Verarbeitungstätigkeiten (VVT)

0 Kurzkarte: Eine Verarbeitungstätigkeit melden in 5 Schritten

Für alle Fachbereiche, die eine neue Software, einen neuen Ablauf oder eine neue Datensammlung einführen.

Sie planen etwas, bei dem personenbezogene Daten verarbeitet werden – etwa ein Bewerbertool, eine Mitarbeiterbefragung oder eine Zeiterfassung? Dann gehört es in das Verzeichnis von Verarbeitungstätigkeiten. Melden Sie es dem Datenschutz vor dem Start.

1. Meldeseite öffnen – über den Link oder QR-Code, den Ihr Unternehmen bereitstellt (ohne Anmeldung). Mit Zugang zum audatis MANAGER: Datenschutz → Verarbeitungstätigkeiten (VVT) → Neu.
2. Bezeichnung eintragen – kurz und verständlich, z. B. „Mitarbeiterbefragung (Online-Umfrage)“.
3. Organisationseinheit wählen – welcher Bereich ist zuständig?
4. Zweck beschreiben – wozu werden die Daten verarbeitet? Eigene Worte genügen.
5. Kontaktdaten angeben und absenden – mit Meldung absenden. Der Datenschutz meldet sich bei Rückfragen.

Tipp: Rechtsgrundlagen, Löschfristen oder Maßnahmen müssen Sie nicht kennen. Beschreiben Sie, was Sie vorhaben und warum. Den Rest ergänzt der Datenschutz.

1 Einführung

1.1 Wofür ist das Modul da?

Jeder Verantwortliche und jeder Auftragsverarbeiter muss nach Art. 30 DS-GVO ein Verzeichnis seiner Verarbeitungstätigkeiten führen und es der Aufsichtsbehörde auf Anfrage vorlegen. Das Modul ist dieses Verzeichnis. Es

• dokumentiert jede Verarbeitungstätigkeit mit Zweck, Rechtsgrundlage, Rolle, Datenkategorien, Betroffenen, Löschfristen und Empfängern,
• verknüpft sie mit den Modulen Auftragsverarbeitung, Daten & Informationen, Assets, TOM, Risikomanagement, DSFA und Löschkonzept,
• zeigt Drittlandtransfers und ihren Schutzstatus, auch auf einer Datenlandkarte,
• beantwortet mit der Schwellwertbestimmung, ob eine Datenschutz-Folgenabschätzung voraussichtlich nötig ist,
• dokumentiert Einwilligung, Interessenabwägung und die Erfüllung der Informationspflichten,
• nimmt Meldungen aus den Fachbereichen über eine externe Meldeseite ohne Anmeldung entgegen,
• führt auf Wunsch eine Prüfung jeder Verarbeitungstätigkeit durch den Datenschutz (Prüfworkflow) und
• erzeugt Nachweise: Internes Verzeichnis, Behördliches Verzeichnis, Interessenabwägung, Informationspflichten und Datenliste.

Sie öffnen das Modul über Datenschutz → Verarbeitungstätigkeiten (VVT).

Abbildung 1: Übersicht der Verarbeitungstätigkeiten

1.2 Begriffe

1.3 Der Ablauf im Überblick

1.4 Rollen und Rechte

Die Rechte vergibt die Administration je Modul in Stufen.

2 Eine Verarbeitungstätigkeit melden oder anlegen

Für Fachbereiche, die eine neue Verarbeitung anstoßen, und für den Datenschutz, der sie anlegt.

2.1 Über die externe Meldeseite melden

Die externe Meldeseite ist für Beschäftigte ohne eigenen Zugang gedacht. Ihr Datenschutz stellt dafür einen Link oder QR-Code bereit, z. B. im Intranet oder auf einem Aushang.

1. Öffnen Sie den Link oder scannen Sie den QR-Code. Eine Anmeldung ist nicht nötig.
2. Füllen Sie unter Angaben zur Verarbeitungstätigkeit die Felder Bezeichnung der Verarbeitungstätigkeit, Organisationseinheit und Zweck der Verarbeitung aus.
3. Tragen Sie unter Ihre Kontaktdaten Ihr Name und Ihre E-Mail-Adresse ein.
4. Klicken Sie auf Meldung absenden.

Abbildung 2: Externe Meldeseite

Die Bestätigungsseite Meldung erfolgreich übermittelt erklärt, wie es weitergeht. Mit Weitere Meldung erstellen melden Sie die nächste Verarbeitung. Über DE / EN oben rechts wechseln Sie die Sprache der Meldeseite.

Abbildung 3: Bestätigung der Meldung

Was danach passiert: Die Meldung erscheint in der Übersicht als Verarbeitungstätigkeit im Status Entwurf mit Bezeichnung, Organisationseinheit und Zweck. Der in der Konfiguration festgelegte Verantwortliche erhält eine Aufgabe mit Frist von 14 Tagen und eine E-Mail. Name und E-Mail-Adresse der meldenden Person stehen als Kommentar in der rechten Leiste der Verarbeitungstätigkeit.

Abbildung 4: Kommentar mit den Angaben der meldenden Person

Hinweis: Ist die Meldeseite in der Konfiguration ausgeschaltet, zeigt der Link nur den Hinweis „Die Meldeseite ist derzeit deaktiviert.“ Ist das tägliche Meldelimit erreicht, weist die Seite darauf hin; die Meldung ist dann am nächsten Tag wieder möglich.

2.2 Im audatis MANAGER neu anlegen

1. Klicken Sie in der Übersicht auf Neu. Der Dialog Verarbeitungstätigkeit anlegen öffnet sich mit dem Reiter Neu erstellen.
2. Geben Sie die Bezeichnung ein.
3. Klicken Sie auf Speichern. Mit Weiteren Datensatz anlegen bleibt der Dialog für die nächste Verarbeitungstätigkeit offen.

Die neue Verarbeitungstätigkeit steht im Status Entwurf in der Übersicht. Öffnen Sie sie über das Stift-Symbol und arbeiten Sie sie aus (Kapitel „Eine Verarbeitungstätigkeit ausarbeiten“).

Abbildung 5: Verarbeitungstätigkeit anlegen

2.3 Aus einer Vorlage anlegen

Vorlagen sind Musterverarbeitungen aus den Vorlagenpaketen Ihres Unternehmens, mit Zweck, Rechtsgrundlagen, Datenkategorien, Löschfristen und Empfängern. Welche Vorlagen bereitstehen, legen Benutzer mit entsprechender Berechtigung unter Vorlagen & Shop fest.

1. Klicken Sie auf Neu und wechseln Sie in den Reiter Aus Vorlage erstellen.
2. Wählen Sie unter Verarbeitungstätigkeit(en) von Vorlagen eine oder mehrere Vorlagen. Die Liste ist nach Vorlagenpaketen gruppiert und durchsuchbar.
3. Klicken Sie auf Weiter. Der Dialog Bestand abgleichen vergleicht die Stammdaten der Vorlage – Personengruppen, Rechtsgrundlagen, Datenkategorien, Löschfristen und Empfänger – mit Ihrem Bestand:
   • Vorhandene Einträge werden automatisch verknüpft, nichts wird doppelt angelegt.
   • Fehlende Einträge werden neu angelegt.
   • Bei ähnlichen Treffern entscheiden Sie je Zeile zwischen Bestehende nutzen und Neu anlegen.
4. Klicken Sie auf Weiter, prüfen Sie die Zusammenfassung und klicken Sie auf Kopieren.

Abbildung 6: Aus Vorlage erstellen

Abbildung 7: Bestand abgleichen

Tipp: Vorlagen sind der schnellste Weg zu einem vollständigen Eintrag. Passen Sie Bezeichnung, Zweck und Organisationseinheit anschließend an Ihre Situation an.

3 Eine Verarbeitungstätigkeit ausarbeiten

Für Fachverantwortliche und Datenschutz. Beispiel: „Digitale Personalakte (PersonalPlus)“.

3.1 Die Detailseite

Ein Klick auf die Bezeichnung oder das Augen-Symbol öffnet die Verarbeitungstätigkeit zur Ansicht; von dort wechseln Sie mit Bearbeiten in die Bearbeitung. Das Stift-Symbol öffnet sie direkt zur Bearbeitung.

Die Reiter Stammdaten, Rechtliches, Daten + Betroffene, Empfänger, Assets + TOM, DSFA + Risiken, Information, Löschkonzept und Dokumente führen zu den Abschnitten derselben Seite. Zusätzliche Reiter erscheinen, wenn sie gebraucht werden: Eigene Felder (wenn in der Konfiguration Felder angelegt sind), Einstellungen (wenn Ihr Mandant zu einer Unternehmensgruppe gehört) und Altdaten (wenn Inhalte aus einer früheren Version übernommen wurden).

Abbildung 8: Kopf der Bearbeitungsseite mit Werkzeugleiste und Reitern

Die Werkzeugleiste bietet:

Das Symbol ganz rechts öffnet die rechte Leiste mit Aufgaben, Schlagwörtern, Prüfhistorie, Kommentaren, Links und Aktivitätslog.

Tipp: Formularfelder übernehmen Sie mit Speichern. Verknüpfungen in Tabellen – Datenkategorien, Vertragspartner, Empfänger, Assets, Risiken, Informationspflichten – und hochgeladene Dokumente speichert das System dagegen sofort.

Wurde die Verarbeitungstätigkeit aus einer Vorlage erstellt, zeigt ein Hinweis oberhalb der Reiter die Vorlage und ihr Vorlagenpaket. Hat sich die Vorlage seitdem geändert, bietet der Hinweis Von Vorlage aktualisieren an. Dabei werden die Inhalte mit den aktuellen Vorlagendaten überschrieben; lokale Änderungen gehen verloren.

3.2 Stammdaten

1. Prüfen Sie die Bezeichnung. Sie soll die Verarbeitung so benennen, dass auch Außenstehende sie verstehen.
2. Wählen Sie die zuständige Organisationseinheit und den Fachverantwortlichen.
3. Tragen Sie unter Weitere Fachverantwortliche Kolleginnen und Kollegen ein, die die Verarbeitungstätigkeit mitpflegen.
4. Ordnen Sie bei Bedarf den Zugeordneten Geschäftsprozess zu.
5. Setzen Sie den Status: Entwurf (Dokumentation in Arbeit), Aktiv (Verarbeitung läuft) oder Beendet (Verarbeitung eingestellt).
6. Klicken Sie auf Speichern.

Den Prüfstatus setzt der Prüfworkflow; Sie können ihn hier nicht ändern. Ist in der Konfiguration VVT-ID anzeigen eingeschaltet, steht oben zusätzlich die VVT-ID, die das System nach dem eingestellten Format vergibt.

Abbildung 9: Stammdaten

Hinweis: Ist in den Mandanteneinstellungen die Option für Fachverantwortliche ohne Benutzerkonto eingeschaltet, erscheint zusätzlich das Freitextfeld oder Fachverantwortlicher für eine Person ohne eigenen Zugang.

3.3 Rechtliches

1. Beschreiben Sie den Zweck der Verarbeitung. Über Textbaustein fügen Sie vorformulierte Texte ein; im Feld selbst öffnet das Zeichen # die Suche nach Textbausteinen.
2. Wählen Sie unter Rechtsgrundlage eine oder mehrere Rechtsgrundlagen und ergänzen Sie bei Bedarf die Erläuterung zur Rechtsgrundlage. Ist für die Rechtsgrundlage in der Konfiguration eine Erläuterung hinterlegt, wird sie übernommen.
3. Wählen Sie die Eigene Rolle bei der Verarbeitungstätigkeit: Verantwortlicher, Auftragsverarbeiter oder Gemeinsam Verantwortliche. Das Feld ist Pflicht.
4. Schalten Sie bei Bedarf Einwilligung dokumentieren oder Interessenabwägung dokumentieren ein (siehe unten).
5. Füllen Sie Bereitstellung und Automatisierung aus und klicken Sie auf Speichern.

Abbildung 10: Rechtliches

Hinweis: Steht eine Erläuterung zur Rechtsgrundlage im Feld, ist aber keine Rechtsgrundlage ausgewählt, erscheint ein Hinweis am Feld. Holen Sie die Zuordnung dann nach. In der Übersicht findet der Filter Rechtsgrundlage mit der Option (nicht zugeordnet) alle Verarbeitungstätigkeiten ohne Rechtsgrundlage.

3.3.1 Einwilligung und Interessenabwägung

Die Schalter Einwilligung dokumentieren und Interessenabwägung dokumentieren blenden die zugehörigen Abschnitte ein. Ist eine Rechtsgrundlage gewählt, die in der Konfiguration als Einwilligung bzw. berechtigtes Interesse gekennzeichnet ist, schaltet sich der Schalter automatisch ein und ist gesperrt; der Hinweis Durch die gewählte Rechtsgrundlage aktiviert nennt den Grund. Schalten Sie einen Schalter wieder aus, wird der Abschnitt nur ausgeblendet – erfasste Angaben bleiben erhalten.

• Einwilligung: Beschreiben Sie unter Erläuterungen zur Einwilligung, wie die Einwilligung eingeholt und nachgewiesen wird.
• Interessenabwägung: Der Abschnitt Interessenabwägung nach Art. 6 Abs. 1 lit. f DS-GVO zeigt Nicht vorhanden und einen Hinweis, solange keine Abwägung dokumentiert ist. Beginnen Sie mit Aus Vorlage initialisieren – im Dialog Vorlage für Interessenabwägung wählen übernehmen Sie eine vorformulierte Abwägung mit Übernehmen – oder mit Leer anlegen. Danach beantworten Sie die Fragen der Abwägung:

Danach zeigen Kennzeichen am Abschnitt den Status und ob die Abwägung aus einer Vorlage stammt (Aus Vorlage, ggf. angepasst). Den Export der Interessenabwägung beschreibt das Kapitel „Übersicht, Massenaktionen und Export“.

Abbildung 11: Interessenabwägung

3.3.2 Bereitstellung und Automatisierung

Diese Angaben fließen in die Informationspflichten nach Art. 13 und 14 DS-GVO ein.

3.4 Daten + Betroffene

Der Abschnitt Daten + Betroffene ist das Herzstück der Verarbeitungstätigkeit: welche Daten, von wem, woher und wie lange. Die Tabelle zeigt je Datenkategorie Betroffene, Quelle, Löschfrist und Schutzbedarf (C = Vertraulichkeit, I = Integrität).

Abbildung 12: Daten + Betroffene

3.4.1 Datenkategorien hinzufügen

1. Klicken Sie auf Datenkategorie hinzufügen. Der Dialog hat drei Reiter:
   • Vorhandene verknüpfen – Sie wählen unter Datenkategorien auswählen eine oder mehrere vorhandene Datenkategorien; Nach Schlagwort filtern grenzt die Liste ein. Die zweite Zeile jedes Eintrags zeigt einen Auszug der Beschreibung, die Suche berücksichtigt Bezeichnung und Beschreibung.
   • Neu erstellen – Sie geben Bezeichnung und Beschreibung ein und klicken auf Anlegen und verknüpfen.
   • Von Vorlage erstellen – Sie wählen eine Vorlage aus Daten & Informationen. Die Datenkategorie wird mit Beschreibung, Personenbezug, besonderen Kategorien und Schutzbedarf der Vorlage angelegt und verknüpft.
2. Klicken Sie auf Verknüpfen bzw. Anlegen und verknüpfen.

Abbildung 13: Datenkategorie hinzufügen

Vor dem Anlegen prüft das System, ob es eine passende Datenkategorie schon gibt. Bei Treffern wählen Sie zwischen Ausgewählte verknüpfen und Trotzdem neu anlegen. Wer eine Datenkategorie neu anlegt – auch aus einer Vorlage –, wird als Informationseigentümer hinterlegt und darf sie danach weiter pflegen.

Fehlt eine Personengruppe, legen Sie sie mit Personengruppe anlegen an (nur Bezeichnung). Entfernen löst markierte Datenkategorien von der Verarbeitungstätigkeit; die Datenkategorie selbst bleibt in Daten & Informationen erhalten.

3.4.2 Datenkategorie bearbeiten

Das Stift-Symbol der Zeile öffnet Datenkategorie bearbeiten. Das Symbol daneben öffnet die Datenkategorie in Daten & Informationen in einem neuen Tab.

Abbildung 14: Datenkategorie bearbeiten

Diese Angaben gelten nur für diese Verarbeitungstätigkeit. Den Schutzbedarf der Datenkategorie pflegen Sie im Modul Daten & Informationen.

3.4.3 Betroffene und Löschfristen für mehrere Datenkategorien

1. Markieren Sie die Datenkategorien in der Tabelle.
2. Klicken Sie auf Betroffene hinzufügen oder Löschfristen setzen.
3. Wählen Sie die Werte. Mit Bestehende Zuordnungen überschreiben bzw. Bestehende Fristen überschreiben ersetzen Sie vorhandene Angaben; sonst werden nur fehlende ergänzt.
4. Klicken Sie auf Auf Auswahl anwenden.

Abbildung 15: Betroffene hinzufügen (Massenaktion)

Abbildung 16: Löschfristen setzen (Massenaktion)

3.4.4 Verfügbarkeit

Unter Verfügbarkeit der Verarbeitungstätigkeit samt personenbezogener Daten bewerten Sie optional, wie wichtig die Verfügbarkeit (A) ist: Stufe (z. B. Normal, Hoch, Sehr hoch) und Begründung Verfügbarkeit. Die Angabe wird nach dem Maximalprinzip an den Geschäftsprozess und an die Assets der verknüpften Datenkategorien weitervererbt. Übernehmen Sie sie mit Speichern.

3.5 Empfänger

Der Abschnitt Empfänger beantwortet, wer die Daten erhält. Er hat drei Bereiche und das Feld Zugriffsberechtigte.

Abbildung 17: Empfänger

3.5.1 Vertragspartner

Hier stehen die Dienstleister aus dem Modul Auftragsverarbeitung mit Art, Land, Asset und Quelle. Vertragliche Details wie AVV, SLA oder NDA pflegen Sie im Modul Auftragsverarbeitung.

1. Klicken Sie auf Vertragspartner verknüpfen.
2. Wählen Sie unter Auftragsverarbeiter auswählen einen oder mehrere Dienstleister und klicken Sie auf Verknüpfen.

Fehlt der Dienstleister noch, legen Sie ihn mit Vertragspartner anlegen direkt an. Dienstleister, die an einem verknüpften Asset hängen, erscheinen automatisch mit der Quelle des Assets; sie lassen sich nur am Asset entfernen. Von Hand verknüpfte tragen die Quelle Manuell und lösen Sie mit Entfernen.

Abbildung 18: Vertragspartner verknüpfen

3.5.2 Weitere interne und externe Empfänger

1. Klicken Sie auf Empfänger hinzufügen.
2. Wählen Sie den Typ: Intern (Organisationseinheit), Gemeinsam Verantwortliche oder Personengruppe (intern/extern nach Kategorie), z. B. Betriebsrat oder Behörden.
3. Wählen Sie den Empfänger und – falls er Daten im Ausland erhält – die Länder.
4. Klicken Sie auf Verknüpfen.

Abbildung 19: Empfänger hinzufügen

Über das Stift-Symbol der Zeile öffnen Sie Empfänger bearbeiten. Dort grenzen Sie unter Datenkategorien ein, welche Daten dieser Empfänger erhält – ohne Auswahl erhält er alle Datenkategorien der Verarbeitungstätigkeit. Unter Details zu Datenübermittlung oder Empfänger beschreiben Sie den Anlass, und unter Länder ändern Sie die Zielländer. Mit Empfänger anlegen und Organisationseinheit anlegen ergänzen Sie fehlende Einträge, ohne die Seite zu verlassen.

3.5.3 Drittlandtransfers

Die Tabelle Drittlandtransfers füllt sich automatisch: aus den Angaben der Vertragspartner im Modul Auftragsverarbeitung, aus den verknüpften Assets und aus den Ländern der Empfänger. Sie zeigt nur Länder außerhalb von EU und EWR mit Status, Land, Empfänger, Quelle(n), Garantie und Schutzstatus.

Über das Stift-Symbol öffnen Sie Drittlandtransfer bearbeiten und wählen die Garantien für Drittlandsübermittlung, ordnen optional einen Empfänger zu und ergänzen eine Erläuterung. Einträge, die über einen Dienstleister entstehen, bearbeiten Sie am Dienstleister im Modul Auftragsverarbeitung; die Zeile zeigt dann nur ein Info-Symbol. Zur Datenlandkarte öffnet die Karte dieser Verarbeitungstätigkeit.

3.5.4 Zugriffsberechtigte

Im Freitextfeld Zugriffsberechtigte beschreiben Sie, welche Personen oder Rollen intern auf die Daten zugreifen dürfen, z. B. „Personalabteilung, Lohnbuchhaltung (lesend)“. Übernehmen Sie das Feld mit Speichern.

3.6 Assets + TOM

Im Abschnitt Assets + Technische und organisatorische Maßnahmen (TOM) halten Sie fest, mit welchen IT-Systemen, Anwendungen und Räumen die Verarbeitung erfolgt und welche Maßnahmen sie schützen.

Abbildung 20: Assets und TOM

Der Verknüpfungsmodus bestimmt, wie Assets und Maßnahmen zur Verarbeitungstätigkeit kommen:

Den Standard für neue Verarbeitungstätigkeiten legt die Konfiguration fest; für mehrere Verarbeitungstätigkeiten auf einmal ändern Sie ihn in der Übersicht über Massenaktionen → Verknüpfungsmodus umstellen.

1. Wählen Sie den Verknüpfungsmodus und klicken Sie auf Speichern.
2. Klicken Sie unter Verknüpfte Assets auf Asset manuell verknüpfen (nicht im Modus dynamisch), wählen Sie die Assets und klicken Sie auf Verknüpfen.
3. Klappen Sie Liste der technischen und organisatorischen Maßnahmen auf. Sie zeigt die Maßnahmen mit ihrer Herkunft. Über Maßnahme verknüpfen ergänzen Sie Maßnahmen von Hand (nicht im Modus dynamisch).

Abbildung 21: Asset manuell verknüpfen

Tipp: Sind im Modul TOM die TOM-Kataloge eingeschaltet, verknüpfen Sie mit TOM-Katalog verknüpfen ein ganzes Maßnahmenbündel, z. B. „Mobiles Arbeiten“, statt vieler Einzelmaßnahmen.

3.7 DSFA + Risiken

Der Abschnitt beantwortet in vier Schritten, ob eine Datenschutz-Folgenabschätzung (Art. 35 DS-GVO) nötig ist.

Abbildung 22: DSFA: Vorprüfung und Risiken

1. Schritt 1: Vorprüfung — Black-/Whitelist und Ausnahmen. Klappen Sie DSFA Pflicht wegen Blacklist auf, wenn die Verarbeitung auf der Muss-Liste der Aufsichtsbehörde steht. Unter Keine DSFA durchzuführen kreuzen Sie an, ob sie auf einer Whitelist steht oder eine Ausnahme greift – etwa eine bestehende DSFA für eine ähnliche Verarbeitung, eine Genehmigung der Aufsichtsbehörde vor dem 25.05.2018 oder eine rechtliche Verpflichtung mit allgemeiner DSFA. Greift eine Vorprüfung, steht das Ergebnis fest; die Schwellwertbestimmung ist dann nur noch Dokumentation.
2. Schritt 2: Risiken und bestehende DSFA. Verknüpfen Sie mit Risiko oder DSFA verknüpfen Risiken aus dem Risikomanagement oder eine vorhandene DSFA. Mit Risiko anlegen und DSFA anlegen legen Sie neue an, wenn Sie im jeweiligen Modul das Recht dazu haben.
3. Schritt 3: Schwellwertbestimmung. Beantworten Sie die elf Kriterien mit Ja oder Nein, z. B. Scoring, systematische Überwachung, Art.-9-Daten, großer Umfang oder schutzbedürftige Personen. Das ?-Symbol erklärt das Kriterium. Jedes Kriterium zählt 1,0 Risikopunkte; ab 2,0 Punkten lautet die Empfehlung DSFA muss voraussichtlich erstellt werden.
4. Schritt 4: Ergebnis der DSFA-Prüfung. Halten Sie unter Bemerkung Ihre Einschätzung fest. Mit dem Schalter Es besteht ein hohes Risiko durch die Verarbeitung für Betroffene, daher muss eine DSFA durchgeführt werden. dokumentieren Sie das Ergebnis auch unabhängig von der Punktzahl. Klicken Sie auf Speichern.

Abbildung 23: Schwellwertbestimmung

Hinweis: Enthält eine verknüpfte Datenkategorie besondere Kategorien personenbezogener Daten (Art. 9 DS-GVO), weist ein gelber Hinweis darauf hin. Prüfen Sie dann besonders das Kriterium Vertrauliche/höchstpersönliche Daten (Art. 9 DS-GVO).

3.8 Information

Im Abschnitt Information dokumentieren Sie, wie Sie die Informationspflichten nach Art. 13 und 14 DS-GVO gegenüber jeder Betroffenengruppe erfüllen. Unter der Tabelle steht jede Personengruppe aus dem Abschnitt Daten + Betroffene; Nicht zugeordnet zeigt, wo die Erfüllung noch fehlt.

1. Klicken Sie auf Informationspflicht zuordnen.
2. Wählen Sie die Betroffene und die Methode(n) der Informationserteilung, z. B. Mitarbeiterinformation / Betriebsvereinbarung, und ergänzen Sie eine Erläuterung.
3. Wählen Sie den Zeitpunkt der Bereitstellung, z. B. Bei Beginn des Beschäftigungsverhältnisses, und ergänzen Sie bei Bedarf die Erläuterung zum Zeitpunkt.
4. Klicken Sie auf Speichern.

Die Auswahlwerte für Methoden und Zeitpunkte stammen aus den Textbausteinen der Konfiguration. Ob die Informationspflicht nach Direkterhebung, Dritterhebung oder beidem zu erfüllen ist, schlägt das System anhand der Datenquellen der verknüpften Datenkategorien vor.

Abbildung 24: Information

Abbildung 25: Informationspflicht zuordnen

3.9 Löschkonzept

Der Abschnitt Löschkonzept (Auszug) stellt je Datenkategorie die Löschfrist (VVT) der Löschregel (LK) aus dem Modul Löschkonzept gegenüber, mit Umsetzungsvorgabe, Letzte Löschung und Löschsperre. Der farbige Punkt vor der Datenkategorie zeigt den Umsetzungsstand.

Abweichend bedeutet: Löschfrist und Löschregel passen nicht zusammen. Klären Sie, welche gilt, und gleichen Sie beide an – die Löschfrist im Abschnitt Daten + Betroffene, die Löschregel im Modul Löschkonzept. Im Löschkonzept-Modul öffnen und das Symbol am Zeilenende führen direkt dorthin.

Abbildung 26: Löschkonzept-Auszug

3.10 Dokumente

Laden Sie im Abschnitt Dokumente Unterlagen zur Verarbeitungstätigkeit hoch, z. B. Datenflussdiagramme, Betriebsvereinbarungen oder Einwilligungstexte: Dateien in das Feld ziehen oder klicken zum Auswählen. Erlaubt sind die gängigen Office-, PDF-, Bild- und Archivformate bis 50 MB je Datei. Hochgeladene Dateien laden Sie über die Symbole herunter oder öffnen sie in der Vorschau.

Abbildung 27: Dokumente

3.11 Eigene Felder und Einstellungen

• Der Reiter Eigene Felder erscheint, wenn in der Konfiguration eigene Felder angelegt sind, z. B. „Internes Aktenzeichen“. Pflichtfelder sind mit gekennzeichnet. Übernehmen Sie die Angaben mit *Speichern**.
• Der Reiter Einstellungen erscheint, wenn Ihr Mandant zu einer Unternehmensgruppe gehört. Mit Für Unternehmensgruppe freigeben stellen Sie die Verarbeitungstätigkeit den anderen Mandanten Ihrer Unternehmensgruppe zur Verfügung; diese übernehmen sie beim Anlegen über den Reiter Als Verknüpfung anlegen.

3.12 Rechte Leiste

Die rechte Leiste öffnen Sie über das Symbol ganz rechts in der Werkzeugleiste. Die Zahl am Symbol nennt die offenen Aufgaben.

Abbildung 28: Rechte Leiste mit der Prüfhistorie

4 Verarbeitungstätigkeiten prüfen

Für Datenschutzbeauftragte. Voraussetzung: In der Konfiguration ist der *Prüfworkflow** eingeschaltet. Die Prüfmaske öffnet nur, wer das Sonderrecht (Stufe 4) im Modul hat.*

Der Prüfworkflow sorgt für das Vier-Augen-Prinzip: Die Fachverantwortlichen pflegen die Verarbeitungstätigkeit und reichen sie ein, der Datenschutz prüft und dokumentiert das Ergebnis. Den Stand zeigt die Spalte Prüfstatus der Übersicht.

Ihr Mandant kann zusätzliche, eigene Prüfstatus führen; sie erscheinen dann ebenfalls in der Auswahl.

4.1 Zur Prüfung einreichen

1. Öffnen Sie die Verarbeitungstätigkeit zur Bearbeitung und speichern Sie offene Änderungen.
2. Klicken Sie auf Zur Prüfung einreichen. Der Prüfstatus wechselt auf Zur Prüfung.
3. Der Standard-Prüfer aus der Konfiguration erhält eine Aufgabe. Ist keiner hinterlegt, entsteht die Aufgabe ohne Zuweisung.

Mehrere Verarbeitungstätigkeiten reichen Sie in der Übersicht über Massenaktionen → Zur Prüfung einreichen ein. Archivierte Verarbeitungstätigkeiten lassen sich nicht einreichen.

Abbildung 29: Eingereichte Verarbeitungstätigkeit mit dem Knopf Zur Prüfmaske

4.2 In der Prüfmaske bewerten

1. Öffnen Sie die eingereichte Verarbeitungstätigkeit, z. B. über die Prüfaufgabe, und klicken Sie auf Zur Prüfmaske. Der Prüfstatus wechselt auf In Prüfung.
2. Die Prüfmaske zeigt die Verarbeitungstätigkeit schreibgeschützt in den Reitern Stammdaten, Rechtliches, Daten + Betroffene, Empfänger, Assets + TOM, DSFA + Risiken, Information und Löschkonzept.
3. Wählen Sie je Bereich ein Prüfergebnis – Nicht geprüft, OK (kein Änderungsbedarf), Ausreichend (Optimierungspotential) oder Nicht ausreichend (Nachbesserung notwendig) – und begründen Sie es unter Anmerkungen zur Prüfung.
4. Mit Speichern sichern Sie einen Zwischenstand und können später weiterprüfen.

Abbildung 30: Prüfmaske

Hinweis: Greift im Bereich DSFA + Risiken eine Ausnahme der Vorprüfung, weist die Prüfmaske unter Nachweispflicht darauf hin: Dokumentieren Sie dann in den Anmerkungen die Nachweise, z. B. Whitelist-Referenz, Behörde, Aktenzeichen und Datum.

4.3 Prüfung abschließen

1. Wechseln Sie in den Reiter Endergebnis.
2. Wählen Sie den Status: Geprüft (OK) oder Geprüft (Mängel).
3. Setzen Sie die Nächste Prüfung. Zu diesem Termin wird die Prüfung erneut fällig.
4. Bei Geprüft (Mängel) wählen Sie zusätzlich den Empfänger der Mängel-Aufgabe und die Frist zur Behebung; daraus entsteht eine Aufgabe „Mängel beheben: …“.
5. Fassen Sie das Ergebnis unter Anmerkung zusammen und klicken Sie auf Prüfung abschließen. Die Schaltfläche ist aktiv, sobald ein Status gewählt ist.

Abbildung 31: Endergebnis der Prüfung

Die abgeschlossene Prüfung steht in der Prüfhistorie der rechten Leiste, zusammen mit jeder Einreichung. Das Augen-Symbol öffnet das Prüfungsergebnis schreibgeschützt: den Stand der Verarbeitungstätigkeit zum Zeitpunkt der Prüfung mit allen Bewertungen und Anmerkungen; über die Symbole daneben und auf der Ergebnisseite laden Sie das Prüfprotokoll als PDF herunter.

Abbildung 32: Prüfungsergebnis

4.4 Wenn die nächste Prüfung fällig ist

Ist das Datum der Nächsten Prüfung erreicht, hängt das Verhalten von der Mandanteneinstellung Bei fälliger Prüfung automatisch zur Prüfung einreichen ab (Mandanteneinstellungen, Reiter Sonstiges):

• eingeschaltet – die Verarbeitungstätigkeit wird automatisch eingereicht (Prüfstatus Zur Prüfung (automatisch)), der Prüfer erhält die Prüfaufgabe;
• ausgeschaltet – der Prüfer erhält eine Aufgabe und reicht die Verarbeitungstätigkeit bei Bedarf selbst ein.

Den Termin für viele Verarbeitungstätigkeiten auf einmal setzen Sie in der Übersicht über Massenaktionen → Wiedervorlage setzen.

4.5 Prüfung zurücknehmen

Massenaktionen → Prüfung zurücknehmen (Sonderrecht) nimmt versehentlich oder verfrüht eingereichte Verarbeitungstätigkeiten aus dem Prüfprozess. Der Prüfstatus geht auf den Stand vor der Einreichung zurück, der nächste Prüftermin wird wiederhergestellt und die Prüfaufgabe geschlossen.

4.6 Verarbeitungstätigkeit aktualisieren

Nur wenn in der Konfiguration der *Aktualisierungsworkflow** eingeschaltet ist.*

Wurde eine Verarbeitungstätigkeit länger als das eingestellte Aktualisierungsintervall nicht geändert, erhält der Fachverantwortliche eine Aufgabe. Die Verarbeitungstätigkeit trägt dann am Prüfstatus das Kennzeichen zur Aktualisierung.

1. Öffnen Sie die Verarbeitungstätigkeit zur Bearbeitung und prüfen Sie alle Abschnitte. Ändern Sie, was nicht mehr stimmt, und klicken Sie auf Speichern.
2. Klicken Sie auf Aktualisierung abgeschlossen und wählen Sie im Dialog Aktualisierung abschließen:
   • Datensatz ist aktuell – keine relevanten Änderungen. Der bisherige Prüfstatus bleibt erhalten.
   • Datensatz wurde aktualisiert – relevante inhaltliche Änderungen. Die Verarbeitungstätigkeit gilt danach als nicht geprüft.
3. Klicken Sie auf Abschließen. Die zugehörige Aufgabe wird automatisch erledigt.

5 Übersicht, Massenaktionen und Export

Für alle, die das Verzeichnis auswerten, pflegen oder vorlegen.

5.1 Übersicht

Die Übersicht hat die Reiter Verarbeitungstätigkeiten, Betroffenenübersicht und Archiv. Die Tabelle zeigt je Verarbeitungstätigkeit Bezeichnung, Fachverantwortlicher, Organisationseinheit, Status, Prüfstatus, Risiko, Schlagwort und Letzte Änderung. Je nach Konfiguration kommen VVT-ID und Vollständigkeit hinzu. Das Augen-Symbol öffnet die Ansicht, das Stift-Symbol die Bearbeitung; über das Spaltensymbol rechts im Tabellenkopf blenden Sie Spalten aus und ein.

Die Spalte Risiko zeigt das höchste Risiko der verknüpften Risiken. Beim Prüfstatus Zur Prüfung zeigt der Zusatz (automatisch), dass der Prüfworkflow die Verarbeitungstätigkeit zum Prüftermin selbst eingereicht hat.

Über Filter grenzen Sie die Liste ein, u. a. nach Bezeichnung, Status, Prüfstatus, Organisationseinheit, Fachverantwortlicher, Personengruppen, Rechtsgrundlage, Vertragspartner, Schlagwort, Vollständigkeit, Datenkategorien, DSFA erforderlich, Nächste Überprüfung und Letzte Änderung. Klicken Sie auf Filter anwenden; Filter zurücksetzen hebt alle Filter auf.

Abbildung 33: Filter der Übersicht

Tipp: Der Filter Rechtsgrundlage bietet ganz oben (nicht zugeordnet) – eine Arbeitsliste aller Verarbeitungstätigkeiten ohne Rechtsgrundlage. Der Filter Prüfstatus unterscheidet Zur Prüfung (automatisch) und Zur Prüfung (durch Benutzer). Geben Sie im Suchfeld eines Filters einen Begriff ein, übernimmt Alle auswählen genau die angezeigten Treffer.

5.2 Ansicht

Die Ansicht zeigt eine Verarbeitungstätigkeit schreibgeschützt in denselben Reitern wie die Bearbeitung, ergänzt um Erstellt- und Geändert-Angaben. Neben dem Titel zeigt ein Kennzeichen die Vollständigkeit der Pflichtangaben: Vollständig, Teilweise oder Unvollständig mit Prozentwert. Mit Bearbeiten wechseln Sie in die Bearbeitung; Exportieren und Informationspflichten stehen auch hier zur Verfügung. Die Ansicht ist der richtige Einstieg für Personen mit Leserecht.

Abbildung 34: Ansicht einer Verarbeitungstätigkeit

5.3 Betroffenenübersicht

Die Betroffenenübersicht dreht die Sicht um: je Personengruppe und Datenkategorie stehen Verarbeitungstätigkeit, Rechtsgrundlage, Löschfrist, Lösch-Trigger, Löschkonzept, Sperre, Empfänger und Drittland. Oben fassen Kennzahlen zusammen, wie viele Personengruppen und Datenkategorien es gibt, wie viele Verarbeitungstätigkeiten verknüpft sind und wie viele Datenkategorien noch keine Löschfrist haben. Ein eigener Filter grenzt die Matrix ein.

Die Betroffenenübersicht hilft z. B. bei Auskunftsersuchen nach Art. 15 DS-GVO: Sie sehen auf einen Blick, welche Daten einer Personengruppe wo verarbeitet und wann sie gelöscht werden.

Abbildung 35: Betroffenenübersicht

5.4 Archiv und Löschen

• Massenaktionen → Archivieren verschiebt markierte Verarbeitungstätigkeiten in den Reiter Archiv. Archivierte Verarbeitungstätigkeiten können nicht zur Prüfung eingereicht werden. Im Reiter Archiv holen Sie sie mit Massenaktionen → Wiederherstellen zurück.
• Löschen (Stufe 3) entfernt markierte Verarbeitungstätigkeiten nach einer Rückfrage. Gelöschte Einträge liegen im Papierkorb, bis die Aufbewahrungsfrist abläuft. Die zugehörigen Aufgaben werden mit gelöscht.

Löschen Sie nur, was irrtümlich angelegt wurde. Eingestellte Verarbeitungen setzen Sie auf den Status Beendet oder archivieren sie.

5.5 Massenaktionen

Markieren Sie Verarbeitungstätigkeiten in der Übersicht und wählen Sie unter Massenaktionen:

Mit Schlagwörter neben den Massenaktionen ordnen Sie der Auswahl Schlagwörter zu.

Abbildung 36: Massenaktionen

5.6 Auf Mandant kopieren

Mit Massenaktionen → Auf Mandant kopieren übertragen Sie Verarbeitungstätigkeiten auf einen oder mehrere andere Mandanten, auf die Sie Zugriff haben – praktisch für Unternehmensgruppen mit ähnlichen Verarbeitungen.

1. Ziel-Mandanten wählen.
2. Stammdaten-Abgleich: Das System vergleicht Datenkategorien, Personengruppen, Löschfristen, Rechtsgrundlagen und externe Empfänger mit dem Bestand im Zielmandanten. Identische Einträge werden automatisch verknüpft; bei ähnlichen entscheiden Sie je Zeile zwischen Bestehende nutzen und Neu anlegen.
3. Zusammenfassung prüfen und Kopieren.

Kopiert werden Stammdaten (Bezeichnung, Zweck, Rolle, Bereitstellungspflicht, automatisierte Entscheidungen), Datenkategorien mit Betroffenen, Quellen und Löschfristen, externe Empfänger, Rechtsgrundlagen mit Interessenabwägung und die DSFA-Schwellwertprüfung. Nicht kopiert werden Organisationseinheit, Fachverantwortliche, Geschäftsprozess, TOM-Verknüpfungen, Drittlandtransfers, Dokumente und eigene Felder. Die Kopie erhält den Status Entwurf und einen Kommentar zur Herkunft.

Abbildung 37: Auf Mandant kopieren

5.7 Datenlandkarte

Datenlandkarte oben rechts in der Übersicht zeigt alle Länder, in die personenbezogene Daten übermittelt werden. Kennzahlen nennen die Zahl der Länder je Einstufung – EU/EWR, Angemessenheitsbeschluss, Mit Garantie, Handlungsbedarf. Mit den Filterknöpfen blenden Sie Einstufungen aus, mit + und − zoomen Sie die Karte.

Die Tabelle unter der Karte listet je Land die Risikoklasse, die Zahl der betroffenen VVT und woher der Transfer stammt: Dienstleister, Assets, Empfänger oder Manuell. Aus einer Verarbeitungstätigkeit öffnen Sie die Karte über Zur Datenlandkarte im Abschnitt Empfänger; sie zeigt dann nur deren Transfers.

Abbildung 38: Datenlandkarte

5.8 Export

Exportieren öffnet den Export-Assistenten in drei Schritten:

1. Umfang: Alle, Auswahl (die markierten Zeilen) oder Gefiltert (genau die aktuell gefilterte Liste).
2. Exportform wählen.
3. Format wählen und Exportieren.

Abbildung 39: Export: Umfang

Abbildung 40: Export: Exportform

In der Bearbeitung und in der Ansicht exportiert Exportieren nur die geöffnete Verarbeitungstätigkeit.

Tipp: Setzen Sie vor einem Export mit Umfang Gefiltert die Filter in der Übersicht. Ohne aktiven Filter entspricht Gefiltert dem Umfang Alle.

5.9 Informationspflichten

Informationspflichten erzeugt Datenschutzhinweise nach Art. 13 und 14 DS-GVO aus den Angaben der Verarbeitungstätigkeiten. Der Assistent führt in vier Schritten durch Umfang, Exportform, Personengruppen und Format. Fehlende Pflichtangaben listet er vorab; sie erscheinen im Dokument als „[Nicht angegeben]“. Verarbeitungstätigkeiten mit der Rolle Auftragsverarbeiter sind gekennzeichnet, denn hier informiert der Verantwortliche.

Abbildung 41: Informationspflichten

5.10 Import

Importieren öffnet den Import-Assistenten in drei Schritten:

1. Datei hochladen: CSV-, JSON-, XML- oder TXT-Datei bis 10 MB in das Feld ziehen oder klicken zum Auswählen. Die Beispieldatei example_vvt_import.csv zeigt alle importierbaren Spalten. Klicken Sie auf Weiter.
2. Felder zuordnen: Ordnen Sie jeder Spalte der Datei ein Zielfeld zu, z. B. Bezeichnung, Zweck der Verarbeitung, Status, Organisationseinheit, Fachverantwortlicher oder Datenkategorien. Nicht benötigte Spalten setzen Sie auf Ignorieren. Eine Zuordnung können Sie als Mapping speichern und beim nächsten Import wieder laden.
3. Vorschau & Import: Je Zeile steht, ob sie Neu angelegt, Aktualisiert oder Übersprungen wird oder einen Fehler bzw. Hinweise hat. VVTs importieren führt den Import aus.

Abbildung 42: Import

6 Konfiguration

Zugriff: Verarbeitungstätigkeiten konfigurieren oben rechts in der Übersicht. Die Konfiguration öffnen und bearbeiten Personen mit dem Sonderrecht (Stufe 4) im Modul. Alle Einstellungen gelten für den ganzen Mandanten.

Die Konfiguration hat die Reiter Funktionsbausteine, Textbausteine, Schlagwörter, Eigene Felder, Einstellungen, Externe Meldung und Mandantenakte (nur mit entsprechender Berechtigung). Änderungen in den Tabellen speichert das System sofort; die Reiter Einstellungen, Externe Meldung und Mandantenakte brauchen Speichern.

Empfohlene Reihenfolge beim Einrichten:

1. Einstellungen: VVT-ID, Anzeige, Verknüpfungsmodus, Prüfworkflow mit Standard-Prüfer, ggf. Aktualisierungsworkflow
2. Funktionsbausteine: Rechtsgrundlagen, Personengruppen und Datenquellen prüfen, nicht benötigte Einträge löschen oder inaktiv setzen
3. Externe Meldung, falls Fachbereiche ohne eigenen Zugang melden sollen
4. Optional: Textbausteine, Schlagwörter, Eigene Felder, Mandantenakte

Hinweis: Die Aufbewahrungspflichten für die Löschfristen pflegen Sie nicht hier, sondern im Modul Löschkonzept unter Löschkonzept konfigurieren → Aufbewahrungspflichten. Beide Module nutzen denselben Katalog.

6.1 Funktionsbausteine

Funktionsbausteine sind die Auswahlwerte der Verarbeitungstätigkeit. Die Tabelle zeigt Bezeichnung, Art, Details und Verwendung. Mitgelieferte Einträge tragen das Kennzeichen System.

1. Klicken Sie auf Neu und wählen Sie die Art.
2. Füllen Sie die Felder aus und klicken Sie auf Speichern. Mit Weiteren Datensatz anlegen bleibt der Dialog offen.
3. Über das Stift-Symbol einer Zeile ändern Sie einen Eintrag.

Abbildung 43: Funktionsbausteine

Abbildung 44: Neuer Funktionsbaustein: Rechtsgrundlage

• Die Erläuterung der Rechtsgrundlage wird beim Auswählen der Rechtsgrundlage als Erläuterung in die Verarbeitungstätigkeit übernommen.
• Ist Einwilligung aktivieren bzw. Interessenabwägung aktivieren gesetzt, schaltet die Auswahl dieser Rechtsgrundlage in der Verarbeitungstätigkeit den passenden Abschnitt automatisch ein.
• Eine Personengruppe braucht mindestens eine Rolle: Betroffenenkategorie oder Empfängerkategorie. Die Empfänger-Kategorie legt fest, ob sie als Empfänger intern oder extern ausgewiesen wird.
• Der Schalter Direkterhebung (Art. 13 DS-GVO) einer Datenquelle steuert den Vorschlag im Reiter Information: Direkterhebung, Dritterhebung oder beides.

Tipp: Die Spalte Verwendung zeigt, wie oft ein Eintrag genutzt wird. Einträge ohne Verwendung markieren und löschen Sie mit Löschen, auch mitgelieferte – so bleibt die Auswahl schlank. Verwendete Einträge lassen sich nicht löschen.

6.2 Textbausteine

Textbausteine sind vorformulierte Texte für die Freitextfelder der Verarbeitungstätigkeit. Sie erscheinen über die Schaltfläche Textbaustein und die #-Suche am Feld sowie als Auswahlwerte im Abschnitt Information. Die Tabelle zeigt Kurztext, Kategorie, Langtext und Status.

Die Kategorie bestimmt, wo ein Textbaustein angeboten wird, z. B. Zweck der Verarbeitung, Begründung Verfügbarkeit, Folgen der Nichtbereitstellung, Beschreibung Logik und Tragweite, Bemerkung DSFA-Prüfung, Methode der Informationserteilung oder Zeitpunkt der Bereitstellung.

1. Klicken Sie auf Neu.
2. Füllen Sie Kurztext (Name in der Auswahl) und Langtext (eingefügter Text) aus und wählen Sie die Kategorie.
3. Klicken Sie auf Speichern.

Nicht mehr benötigte Textbausteine nehmen Sie mit Massenaktionen → Archivieren aus der Auswahl und holen sie mit Wiederherstellen zurück.

Abbildung 45: Textbausteine

6.3 Schlagwörter

Schlagwörter ordnen Verarbeitungstätigkeiten thematisch, z. B. „Personal“ oder „Marketing“, und dienen als Filter in der Übersicht. Die Tabelle zeigt Bezeichnung, Status und Erstellt. Mit Neu legen Sie ein Schlagwort an; nicht mehr benötigte archivieren Sie über Massenaktionen. Zugeordnet werden Schlagwörter in der Übersicht über Schlagwörter oder in der rechten Leiste der Verarbeitungstätigkeit.

6.4 Eigene Felder

Eigene Felder ergänzen jede Verarbeitungstätigkeit um Angaben, die Ihr Unternehmen zusätzlich braucht, z. B. „Internes Aktenzeichen“. Sie erscheinen in der Bearbeitung im zusätzlichen Reiter Eigene Felder. Die Tabelle zeigt Bezeichnung, Kurzbezeichnung, Typ und Pflicht.

Die Reihenfolge der Felder ändern Sie per Ziehen in der Tabelle.

Abbildung 46: Eigenes Feld anlegen

6.5 Einstellungen

Klicken Sie nach Änderungen auf Speichern.

Abbildung 47: Einstellungen

Die Vollständigkeitsanzeige prüft neun Pflichtangaben: Bezeichnung, Fachverantwortlicher, Zweck, Rechtsgrundlage, Rolle, Datenkategorien, Löschfristen, Empfänger und technische und organisatorische Maßnahmen. Warnungen wie „Löschfrist fehlt“ oder „Interessenabwägung fehlt“ führen per Klick zum betreffenden Abschnitt; mit × blenden Sie eine Warnung aus.

Hinweis: Ob eine fällige Prüfung automatisch eingereicht oder dem Prüfer nur als Aufgabe gemeldet wird, legt die Mandanteneinstellung Bei fälliger Prüfung automatisch zur Prüfung einreichen fest (Mandanteneinstellungen, Reiter Sonstiges). Sie gilt für alle Module mit Prüfworkflow.

6.6 Externe Meldung

Über die externe Meldeseite melden Beschäftigte neue Verarbeitungstätigkeiten ohne Anmeldung (Kapitel „Eine Verarbeitungstätigkeit melden oder anlegen“).

Klicken Sie nach Änderungen auf Speichern.

Abbildung 48: Externe Meldung

Wichtig: Ein neu erzeugter Zugangsschlüssel macht alle bisherigen Links und QR-Codes ungültig. Verteilen Sie danach den neuen Link bzw. QR-Code.

6.7 Mandantenakte

Im Reiter Mandantenakte hinterlegen Sie modulbezogene Hinweise zu Ihrem Mandanten, z. B. Besonderheiten bei der Führung des Verzeichnisses. Der Hinweis erscheint oben in der Übersicht. Mit @ fügen Sie Kontakte ein. Der Reiter ist nur mit der entsprechenden Berechtigung sichtbar.

7 Glossar

8 Häufige Fragen

Was ist der Unterschied zwischen internem und behördlichem Verzeichnis? Das behördliche Verzeichnis enthält die Pflichtangaben nach Art. 30 DS-GVO und ist zur Vorlage bei der Aufsichtsbehörde gedacht. Das interne Verzeichnis enthält zusätzlich Ihre internen Angaben, z. B. Assets, Maßnahmen und Prüfungen.

Ich habe eine Verarbeitung über die Meldeseite gemeldet – wie geht es weiter? Der Datenschutz erhält eine Aufgabe, ergänzt die fachlichen Angaben und meldet sich bei Rückfragen über die angegebenen Kontaktdaten.

Die Software ist schon im Einsatz. Muss ich sie trotzdem melden? Ja. Das Verzeichnis muss alle laufenden Verarbeitungen enthalten, auch wenn sie bereits begonnen haben.

Ich habe den Status geändert, aber in der Liste steht noch der alte Wert. Formularfelder werden erst mit Speichern übernommen. Verknüpfungen in Tabellen und Dokumente speichert das System dagegen sofort.

Warum kann ich Bezeichnung und Beschreibung einer Datenkategorie nicht ändern? Diese Angaben gelten zentral für alle Verarbeitungstätigkeiten. Ändern darf sie, wer die Datenkategorie angelegt hat oder Schreibrecht im Modul Daten & Informationen hat. Sonst ist der Bereich mit Gesperrt gekennzeichnet.

Warum sehe ich keine Assets und Maßnahmen, obwohl die Datenkategorien verknüpft sind? Im Verknüpfungsmodus dynamisch ableiten erscheinen nur Assets, die in Daten & Informationen mit den Datenkategorien verknüpft sind. Pflegen Sie dort die Verknüpfung oder wechseln Sie auf beides (manuell + dynamisch) und verknüpfen Sie das Asset von Hand.

Warum steht beim Löschkonzept „Abweichend“? Die Löschfrist der Verarbeitungstätigkeit passt nicht zur Löschregel im Löschkonzept. Klären Sie mit dem Datenschutz, welche gilt, und gleichen Sie beide an.

Warum sehe ich den Knopf „Zur Prüfung einreichen“ nicht? Der Prüfworkflow ist in der Konfiguration ausgeschaltet, Ihnen fehlt das Schreibrecht, oder die Verarbeitungstätigkeit ist archiviert.

Warum sehe ich den Knopf „Zur Prüfmaske“ nicht? Er erscheint nur mit Sonderrecht (Stufe 4) und nur bei Verarbeitungstätigkeiten mit Prüfstatus Zur Prüfung oder In Prüfung.

Wie finde ich alle Verarbeitungstätigkeiten ohne Rechtsgrundlage? Wählen Sie im Filter Rechtsgrundlage die Option (nicht zugeordnet) und klicken Sie auf Filter anwenden.

Welche Daten einer Personengruppe verarbeiten wir wo? Öffnen Sie den Reiter Betroffenenübersicht und filtern Sie nach der Personengruppe, z. B. für ein Auskunftsersuchen.

Ich habe eine Verarbeitungstätigkeit gelöscht. Kann ich sie zurückholen? Ja, gelöschte Verarbeitungstätigkeiten liegen im Papierkorb, bis die Aufbewahrungsfrist abläuft. Archivierte holen Sie im Reiter Archiv mit Massenaktionen → Wiederherstellen zurück.