01 Erfassen
Die Verarbeitung wird sichtbar
Systeme, Datenflüsse, Dienstleister, Verantwortlichkeiten und bestehende Nachweise werden zu einem belastbaren Lagebild zusammengeführt.
Datenschutz für Unternehmen
Datenschutz wird belastbar, wenn Verantwortung, Technik und Nachweise zusammenpassen.
Wir ordnen Rollen, Verarbeitungen, Dienstleister und Schutzmaßnahmen zu einem Datenschutzbetrieb, der im Alltag funktioniert - als externer Datenschutzbeauftragter oder in einem klar abgegrenzten Beratungsprojekt.
Externer DSB & Beratung Deutschlandweit Datenschutz & IT-Sicherheit
Datenschutzbetrieb / Zuständigkeit
laufend01 / Verantwortung
Leitung
entscheidet, stellt Ressourcen bereit und verantwortet die Verarbeitung
02 / Einordnung
Datenschutzfunktion
berät, bewertet und überwacht im vereinbarten Mandat
03 / Umsetzung
Fachbereiche
führen Prozesse, Maßnahmen und Nachweise in der Praxis
Gemeinsame Arbeitsgrundlage
VVTAVVDSFATOMVorfälle
Art. 5(2)
Rechenschaft
Einhaltung nicht nur organisieren, sondern mit belastbaren Nachweisen belegen
Art. 28
Auftragsverarbeitung
Rollen, Verträge und Garantien in der Dienstleisterkette nachvollziehbar prüfen
Art. 32
Sicherheit
Technische und organisatorische Maßnahmen am tatsächlichen Risiko ausrichten
Art. 35
Folgenabschätzung
Voraussichtlich hohe Risiken vor Beginn einer Verarbeitung strukturiert bewerten
Erfassen / Bewerten / Steuern
Aus verstreuten Pflichten wird ein steuerbarer Datenschutzbetrieb.
Datenschutz ist kein einmaliges Dokumentenprojekt. Belastbar wird er, wenn neue Systeme, Dienstleister, Anfragen und Vorfälle immer wieder durch denselben nachvollziehbaren Prozess laufen.
02 Bewerten
Die Entscheidung wird begründbar
Pflichten und Risiken werden anhand der tatsächlichen Verarbeitung eingeordnet - nicht nur anhand einer allgemeinen Checkliste.
03 Steuern
Der nächste Schritt wird klar
Maßnahmen erhalten Verantwortliche, Priorität und Nachweis. Neue Projekte und Vorfälle laufen anschließend durch feste Entscheidungswege.
Typische Auslöser für eine neue Bewertung
A
Wachstum
Die Organisation, Zahl der Beschäftigten oder Gesellschaftsstruktur verändert sich.
B
Neue Technik
Cloud-, KI-, HR- oder Monitoring-Systeme verändern Datenflüsse und Risiken.
C
Dienstleister
SaaS-Anbieter, IT-Support oder Unterauftragnehmer müssen sauber eingeordnet werden.
D
Vorfall
Eine Datenschutzverletzung erfordert schnelle Bewertung, Dokumentation und klare Meldewege.
Leistung nach Ausgangslage
Wählen Sie nicht zuerst ein Paket. Klären Sie zuerst die Aufgabe.
Ein DSB-Mandat, eine AVV-Prüfung und ein technisches Assessment lösen unterschiedliche Probleme. Wir zeigen transparent, was bereits verfügbar ist und grenzen den Bedarf vor dem Angebot ab.
Nr.LeistungswegStatusPassend, wennErgebnis
Externer Datenschutzbeauftragter
DSB-Mandat ansehenStatus
VerfügbarPassend, wenn
Eine Benennungspflicht ist zu prüfen oder eine unabhängige DSB-Funktion wird benötigt.
Ergebnis
Einordnung, formale Benennung und ein klar abgegrenztes Mandat für Beratung, Überwachung und Bericht.
Auftragsverarbeitung
Leistungsstand ansehenStatus
In VorbereitungPassend, wenn
Neue Dienstleister oder unklare Verarbeitungsketten werfen Fragen zu Rollen, AVV und Garantien auf.
Ergebnis
Dokumentierte Rollenprüfung, Einordnung von Vertrag und TOM sowie eine Liste offener Punkte.
Datenschutz-Fachberatung
Fragestellung einordnenStatus
Nach AbgrenzungPassend, wenn
VVT, DSFA, Betroffenenrechte oder technische Datenschutzfragen brauchen eine fachliche Einordnung.
Ergebnis
Klarer Beratungsauftrag, getrennt von DSB-Überwachung und operativer Umsetzung.
Technisches Assessment
Prüfbedarf einordnenStatus
Separates FachmandatPassend, wenn
Die Wirksamkeit technischer und organisatorischer Maßnahmen soll unabhängig untersucht werden.
Ergebnis
Technischer Prüfauftrag mit eigenem Scope und vorheriger Prüfung möglicher Interessenkonflikte.
Nicht jede Datenschutzfrage erfordert ein dauerhaftes DSB-Mandat. Umgekehrt ersetzt ein einzelnes Beratungsprojekt keine gesetzlich erforderliche unabhängige DSB-Funktion. Die erste Einordnung trennt beides sauber.
Verantwortung bleibt eindeutig
Externe Unterstützung ersetzt keine interne Verantwortung.
Ihr Unternehmen entscheidet über Zwecke und Mittel der Verarbeitung und setzt Maßnahmen um. AWARE7 berät, bewertet, dokumentiert oder überwacht - abhängig vom vereinbarten Auftrag.
Ihre Organisation
entscheidet und setzt um
- Zwecke und Mittel der Verarbeitung festlegen
- Rechtsgrundlagen, Prozesse und Maßnahmen verantworten
- Informationen, Zugänge und interne Ansprechpartner bereitstellen
- Empfehlungen bewerten, entscheiden und nachverfolgen
AWARE7 im vereinbarten Mandat
ordnet ein und schafft Nachvollziehbarkeit
- Pflichten, Risiken und offene Entscheidungen strukturiert bewerten
- Dokumente und Nachweise an der tatsächlichen Verarbeitung ausrichten
- Datenschutz- und Security-Perspektive zusammenführen
- Als bestellter DSB unabhängig beraten, überwachen und berichten
DSB-Funktion, Fachberatung und technische Umsetzung werden vorab auf mögliche Interessenkonflikte geprüft und mit getrennten Verantwortlichkeiten beauftragt. Ein bestellter DSB legt insbesondere nicht selbst Zwecke und Mittel einer Verarbeitung fest.
EbeneBereichArbeitsgrundlageBelastbares Ergebnis
Governance
Leitung, Datenschutzfunktion, Fachbereiche und Eskalationswege
Verantwortung und Berichtsweg sind benannt
Verarbeitungen
Zwecke, Rechtsgrundlagen, Datenkategorien, Betroffene und Systeme
VVT und Risikobild entsprechen der Praxis
Dienstleister
Rollen, AV-Verträge, TOM, Unterauftragnehmer und Datenübermittlungen
Prüfentscheidungen und offene Punkte sind nachvollziehbar
Technik
Zugriffe, Löschung, Protokollierung, Verfügbarkeit und Wiederherstellung
Schutzmaßnahmen passen zum Risiko und zur Systemrealität
Nachweise
Prüfvermerke, Entscheidungen, Maßnahmenstände und regelmäßige Berichte
Rechenschaft bleibt auch bei Veränderungen belastbar
Von der Frage zum Regelbetrieb
Vier Schritte mit einem nachvollziehbaren Ergebnis.
Wir klären zuerst Auftrag und Ausgangslage. Erst danach folgen Maßnahmen, Dokumente oder ein laufendes Mandat.
PhaseSchrittEingangErgebnis
Klären
Anlass und Mandat
Eingang
Organisation, Fragestellung, Verarbeitungen und gewünschte Unterstützung
Ergebnis
Passender Einstieg und klar abgegrenzter Leistungsrahmen
Aufnehmen
Ausgangslage verstehen
Eingang
VVT, Systeme, Dienstleister, Richtlinien, TOM und bekannte offene Punkte
Ergebnis
Priorisiertes Lagebild statt unsortierter Dokumentensammlung
Ordnen
Maßnahmen und Verantwortung
Eingang
Risiken, Pflichten, vorhandene Kontrollen und interne Zuständigkeiten
Ergebnis
Entscheidungsfähiger Plan mit Verantwortlichen und Nachweisen
Betreiben
Regelbetrieb und Veränderung
Eingang
Neue Projekte, Prüfungen, Anfragen, Vorfälle und Maßnahmenstände
Ergebnis
Fester Takt für Bewertung, Umsetzung und Bericht
Standards und überprüfbare Nachweise
Orientierung ohne Zertifizierungsnebel.
Wir benennen klar, woran wir unsere Arbeit ausrichten und welche Nachweise AWARE7 selbst vorlegt. Eine Orientierung an einem Standard ist keine automatische Zertifizierung.
Managementsystem
Ausgabe 2025ISO/IEC 27701 als Privacy Management System
ISO/IEC 27701:2025 beschreibt Anforderungen und Leitlinien für ein Privacy Information Management System (PIMS). Die aktuelle Ausgabe ist als eigenständiger Managementsystemstandard nutzbar und kann weiterhin mit ISO/IEC 27001 integriert werden.
- Rollen, Risiken, Kontrollen und Nachweise in einem System verbinden
- Eigenständig oder gemeinsam mit einem bestehenden ISMS betreiben
- Rechenschaft und kontinuierliche Verbesserung strukturiert unterstützen
Eigener Nachweis
Trusted Data Processor
AWARE7 hat sich am 28. Mai 2026 auf die behördlich genehmigte Verhaltensregel nach Art. 40 DSGVO verpflichtet. Damit legen wir als Auftragsverarbeiter überprüfbare Garantien nach Art. 28 Abs. 5 DSGVO vor.
Datenschutz trifft IT-Sicherheit
Der Vertrag beschreibt die Pflicht. Die Technik muss sie tragen.
Datenschutz und Informationssicherheit haben unterschiedliche Rollen. Bei TOM, Cloud-Diensten und Vorfällen müssen beide Perspektiven jedoch zu derselben belastbaren Entscheidung führen.
Nr.SchnittstelleDatenschutzIT-Sicherheit
Technische und organisatorische Maßnahmen
Datenschutz
Risiko, Verarbeitung und Nachweispflicht einordnen
IT-Sicherheit
Kontrollen, Architektur und Wirksamkeit technisch bewerten
Cloud- und Dienstleisterkette
Datenschutz
Rollen, Vertragsgrundlage und Datenübermittlungen prüfen
IT-Sicherheit
Zugriffe, Mandantentrennung, Protokollierung und Resilienz bewerten
Datenschutzverletzung
Datenschutz
Risiko für Betroffene, Dokumentation und Meldepflichten bewerten
IT-Sicherheit
Ursache eingrenzen, Systeme sichern und Wiederholung verhindern
Leistungsrahmen
Der Umfang folgt Ihrer Organisation und Ihrem Risiko.
Ein belastbares Angebot entsteht erst, wenn Mandat, Systemlandschaft und Betreuungstakt geklärt sind. So bleibt sichtbar, was zum Grundumfang gehört und was bei Bedarf hinzukommt.
01
Organisation
Gesellschaften, Standorte, Beschäftigte, Rollen und vorhandene Datenschutzfunktion
02
Verarbeitungsrisiko
Datenkategorien, Betroffenengruppen, Überwachung, Profiling und DSFA-Bedarf
03
Systemlandschaft
Anwendungen, Dienstleister, Datenübermittlungen, Schnittstellen und technische Maßnahmen
04
Betreuungsmodell
Einzelprojekt, DSB-Mandat, Regeltermine, Prüfplan, Schulungen und Reaktionswege
Erste Einordnung mit einem klaren nächsten Schritt
Welche Datenschutz-Unterstützung passt zu Ihrer Ausgangslage?
Beschreiben Sie kurz Ihre Organisation, den Anlass und die wichtigsten offenen Fragen. Wir prüfen Ihre Angaben und melden uns werktags innerhalb von 24 Stunden mit Rückfragen oder einer ersten Einordnung. Ein Angebot folgt, sobald der Leistungsrahmen geklärt ist.
- DSB-Mandat, Beratungsprojekt und technische Prüfung sauber unterscheiden
- Rollen, Verarbeitungen, Dienstleister und Nachweise gemeinsam betrachten
- Datenschutzanforderungen mit der tatsächlichen Systemlandschaft abgleichen
- Leistungsumfang, Verantwortlichkeiten und nächsten Schritt transparent festlegen
Verantwortliche Ansprechpartner
Auftragsverarbeitung vorab geprüft: AWARE7 ist auf die behördlich genehmigte Verhaltensregel Trusted Data Processor (Art. 40 DSGVO) verpflichtet - als eines von vier Unternehmen in Deutschland (Stand: Juni 2026). Das vereinfacht Ihre Dienstleisterprüfung nach Art. 28 DSGVO. Details & Nachweise
Lieber direkt einen Termin? Erstberatung buchen →
Formular wird geladen ...
Fragen zur Datenschutzberatung
Wann braucht ein Unternehmen einen Datenschutzbeauftragten?
In Deutschland ist eine Benennung nach § 38 BDSG in der Regel erforderlich, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Unabhängig davon können Art und Umfang der Verarbeitung eine Benennung nach Art. 37 DSGVO oder § 38 BDSG erforderlich machen, etwa bei bestimmten umfangreichen Überwachungen, besonderen Datenkategorien oder Verarbeitungen mit Pflicht zur Datenschutz-Folgenabschätzung. Entscheidend ist deshalb eine dokumentierte Prüfung der tatsächlichen Verarbeitung und nicht allein die Beschäftigtenzahl.
Welche Verantwortung bleibt bei unserem Unternehmen?
Ihr Unternehmen bleibt als Verantwortlicher beziehungsweise Auftragsverarbeiter für die Verarbeitung und die Einhaltung der DSGVO verantwortlich. Es legt Zwecke und Mittel fest, trifft Entscheidungen, stellt Ressourcen bereit und setzt Maßnahmen um. Ein externer Datenschutzbeauftragter informiert, berät, überwacht und berichtet unabhängig; er übernimmt nicht die Verantwortung der Geschäftsleitung oder der Fachbereiche.
Was unterscheidet die DSB-Funktion von Datenschutzberatung?
Der bestellte Datenschutzbeauftragte hat eine gesetzlich definierte, unabhängige Beratungs- und Überwachungsfunktion nach Art. 37 bis 39 DSGVO. Eine Fachberatung kann dagegen ein konkretes Dokument, Projekt oder Umsetzungsproblem bearbeiten. Vor einer Kombination prüfen wir Mandat, Verantwortlichkeiten und mögliche Interessenkonflikte und grenzen die Leistungen vertraglich voneinander ab.
Wann ist ein Auftragsverarbeitungsvertrag erforderlich?
Ein AVV ist relevant, wenn ein externer Anbieter personenbezogene Daten im Auftrag und nach Weisung Ihres Unternehmens verarbeitet. Ein bloßer Datenzugang genügt für diese Einordnung nicht automatisch. Zuerst ist die tatsächliche Rolle des Dienstleisters zu prüfen; erst danach folgen Vertrag, technische und organisatorische Maßnahmen, Unterauftragnehmer und gegebenenfalls Datenübermittlungen in Drittländer.
Wie lassen sich Datenschutz und IT-Sicherheit kombinieren?
Beide Disziplinen arbeiten bei technischen und organisatorischen Maßnahmen, Cloud- Diensten und Vorfällen eng zusammen, behalten aber getrennte Aufgaben. Datenschutz ordnet Verarbeitung, Betroffenenrisiko und Nachweispflichten ein. IT-Sicherheit untersucht Architektur, Kontrollen und technische Wirksamkeit. Technische Prüfungen erhalten einen eigenen Leistungsumfang und werden auf mögliche Interessenkonflikte mit einem DSB-Mandat geprüft.
Was geschieht bei einer Datenschutzverletzung?
Zuerst werden Sachverhalt, betroffene Daten, mögliche Folgen und bereits ergriffene Maßnahmen dokumentiert. Anschließend wird bewertet, ob ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht und ob eine Meldung an die Aufsichtsbehörde oder eine Benachrichtigung Betroffener erforderlich ist. Wenn eine Meldung nach Art. 33 DSGVO erforderlich ist, muss sie unverzüglich und möglichst binnen 72 Stunden nach Kenntnis erfolgen. Nicht jede Datenschutzverletzung ist meldepflichtig.
Kann ISO/IEC 27701 ohne ISO 27001 genutzt werden?
Ja. ISO/IEC 27701:2025 ist ein eigenständiger Managementsystemstandard für ein Privacy Information Management System (PIMS). Er kann separat eingesetzt und zertifiziert oder mit einem bestehenden ISMS nach ISO/IEC 27001 integriert werden. Eine Orientierung an der Norm ist noch keine Zertifizierung; eine Zertifizierung ist ein eigenständiges Vorhaben.
Welche Unterlagen helfen bei der ersten Einordnung?
Hilfreich sind ein vorhandenes Verzeichnis von Verarbeitungstätigkeiten, eine Übersicht der wichtigsten Systeme und Dienstleister, bestehende AV-Verträge und TOM, interne Richtlinien sowie bekannte offene Fragen oder Vorfälle. Fehlen einzelne Unterlagen, ist das kein Hindernis: Im Erstgespräch klären wir, womit die Bestandsaufnahme sinnvoll beginnt.
Wovon hängen Umfang und Kosten ab?
Maßgeblich sind Organisationsgröße und Gesellschaftsstruktur, Art und Risiko der Verarbeitungen, Zahl der Systeme und Dienstleister sowie das gewünschte Betreuungsmodell. Ein Einzelprojekt, eine punktuelle Prüfung und ein laufendes DSB-Mandat haben deshalb unterschiedliche Leistungsrahmen. Nach der ersten Einordnung erhalten Sie ein Angebot mit klar beschriebenem Grundumfang und benannten Zusatzleistungen.
