Verarbeitungstätigkeiten
Eine Verarbeitungstätigkeit ist ein Zweck, zu dem personenbezogene Daten verarbeitet werden: Gehaltsabrechnung, Newsletter, Videoüberwachung des Parkplatzes, Bewerbungsverfahren. Das Verzeichnis ist die Liste dieser Tätigkeiten, und jede trägt die Angaben, die Artikel 30 verlangt — Zweck, Rechtsgrundlage, Daten, Betroffene, Aufbewahrung, Empfänger, Übermittlungen, Sicherheit.
Tätigkeiten werden im Bearbeitungsmodus vom Dashboard aus angelegt und bearbeitet, durch Administratoren. Im Anzeigemodus kann jedes Mitglied sie lesen.
Aktiv und inaktiv
Eine Tätigkeit ist entweder aktiv — Teil des offiziellen Verzeichnisses, auf dem Dashboard sichtbar und in den Dokumenten enthalten — oder inaktiv: ein noch unfertiger Entwurf oder eine eingestellte Verarbeitung, die zur Dokumentation aufbewahrt wird.
- Eine neue Tätigkeit beginnt immer inaktiv.
- Sie kann erst aktiviert werden, wenn jedes Pflichtfeld ausgefüllt ist, sodass ein halbfertiger Eintrag nie in Ihr offizielles Verzeichnis gelangt.
- Eine Tätigkeit, deren Ablaufdatum verstrichen ist, wird automatisch deaktiviert.
- Nur eine inaktive Tätigkeit ohne ausstehende Änderungen kann gelöscht werden.
Inaktive Tätigkeiten sind standardmäßig ausgeblendet; Inaktive Aktivitäten anzeigen in der Seitenleiste blendet sie ein.
Versuchen Sie nicht, am ersten Tag alle Tätigkeiten zu erfassen. Beginnen Sie mit den fünf oder sechs offensichtlichen — Gehaltsabrechnung, Kundendaten, Website, Newsletter —, aktivieren Sie sie und erzeugen Sie Ihr erstes Dokument. Ein Verzeichnis, das existiert und mit der Zeit wächst, ist mehr wert als ein perfektes, das die Planungsphase nie verlässt.
Weniger Tätigkeiten bedeuten auch ein Verzeichnis, das leichter zu pflegen ist. Halten Sie die Liste kurz und legen Sie eine neue Tätigkeit nur an, wenn keine der vorhandenen zu einem neuen Bedarf passt.
Standardwerte für neue Tätigkeiten
Wenn die meisten Ihrer Tätigkeiten dieselben Antworten teilen — dieselben Sicherheitsmaßnahmen, dieselbe Aufbewahrungsregel, dieselbe Herkunft —, legen Sie sie einmal unter Organisationseinstellungen → Standardwerte für neue Aktivitäten fest. Jede neue Tätigkeit wird mit diesen Werten vorausgefüllt, und Sie ändern nur, was abweicht.
Die Dokumente, die Sie aus jeder Tätigkeit erhalten
Sobald eine Tätigkeit aktiv ist, erstellt die Anwendung dafür zwei sofort verwendbare Dokumente, in jeder Sprache des Verzeichnisses — ohne zusätzliche Arbeit Ihrerseits:
- die Erklärung nach Art. 30 — das, was Sie der Aufsichtsbehörde aushändigen, wenn sie nach dieser Verarbeitung fragt. Im Browser öffnen oder als PDF bzw. RTF herunterladen;
- die Informationsklausel nach Art. 13 — das, was Sie den Personen zeigen, deren Daten Sie verarbeiten. Sie hat einen dauerhaften Link und einen Einbettungs-Schnipsel, sodass Sie aus einer Datenschutzerklärung, einem Einwilligungsformular oder einer Webseite darauf verweisen können und stets der aktuelle Text erscheint.
Beide Dokumente finden Sie auf der Seite der Tätigkeit selbst, wo Sie auch ihre Links und Einbettungs-Schnipsel kopieren können.
Jedes Dokument hat außerdem eine vorhersehbare Adresse außerhalb der Anwendung, gebildet aus der Adresse Ihrer Organisation und der Nummer der Tätigkeit:
https://{kurzname}.rat.gd/{sprache}/{tätigkeitsnummer} für die Informationsklausel
https://{kurzname}.rat.gd/{sprache}/a/{tätigkeitsnummer} für die Erklärung
sodass sie auf ein Formular gedruckt, in einem Vertrag zitiert oder von einer Website verlinkt werden kann.
Die Informationsklausel ist auf diesem Weg immer erreichbar, weil sie dazu da ist, von Nichtmitgliedern gelesen zu werden. Die Erklärung ist nur dann für jeden erreichbar, wenn die Organisation als öffentlich konfiguriert ist; bei einer privaten Organisation wird sie nur Mitgliedern gezeigt.
Beide Dokumente werden aus einer Standardvorlage erzeugt, die ohne weiteres Zutun funktioniert. Um stattdessen Ihre eigene Gestaltung, Formulierung oder Struktur zu verwenden, können Sie eigene Vorlagen auf Organisationsebene oder auf Ebene der Verarbeitungstätigkeit anlegen und bearbeiten.
Was eine Verarbeitungstätigkeit enthält
| Organisationseinheit | Die OE, zu der die Tätigkeit gehört — genau eine. Sie bestimmt, wie die Tätigkeit im Dashboard und im Verzeichnis-PDF gruppiert, gefiltert und eingefärbt wird |
| Verantwortliche(r) | Die Organisation — oder Organisationen, bei gemeinsam Verantwortlichen —, die entscheidet, warum und wie die Daten verarbeitet werden |
| Auftragsverarbeiter | Falls vorhanden, die Organisation — oder Organisationen —, die die Daten im Auftrag des Verantwortlichen verarbeiten. Ihre eigene Organisation muss in jeder Tätigkeit entweder Verantwortlicher oder Auftragsverarbeiter sein |
| Zweck und Details | Eine Zeile, die sagt, wozu die Verarbeitung dient, und so viel Erläuterung, wie ein Prüfer benötigt |
| Rechtsgrundlage | Rechtsgrundlage nach Artikel 6 für die Verarbeitungstätigkeit |
| Rechtsgrundlage für besondere Kategorien | Rechtsgrundlage nach Artikel 9 für die Verarbeitungstätigkeit, falls zutreffend |
| Datenkategorien | Identifikation, persönliche Merkmale, Finanzen, Beruf, soziale Verhältnisse, Geschäftsbeziehung — und die besonderen Kategorien |
| Kategorien betroffener Personen | Um wen es bei den Daten geht: Beschäftigte, Kunden, Bewerber, Besucher … |
| Aktivitätskategorien | Was mit den Daten geschieht: Erhebung, Speicherung, Übermittlung, Verbreitung, Löschung … |
| Datenherkunft | Woher die Daten stammen |
| Aufbewahrung | Wie lange die Daten aufbewahrt werden und welche Regel das bestimmt |
| Datenübermittlungen | Wer die Daten erhält, mit Freitext-Detail |
| Profiling | Ja oder nein |
| Internationale Übermittlungen | Ja oder nein, mit Angabe wohin und unter welcher Garantie |
| Sicherheitsniveau und Maßnahmen | Geringes, mittleres oder hohes Risiko und die zusätzlich getroffenen Maßnahmen |