Asset-Inventar für DSGVO Artikel 32 — Nachweis in Jira
DSGVO Art. 32 verlangt, die Geräte zu sichern, die personenbezogene Daten verarbeiten. So führt und belegt ihr euer Asset-Inventar direkt in Jira.
Die DSGVO verlangt in Artikel 32 — „Sicherheit der Verarbeitung", personenbezogene Daten mit geeigneten technischen Maßnahmen zu schützen. Was man nicht sieht, kann man nicht schützen: Wenn ein Laptop oder Server personenbezogene Daten verarbeitet, müsst ihr wissen, dass er existiert, wo er steht und dass ihn jemand überprüft hat. Genau das ist ein Asset-Inventar — und für Teams auf Atlassian gehört es nach Jira, nicht in eine Tabelle.
Diese Anleitung zeigt, wie das Asset-Inventar auf Artikel 32 einzahlt, welche Nachweise ein Datenschutz-Auditor tatsächlich sehen will und wie ihr sie direkt in Jira Service Management Assets erzeugt.
HINWEIS: Das Asset-Inventar ist eine Sicherheitsmaßnahme, die Artikel 32 unterstützt. Kein Tool „macht euch DSGVO-konform" — Compliance ist ein Programm. Dieser Artikel zeigt, wie ihr einen Baustein davon sauber umsetzt.
Wie das Asset-Inventar auf Artikel 32 einzahlt
Artikel 32 fordert nicht wörtlich „führt ein Asset-Inventar", verlangt aber ein dem Risiko angemessenes Schutzniveau — einschließlich der Fähigkeit, Vertraulichkeit und Integrität der Verarbeitungssysteme dauerhaft sicherzustellen. In der Praxis lesen Datenschutzbeauftragte und Auditoren das so:
- Verarbeitende Assets kennen — welche Geräte und Systeme personenbezogene Daten anfassen.
- Sie kontrollieren — zugewiesene Eigentümer, bekannte Standorte, verifizierter Zustand.
- Es belegen können — Aufzeichnungen, die zeigen, dass das Inventar real ist und gepflegt wird, keine Einmal-Liste.
Das ist dieselbe Maßnahme, die ISO 27001 · A.5.9 formalisiert (Inventar der Informationen und zugehörigen Werte) — weshalb ein Inventar nach ISO-Muster zugleich als Nachweis für DSGVO Art. 32 taugt.
Was Auditoren sehen wollen
Berührt ein Datenschutz-Audit die Asset-Sicherheit, sind die Fragen immer dieselben:
- Gibt es ein aktuelles Inventar der Assets, die personenbezogene Daten verarbeiten?
- Hat jedes Asset einen Eigentümer?
- Könnt ihr zeigen, dass das Inventar regelmäßig verifiziert wird — mit Datum und Person?
- Könnt ihr die Aufzeichnung für die Audit-Akte exportieren?
An den letzten beiden scheitert eine statische Tabelle: Sie kann nicht belegen, wer was wann geprüft hat. (SOC-2-Prüfer bohren an genau dieser Lücke noch härter — siehe was SOC 2 verlangt.)
Die Nachweise in Jira erzeugen
Lebt eure CMDB bereits in Jira Service Management Assets, existiert das Inventar — was meist fehlt, ist der Verifizierungsnachweis. Scannix ergänzt genau diese Schicht:
- Audit-Scope auf die Assets legen, die personenbezogene Daten verarbeiten — per Schema, Objekttyp oder Assets Query Language.
- Physisch verifizieren durch Scannen von QR-Codes und Barcodes mit einer kostenlosen iPhone-App (offline-fähig, mit Doppelscan-Schutz).
- Zeitstempel pro Person — jede Verifizierung ist zugeordnet und datiert.
- CSV-Export zum direkten Anhängen an die Art.-32-Nachweisakte.
Verifizierte Assets mit Prüfer und Zeitstempel, exportbereit
Da Scannix auf Atlassian Forge läuft, bleiben eure Asset-Daten in eurer Atlassian-Site — relevant, weil Artikel 32 auch danach fragt, wo Verarbeitungsdaten liegen.
Die komplette Schritt-für-Schritt-Einrichtung eines Audits zeigt der Leitfaden zu physischen Asset-Audits in Jira.
Wiederholbar machen
Artikel 32 erwartet fortlaufende Sicherheit, keinen Schnappschuss. Mit Jira Automation plant ihr die Asset-Verifizierung in festem Rhythmus (z. B. quartalsweise) — das Inventar bleibt aktuell, und jeder Zyklus hinterlässt seinen eigenen zeitgestempelten Nachweis. Genau das „über die Zeit gepflegt"-Signal, nach dem Auditoren suchen.
FAQ
Verlangt die DSGVO wirklich ein Asset-Inventar?
Nicht mit diesen Worten. Artikel 32 verlangt dem Risiko angemessene Sicherheitsmaßnahmen — und die Assets zu kennen und zu kontrollieren, die personenbezogene Daten verarbeiten, ist ein Standardweg dorthin. Die Maßnahme deckt sich direkt mit ISO 27001 · A.5.9.
Welche Nachweise sollte ich aufbewahren?
Ein aktuelles Inventar mit Eigentümern, dazu Aufzeichnungen, wer welches Asset wann verifiziert hat, und eine exportierbare Kopie für die Audit-Akte. Die zeitgestempelten, personenbezogen zugeordneten Einträge sind genau der Teil, den eine Tabelle nicht liefern kann.
Wo liegen meine Asset-Daten bei Scannix?
In eurer eigenen Atlassian-Site. Scannix läuft auf Atlassian Forge; Asset- und Audit-Daten bleiben in Atlassian und werden in keine externe Datenbank kopiert.
Kann die Verifizierung automatisch nach Zeitplan laufen?
Ja. Jira Automation kann Audits in beliebigem Rhythmus anlegen, starten und schließen — das Inventar bleibt aktuell, und jeder Zyklus erzeugt seinen eigenen zeitgestempelten Nachweis.
Wie dokumentiere ich die Asset-Verifizierung für ein Datenschutz-Audit?
Scoped ein Audit auf die Assets, die personenbezogene Daten verarbeiten, verifiziert sie per Scan und exportiert den Nachweis — pro Asset, pro Person, mit Zeitstempel — als CSV für die Audit-Akte.
Wie oft müssen Assets nach Artikel 32 verifiziert werden?
Die DSGVO nennt kein festes Intervall — der Rhythmus muss dem Risiko angemessen sein. Quartalsweise oder halbjährliche Verifizierung ist gängige Praxis; entscheidend ist, einen Rhythmus zu definieren und dessen Einhaltung zeigen zu können — genau das dokumentieren geplante Audits automatisch.
Macht eure Jira-CMDB zum Art.-32-Nachweis
Schluss mit der separaten Tabelle, die ihr im Audit nicht verteidigen könnt. Verifiziert die Assets, die personenbezogene Daten verarbeiten, dort, wo sie ohnehin leben — in Jira — und exportiert den zeitgestempelten, personenbezogen zugeordneten Nachweis, nach dem Auditoren fragen.