VERBİS-Inventar und tatsächliche Datenflüsse abgleichen

Abweichungen zwischen der VERBİS-Meldung und den tatsächlichen Datenflüssen gehören zu den häufigen operativen Problemen in KVKK-Projekten. Das Verzeichnis wurde möglicherweise vor Jahren erstellt, während inzwischen neue CRM- oder SaaS-Systeme, mobile Anwendungen, Cloud-Dienste oder KI-Werkzeuge eingeführt wurden.

Eine Aktualisierung der vorhandenen Excel-Liste reicht nicht aus. Erfassen Sie die technischen Datenflüsse neu: aus welchem System Daten erhoben werden, wo sie verarbeitet, über welche Integrationen sie übermittelt, wo sie gespeichert und wann sie gelöscht werden.

Wo beginnt die Datenflussanalyse?

Listen Sie zunächst Unternehmensbereiche und Systeme auf. Prozesse in Personalwesen, Kundenservice, Vertrieb, E-Commerce, Marketing, Buchhaltung und IT können getrennt betrachtet werden.

Bestimmen Sie je Prozess die Datenquelle, die betroffene Personengruppe, die verwendete Anwendung, das Übermittlungsziel und den Speicherort.

Systemverzeichnis erstellen

ERP
CRM
E-Mail
HR-System
E-Commerce-Infrastruktur
Mobile Anwendung
Webanalyse
Cloud-Speicher
SaaS-Anwendungen
KI- und Automatisierungssysteme

Integrationen getrennt untersuchen

Daten aus einem System können über APIs, Webhooks, ETL-Prozesse oder manuelle Exporte in ein anderes gelangen. Enthält das Verzeichnis nur den Namen der Hauptanwendung, kann diese Übermittlung unsichtbar bleiben.

Bilden Sie insbesondere Verbindungen zwischen CRM und ERP, Website und CRM, Marktplatz und ERP sowie KI und Datenquelle als eigene Datenflüsse ab.

Zuordnung zu VERBİS-Feldern

Ordnen Sie die von der Behörde genannten Personengruppen, Datenkategorien, Verarbeitungszwecke, Empfängergruppen, Auslandsübermittlungen, Sicherheitsmaßnahmen und maximalen Aufbewahrungsfristen den entsprechenden Elementen der tatsächlichen Systemdatenflüsse zu.

Die Rückverfolgbarkeit jedes VERBİS-Eintrags zum zugehörigen Geschäftsprozess und den Systemen erleichtert Aktualisierungen.

Internationale Datenflüsse technisch prüfen

Auch bei einem SaaS-Anbieter mit Sitz in der Türkei kann eine gesonderte Prüfung der Infrastruktur, Unterauftragsverarbeiter und Datenspeicherorte erforderlich sein.

Prüfen Sie Cloud-, Analyse-, Kundensupport-, E-Mail- und KI-Dienste in dieser Hinsicht für jedes System einzeln.

Aufbewahrungsfristen anhand der Systeme prüfen

„10 Jahre“ oder „für die Dauer des Beschäftigungsverhältnisses“ im Verzeichnis anzugeben reicht nicht aus. Prüfen Sie das tatsächliche Aufbewahrungsverhalten in Datenbanken, Dateiservern, Backups, CRM- und Protokollsystemen.

Wenn Löschung oder Anonymisierung technisch nicht umgesetzt werden können, stimmen Verzeichnis und tatsächliches System nicht überein.

Änderungsmanagement einrichten

Eine KVKK-Datenflussprüfung vor Einführung neuer Software, API-Integrationen, Datenfelder, Lieferanten oder KI-Projekte verhindert, dass das Verzeichnis erneut veraltet.

Zwischen IT, Rechts- beziehungsweise KVKK-Team und Fachbereichen kann ein einfacher Änderungsmeldeprozess eingerichtet werden.

Zuordnungsmatrix

Geschäftsprozess
Betroffene Personengruppe
Datenkategorie
Verarbeitungszweck
Rechtsgrundlage
Quellsystem
Zielsystem
Empfängergruppe
Internationale Datenübermittlung
Aufbewahrungsfrist
Sicherheitsmaßnahme
Zugehöriges VERBİS-Feld

VERBİS als laufende Kontrolle statt als statischen Registereintrag verwalten

VERBİS und das Verzeichnis personenbezogener Daten können schnell veralten, wenn sie von den tatsächlichen Betriebsabläufen getrennt werden. Neue Mitarbeiteranwendungen, CRM-Systeme, Zahlungsinfrastrukturen, Webformulare, Marketingwerkzeuge, SaaS-Dienste, Cloud-Anbieter oder KI-Anwendungen können neue Datenkategorien, Empfängergruppen oder Auslandsübermittlungen mit sich bringen. Deshalb müssen Beschaffung, Softwareentwicklung, Integration und die Einbindung neuer Lieferanten auf ihre Auswirkungen auf personenbezogene Daten geprüft werden.

In einem tragfähigen Kontrollmodell ist jede Verarbeitungstätigkeit mit einem Prozessverantwortlichen, einem Systemverantwortlichen und einer rechtlichen Bewertung verknüpft. Werden Quell- und Zielsystem, betroffene Personengruppe, Datenkategorie, Zweck, Rechtsgrundlage, Empfänger, Übermittlungsland oder -struktur, Aufbewahrungsfrist und Sicherheitsmaßnahmen gemeinsam erfasst, lässt sich die VERBİS-Meldung anhand der tatsächlichen Abläufe aktualisieren. Der Registereintrag ist dann mehr als ein Dokument, das nur bei Audits geöffnet wird.

Regelmäßige Kontrollen müssen neben neuen auch eingestellte Prozesse berücksichtigen. Nicht mehr genutzte Anwendungen, alte Benutzerkonten, Archivdateien, Protokolle, Backups und beendete Lieferantenverbindungen können Aufbewahrungs- und Zugriffsrisiken verursachen. Ein Abgleich zwischen Verzeichnis und technischen Systemen in beide Richtungen hilft, sowohl unvollständige Meldungen als auch unnötig im Register verbliebene, tatsächlich nicht mehr bestehende Verarbeitungstätigkeiten zu vermeiden.

Der Ansatz von B10 Digital Agency zu KVKK und digitaler Compliance

B10 Digital Agency versteht KVKK-Arbeit nicht nur als Dokumentenerstellung, sondern als operatives Compliance-Modell, das Datenverzeichnis, VERBİS, System- und Integrationsabbildung, internationale Datenübermittlungen, Sicherheitskontrollen und Änderungsmanagement zusammenführt.

Häufig gestellte Fragen

Kann das VERBİS-Verzeichnis ausschließlich in Excel geführt werden?

Aktualität ist wichtiger als das Werkzeug; das Verzeichnis muss jedoch nachvollziehbar mit den tatsächlichen Systemen und Datenflüssen verknüpft sein.

Kann das neue SaaS-Produkt VERBIS beeinflussen?

Ja. Ein neues SaaS-Produkt kann Datenkategorien, Empfänger, Auslandsübermittlungen oder die Sicherheitsstruktur verändern.

Müssen Daten in Backups bei Aufbewahrungsfristen berücksichtigt werden?

Berücksichtigen Sie auch Backup-Umgebungen bei der Gestaltung der tatsächlichen Aufbewahrungs- und Vernichtungsprozesse.

Wann sollte das Verzeichnis aktualisiert werden?

Prüfen Sie das Verzeichnis bei wesentlichen Änderungen wie neuen Systemen, Integrationen, Lieferanten oder Verarbeitungszwecken.

Offizielle Quellen

Hinweis: Dieser Inhalt dient der allgemeinen Information. Die konkreten VERBİS- und KVKK-Pflichten eines Unternehmens müssen anhand seiner Tätigkeiten und der aktuellen Rechtslage gesondert bewertet werden.

Gleichen Sie Ihren VERBİS-Eintrag mit den tatsächlichen Datenflüssen ab

Entdecken Sie den Service KVKK & digitale Compliance von B10 Digital Agency, um Datenverzeichnis, VERBİS, internationale Übermittlungen und digitale Systeme gemeinsam zu bewerten.

Beratung zu KVKK & digitaler Compliance entdecken →