Details zum Datenschutzgegenstand

Ein Datenschutzgegenstand ist die dauerhafte, wiederverwendbare Einheit, die Ihre Stelle bewertet – ein Programm, ein System, eine Initiative, eine Vereinbarung zur Datenweitergabe, eine Prozessänderung oder eine Technologieeinführung – und er wird über jede Bewertung und jeden Vorfall hinweg geteilt, die ihn berühren. Im Detailbereich des Gegenstands pflegen Sie dessen Identität und sein Verzeichnis von Verarbeitungstätigkeiten (ROPA) gemäß GDPR Article 30, verknüpfen seine Kontrollen und (sofern zutreffend) sein KI-/ADM-Register, verfolgen sein Compliance-Profil und prüfen dessen Bewertungs- und Vorfallhistorie. Der Bereich ist vollständig bearbeitbar, wenn Sie ihn aus dem Verzeichnis „Datenschutzgegenstände & Kontrollen" öffnen, und schreibgeschützt, wenn Sie aus einer Bewertung hineinnavigieren. Er verfügt über acht Registerkarten, in dieser Reihenfolge: Details, Auftragsverarbeiter / Anbieter, Kontrollen, KI-/ADM-Systemregister (nur bei Gegenständen, deren Typ ADM-gekennzeichnet ist), Compliance-Profil, Vorfalleskalation, Bewertungshistorie und Vorfallhistorie.

Einen Gegenstand öffnen

Öffnen Sie einen Gegenstand aus dem Verzeichnis „Datenschutzgegenstände & Kontrollen" (klicken Sie auf eine Karte), um ihn zu bearbeiten, oder klicken Sie innerhalb einer Bewertung auf den Namen des Gegenstands, um ihn schreibgeschützt aufzurufen. Da Gegenstände geteilte, dauerhafte Datensätze sind, werden sie stets aus dem Verzeichnis heraus bearbeitet – Sie können einen Gegenstand nicht innerhalb einer einzelnen Bewertung umbenennen oder seinen Schlüssel ändern.

Der Identitätsblock

Die Registerkarte Details öffnet sich mit zwei abschnittsweise bearbeitbaren Blöcken, jeder mit einem eigenen Stift-Symbol. Der erste ist Identität, der Folgendes erfasst:

• Name
• Typ – Programm, System, Initiative, Vereinbarung zur Datenweitergabe, Prozessänderung oder Technologieeinführung
• Status – der eigene Status des Gegenstands
• Fachverantwortlicher
• Leitender Programmmanager
• Beschreibung

Freitextfelder unterstützen optionale sprachspezifische Übersetzungen. Die Seitenleiste enthält eine schnelle Status-Auswahl sowie Übersichtskarten, die die Bewertungen und Vorfälle des Gegenstands zusammenfassen.

Verzeichnis von Verarbeitungstätigkeiten (ROPA)

Der zweite Block auf der Registerkarte „Details" ist das Verzeichnis von Verarbeitungstätigkeiten (ROPA) gemäß GDPR Article 30. Es erfasst:

• Verarbeitungszweck – warum die personenbezogenen Daten verarbeitet werden.
• Rechtsgrundlage – die für die Verarbeitung herangezogene Rechtsgrundlage.
• Kategorien personenbezogener Daten – die Arten der betroffenen personenbezogenen Daten.
• Kategorien betroffener Personen – die Personengruppen, die die Daten betreffen.
• Empfängerkategorien – an wen die Daten offengelegt werden, mit einem Register der Offenlegungen je Empfänger.
• Auftragsverarbeiter / Anbieter – die tatsächlichen Auftragsverarbeiter hinter der Tätigkeit, verknüpft aus dem Anbieterregister (siehe unten).
• Aufbewahrungsfrist – wie lange die Daten aufbewahrt werden.
• Sicherheitsmaßnahmen – die Vorkehrungen zum Schutz der Daten.
• Hosting-Standort – wo die Daten gehostet werden.
• Internationale Übermittlung – ein Kennzeichen, das bei Aktivierung ein Feld Garantien für die Übermittlung einblendet, das die Schutzmaßnahmen für grenzüberschreitende Übermittlungen beschreibt.

Die Listen Kategorien personenbezogener Daten, Kategorien betroffener Personen und Empfängerkategorien sind konfigurierbare Taxonomien aus den Einstellungen. Freitextfelder unterstützen optionale sprachspezifische Übersetzungen.

Auftragsverarbeiter / Anbieter

Die Registerkarte Auftragsverarbeiter / Anbieter verknüpft Anbieter aus dem Anbieterregister, um die tatsächlichen Auftragsverarbeiter hinter dieser Verarbeitungstätigkeit zu benennen. Jede Verknüpfung kann eine eigene Rolle bei dieser Verarbeitung tragen (Auftragsverarbeiter, Unterauftragsverarbeiter, Verantwortlicher, gemeinsam Verantwortlicher oder Dienstleister – bewegen Sie den Mauszeiger über eine Rolle, um ihre Definition anzuzeigen) oder die Registerrolle des Anbieters übernehmen, zuzüglich einer optionalen Notiz. Verknüpfte Anbieter erscheinen hier und im ROPA-Export als Zeilen „Name — Rolle", sodass das Register nach Artikel 30 reale Auftragsverarbeiter je Tätigkeit benennt und nicht nur Kategorien.

Kontrollen

Die Registerkarte Kontrollen verknüpft Kontrollen aus der gemeinsamen Kontrollbibliothek (Einstellungen → Kontrollbibliothek — Datenschutz-, Sicherheits- und organisatorische Maßnahmen, paketseitig vorbefüllt) mit diesem Gegenstand. Jede Verknüpfung trägt ihre eigene Einstufung:

• Verpflichtend
• Empfohlen
• Umgesetzt
• Nicht anwendbar — erfordert eine Begründung, warum sie nicht zutrifft

Eine verpflichtende Kontrolle, die noch nicht umgesetzt ist, erscheint als warnender Lücken-Chip in der Kopfzeile des Gegenstands, sodass eine ausstehende Kontrolle auf einen Blick sichtbar ist, ohne die Registerkarte zu öffnen. Umgesetzte und verpflichtende Verknüpfungen erscheinen zudem im ROPA-Export in der Zeile für Sicherheitsmaßnahmen, sodass das Register nach Artikel 30 tatsächliche, verknüpfte Schutzmaßnahmen widerspiegelt statt Freitext.

KI-/ADM-Systemregister

Die Registerkarte KI-/ADM-Systemregister erscheint nur bei Gegenständen, deren Typ gekennzeichnet ist als automatisiertes Entscheidungssystem (ADM). Sie erfasst:

• Technischer Verantwortlicher und Datenschutz-Verantwortlicher
• Beabsichtigter Zweck
• Verwendetes KI-Modell oder KI-Dienst
• Bereitstellungsstatus
• Beschaffungsart
• Grad der menschlichen Beteiligung
• Risikoeinstufung — eine paketseitig vorbefüllte Taxonomie: das generische vierstufige Set zuzüglich gesetzlicher Klassen, die von Ihren Rechtsordnungspaketen mitgeliefert werden
• Ein Datenquellenverzeichnis, mit einem Kennzeichen je Quelle, ob sie personenbezogene Daten enthält

Das Genehmigungsdatum wird abgeleitet, nicht eingegeben — es ist stets das Genehmigungsdatum der zuletzt In-Kraft-getretenen Bewertung dieses Gegenstands, sodass das Register nie eine Genehmigung anzeigen kann, die sich nicht auf eine tatsächliche Bewertung zurückführen lässt.

Compliance-Profil

Die Registerkarte Compliance-Profil gleicht die Anforderungen Ihrer Rechtsordnungspakete automatisch mit diesem Gegenstand ab:

• Eine erforderliche Bewertung gilt als erfüllt, sobald eine In Kraft ist.
• Eine verpflichtende Kontrolle gilt als erfüllt, sobald sie als Umgesetzt verknüpft ist (siehe Kontrollen oben).
• Dokumentations- und Hinweispflichten werden abgehakt, sobald Sie sie erledigen, mit einem optionalen Nachweisdokument je Punkt.

Anforderungen, die als Vor Inbetriebnahme markiert sind, werden so lange als solche angezeigt, bis der Gegenstand bereitgestellt ist; nach der Bereitstellung werden alle noch unerfüllten zu gewöhnlichen Compliance-Lücken.

Vorfalleskalation

Die Registerkarte Vorfalleskalation erfasst einen optionalen Eskalations-Kontakt sowie einen vorab vereinbarten Eskalations-Plan für diesen Gegenstand. Wird ein Vorfall mit dem Gegenstand verknüpft, erscheint der Plan automatisch — als Banner auf dem offenen Vorfall und im Dialog „Vorfall melden" in dem Moment, in dem der Gegenstand ausgewählt wird —, sodass Verantwortliche wissen, wen sie anrufen müssen, ohne danach suchen zu müssen. Siehe Vorfälle erstellen.

Bewertungshistorie

Die Registerkarte Bewertungshistorie listet jede Bewertung auf, die jemals für diesen Gegenstand durchgeführt wurde. Verwenden Sie Neue Bewertung, um eine erneute Bewertung desselben Gegenstands zu starten – der Gegenstand ist im Erstellungsdialog vorausgefüllt und gesperrt. Siehe Bewertungen erstellen.

Vorfallhistorie

Die Registerkarte Vorfallhistorie listet die mit diesem Gegenstand verknüpften Vorfälle auf. Verwenden Sie Vorfall erstellen (erfordert die Berechtigung zur Vorfallmeldung), um den Meldedialog zu öffnen, wobei dieser Gegenstand bereits mit dem neuen Vorfall verknüpft ist. Siehe Vorfälle erstellen.