Datenschutz, Informationssicherheit und KI als integriertes Prüffeld der Internen Revision

Der DIIR-Arbeitskreis „Datenschutz & Data Governance“ hat seinen bewährten Leitfaden zur Internen Revision und Datenschutz sowie die begleitende Checkliste zur Prüfung der Datenschutzorganisation grundlegend überarbeitet und als Version 3.0 veröffentlicht. Beide Dokumente reagieren auf die erheblich veränderten regulatorischen und technologischen Rahmenbedingungen der letzten Jahre.

Erweiterter Themenrahmen: KI und Informationssicherheit neu integriert

Datenschutz ist längst kein isoliertes Rechtsthema mehr. Cyberrisiken, hybride IT-Landschaften, datengetriebene Geschäftsmodelle und der zunehmende Einsatz von KI-Systemen erfordern ein integriertes Verständnis und die Verzahnung von Datenschutz, Informationssicherheit und Data Governance. Der Leitfaden trägt dem Rechnung, indem er diese Themen erstmals systematisch zusammenführt. Datenschutz schützt dabei die Privatsphäre natürlicher Personen, während Informationssicherheit auf die Verfügbarkeit, Integrität und Vertraulichkeit aller Unternehmensdaten zielt. Beide Disziplinen überschneiden sich insbesondere bei den technischen Schutzmaßnahmen nach Art. 32 DS-GVO und den Anforderungen der ISO 27001.

Bezug zu den Global Internal Audit Standards

Auch die Global Internal Audit Standards tragen der Relevanz dieser Themen Rechnung, insbesondere in den Standards 5.2 (Schutz von Informationen) und 10.3 (Technologische Ressourcen). Standard 5.2 betont die Verantwortung der Internen Revision, Prüfungsinformationen angemessen zu schützen und damit sowohl den Anforderungen des Datenschutzes als auch des Informationsschutzes über den gesamten Prüfungsprozess hinweg Rechnung zu tragen.

Relevanz für den betrieblichen Datenschutzbeauftragten

Der Leitfaden widmet der Rolle des Datenschutzbeauftragten (DSB) ein eigenes Kapitel (mit Ausführungen zu seiner Stellung im Unternehmen, seinen Aufgaben und dem internationalen Kontext). Für DSBe ist die Publikation in zweifacher Hinsicht bedeutsam: Einerseits definiert sie, wie die Interne Revision datenschutzkonform prüfen soll, was unmittelbar die Zusammenarbeit zwischen DSB und Revisionsabteilung betrifft. Andererseits liefert die begleitende Checkliste einen strukturierten Prüf- und Orientierungsrahmen, der auch für die eigene Überwachungsfunktion des DSB nach Art. 39 DS-GVO nutzbar ist. Die Einhaltung der DSGVO-Grundsätze obliegt dem Verantwortlichen und muss anhand einer entsprechenden Dokumentation nachgewiesen werden können. Das legt nahe, dass im Unternehmen ein Datenschutzmanagementsystem etabliert sein sollte, das die Einhaltung der Schutzziele der DSGVO gewährleistet.

Beide Dokumente sind kostenlos über die DIIR-Website abrufbar.

(Foto: Amith – stock.adobe.com)