DSGVO-Evidenz auf Knopfdruck — VVT, Auskünfte, Meldungen und DSFA aus einer Source of Truth.
Die DSGVO belohnt Organisationen, die ihre Arbeit zeigen können — und bestraft die, die es nicht können. Lojycal verwandelt Verzeichnis der Verarbeitungstätigkeiten, Auskunftsrecht, Meldungen und Datenschutz-Folgenabschätzungen in einen live signierten Evidenz-Stream — damit die nächste Aufsichtsanfrage ein Same-Day-Export ist, kein Feueralarm.
Was die DSGVO wirklich verlangt
Verordnung (EU) 2016/679 gilt seit Mai 2018, aber die Durchsetzung hat seit 2023 deutlich angezogen. Aufsichtsbehörden erwarten nachweisbare, nicht behauptete Compliance.
Verzeichnis von Verarbeitungstätigkeiten (VVT)
Art. 30 verlangt von jedem Verantwortlichen und Auftragsverarbeiter ein aktuelles VVT — Datenkategorien, Zwecke, Empfänger, Speicherfristen, Übermittlungen, Garantien.
Betroffenenrechte (Auskunft)
Auskunftsanfragen nach Art. 15 sind innerhalb eines Monats, unentgeltlich, mit vollständiger Kopie der personenbezogenen Daten und Metadaten zu beantworten.
Meldung von Datenpannen
Art. 33 fordert Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Kenntnisnahme einer meldepflichtigen Verletzung — mit strukturiertem Inhalt.
Datenschutz-Folgenabschätzung (DSFA)
Art. 35 verlangt eine DSFA für Verarbeitungen mit hohem Risiko — darunter die meisten umfangreichen automatisierten Entscheidungen, einschließlich Profiling.
Die Lojycal DSGVO-Engine
Vier verbundene Workspaces erzeugen jedes Artefakt, das Ihr DSB, Ihr Legal-Team oder eine Aufsichtsbehörde verlangt.
Verzeichnis der Verarbeitungstätigkeiten
Lebendiges Art.-30-Verzeichnis, gebaut aus SaaS-Inventar, Datenflüssen und Verarbeitungszwecken. Verantwortlicher- und Auftragsverarbeiter-Einträge, mit letztem Review und DSB-Freigabe.
Trust Center → RoPA
Auskunfts-Fulfilment
Antragsannahme, Identitätsprüfung, Datenermittlung über verbundene Systeme, Schwärzungs-Workflow und gebündelte Antwort — mit WORM-Record jedes Schritts.
Workflows + Data Governance
Datenpannen-Meldung
Erkennungen fließen ins Datenpannen-Ledger. Meldepflichtige Pannen öffnen automatisch einen Art.-33-Entwurf mit Kategorien, Schätzzahlen, wahrscheinlichen Folgen und Maßnahmen.
SIEM + Incident Ledger
DSFA-Workspace
DSFA-Template verknüpft mit Verzeichnis und Risikoregister. Jede DSFA versioniert, mit Konsultationsnachweis und DSB-Freigabe.
Trust Center → DPIA
DSGVO-Artikel → Lojycal-Controls
Lojycal erzeugt automatisch Evidenz für die operativen Pflichten aus Kapitel II–IV. Eine Auswahl:
| DSGVO-Bereich | Beispiel-Pflicht | Lojycal-Quelle |
|---|---|---|
| Kap. II — Grundsätze | Art. 5 — Rechenschaftspflicht | Audit-Log + Evidence Pack |
| Kap. III — Rechte | Art. 15 — Auskunftsrecht | Workflows → DSAR |
| Kap. III — Rechte | Art. 17 — Recht auf Löschung | Workflows → Erasure |
| Kap. III — Rechte | Art. 20 — Datenübertragbarkeit | Workflows → Export |
| Kap. IV — Verantwortlicher | Art. 30 — Verzeichnis von Verarbeitungstätigkeiten | Trust Center → RoPA |
| Kap. IV — Sicherheit | Art. 32 — Sicherheit der Verarbeitung | Trust Center → Posture |
| Kap. IV — Meldung | Art. 33 — Meldung binnen 72 h | Incident Ledger → Report Builder |
| Kap. IV — DSFA | Art. 35 — DSFA bei Hochrisiko-Verarbeitung | Trust Center → DPIA |
| Kap. V — Übermittlungen | Art. 44+ — Drittlandsübermittlungen | Vendor Governance → Transfer Map |
Stichprobe — nicht vollständig. Abdeckung hängt von aktivierten Modulen und Konnektoren ab.
Nachweisbare statt behauptete Compliance
Art. 5(2) ist die unbarmherzige Klausel: Der Verantwortliche ist verantwortlich für — und muss nachweisen können — die Einhaltung der Grundsätze. Eine Policy als PDF weist nichts nach.
Lojycal schreibt jede Auskunftserfüllung, jede Datenpannen-Entscheidung, jeden DSFA-Review und jede Aufbewahrungs-Erzwingung in ein WORM-Audit-Log (write-once, read-many). Das Trust Center bündelt gewählte Zeitfenster in ein signiertes Evidence Pack — JSON, CSV und PDF mit abgesetzter HMAC-Signatur je Organisation — das Ihr DSB ohne Vorbereitung an eine Aufsichtsbehörde übergeben kann.
Von VVT zur Aufsichtsreife — 90-Tage-Pfad
Die meisten DSGVO-Programme driften zwischen Jahres-Reviews und Krisenmodus. Lojycal macht daraus einen stetigen operativen Loop, die Artefakte sind immer einen Klick entfernt.
- Tag 0–30
Phase 1 — VVT & Rechtsgrundlage
VVT aus SaaS-Inventar und Datenflüssen erzeugen. Rechtsgrundlage, Aufbewahrung und DSB-Owner je Verarbeitung. Art.-35-Kandidaten für DSFA identifizieren.
- Tag 31–60
Phase 2 — Auskunfts- & Pannen-Pipeline
Auskunfts-Annahme mit Identitätsprüfung und Datenermittlung verknüpfen. SIEM/EDR an Datenpannen-Ledger anbinden. Tabletop einer Art.-33-Meldung durchgängig proben.
- Tag 61–90
Phase 3 — DSFA & Übermittlungen
DSFA für höchstrisiko-Verarbeitungen abschließen. Drittlandsübermittlungen, SCCs und TIAs kartieren. Signiertes Evidence Pack und DSB-Bericht erzeugen.
DSGVO-Evidenz-Automation — häufige Fragen
Was ist DSGVO-Evidenz-Automation?
DSGVO-Evidenz-Automation bezeichnet die Praxis, das Verzeichnis von Verarbeitungstätigkeiten, Auskunftserfüllungen, Datenpannenmeldungen und DSFAs direkt aus den live betriebenen Systemen zu erzeugen — statt sie vor jedem DSB-Review oder jeder Aufsichtsanfrage manuell zu produzieren. Lojycal automatisiert VVT, Auskunfts-Workflow, Pannen-Report-Builder und DSFA-Workspace durchgängig.
Ersetzt Lojycal unseren DSB?
Nein. Ein Datenschutzbeauftragter (soweit nach Art. 37 erforderlich) ist eine benannte Rolle mit gesetzlicher Unabhängigkeit. Lojycal automatisiert die Artefakte, die der DSB beaufsichtigt — VVT, Auskunfts-Records, Pannen-Entscheidungen, DSFAs und das Evidence Pack für die Aufsichtsbehörde — damit der DSB Zeit für Beurteilung statt Papierkram hat.
Wie funktioniert der 72-h-Meldefluss bei Datenpannen?
Erkennungen aus SIEM, EDR, MDM, SaaS und Datenbank-Konnektoren fließen in das Pannen-Ledger. Lojycal wendet die Art.-33-Trigger-Kriterien an (Datenkategorien, Risiko für Rechte und Freiheiten, Schätzzahlen) und hebt Vorfälle hervor, die die Melde-Schwelle erreichen. Ein Art.-33-Meldeentwurf wird für Ihre zuständige Aufsichtsbehörde vorausgefüllt — der DSB prüft, ergänzt und reicht innerhalb der 72 h ein.
Wie bleibt das VVT aktuell?
Das VVT ist ein lebendiges Dokument im Trust Center, keine Word-Datei. Es wird aus SaaS-Inventar (welche Systeme existieren), Datenermittlung (welche personenbezogenen Daten sie berühren) und Workflows (welche Verarbeitung sie durchführen) generiert. Eine Scope-Änderung (neues SaaS, neuer Datenfluss, entfernte Integration) aktualisiert das VVT automatisch; wesentliche Änderungen werden vom DSB im Audit-Log freigegeben.
Was ist mit Drittlandsübermittlungen unter Schrems II?
Lojycals Vendor-Governance-Modul kartiert pro Anbieter den Verarbeitungsort, die Sub-Processor-Kette und den Übermittlungs-Mechanismus (Angemessenheitsbeschluss, SCCs, BCRs). Der TIA-Workspace dokumentiert die Drittlandsrechtsanalyse und ergänzende Maßnahmen je Übermittlung. Drift — ein Anbieter wechselt Sub-Processor oder Region — löst Re-Review aus.
Wie überschneidet sich die DSGVO mit NIS2 und der KI-VO?
Erheblich. Die Cyber-Hygiene- und Vorfallmaßnahmen aus NIS2 Art. 21 überschneiden sich mit den Sicherheitspflichten aus DSGVO Art. 32; eine Art.-33-Datenpanne ist oft auch ein meldepflichtiger NIS2-Vorfall. Die KI-VO legt technische Dokumentation und menschliche Aufsicht auf DSGVO-Datenminimierung und DSFA-Pflichten für KI mit personenbezogenen Daten obendrauf. Lojycals Trust Center verknüpft diese, sodass dieselbe Evidenz alle drei Regime abdeckt.
DSGVO nachweisbar machen, nicht behauptbar.
Jede Verarbeitung. Jede Auskunftsanfrage. Jede Pannenentscheidung. Jede DSFA. Eine signierte Source of Truth.