Control-Map · Verordnung (EU) 2016/679

GDPR

Code-Nachweis für die Verarbeitungsgrundsätze, Datenschutz durch Technikgestaltung und Sicherheit der Verarbeitung.

Audit-Pilot buchen Beispielbericht ansehen

GDPR · Verordnung (EU) 2016/6793 Artikel im Umfang · Stand v1.4.1

Code 3
Prozess 0
Geplant 0

Code-Nachweis

3Artikel, bei jedem Pull Request geprüft

Live (Prozess)

0keine zugeordnet

Geplant

0lässt sich aus Code oder GitHub belegen; noch nicht gebaut

Artikel auf Organisationsebene

Richtlinien, Personal, Lieferanten, physische Sicherheit und Ähnliches, unten aufgelistet.Für 1 davon liefert Toevan unterstützende Nachweise.Von den Abläufen Ihrer Organisation verantwortet

Ein Teil der GDPR liegt im Code: wohin personenbezogene Daten fließen, wie sie abgegrenzt und wie sie geschützt sind.

Der GDPR-Blueprint liefert bei jedem Pull Request Code-Nachweise für die Artikel 5, 25 und 32, mit unterstützenden Nachweisen für Löschung. Rechtsgrundlage, Verzeichnis von Verarbeitungstätigkeiten und Betroffenenrechte bleiben bei Ihrem Datenschutzprogramm.

Toevan liefert Nachweise für Controls; es zertifiziert sie nie und behauptet nie, ein Framework sei abgedeckt. Ob die Nachweise genügen, beurteilt Ihr Auditor.

Code-Nachweis3

Bei jedem Pull Request versiegelt. Immer nur teilweise: Das Control verlangt auch Dinge außerhalb des Codes. Regeln im Blueprint GDPR prüfen bei jedem Pull Request einen Teil davon.

Art.5Grundsätze für die Verarbeitung personenbezogener DatenGrundprinzipien
Art.25Datenschutz durch Technikgestaltung und VoreinstellungenDesignanforderungen
Art.32Sicherheit der VerarbeitungSicherheit

Unterstützend1

Toevan erfasst verwandte Nachweise, doch die Pflicht liegt bei der Organisation und gilt deshalb nie als abgedeckt.

Art.17Recht auf Löschung („Recht auf Vergessenwerden“)BetroffenenrechteUnterstützender Nachweis: Eine Regel erfasst Nachweise zu dieser Pflicht. Die Pflicht selbst betrifft einen betrieblichen Prozess.

Artikel auf Organisationsebene

Controls auf Organisationsebene (Richtlinien, Personal, Lieferanten, physische Sicherheit und Ähnliches) bleiben beim eigenen Prozess Ihrer Organisation; Toevan übernimmt sie nicht.

Liste anzeigen

Grundprinzipien

Art.6Rechtmäßigkeit der Verarbeitungdie Richtlinien der Organisation

Art.7Bedingungen für die Einwilligungdie Richtlinien der Organisation

Art.8Bedingungen für die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaftdie Richtlinien der Organisation

Art.9Verarbeitung besonderer Kategorien personenbezogener Datendie Richtlinien der Organisation

Art.10Verarbeitung von Daten über strafrechtliche Verurteilungen und Straftatendie Richtlinien der Organisation

Art.11Verarbeitung, für die keine Identifizierung erforderlich istdie Richtlinien der Organisation

Betroffenenrechte

Art.12Transparente Information, Kommunikation und Modalitäten für die Ausübung der Betroffenenrechteeinen betrieblichen Prozess

Art.13Informationspflicht bei Erhebung von Daten bei der betroffenen Personeinen betrieblichen Prozess

Art.14Informationspflicht, wenn die Daten nicht bei der betroffenen Person erhoben wurdeneinen betrieblichen Prozess

Art.15Auskunftsrecht der betroffenen Personeinen betrieblichen Prozess

Art.16Recht auf Berichtigungeinen betrieblichen Prozess

Art.18Recht auf Einschränkung der Verarbeitungeinen betrieblichen Prozess

Art.19Mitteilungspflicht bei Berichtigung, Löschung oder Einschränkung der Verarbeitungeinen betrieblichen Prozess

Art.20Recht auf Datenübertragbarkeiteinen betrieblichen Prozess

Art.21Widerspruchsrechteinen betrieblichen Prozess

Art.22Automatisierte Entscheidungen im Einzelfall einschließlich Profilingeinen betrieblichen Prozess

Verantwortlicher und Auftragsverarbeiter

Art.24Verantwortung des Verantwortlichendie Richtlinien der Organisation

Art.26Gemeinsam Verantwortlichedie Richtlinien der Organisation

Art.27Vertreter von nicht in der Union niedergelassenen Verantwortlichen oder Auftragsverarbeiterndie Richtlinien der Organisation

Art.28AuftragsverarbeiterVerträge und Lieferanten

Art.29Verarbeitung unter der Aufsicht des Verantwortlichen oder des Auftragsverarbeitersdie Richtlinien der Organisation

Art.30Verzeichnis von Verarbeitungstätigkeitendie Richtlinien der Organisation

Art.31Zusammenarbeit mit der Aufsichtsbehördedie Richtlinien der Organisation

Art.34Benachrichtigung der betroffenen Person bei Datenpannenein regulatorisches Verfahren

Art.36Vorherige Konsultationdie Richtlinien der Organisation

Art.37Benennung eines Datenschutzbeauftragtendie Richtlinien der Organisation

Art.38Stellung des Datenschutzbeauftragtendie Richtlinien der Organisation

Art.39Aufgaben des Datenschutzbeauftragtendie Richtlinien der Organisation

Incident Response

Art.33Meldung von Datenpannen an die Aufsichtsbehördeein regulatorisches Verfahren

Risikobewertung

Art.35Datenschutz-Folgenabschätzungdie Richtlinien der Organisation

Internationale Übermittlungen

Art.44Allgemeine Grundsätze der Datenübermittlungein regulatorisches Verfahren

Art.45Übermittlung auf Grundlage eines Angemessenheitsbeschlussesein regulatorisches Verfahren

Art.46Übermittlung vorbehaltlich geeigneter Garantienein regulatorisches Verfahren

Art.47Verbindliche interne Datenschutzvorschriftenein regulatorisches Verfahren

Art.48Nach Unionsrecht nicht zulässige Übermittlung oder Offenlegungein regulatorisches Verfahren

Art.49Ausnahmen für bestimmte Fälleein regulatorisches Verfahren

Im Audit verwenden

Code-Nachweise des Zeitraums lesen
Jeder Pull Request trägt versiegelte Code-Ergebnisse zu den Regeln des Blueprints, festgemacht am Commit und an der geltenden Regelsatz-Version.
Stichprobe testen
Prüfen Sie für jeden gezogenen Eintrag zuerst die Ergebnisse und dann offline gegen den veröffentlichten Schlüssel mit openssl und der Shell: Nachweis holen, Schlüssel bestätigen, Eintrag prüfen. Um die ganze Kette nachzuvollziehen, stellt Toevan den toevan-Befehl auf Anfrage bereit; er ist noch nicht öffentlich.
Die drei Schritte, mit den genauen Befehlen

Wie jeder Fakt gewonnen wurde6 Labels

Neu berechnet: Toevan hat es selbst aus Code oder Git-Historie berechnet.
Gemeldet + versiegelt: GitHub hat es gemeldet; Toevan hat es beim Ereignis erfasst und signiert.
Erklärt + versiegelt: Die Organisation hat es erklärt, etwa eine Änderung dessen, was geprüft wird; Toevan hat die Erklärung und ihre Historie signiert.
Toevan-Eintrag, nicht versiegelt: In der Datenbank von Toevan gespeichert, aber nicht im Ledger versiegelt, etwa eine Ausnahmegenehmigung heute. Keine Signatur schützt ihn.
Übernommen: Aus den Deployment- und Release-Einträgen von GitHub übernommen und per Commit oder Digest verknüpft.
Nicht erfasst: Es gab keine verlässliche Quelle. Toevan schließt nichts daraus.

Der Beispielbericht zu Änderungsnachweisen zeigt die Nachweise so, wie Ihr Prüfer sie erhält, jeden Fakt mit Herkunft.Beispielbericht öffnen

Testen Sie die Zuordnung an einem echten Audit.

Bringen Sie ein Repository und ein anstehendes Audit mit. Wir richten den Blueprint ein und führen Ihren Prüfer durch die Verifikation.

Audit-Pilot buchen Beispielbericht ansehen

Ein Repository, ein Framework
Nachweise ab dem ersten Pull Request
Prüfbar ohne Toevan-Konto