Verarbeitungstätigkeiten
Eine Verarbeitungstätigkeit ist ein Zweck, zu dem personenbezogene Daten verarbeitet werden: Gehaltsabrechnung, Newsletter, Videoüberwachung des Parkplatzes, Bewerbungsverfahren. Das Verzeichnis ist die Liste dieser Tätigkeiten, und jede trägt die Angaben, die Artikel 30 verlangt — Zweck, Rechtsgrundlage, Daten, Betroffene, Aufbewahrung, Empfänger, Übermittlungen, Sicherheit.
Tätigkeiten werden im Bearbeitungsmodus vom Dashboard aus angelegt und bearbeitet, durch Administratoren. Im Anzeigemodus kann jedes Mitglied sie lesen.
Aktiv und inaktiv
Eine Tätigkeit ist entweder aktiv — Teil des offiziellen Verzeichnisses, auf dem Dashboard sichtbar und in den Dokumenten enthalten — oder inaktiv: ein noch unfertiger Entwurf oder eine eingestellte Verarbeitung, die zur Dokumentation aufbewahrt wird.
- Eine neue Tätigkeit beginnt immer inaktiv.
- Sie kann erst aktiviert werden, wenn jedes Pflichtfeld ausgefüllt ist, sodass ein halbfertiger Eintrag nie in Ihr offizielles Verzeichnis gelangt.
- Eine Tätigkeit, deren Ablaufdatum verstrichen ist, wird automatisch deaktiviert.
- Nur eine inaktive Tätigkeit ohne ausstehende Änderungen kann gelöscht werden.
Inaktive Tätigkeiten sind standardmäßig ausgeblendet; Inaktive Aktivitäten anzeigen in der Seitenleiste blendet sie ein.
Versuchen Sie nicht, am ersten Tag alle Tätigkeiten zu erfassen. Beginnen Sie mit den fünf oder sechs offensichtlichen — Gehaltsabrechnung, Kundendaten, Website, Newsletter —, aktivieren Sie sie und erzeugen Sie Ihr erstes Dokument. Ein Verzeichnis, das existiert und mit der Zeit wächst, ist mehr wert als ein perfektes, das die Planungsphase nie verlässt.
Weniger Tätigkeiten bedeuten auch ein Verzeichnis, das leichter zu pflegen ist. Halten Sie die Liste kurz und legen Sie eine neue Tätigkeit nur an, wenn keine der vorhandenen zu einem neuen Bedarf passt.
Standardwerte für neue Tätigkeiten
Wenn die meisten Ihrer Tätigkeiten dieselben Antworten teilen — dieselben Sicherheitsmaßnahmen, dieselbe Aufbewahrungsregel, dieselbe Herkunft —, legen Sie sie einmal unter Organisationseinstellungen → Standardwerte für neue Aktivitäten fest. Jede neue Tätigkeit wird mit diesen Werten vorausgefüllt, und Sie ändern nur, was abweicht.
Die Dokumente, die Sie aus jeder Tätigkeit erhalten
Sobald eine Tätigkeit aktiv ist, erstellt die Anwendung dafür zwei sofort verwendbare Dokumente, in jeder Sprache des Verzeichnisses — ohne zusätzliche Arbeit Ihrerseits:
- die Erklärung nach Art. 30 — das, was Sie der Aufsichtsbehörde aushändigen, wenn sie nach dieser Verarbeitung fragt. Im Browser öffnen oder als PDF bzw. RTF herunterladen;
- die Informationsklausel nach Art. 13 — das, was Sie den Personen zeigen, deren Daten Sie verarbeiten. Sie hat einen dauerhaften Link und einen Einbettungs-Schnipsel, sodass Sie aus einer Datenschutzerklärung, einem Einwilligungsformular oder einer Webseite darauf verweisen können und stets der aktuelle Text erscheint. Sie kann außerdem als PDF oder RTF heruntergeladen werden.
Die Dokumente veröffentlichen
Alle Wege, ein Dokument zu teilen, finden Sie an einem Ort. Öffnen Sie im Bearbeitungsmodus die Tätigkeit und wählen Sie unten Aktivitätsdaten: Aktivitätserklärung zeigt die Veröffentlichungswege der Erklärung nach Art. 30, Aktivitätsinformation die der Informationsklausel nach Art. 13. Beide bieten dieselben vier Wege:
| Weg | Was Sie erhalten | Wofür |
|---|---|---|
| Anzeigen | Das Dokument in einem neuen Tab öffnen, als bearbeitbare RTF speichern oder als PDF herunterladen | Prüfen, wie es sich liest, es drucken, an die Aufsichtsbehörde oder an Kollegen senden |
| Direkter Link | Die dauerhafte Adresse des Dokuments, mit URL kopieren, und sein QR-Code, mit QR kopieren | Ein Link in einer Datenschutzerklärung, einer E-Mail, einem Vertrag oder einem Einwilligungsformular; der QR-Code auf einem Aushang, einem gedruckten Formular oder am Empfang |
| iframe-Einbettung | Ein fertiges HTML-Schnipsel, mit Code kopieren | Das Dokument in Ihrer eigenen Website anzeigen; WordPress, Wix und andere Website-Baukästen übernehmen es unverändert |
| Web-Komponente | Ein zweizeiliges Schnipsel, das ein kleines Skript lädt, mit Code kopieren | Dasselbe Ergebnis wie das iframe, als ein einziges eigenes Tag, dessen Sprache und Größe per Attribut eingestellt werden; praktisch, wenn ein Webentwickler die Website betreut |
QR kopieren kopiert nicht nur den Code: Es legt eine druckfertige Karte in die Zwischenablage, mit dem Namen Ihrer Organisation, dem Namen der Tätigkeit, dem QR-Code und der Dokumentart („Aktivitätserklärung“ oder „Informationsklausel“), damit alle, die ihn scannen, wissen, was sich öffnet. Fügen Sie sie direkt in ein Dokument, eine Folie oder einen Aushang ein.
Links, QR-Codes und Einbettungen zeigen immer auf das aktuelle Dokument, nie auf eine Kopie: Wenn Sie die Tätigkeit ändern, zeigt jede Seite, die darauf verlinkt oder sie einbettet, den neuen Text, ohne dass etwas aktualisiert werden muss. Jeder davon gilt für die Sprache, in der Sie die Tätigkeit gerade ansehen; wechseln Sie die Sprache, um die anderen Fassungen zu veröffentlichen.
Die Informationsklausel lässt sich in jeder Organisation veröffentlichen. Die Erklärung kann nur dann jeder öffnen, wenn Ihre Organisation öffentlich ist (siehe Öffentliche und private Organisationen); in einer privaten Organisation funktionieren ihr Link, ihr QR-Code und ihre Einbettungen nur für Mitglieder, stellen Sie sie also nicht dort bereit, wo Außenstehende suchen.
Jedes Dokument hat außerdem eine vorhersehbare Adresse außerhalb der Anwendung, gebildet aus der Adresse Ihrer Organisation und der Nummer der Tätigkeit, sodass sie auf ein Formular gedruckt, in einem Vertrag zitiert oder von einer Website verlinkt werden kann:
| Dokument | Im Browser öffnen |
|---|---|
| Informationsklausel (Art. 13) | …/{sprache}/{tätigkeitsnummer} |
| Erklärung (Art. 30) | …/{sprache}/a/{tätigkeitsnummer} |
wobei … für https://{kurzname}.rat.gd steht. Mit /pdf oder /rtf am Ende einer Adresse wird das Dokument in diesem Format heruntergeladen. Jede Adresse zeigt zuerst eine kurze „Ich bin kein Roboter“-Prüfung und öffnet dann das Dokument oder startet den Download. Das PDF ist das Dokument genau so, wie es gedruckt wird; das RTF ist eine bearbeitbare Kopie, die sich in Word oder LibreOffice öffnen lässt. Die Datei heißt {kurzname}-info-{tätigkeitsnummer}-{sprache}.pdf (bzw. .rtf) für die Informationsklausel und {kurzname}-decl-{tätigkeitsnummer}-{sprache}.pdf (bzw. .rtf) für die Erklärung.
Die Informationsklausel ist auf diesem Weg immer erreichbar, weil sie dazu da ist, von Nichtmitgliedern gelesen zu werden. Die Erklärung ist nur dann für jeden erreichbar, wenn die Organisation als öffentlich konfiguriert ist; bei einer privaten Organisation wird sie nur Mitgliedern gezeigt.
Beide Dokumente werden aus einer Standardvorlage erzeugt, die ohne weiteres Zutun funktioniert. Um stattdessen Ihre eigene Gestaltung, Formulierung oder Struktur zu verwenden, können Sie eigene Vorlagen auf Organisationsebene oder auf Ebene der Verarbeitungstätigkeit anlegen und bearbeiten.
Was eine Verarbeitungstätigkeit enthält
| Name | Wie die Tätigkeit im Dashboard erscheint und wie ihre Dokumente betitelt sind |
| Organisationseinheit | Die OE, zu der die Tätigkeit gehört — genau eine. Sie bestimmt, wie die Tätigkeit im Dashboard und im Verzeichnis-PDF gruppiert, gefiltert und eingefärbt wird |
| Verantwortliche(r) | Die Organisation — oder Organisationen, bei gemeinsam Verantwortlichen —, die entscheidet, warum und wie die Daten verarbeitet werden |
| Auftragsverarbeiter | Falls vorhanden, die Organisation — oder Organisationen —, die die Daten im Auftrag des Verantwortlichen verarbeiten. Ihre eigene Organisation muss in jeder Tätigkeit entweder Verantwortlicher oder Auftragsverarbeiter sein |
| Zweck und Details | Eine Zeile, die sagt, wozu die Verarbeitung dient, und so viel Erläuterung, wie ein Prüfer benötigt |
| Rechtsgrundlage | Rechtsgrundlage nach Artikel 6 für die Verarbeitungstätigkeit |
| Rechtsgrundlage für besondere Kategorien | Rechtsgrundlage nach Artikel 9 für die Verarbeitungstätigkeit, falls zutreffend |
| Datenkategorien | Identifikation, persönliche Merkmale, Finanzen, Beruf, soziale Verhältnisse, Geschäftsbeziehung — und die besonderen Kategorien |
| Kategorien betroffener Personen | Um wen es bei den Daten geht: Beschäftigte, Kunden, Bewerber, Besucher … |
| Aktivitätskategorien | Was mit den Daten geschieht: Erhebung, Speicherung, Übermittlung, Verbreitung, Löschung … |
| Datenherkunft | Woher die Daten stammen |
| Aufbewahrung | Wie lange die Daten aufbewahrt werden und welche Regel das bestimmt |
| Datenübermittlungen | Wer die Daten erhält, mit Freitext-Detail |
| Profiling | Ja oder nein |
| Internationale Übermittlungen | Ja oder nein, mit Angabe wohin und unter welcher Garantie |
| Sicherheitsniveau und Maßnahmen | Geringes, mittleres oder hohes Risiko und die zusätzlich getroffenen Maßnahmen |
| Ablaufdatum | Optional; ist es überschritten, wird die Tätigkeit automatisch deaktiviert (siehe „Aktiv und inaktiv“ oben) |
| Status | Aktiv oder inaktiv (siehe „Aktiv und inaktiv“ oben), und ob die Deaktivierung automatisch – wegen des überschrittenen Ablaufdatums – oder von Hand erfolgte |