Glossar Datenschutz und Informationssicherheit

Begriffe von A bis Z

A

AVV (Auftragsverarbeitungsvertrag)

Vertrag nach Art. 28 DSGVO zwischen einem Unternehmen und einem Dienstleister, der personenbezogene Daten in dessen Auftrag verarbeitet, zum Beispiel ein Cloud- oder Lohnabrechnungsanbieter.

B

BSI

Bundesamt für Sicherheit in der Informationstechnik. Zuständige Aufsichtsbehörde für NIS2-Einrichtungen in Deutschland; dort erfolgen Registrierung und Meldungen erheblicher Sicherheitsvorfälle.

D

Datenpanne

Verletzung des Schutzes personenbezogener Daten, etwa durch Verlust, Fehlversand oder Hackerangriff. Sie muss in der Regel binnen 72 Stunden an die Aufsichtsbehörde gemeldet werden (Art. 33 DSGVO).

DSFA (Datenschutz-Folgenabschätzung)

Pflichtprüfung nach Art. 35 DSGVO für Verarbeitungen mit voraussichtlich hohem Risiko für die Betroffenen, zum Beispiel bei umfangreicher Videoüberwachung oder Profilbildung.

E

Externer Datenschutzbeauftragter

Externer Dienstleister, der die gesetzliche Rolle des Datenschutzbeauftragten nach Art. 37–39 DSGVO und § 38 BDSG für ein Unternehmen übernimmt.

I

ISB (Informationssicherheitsbeauftragter)

Person, die die Informationssicherheit eines Unternehmens steuert: Risikoanalyse, Richtlinien, Schulungen, Vorfallmanagement und Bericht an die Geschäftsleitung.

ISMS

Informationssicherheits-Managementsystem: Regeln, Prozesse und Verantwortlichkeiten, mit denen ein Unternehmen Informationssicherheit planbar steuert und verbessert, etwa nach ISO/IEC 27001.

ISO/IEC 27001

Internationale Norm für Informationssicherheits-Managementsysteme. Die aktuelle Fassung von 2022 enthält in Anhang A 93 Maßnahmen.

N

NIS2

EU-Richtlinie 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau. In Deutschland umgesetzt durch das NIS2UmsuCG, in Kraft seit dem 6. Dezember 2025.

T

TOM (technische und organisatorische Maßnahmen)

Maßnahmen nach Art. 32 DSGVO, mit denen ein Unternehmen die Sicherheit personenbezogener Daten gewährleistet, zum Beispiel Zugriffskonzepte, Verschlüsselung und Datensicherung.

V

VVT (Verzeichnis von Verarbeitungstätigkeiten)

Pflichtdokumentation nach Art. 30 DSGVO, die alle Verarbeitungen personenbezogener Daten mit Zweck, Datenkategorien, Empfängern und Löschfristen beschreibt.

W

Wichtige und besonders wichtige Einrichtung

Kategorien des NIS2UmsuCG. Sie richten sich nach Sektor und Unternehmensgröße und bestimmen Aufsichtsintensität und Bußgeldrahmen.