Rechtlich-regulatorische Anforderungen in Bezug auf Dokumentations- und Nachweispflichten

Protokollierung (DOC-01)

Die DREAM-Lösung muss es dem Anbieter eines Datenvermittlungsdienstes ermöglichen, seine Datenvermittlungstätigkeit nachvollziehbar zu dokumentieren. (Vgl. Art. 12 lit. o DGA)

Rechenschaftspflicht (DOC-02)

Die DREAM-Lösung muss den Verantwortlichen dabei unterstützen, die Einhaltung der Grundsätze für die Verarbeitung personenbezogener Daten nachzuweisen. Dieser Nachweis kann u. a. umfassen: Nachweis der Information der betroffenen Personen, Nachweis der Einwilligungen durch die betroffenen Personen, Dokumentation der Ergebnisse von Überprüfungen und Evaluierungen, Nachweis des Datenschutzes durch Technikgestaltung (z. B. Anonymisierungs- und Pseudonymisierungskonzept, Löschkonzept), Verschlüsselungskonzept. (Vgl. Art. 5 Abs. 2 DSGVO)

Verzeichnis der Verarbeitungstätigkeiten (DOC-03)

Die DREAM-Lösung muss den Verantwortlichen dabei unterstützen, ein Verzeichnis von Verarbeitungstätigkeiten zu führen. Dieses Verzeichnis muss u. a. folgende Angaben enthalten: Zwecke der Verarbeitung, Kategorien betroffener Personen, Kategorien personenbezogener Daten, Kategorien von Empfängern, etwaige Drittstaatentransfers, etwaige Löschfristen. (Vgl. Art. 30 Abs. 1 DSGVO)

Technische und organisatorische Maßnahmen (DOC-04)

Die DREAM-Lösung muss dem Verantwortlichen die Möglichkeit bieten, nachzuweisen, dass er geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten ergriffen hat. (Vgl. Art. 24 Abs. 1 S. 1 DSGVO)

Nachweis der Einwilligung (DOC-05)

Falls die Verarbeitung personenbezogener Daten durch die DREAM-Lösung auf einer Einwilligung beruht, sollte die DREAM-Lösung dem Verantwortlichen die Möglichkeit bieten, nachzuweisen, dass die betroffenen Personen in die Verarbeitung ihrer personenbezogenen Daten eingewilligt haben. (Vgl. Art. 7 DSGVO Abs. 1 DSGVO)

Dokumentation von Sicherheitsvorfällen (DOC-06)

Die DREAM-Lösung muss den Anbieter dabei unterstützen, Sicherheitsvorfälle zu dokumentieren (mit Informationen über die Klassifizierung, Priorisierung, Ursachenanalyse und Lösung). (Vgl. BSI C5:2026 SIM-03)

Dokumentation von Datenschutzverletzungen (DOC-07)

Die DREAM-Lösung muss den Verantwortlichen dabei unterstützen, Datenschutzverletzungen einschließlich ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen zu dokumentieren. (Vgl. Art. 33 Abs. 5 DSGVO)