# Governance-Dokumente Übersicht

Welche Governance-Dokumente brauchen wir — und was ist schon vorhanden? Priorisierung: DSGVO-Pflichtdokumente zuerst, dann Sicherheit, dann Betrieb.

<table id="bkmrk-dokumentstatuswo-%2F-w"><thead><tr><th>Dokument</th><th>Status</th><th>Wo / Was fehlt</th></tr></thead><tbody><tr><td colspan="3" style="background:#f8f7ff;font-weight:600;font-size:12px;padding:6px 8px">DSGVO / Datenschutz</td></tr><tr><td style="font-weight:500">Datenklassifizierung</td><td><span style="background:#E1F5EE;color:#085041;padding:1px 7px;border-radius:4px;font-size:11px;font-weight:600;white-space:nowrap">Vorhanden</span></td><td style="font-size:12px;color:#6b7280">[Datenklassifizierung](https://docs.empennage.de/books/it-organisation/page/datenklassifizierung)</td></tr><tr><td style="font-weight:500">Verarbeitungsverzeichnis (VVT)</td><td><span style="background:#FAEEDA;color:#633806;padding:1px 7px;border-radius:4px;font-size:11px;font-weight:600;white-space:nowrap">Entwurf</span></td><td style="font-size:12px;color:#6b7280">[VVT-Eintrag Schulfunk](https://docs.empennage.de/books/it-organisation/page/verzeichnis-von-verarbeitungstatigkeiten-eintrag) — vervollständigen</td></tr><tr><td style="font-weight:500">AVV (Auftragsverarbeitung)</td><td><span style="background:#FAEEDA;color:#633806;padding:1px 7px;border-radius:4px;font-size:11px;font-weight:600;white-space:nowrap">Entwurf</span></td><td style="font-size:12px;color:#6b7280">[AVV-Vorlage](https://docs.empennage.de/books/it-organisation/page/auftragsverarbeitungsvertrag-avv) — mit netcup + Anthropic abschließen</td></tr><tr><td style="font-weight:500">Eltern-Info (Art. 13 DSGVO)</td><td><span style="background:#FAEEDA;color:#633806;padding:1px 7px;border-radius:4px;font-size:11px;font-weight:600;white-space:nowrap">Entwurf</span></td><td style="font-size:12px;color:#6b7280">[Eltern-Info-Brief](https://docs.empennage.de/books/it-organisation/page/eltern-info-brief-art-13-dsgvo) — Vorlage vorhanden, noch nicht versandt</td></tr><tr><td style="font-weight:500">Datenschutz-Folgenabschätzung (DPIA)</td><td><span style="background:#FDEAEA;color:#A32D2D;padding:1px 7px;border-radius:4px;font-size:11px;font-weight:600;white-space:nowrap">Fehlt</span></td><td style="font-size:12px;color:#6b7280">Pflicht bei Verarbeitung von Schülerdaten — anlegen</td></tr><tr><td style="font-weight:500">Datenschutzerklärung (Website)</td><td><span style="background:#FDEAEA;color:#A32D2D;padding:1px 7px;border-radius:4px;font-size:11px;font-weight:600;white-space:nowrap">Fehlt</span></td><td style="font-size:12px;color:#6b7280">Für schulfunk.app und empennage.de erstellen</td></tr><tr><td colspan="3" style="background:#f8f7ff;font-weight:600;font-size:12px;padding:6px 8px">Informationssicherheit</td></tr><tr><td style="font-weight:500">Informationssicherheitsrichtlinie (ISR)</td><td><span style="background:#FDEAEA;color:#A32D2D;padding:1px 7px;border-radius:4px;font-size:11px;font-weight:600;white-space:nowrap">Fehlt</span></td><td style="font-size:12px;color:#6b7280">Übergeordnetes Dokument — Schutzziele, Scope, Verantwortlichkeiten</td></tr><tr><td style="font-weight:500">Security Governance</td><td><span style="background:#FDEAEA;color:#A32D2D;padding:1px 7px;border-radius:4px;font-size:11px;font-weight:600;white-space:nowrap">Fehlt</span></td><td style="font-size:12px;color:#6b7280">Rollen, Eskalation, Incident-Klassifikation</td></tr><tr><td style="font-weight:500">Passwortrichtlinie</td><td><span style="background:#FDEAEA;color:#A32D2D;padding:1px 7px;border-radius:4px;font-size:11px;font-weight:600;white-space:nowrap">Fehlt</span></td><td style="font-size:12px;color:#6b7280">Mindestanforderungen, MFA-Pflicht, Rotation</td></tr><tr><td style="font-weight:500">Zugangskontrollkonzept</td><td><span style="background:#FDEAEA;color:#A32D2D;padding:1px 7px;border-radius:4px;font-size:11px;font-weight:600;white-space:nowrap">Fehlt</span></td><td style="font-size:12px;color:#6b7280">Wer darf was — Rollen, Rechte, Onboarding/Offboarding</td></tr><tr><td style="font-weight:500">Netzwerkkonzept</td><td><span style="background:#FDEAEA;color:#A32D2D;padding:1px 7px;border-radius:4px;font-size:11px;font-weight:600;white-space:nowrap">Fehlt</span></td><td style="font-size:12px;color:#6b7280">Infrastruktur-Übersicht, Segmentierung, Firewall-Regeln</td></tr><tr><td style="font-weight:500">Backup-Konzept</td><td><span style="background:#FDEAEA;color:#A32D2D;padding:1px 7px;border-radius:4px;font-size:11px;font-weight:600;white-space:nowrap">Fehlt</span></td><td style="font-size:12px;color:#6b7280">Backup-Strategie für VPS, BookStack, n8n</td></tr><tr><td style="font-weight:500">Incident Response Plan</td><td><span style="background:#FDEAEA;color:#A32D2D;padding:1px 7px;border-radius:4px;font-size:11px;font-weight:600;white-space:nowrap">Fehlt</span></td><td style="font-size:12px;color:#6b7280">Was tun bei Datenpanne — Meldefrist 72h (Art. 33 DSGVO)</td></tr><tr><td colspan="3" style="background:#f8f7ff;font-weight:600;font-size:12px;padding:6px 8px">Betrieb &amp; Organisation</td></tr><tr><td style="font-weight:500">Dokumentenrichtlinie</td><td><span style="background:#FDEAEA;color:#A32D2D;padding:1px 7px;border-radius:4px;font-size:11px;font-weight:600;white-space:nowrap">Fehlt</span></td><td style="font-size:12px;color:#6b7280">Wie werden Dokumente in BookStack erstellt, versioniert, archiviert</td></tr><tr><td style="font-weight:500">Change Management</td><td><span style="background:#FDEAEA;color:#A32D2D;padding:1px 7px;border-radius:4px;font-size:11px;font-weight:600;white-space:nowrap">Fehlt</span></td><td style="font-size:12px;color:#6b7280">Wie werden Änderungen an Produkt/Infra freigegeben</td></tr><tr><td style="font-weight:500">Business Continuity / Notfallplan</td><td><span style="background:#FDEAEA;color:#A32D2D;padding:1px 7px;border-radius:4px;font-size:11px;font-weight:600;white-space:nowrap">Fehlt</span></td><td style="font-size:12px;color:#6b7280">Was passiert bei Serverausfall, Krankheit des Gründers</td></tr><tr><td style="font-weight:500">IT-Rollen &amp; Verantwortlichkeiten</td><td><span style="background:#E1F5EE;color:#085041;padding:1px 7px;border-radius:4px;font-size:11px;font-weight:600;white-space:nowrap">Vorhanden</span></td><td style="font-size:12px;color:#6b7280">[IT-Rollen](https://docs.empennage.de/books/it-organisation/page/it-rollen) — aktuell</td></tr><tr><td style="font-weight:500">Compliance-Status</td><td><span style="background:#E1F5EE;color:#085041;padding:1px 7px;border-radius:4px;font-size:11px;font-weight:600;white-space:nowrap">Vorhanden</span></td><td style="font-size:12px;color:#6b7280">[Compliance-Status](https://docs.empennage.de/books/it-organisation/page/compliance-status) — monatlich aktualisiert</td></tr></tbody></table>

## Prioritäten

1. **DPIA** (Datenschutz-Folgenabschätzung) — vor Produktivbetrieb mit Schülerdaten Pflicht
2. **Incident Response Plan** — 72h-Meldefrist bei Datenpanne ist knapp
3. **Datenschutzerklärung** — vor Launch auf schulfunk.app
4. **Backup-Konzept** — VPS-Daten aktuell ungesichert
5. **Dokumentenrichtlinie** — wie BookStack genutzt wird, für CIO-Demos relevant

*Stand: Mai 2026 · wird manuell gepflegt.*