Verarbeitungstätigkeiten
Eine Verarbeitungstätigkeit ist ein Zweck, zu dem personenbezogene Daten verarbeitet werden: Gehaltsabrechnung, Newsletter, Videoüberwachung des Parkplatzes, Bewerbungsverfahren. Das Verzeichnis ist die Liste dieser Tätigkeiten, und jede trägt die Angaben, die Artikel 30 verlangt — Zweck, Rechtsgrundlage, Daten, Betroffene, Aufbewahrung, Empfänger, Übermittlungen, Sicherheit.
Tätigkeiten werden im Bearbeitungsmodus vom Dashboard aus angelegt und bearbeitet, durch Administratoren. Im Anzeigemodus kann jedes Mitglied sie lesen.
Aktiv und inaktiv
Eine Tätigkeit ist entweder aktiv — Teil des offiziellen Verzeichnisses, auf dem Dashboard sichtbar und in den Dokumenten enthalten — oder inaktiv: ein noch unfertiger Entwurf oder eine eingestellte Verarbeitung, die zur Dokumentation aufbewahrt wird.
- Eine neue Tätigkeit beginnt immer inaktiv.
- Sie kann erst aktiviert werden, wenn jedes Pflichtfeld ausgefüllt ist, sodass ein halbfertiger Eintrag nie in Ihr offizielles Verzeichnis gelangt.
- Eine Tätigkeit, deren Ablaufdatum verstrichen ist, wird automatisch deaktiviert.
- Nur eine inaktive Tätigkeit ohne ausstehende Änderungen kann gelöscht werden.
Inaktive Tätigkeiten sind standardmäßig ausgeblendet; Inaktive Aktivitäten anzeigen in der Seitenleiste blendet sie ein.
Versuchen Sie nicht, am ersten Tag alle Tätigkeiten aufzulisten. Erfassen Sie die fünf oder sechs offensichtlichen — Gehaltsabrechnung, Kundendaten, Website, Newsletter —, aktivieren Sie sie und erzeugen Sie ein erstes Dokument. Ein Verzeichnis, das existiert und wächst, ist mehr wert als ein perfektes, das noch geplant wird.
Standardwerte für neue Tätigkeiten
Wenn die meisten Ihrer Tätigkeiten dieselben Antworten teilen — dieselben Sicherheitsmaßnahmen, dieselbe Aufbewahrungsregel, dieselbe Herkunft —, legen Sie sie einmal unter Organisationseinstellungen → Standardwerte für neue Aktivitäten fest. Jede neue Tätigkeit wird mit diesen Werten vorausgefüllt, und Sie ändern nur, was abweicht.
Die Dokumente, die Sie aus jeder Tätigkeit erhalten
Sobald eine Tätigkeit aktiv ist, erstellt die Anwendung dafür zwei sofort verwendbare Dokumente, in jeder Sprache des Verzeichnisses — ohne zusätzliche Arbeit Ihrerseits:
- die Erklärung nach Art. 30 — das, was Sie der Aufsichtsbehörde aushändigen, wenn sie nach dieser Verarbeitung fragt. Im Browser öffnen oder als PDF bzw. RTF herunterladen;
- die Informationsklausel nach Art. 13 — das, was Sie den Personen zeigen, deren Daten Sie verarbeiten. Sie hat einen dauerhaften Link und einen Einbettungs-Schnipsel, sodass Sie aus einer Datenschutzerklärung, einem Einwilligungsformular oder einer Webseite darauf verweisen können und stets der aktuelle Text erscheint.
Beide Dokumente finden Sie auf der Seite der Tätigkeit selbst, wo Sie auch ihre Links und Einbettungs-Schnipsel kopieren können.
Jedes Dokument hat außerdem eine vorhersehbare Adresse außerhalb der Anwendung, gebildet aus der Adresse Ihrer Organisation und der Nummer der Tätigkeit — https://{kurzname}.rat.gd/{sprache}/{tätigkeitsnummer} für die Informationsklausel, mit angehängtem ?type=activity-declaration für die Erklärung —, sodass sie auf ein Formular gedruckt, in einem Vertrag zitiert oder von einer Website verlinkt werden kann.
Die Informationsklausel ist auf diesem Weg immer erreichbar, weil sie dazu da ist, von Nichtmitgliedern gelesen zu werden. Die Erklärung ist nur dann für jeden erreichbar, wenn die Organisation als öffentlich konfiguriert ist; bei einer privaten Organisation wird sie nur Mitgliedern gezeigt.
Beide Dokumente kommen mit einer vernünftigen Standardgestaltung; wenn sie lieber Ihre eigene Formulierung, Struktur oder Ihr Logo tragen sollen, sind dafür die Vorlagen da.
Was eine Verarbeitungstätigkeit enthält
| Zweck und Details | Eine Zeile, die sagt, wozu die Verarbeitung dient, und so viel Erläuterung, wie ein Prüfer benötigt |
| Rechtsgrundlage | Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse oder berechtigtes Interesse, mit Freitext-Detail. Tätigkeiten, die besondere Kategorien von Daten berühren (Gesundheit, Biometrie, Überzeugungen, Gewerkschaftszugehörigkeit …), brauchen zusätzlich einen der Gründe aus Artikel 9 |
| Datenkategorien | Identifikation, persönliche Merkmale, Finanzen, Beruf, soziale Verhältnisse, Geschäftsbeziehung — und die besonderen Kategorien |
| Kategorien betroffener Personen | Um wen es bei den Daten geht: Beschäftigte, Kunden, Bewerber, Besucher … |
| Aktivitätskategorien | Was mit den Daten geschieht: Erhebung, Speicherung, Übermittlung, Verbreitung, Löschung … |
| Datenherkunft | Woher die Daten stammen |
| Aufbewahrung | Wie lange die Daten aufbewahrt werden und welche Regel das bestimmt |
| Datenübermittlungen | Wer die Daten erhält, mit Freitext-Detail |
| Verantwortliche und Auftragsverarbeiter | Die beteiligten Partner und ihre Rollen |
| Profiling | Ja oder nein |
| Internationale Übermittlungen | Ja oder nein, mit Angabe wohin und unter welcher Garantie |
| Sicherheitsniveau und Maßnahmen | Geringes, mittleres oder hohes Risiko und die zusätzlich getroffenen Maßnahmen |