Glossar

Compliance hat ein Sprachproblem. Dieselbe Sache heißt im Gesetz anders als im Angebot des Softwareanbieters und noch einmal anders im Audit. Dieses Compliance-Glossar erklärt die Begriffe, die auf dieser Website vorkommen – kurz, und jeweils mit dem Verweis auf die Seite, die den Begriff ausführt.

Die Einträge sind Erklärungen, keine Legaldefinitionen. Maßgeblich ist immer der Wortlaut der Vorschrift; wo eine gilt, ist sie verlinkt.

  • Personenbezogene Daten

    Alle Angaben, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Entscheidend ist die Identifizierbarkeit, nicht der Name: Auch eine IP-Adresse, eine Kundennummer oder ein Standortverlauf gehören dazu. Siehe Was ist Datenschutz.

  • Besondere Kategorien personenbezogener Daten

    Gesundheitsdaten, biometrische Daten, Daten zu Religion, Gewerkschaftszugehörigkeit, Sexualleben, politischer Meinung und ethnischer Herkunft. Ihre Verarbeitung ist grundsätzlich verboten und nur unter den engen Ausnahmen des Art. 9 DSGVO erlaubt.

  • Verarbeitung

    Jeder Vorgang mit personenbezogenen Daten – erheben, speichern, ansehen, verändern, übermitteln, löschen. Auch das bloße Aufbewahren ist eine Verarbeitung.

  • Verantwortlicher

    Wer über Zwecke und Mittel der Verarbeitung entscheidet. Die Verantwortlichkeit folgt der Entscheidungsmacht, nicht dem Eigentum an den Daten oder der Technik.

  • Auftragsverarbeiter

    Wer Daten weisungsgebunden für einen Verantwortlichen verarbeitet – etwa ein Rechenzentrum oder ein Lohnbüro. Grundlage ist ein Vertrag nach Art. 28 DSGVO.

  • Gemeinsame Verantwortlichkeit

    Zwei oder mehr Stellen legen Zwecke und Mittel gemeinsam fest. Sie müssen in einer Vereinbarung nach Art. 26 DSGVO regeln, wer welche Pflicht erfüllt – vor allem die Information der betroffenen Personen.

  • Betroffene Person

    Der Mensch, dessen Daten verarbeitet werden. Betroffen sind auch Beschäftigte, Bewerber, Lieferantenkontakte und Websitebesucher, nicht nur Kunden.

  • Rechtsgrundlage

    Ohne eine der sechs Grundlagen aus Art. 6 DSGVO ist eine Verarbeitung unzulässig. Die häufigsten sind Vertrag, rechtliche Verpflichtung, berechtigtes Interesse und Einwilligung.

  • Einwilligung

    Freiwillige, informierte und eindeutige Zustimmung. Sie ist jederzeit widerrufbar, und der Widerruf muss so einfach sein wie die Erteilung. Im Beschäftigungsverhältnis ist die Freiwilligkeit selten gegeben – deshalb ist die Einwilligung dort meist die schlechteste Wahl.

  • Berechtigtes Interesse

    Rechtsgrundlage, die eine dokumentierte Abwägung zwischen Ihrem Interesse und den Rechten der betroffenen Person verlangt. Die Abwägung muss vor der Verarbeitung erfolgen und schriftlich vorliegen – siehe Berechtigtes Interesse.

  • Zweckbindung

    Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden. Ein neuer Zweck braucht eine eigene Grundlage – der häufigste Fehler in der Praxis ist nicht die unzulässige Erhebung, sondern die stille Zweckänderung.

  • Datenminimierung

    Nur so viele Daten wie nötig, nicht so viele wie möglich. Zusammen mit Zweckbindung, Richtigkeit, Speicherbegrenzung, Integrität und Rechenschaft bildet sie die sieben Grundsätze der Verarbeitung.

  • Rechenschaftspflicht

    Sie müssen die Einhaltung der DSGVO nicht nur gewährleisten, sondern nachweisen können. Praktisch heißt das: Was nicht dokumentiert ist, gilt im Zweifel als nicht getan.

  • Pseudonymisierung

    Der Personenbezug wird durch einen Schlüssel ersetzt, der getrennt aufbewahrt wird. Pseudonyme Daten bleiben personenbezogen – solange der Schlüssel existiert, gilt die DSGVO weiter.

  • Anonymisierung

    Der Personenbezug wird unumkehrbar entfernt. Anonyme Daten fallen nicht mehr unter die DSGVO. Die Hürde ist hoch: Reicht eine Kombination weniger Merkmale zur Wiedererkennung, liegt keine Anonymisierung vor.

  • Privacy by Design und by Default

    Datenschutz gehört in die Technik und in die Voreinstellung, nicht in eine nachträgliche Regelung. Die datenschutzfreundlichste Einstellung ist die, die ohne Zutun gilt.

  • Drittland

    Jeder Staat außerhalb von EU und EWR. Eine Übermittlung dorthin braucht eine eigene Grundlage – siehe Datenübermittlung in die USA.

  • Datenschutzbeauftragter (DSB)

    Überwacht die Einhaltung der DSGVO, berät und ist Anlaufstelle für Aufsichtsbehörde und betroffene Personen. Er arbeitet weisungsfrei und genießt einen besonderen Kündigungsschutz – Aufgaben nach Art. 39 DSGVO.

  • Interner und externer DSB

    Dieselbe gesetzliche Rolle, unterschiedliche Besetzung. Der interne Beauftragte kennt das Haus, der externe bringt Erfahrung aus vielen Häusern mit und erzeugt keinen Interessenkonflikt – die Rechnung im Vergleich.

  • Datenschutzkoordinator

    Keine gesetzliche Funktion, sondern eine interne Rolle: weisungsgebunden, operativ, ohne Benennungswirkung. Sie erfüllt die Bestellpflicht nicht – Datenschutzkoordinator.

  • Bestellpflicht

    Wann ein DSB zu benennen ist, ergibt sich aus Art. 37 DSGVO und § 38 BDSG – unter anderem ab 20 Personen, die ständig mit automatisierter Verarbeitung befasst sind. Entfällt die Pflicht, bleiben die übrigen Pflichten bestehen – Bestellpflicht entfallen.

  • EU-Vertreter

    Wer außerhalb der EU sitzt, aber Personen in der EU adressiert, muss einen Vertreter in der Union benennen – Art. 27 DSGVO.

  • Aufsichtsbehörde

    Die zuständige Behörde richtet sich nach dem Sitz der Niederlassung; jedes Bundesland hat eine, Bayern zwei. Sie berät, prüft und verhängt Bußgelder – wer für Sie zuständig ist.

  • Informationssicherheitsbeauftragter (ISB)

    Verantwortet das Managementsystem für Informationssicherheit. Anders als der DSB ist die Rolle nicht allgemein gesetzlich vorgeschrieben, wird aber von NIS-2, TISAX® und Kunden regelmäßig verlangt – externer ISB.

  • Meldestellenbeauftragter

    Führt die interne Meldestelle nach dem Hinweisgeberschutzgesetz und braucht die Fachkunde nach § 15 HinSchG – Meldestellenbeauftragter.

  • Ombudsperson

    Externe Vertrauensperson als Meldekanal. Sie ersetzt die interne Meldestelle nicht automatisch, sondern nimmt Meldungen für sie entgegen – Ombudsperson.

  • KI-Beauftragter

    Keine Pflichtrolle der KI-Verordnung, aber die praktische Antwort auf verteilte Zuständigkeiten – KI-Beauftragter.

  • Verzeichnis von Verarbeitungstätigkeiten (VVT)

    Das Grundbuch des Datenschutzes nach Art. 30 DSGVO: welche Daten zu welchem Zweck auf welcher Grundlage verarbeitet werden, wer sie erhält und wann sie gelöscht werden.

  • Technische und organisatorische Maßnahmen (TOM)

    Die Schutzmaßnahmen nach Art. 32 DSGVO – von der Verschlüsselung bis zur Zutrittsregelung. Sie müssen zum Risiko passen und überprüfbar sein.

  • Datenschutz-Folgenabschätzung (DSFA)

    Vorabprüfung bei voraussichtlich hohem Risiko, etwa bei umfangreicher Verarbeitung besonderer Kategorien oder systematischer Überwachung – DSFA nach Art. 35.

  • Auftragsverarbeitungsvertrag (AVV)

    Pflichtvertrag mit jedem Auftragsverarbeiter, mit Mindestinhalt aus Art. 28: Weisungsbindung, Unterauftragnehmer, Unterstützungspflichten, Löschung nach Vertragsende – AVV.

  • Löschkonzept

    Legt für jede Datenart fest, wann sie gelöscht wird und welche Aufbewahrungspflicht dem entgegensteht. Orientierung bietet die DIN 66398 – Löschkonzept.

  • Informationspflichten

    Was betroffene Personen bei der Erhebung erfahren müssen, steht in Art. 13 DSGVO – vollständig, verständlich und zum Zeitpunkt der Erhebung.

  • Datenschutzkonzept und Datenschutzrichtlinie

    Das Konzept beschreibt, wie Datenschutz im Haus organisiert ist; die Richtlinie sagt den Beschäftigten, was sie zu tun haben – Datenschutzkonzept, Datenschutzrichtlinie.

  • Verpflichtung auf Vertraulichkeit

    Beschäftigte sind vor der ersten Verarbeitung zu verpflichten und zu schulen – Datenschutzschulungen.

  • Auskunft

    Recht auf Bestätigung, ob Daten verarbeitet werden, auf eine Kopie und auf begleitende Angaben. Frist: ein Monat, verlängerbar um zwei – Auskunftsanfrage nach Art. 15.

  • Berichtigung, Löschung, Einschränkung

    Unrichtige Daten sind zu korrigieren, nicht mehr erforderliche zu löschen. Steht der Löschung eine Aufbewahrungspflicht entgegen, tritt an ihre Stelle die Einschränkung der Verarbeitung.

  • Datenübertragbarkeit

    Recht, die selbst bereitgestellten Daten in einem gängigen Format zu erhalten – begrenzt auf Verarbeitungen aufgrund von Einwilligung oder Vertrag.

  • Widerspruch

    Gegen Verarbeitungen auf Grundlage berechtigten Interesses. Bei Direktwerbung gilt er ausnahmslos und sofort.

  • Automatisierte Entscheidung im Einzelfall

    Entscheidungen allein durch Automatik mit rechtlicher Wirkung sind nur ausnahmsweise zulässig und verlangen die Möglichkeit, eine menschliche Prüfung zu erwirken. Der Überblick über alle Rechte: Betroffenenrechte.

  • Verletzung des Schutzes personenbezogener Daten

    Umgangssprachlich Datenpanne: jede Verletzung der Sicherheit, die zu Verlust, Veränderung oder unbefugter Offenlegung führt. Auch die falsch adressierte E-Mail zählt.

  • 72-Stunden-Frist

    Meldepflichtige Verletzungen sind binnen 72 Stunden nach Kenntnis der Aufsichtsbehörde zu melden (Art. 33 DSGVO). Die Frist läuft ab Kenntnis, nicht ab Aufklärung – Datenschutzvorfall melden.

  • Benachrichtigung der betroffenen Personen

    Zusätzlich erforderlich, wenn ein hohes Risiko für die Betroffenen besteht (Art. 34).

  • Bußgeld

    Zwei Rahmen: bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, bei schwereren Verstößen das Doppelte. Maßgeblich ist der höhere Betrag – DSGVO-Bußgelder.

  • ISMS

    Managementsystem für Informationssicherheit: Regeln, Rollen und Abläufe, mit denen Risiken systematisch behandelt werden – ISMS aufbauen.

  • Schutzziele

    Vertraulichkeit, Integrität und Verfügbarkeit. Datenschutz kennt zusätzlich Belastbarkeit und Wiederherstellbarkeit.

  • Schutzbedarf und Klassifizierung

    Vor jeder Maßnahme steht die Frage, wie schützenswert eine Information ist – Datenklassifizierung.

  • Risikoanalyse

    Risiken identifizieren, bewerten, behandeln und das Restrisiko bewusst tragen – Risikomanagement im ISMS.

  • ISO 27001

    Der internationale ISMS-Standard mit Zertifizierung, verbreitet bei international tätigen Unternehmen – ISO 27001.

  • VdS 10000

    Schlanker deutscher ISMS-Standard für den Mittelstand, aufwärtskompatibel zu ISO 27001 – VdS 10000.

  • BSI IT-Grundschutz

    Methodik des Bundesamts für Sicherheit in der Informationstechnik mit Bausteinkatalog, vor allem im öffentlichen Umfeld verbreitet.

  • TISAX®

    Prüf- und Austauschverfahren der Automobilindustrie auf Basis des VDA ISA. Kein Zertifikat im klassischen Sinn, sondern ein Label mit Gültigkeitsdauer – TISAX®.

  • ISO 27701

    Erweiterung des ISMS um Datenschutzanforderungen; macht Datenschutz im Managementsystem nachweisbar – ISO 27701.

  • SOC 2

    Prüfbericht nach amerikanischem Standard, den US-Kunden häufig verlangen – SOC 2.

  • BSI C5

    Kriterienkatalog für Cloudanbieter und deren Kunden – BSI C5.

  • DIN SPEC 27076

    Der CyberRisikoCheck für kleine Betriebe – ein Einstieg unterhalb der großen Normen – DIN SPEC 27076.

  • Schwachstellenscan und Penetrationstest

    Der Scan sucht automatisiert nach bekannten Lücken, der Pentest prüft manuell, ob sie ausnutzbar sind – Scan oder Pentest.

  • Phishing-Simulation

    Kontrollierter Testangriff auf die eigene Belegschaft, verbunden mit Schulung – Phishing-Simulation.

  • NIS-2

    EU-Richtlinie zur Cybersicherheit mit Pflichten für bestimmte Sektoren und Größenklassen, einschließlich persönlicher Verantwortung der Geschäftsleitung – NIS-2.

  • DORA

    Verordnung zur digitalen operationalen Resilienz im Finanzsektor – DORA.

  • BCM

    Business Continuity Management: die Vorsorge dafür, dass der Betrieb einen Ausfall übersteht – BCM.

  • Business Impact Analyse (BIA)

    Ermittelt, welche Prozesse kritisch sind und wie lange sie ausfallen dürfen – BIA.

  • Desaster Recovery

    Die technische Wiederherstellung nach einem Ausfall, als Teil des BCM – Desaster Recovery.

  • HinSchG

    Das Hinweisgeberschutzgesetz setzt die EU-Whistleblower-Richtlinie um. Betroffen sind Beschäftigungsgeber ab 50 Beschäftigten – HinSchG.

  • Hinweisgebende Person

    Wer im beruflichen Zusammenhang erlangte Informationen über Verstöße meldet. Der Schutz hängt nicht davon ab, ob sich der Verdacht bestätigt, sondern ob er begründet war – wer Hinweisgeber ist.

  • Interne Meldestelle

    Der Meldekanal im Unternehmen, mit Fristen und Vertraulichkeitspflicht – interne Meldestelle einrichten.

  • Vertraulichkeitsgebot

    Die Identität der meldenden Person darf grundsätzlich nur den mit der Bearbeitung betrauten Personen bekannt werden. Anonyme Meldungen sind zu ermöglichen, soweit organisatorisch machbar.

  • Repressalienverbot

    Benachteiligungen wegen einer Meldung sind untersagt. Wer nach einer Meldung benachteiligt wird, profitiert von einer Beweislastumkehr.

  • Fristen

    Eingangsbestätigung binnen sieben Tagen, Rückmeldung über Folgemaßnahmen binnen drei Monaten – Hinweismeldungen bearbeiten.

  • Konzernlösung

    Eine gemeinsame Meldestelle für mehrere Gesellschaften ist möglich, entbindet aber nicht von der Verantwortung der einzelnen Gesellschaft – Konzernlösung.

  • KI-Verordnung

    Der EU AI Act regelt KI risikobasiert – von verbotenen Praktiken über Hochrisiko-Systeme bis zu bloßen Transparenzpflichten – KI-Verordnung umsetzen.

  • KI-System

    Maschinengestütztes System, das aus Eingaben Ergebnisse ableitet und dabei mit einem gewissen Grad an Autonomie arbeitet. Software, die nur festen Regeln folgt, ist keines.

  • Anbieter und Betreiber

    Der Anbieter entwickelt und bringt in Verkehr, der Betreiber verwendet in eigener Verantwortung. Die meisten Unternehmen sind Betreiber – wer ein System aber wesentlich verändert oder unter eigenem Namen anbietet, wird zum Anbieter.

  • KI-Kompetenz

    Die Pflicht, für ausreichende Kenntnisse der mit KI befassten Personen zu sorgen. Sie trifft Anbieter und Betreiber gleichermaßen.

  • KI-Risikoanalyse

    Die Einordnung des eigenen Systems in die Risikoklassen und die Ableitung der Pflichten – KI-Risikoanalyse.

  • TDDDG

    Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz regelt den Zugriff auf Endgeräte. Es gilt neben der DSGVO und verlangt für nicht unbedingt erforderliche Cookies eine Einwilligung – TDDDG.

  • Cookie und Tracking

    Nicht jedes Cookie ist einwilligungspflichtig, aber jedes nicht erforderliche. Die Frage ist nicht die Technik, sondern der Zweck – Cookie-Richtlinie.

  • Consent-Management-Plattform (CMP)

    Werkzeug zur Einholung und Dokumentation von Einwilligungen. Es ersetzt keine Prüfung, welche Dienste überhaupt eingebunden sind – CMP-Beratung.

  • Dark Patterns

    Gestaltung, die zur Einwilligung drängt – etwa ein auffälliger Zustimmen-Knopf neben einer versteckten Ablehnung. Solche Einwilligungen sind unwirksam – Dark Patterns.

  • Datenschutzerklärung

    Die Erfüllung der Informationspflichten auf der Website. Sie muss den tatsächlichen Zustand abbilden, nicht den gewünschten – Datenschutzerklärung.

Compliance-Glossar: was hier nicht steht

Begriffe, die nur in einem einzigen Zusammenhang vorkommen, stehen auf der jeweiligen Fachseite statt hier. Die Einstiege dorthin:

Kontakt

Ein Begriff fehlt oder ist unklar formuliert? Sagen Sie Bescheid – das Glossar lebt davon, dass es die Fragen trifft, die tatsächlich gestellt werden.