Kurz gefasst
Aus einunddreißig Dokumentationsbereichen werden siebenundsiebzig, verteilt auf sechs Familien: informieren, bestellen, verzeichnen, bewerten, reagieren, nachweisen. Die Archivseite wurde neu gestaltet: über jeder Familie liegt ein Mosaik, das das Porträt dieses Mandanten ist, und die am schlechtesten abgedeckte Familie rückt von selbst nach oben.
Woher das kommt
Ein Archiv mit einunddreißig Fächern wirkt vollständig, bis man es an einem echten Fall benutzt. Dann merkt man, dass eingeholte Einwilligungen in „Sonstige Unterlagen" landen, dass die Betriebsvereinbarung zur Videoüberwachung keinen eigenen Platz hat und dass die Transfer-Folgenabschätzung — jene, die seit Schrems II jede Standardvertragsklausel begleitet — nirgends steht. „Sonstige Unterlagen" ist das Fach, in dem alles stirbt, was der Entwerfer nicht vorgesehen hat.
Die vier, die am schwersten wogen
- Automatisierte Entscheidungen und Profiling (Art. 22). Mit Scoring, Lebenslauf-Filtern und Betrugsabwehr ist es überall, und das Bußgeld über achthundertfünfundzwanzig Millionen, das dieser Tage in den Niederlanden erging, betrifft genau das. Es hatte kein Fach.
- Biometrische Verarbeitungen. Sie verlangen eine eigene Bewertung und landeten in „Sicherheitsmaßnahmen", wo niemand sie sucht.
- Zugriffs- und Protokollverzeichnis. Es ist der erste Nachweis, der verlangt wird, wenn ein unbefugter Zugriff beanstandet wird, und zugleich die Pflicht, die Systemadministratoren trifft.
- Anonymisierung und Pseudonymisierung. Fast immer behauptet, fast nie dokumentiert: der Punkt, an dem die Aufsichtsbehörden in den letzten zwei Jahren die meisten Verteidigungen zerlegt haben.
Und dann der Rest
Betriebsvereinbarungen und Genehmigungen zur Fernkontrolle — ohne sie sind Videoüberwachung und Ortung schon vorgelagert rechtswidrig, noch vor der DSGVO. Das Verzeichnis der Verletzungen nach Art. 33 Abs. 5, eine eigenständige Pflicht, die sich nicht in der Bearbeitung des Einzelvorfalls erschöpft. Ressourcen und Unabhängigkeit des Datenschutzbeauftragten nach Art. 38, die erste Frage jeder Prüfung der Funktion. Eingeholte Einwilligungen und Widerrufe als der von Art. 7 Abs. 1 verlangte Nachweis. Und weiter: Information von Bewerbern, Kindern, hinweisgebenden Personen; Systemadministratoren; Vertreter in der Union; Datenflusskarte; Datenklassifizierung; Schwachstellentests; Datenschutz durch Technikgestaltung in Projekten; Plan zur Reaktion auf Vorfälle; Benachrichtigungen nach Art. 34; Cyber-Police; regelmäßiger Bericht des Datenschutzbeauftragten.
Warum die Seite neu gebaut wurde
Siebenundsiebzig Kacheln im Raster sind eine Wand, keine Liste. Die Bereiche stehen jetzt in sechs Familien, die den sechs Dingen entsprechen, die ein Verantwortlicher nachweisen können muss, und über jeder liegt ein Mosaik: eine Kachel je Bereich, gefüllt, wenn Dokumente darin sind. Es ist keine Illustration aus einer Bibliothek, sondern das Porträt dieses Mandanten, und es verändert sich beim Arbeiten. Ein Archivfoto wäre für alle gleich und würde nichts sagen.
Welche Familie am schlechtesten dasteht, entscheiden nicht wir, sondern der Code anhand der Abdeckung; sie rückt nach oben, mit dem vollen Ton ihrer Farbe und einer Schaltfläche, die direkt den ersten leeren Bereich öffnet. Die anderen fünf bleiben bewusst monochrom. Sechs Farben für sechs Familien waren sechs Farben, die nichts sagten; Farbe benutzt nur eine Sache je Bildschirm, und deshalb sieht man sie.
Eines sollte man wissen, bevor man sie öffnet
Bei einem neuen Mandanten wird das Mosaik fast leer sein und alle sechs Karten werden „leer" sagen. Das ist ehrlich und unbequem. Nicht alle siebenundsiebzig Bereiche gelten für alle: eine Arztpraxis und ein Immobilienbüro nutzen zusammen weniger als zwanzig. Branchenvorlagen gibt es genau dafür — damit man von den Bereichen ausgeht, die diesen Mandanten betreffen, statt von allen.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
