Verarbeitungstätigkeiten

Nutzen des Moduls

In diesem Modul werden alle Verarbeitungstätigkeiten (VVT) gemäß DSGVO dokumentiert. Es dient der zentralen Verwaltung aller Prozesse, bei denen personenbezogene Daten verarbeitet werden, und unterstützt bei der Nachweisführung gegenüber Aufsichtsbehörden.

Allgemeine Funktionen

• + Neu – neue Verarbeitungstätigkeit anlegen 
• Löschen – ausgewählte Einträge löschen (mit Berechtigung) 
• Schlagwörter – Einträge kategorisieren 
• Massenaktionen – mehrere Datensätze gleichzeitig bearbeiten 
• Exportieren – Daten exportieren 
• Importieren – Daten importieren 
• Suche in Tabelle – gezielte Suche nach Einträgen 

Ansichten

• Alle – Übersicht aller Verarbeitungstätigkeiten 
• Betroffenenübersicht – Darstellung nach betroffenen Personengruppen 
• Archiv – archivierte Verarbeitungstätigkeiten 

Tabellenübersicht

Die Übersicht zeigt folgende Informationen:

• Bezeichnung – Name der Verarbeitungstätigkeit 
• Fachverantwortlicher – zuständige Person 
• Organisationseinheit – zugehörige Abteilung 
• Vollständigkeit – Fortschritt der Dokumentation (z. B. 50 %, 88 %) 
• Status – z. B. Entwurf oder Aktiv 
• Prüfstatus – z. B. „Zur Prüfung“ 
• Risiko – Bewertung des Risikos 
• Schlagwort – zur Kategorisierung 
• Letzte Änderung – Datum der letzten Bearbeitung 

Status und Bedeutungen

• Entwurf – Verarbeitungstätigkeit ist noch in Bearbeitung 
• Aktiv – Verarbeitungstätigkeit ist freigegeben 
• Zur Prüfung – wartet auf Freigabe im Prüfworkflow 

Vollständigkeit

Die Vollständigkeit zeigt an, wie weit die Verarbeitungstätigkeit ausgefüllt ist:

• Unvollständig – wichtige Angaben fehlen 
• Teilweise – teilweise ausgefüllt 
• Vollständig (%) – nahezu komplett dokumentiert

Verarbeitungstätigkeit (VT) – Detailübersicht

Kopfbereich

• Speichern – Änderungen sichern 
• Löschen – Datensatz entfernen 
• Zur Prüfung einreichen – startet den Prüfworkflow 
• Exportieren – Exportfunktion 
• Abbrechen – ohne Speichern verlassen 

Vollständigkeitsanzeige

Oben wird angezeigt:

• Fortschritt der Pflichtfelder (z. B. 2/9 erfüllt) 
• Fehlende Angaben wie: 
  • Zweck  
  • Rechtsgrundlage  
  • Fachverantwortlicher  
  • Datenkategorie  
  • Empfänger  
  • Löschfrist  
  • Technische und organisatorische Maßnahmen (TOM) 

Tabs im Detail

Stammdaten

Grundlegende Informationen:

• Bezeichnung – Name der Verarbeitung 
• Organisationseinheit – zuständige Abteilung 
• Fachverantwortlicher – verantwortliche Person 
• Weitere Verantwortliche – optional 
• Zugeordneter Geschäftsprozess – optional 
• Status – Entwurf oder Aktiv 

Rechtliches

Rechtliche Grundlage der Verarbeitung:

• Zweck der Verarbeitung – Beschreibung des Verarbeitungsziels 
• Rechtsgrundlage – z. B. Vertrag, Einwilligung, gesetzliche Pflicht 
• Erläuterung – detaillierte Beschreibung 
• Eigene Rolle – Verantwortlicher oder Auftragsverarbeiter 

Optionale Angaben:

• gesetzlich vorgeschrieben 
• Betroffener zur Bereitstellung verpflichtet 
• Kinder betroffen 
• automatisierte Entscheidung (Art. 22 DSGVO) 

Daten und Betroffene

Definition der verarbeiteten Daten:

• Datenkategorien verknüpfen 
• Betroffene hinzufügen 
• Löschfristen definieren 

Tabellenübersicht enthält:

• Datenkategorie  
• Betroffene Personen 
• Datenquelle  
• Löschfrist  
• Schutzbedarf  

Verfügbarkeit (Schutzziel)

• Einstufung der Verfügbarkeit (z. B. normal, hoch) 
• Begründung erforderlich 

Empfänger

Empfänger der Daten:

Vertragspartner

• Verknüpfung mit Auftragsverarbeitern (AV-Verträge) 

Weitere Empfänger

• interne Empfänger 
• externe Empfänger 

Drittlandtransfers

• Darstellung von Datenübermittlungen außerhalb der EU 
• Anzeige des Schutzstatus (z. B. Angemessenheitsbeschluss, Garantien) 

Technische und organisatorische Maßnahmen (TOM)

• Maßnahmen werden automatisch über verknüpfte Assets übernommen 
• oder manuell ergänzt 

Beispiele:

• Zugriffskontrolle  
• Verschlüsselung  
• Datensicherung  

DSFA und Risiken

Datenschutz-Folgenabschätzung:

• Schwellenwertprüfung  
• Blacklist-Prüfung  
• Ergebnis:  
  • keine DSFA erforderlich 
  • DSFA erforderlich 

Zusätzlich:

• Risiken verknüpfen 
• Maßnahmen zur Risikobehandlung dokumentieren 

Information

• Zuordnung der Informationspflichten gemäß Art. 13 und 14 DSGVO 
• Export-Assistent verfügbar 

Löschkonzept

• Verknüpfung mit Löschregeln 
• Anzeige von: 
  • Löschfristen  
  • Löschregeln  
  • letzter Löschung 

Voraussetzung: Datenkategorien müssen definiert sein.

Dokumente

• Upload von: 
  • Verträgen  
  • Nachweisen  
  • Richtlinien  

Einstellungen

• Freigabe für Unternehmensgruppe 
• Mandantenübergreifende Nutzung 

Wichtige Hinweise

• Pflichtfelder müssen vollständig ausgefüllt werden 
• Viele Bereiche sind miteinander verknüpft: 
  • Datenkategorien beeinflussen TOM und Löschkonzept 
  • AV-Verträge erscheinen bei Empfängern

Datenlandkarte

Die Datenlandkarte stellt alle Länder dar, in die personenbezogene Daten übermittelt werden, und bewertet diese hinsichtlich des Datenschutzniveaus.

Im oberen Bereich werden Kennzahlen zu den betroffenen Ländern angezeigt (z. B. EU/EWR, Angemessenheitsbeschluss, mit Garantie, Handlungsbedarf).
Die Darstellung erfolgt sowohl grafisch auf einer Weltkarte als auch tabellarisch.

Die farbliche Kennzeichnung ermöglicht eine schnelle Einordnung:

• EU/EWR  
• Angemessenheitsbeschluss  
• Drittland mit Garantien 
• Drittland mit Handlungsbedarf 

Die zugrunde liegenden Daten stammen aus verknüpften Verarbeitungstätigkeiten, Empfängern und Dienstleistern.

Die Datenlandkarte dient der schnellen Identifikation und Bewertung von Drittlandübermittlungen und unterstützt die Priorisierung datenschutzrechtlicher Maßnahmen.

Verarbeitungstätigkeiten konfigurieren

Nutzen des Moduls

Mit dem Bereich „Verarbeitungstätigkeiten konfigurieren“ verwalten Sie alle zentralen Bausteine, die für die Erstellung und Pflege von Verarbeitungstätigkeiten (VVT) benötigt werden. Das Modul stellt sicher, dass Inhalte wie Rechtsgrundlagen, Personengruppen, Datenquellen und Textbausteine einheitlich gepflegt und in allen Verarbeitungstätigkeiten konsistent verwendet werden.

Durch die zentrale Konfiguration wird die Datenpflege vereinfacht, Fehlerquellen reduziert und die Einhaltung datenschutzrechtlicher Anforderungen unterstützt.

Vorbereitungen

Bevor Verarbeitungstätigkeiten erstellt oder bearbeitet werden, sollten folgende Konfigurationen vorgenommen werden:

• Funktionsbausteine pflegen
  Hinterlegen Sie grundlegende Inhalte wie: 
  • Rechtsgrundlagen  
  • Personengruppen  
  • Datenquellen  
  • Drittland-Garantien  
• Textbausteine definieren
  Erstellen Sie wiederverwendbare Texte für: 
  • Zwecke der Verarbeitung 
  • Interessenabwägungen  
  • Informationspflichten  
• Schlagwörter anlegen
  Definieren Sie Schlagwörter zur besseren Strukturierung und Filterung von Verarbeitungstätigkeiten. 
• Eigene Felder erstellen
  Ergänzen Sie zusätzliche Felder, um individuelle Anforderungen abzubilden.
  → Optional können diese auch in der Listenansicht angezeigt werden. 

Einstellungen

VVT-ID Konfiguration

• Definieren Sie ein ID-Präfix für Verarbeitungstätigkeiten 
• Legen Sie das Format der ID fest (z. B. Jahr + laufende Nummer) 

Anzeigeoptionen

• Aktivieren Sie die Anzeige der Pflichtfelder (Art. 30 Vollständigkeit) 
• Optional kann die VVT-ID in der Listen- und Detailansicht angezeigt werden 

Prüfworkflow

• Aktivieren Sie den Prüfworkflow, um Verarbeitungstätigkeiten vor der Freigabe prüfen zu lassen 
• Legen Sie einen Standard-Prüfer fest
  → Bei Einreichung wird automatisch eine Prüfaufgabe erstellt 

Aktualisierungsworkflow

• Aktivieren Sie automatische Erinnerungen zur Aktualisierung von Verarbeitungstätigkeiten 
• Definieren Sie ein Aktualisierungsintervall (z. B. 12 Monate) 

Unternehmensgruppen-Freigabe

• Aktivieren Sie die Freigabe für Unternehmensgruppen
  → Verarbeitungstätigkeiten können mandantenübergreifend genutzt werden 

Verwendung in Verarbeitungstätigkeiten

Die konfigurierten Inhalte stehen direkt bei der Erstellung und Bearbeitung von Verarbeitungstätigkeiten zur Verfügung und können dort ausgewählt oder verknüpft werden.

Änderungen an zentralen Bausteinen wirken sich automatisch auf alle verknüpften Verarbeitungstätigkeiten aus.