, Prüfung und Plausibilitätskontrolle Ihrer Dokumentation. Ausgangspunkt sind die bereits strukturierten Beschreibungen und die zugehörigen Nachweise. Prüfen Sie die Unterlagen zunächst selbst und formulieren Sie Ihre offenen Fragen.

Dokumentation mit einer externen KI prüfen: Exportieren Sie die Dokumentation der Ebenen 1, 2 und 3 als PDF und stellen Sie sie zusammen mit den zugehörigen Nachweisen in einer separaten, für Ihre Organisation freigegebenen KI-Umgebung bereit. Fachbereich und IT gleichen anschließend die Vorschläge mit Abläufen und Nachweisen ab; die Datenschutzfunktion bewertet Datenschutzfragen. Die befugte Leitung entscheidet über die abschließende Freigabe. Übernehmen Sie nur entsprechend geprüfte Ergebnisse in MoeWe.

1. Unterlagen zusammenstellen: Beschreibungen bzw. Reports der Ebenen 1 bis 3, vorhandene TOM, relevante Auftragsverarbeitungsverträge, Sicherheitsnachweise und gegebenenfalls Service-Level-Vereinbarungen.
2. Dokumente zuordnen: Machen Sie erkennbar, welche Unterlage welche Verarbeitung, Anwendung oder Infrastruktur betrifft. Verwenden Sie eindeutige Dateinamen, beispielsweise „Ebene1.pdf“, „Ebene2.pdf“ und „Ebene3.pdf“. Ordnen Sie auch Zertifikate, Prüfberichte und TOM dem tatsächlich erfassten Dienst bzw. Leistungsumfang zu; ein Dokumenttitel allein belegt noch keine einzelne Maßnahme.
3. Mit einer konkreten Prüffrage arbeiten: Lassen Sie Risiken und Maßnahmen den jeweiligen Ebenen, Phasen und Gewährleistungszielen zuordnen.
4. Jeden Vorschlag prüfen: Stimmt die Aussage mit dem tatsächlichen Verfahren überein? Belegt der angegebene Nachweis genau diese Maßnahme und ihre Umsetzung?
5. Geprüfte Ergebnisse zurückführen: Ergänzen Sie das passende Feld in MoeWe. Halten Sie fehlende Belege und neue Maßnahmen als offene Arbeit fest und bewerten Sie den Status erneut.

Kopiervorlage für eine strukturierte Prüfung

Ersetzen Sie die Platzhalter und stellen Sie nur Unterlagen bereit, die Sie in der verwendeten KI-Umgebung verarbeiten dürfen.

Strukturierte Maßnahmensätze

Formulieren Sie Maßnahmen bei Bedarf nach dieser Satzschablone: Praktik + Zielobjekt + MUSS / SOLLTE / KANN + Ergebnis + Handlungswort, optional ergänzt um Tags, Hinweise, Begründung und Bewertung. Wichtig ist die nachvollziehbare Begründung der Verbindlichkeit und der Bezug zum Nachweis.

Die fachliche Bewertung zusammenführen

Wenn für Ihre Verarbeitung eine Datenschutz-Folgenabschätzung (DSFA) bearbeitet wird, dient die strukturierte Dokumentation als Grundlage. Der Fachbereich und die IT liefern die Fakten; die Datenschutzfunktion bewertet mit ihnen den DSFA-Bedarf, der DSB berät. Die verantwortliche Organisation entscheidet durch ihre befugte Leitung und dokumentiert das Ergebnis. Bei voraussichtlich hohem Risiko ist eine DSFA vorab erforderlich; „Vertiefung“ bedeutet deshalb nicht, dass sie frei abwählbar ist.

Bearbeiten Sie im DSFA-Reiter die folgenden Felder. Überführen Sie geprüfte Ergebnisse in den jeweils passenden Abschnitt:

Im DSFA-Reiter führen Sie das Ergebnis der zugrunde liegenden Dokumentation zusammen. Die detaillierten Nachweise und Bewertungen bleiben in den Beschreibungen und verknüpften Einträgen erhalten; der zusammenfassende Text ersetzt sie nicht.

Prüfen Sie die Zusammenfassung gegen die Detailbewertungen und speichern Sie den Datensatz. Die KI kann einen Berichtsentwurf aus den bereitgestellten Unterlagen erstellen; die fachliche Prüfung und abschließende Entscheidung bleiben ein eigener Arbeitsschritt.

Die Dokumentation mehrfach nutzen

Aufbewahrung und Löschung im Überblick

Nutzen Sie VVT Reports → Aufbewahrungsfristen, um die dokumentierten Fristen und Speicherorte im Zusammenhang zu prüfen. Stimmen die Übersicht und die Angaben unter „Daten beseitigen“ überein? Sind relevante Kopien und Sicherungen berücksichtigt? Vergleichen Sie alle erfassten Speicherorte mit Lösch- und Backupkonzept. Klären Sie für jeden Ort, wer für Sicherung und Wiederherstellung zuständig ist – insbesondere bei externen Softwarediensten.

Ausfallvorsorge im Reiter BCM

Im Reiter BCM (Business Continuity Management) werden Kritikalität, maximal tolerierbare Ausfallzeit, Priorität Wiederanlauf, Auswirkung bei Ausfall und Bemerkungen erfasst. Der Fachbereich liefert die tolerierbare Unterbrechung und die Folgen; IT und Dienstleister liefern Wiederherstellungszeiten und Testergebnisse. Beide prüfen Widersprüche. Die befugte Leitung entscheidet über Prioritäten und erforderliche Verbesserungen.

KI-Anwendungen über das Verzeichnis finden

Öffnen Sie das Verzeichnis Fachapplikationen und filtern Sie nach Gruppe: KI. Ordnen Sie auch bereits genutzte Anwendungen entsprechend zu, wenn ein Dienstleister dort neu KI-Funktionen einführt. So erhalten Sie eine Übersicht der erfassten KI-Werkzeuge und können die verknüpften Verarbeitungen erneut prüfen.

Ergebnisse für unterschiedliche Zielgruppen aufbereiten

Aus derselben geprüften Grundlage lassen sich Entwürfe für eine kurze Managementzusammenfassung, eine Aufgabenliste für Fachbereich und IT oder ausführlichere Datenschutzberichte erstellen. Auch Entwürfe für Datenschutzinformationen und Auskünfte können darauf aufbauen. Prüfen Sie Inhalt, Vollständigkeit und Empfängerkreis jeweils gesondert, bevor Sie solche Texte verwenden. Für Fachbereich und IT sollte die Ausgabe konkrete Aufgaben, zuständige Personen und zielgruppengerechte Sprache enthalten. Bei einer Auskunft müssen Sie zunächst klären, in welchen Verarbeitungen die anfragende Person tatsächlich betroffen ist; Beziehungen helfen dann, beteiligte Empfänger zu ermitteln. Ein allgemeiner VVT-Report allein ist noch keine vollständige individuelle Auskunft.

Ist die Dokumentation bereit für die Prüfung?

Diese Checkliste fasst den Ablauf zusammen. Sie ergänzt die begründeten Einzelbewertungen in MoeWe.

• Die richtige Datenbank ist ausgewählt; Rollen und Benutzerzuweisungen passen zu den Aufgaben.
• Relevante Auditfragen sind mit Status, Begründung und zuständiger Organisationseinheit bearbeitet.
• Die Verarbeitung ist eindeutig benannt, abgegrenzt und fachlich zugeordnet.
• Zweck, geprüfte Rechtsgrundlage, Personengruppen, Datenkategorien und Speicherorte sind dokumentiert.
• Alle vier Phasen sind verständlich und widerspruchsfrei beschrieben.
• Anwendungen, Infrastruktur und Datenweitergaben sind vollständig und korrekt verknüpft.
• Die sieben Gewährleistungsziele wurden je Phase und relevantem Eintrag betrachtet.
• Eingriffsintensität, Risiken ohne Maßnahmen und Status nach Umsetzung sind getrennt und begründet erfasst.
• Maßnahmen sind konkret beschrieben; ihre Umsetzung ist belegt oder eindeutig als offen gekennzeichnet.
• Reports und Beziehungen wurden geprüft; offene Punkte haben eine zuständige Person und einen vereinbarten nächsten Schritt.
• Falls KI verwendet wurde: Ergebnisse sind mit Nachweisen und Abläufen abgeglichen. Sonst ist dieser Prüfschritt nicht erforderlich.
• DSFA-Bedarf ist geklärt und eine erforderliche DSFA bearbeitet. Bewertende und freigebende Personen sowie Entscheidung sind dokumentiert; Änderungen sind gespeichert.
• Falls ein Export benötigt wird: Datei geöffnet, Inhalt geprüft und geschützt abgelegt.

Die Häkchen werden, soweit vom Browser unterstützt, nur lokal in diesem Browser gespeichert. Sie ändern keine Daten in MoeWe und gelten nicht als Freigabe.

Häufige Fragen

Glossar

Updatehistory