TL;DR
Im Verarbeitungsverzeichnis: Katalog mit 35 Maßnahmen nach Art. 32 zum Ankreuzen und Ergänzen, 26 Datenarten unter den sechs Rechtskategorien, und ein Zielland aus einer Liste, die dessen Stellung nach Kapitel V nennt. Keine der drei entscheidet an Ihrer Stelle.
Das Problem: derselbe Satz, bei jeder Verarbeitung
Wer ein Verzeichnis nach Art. 30 für mehrere Verantwortliche führt, kennt die Szene: das Feld für Sicherheitsmaßnahmen ist ein leerer Kasten, und jedes Mal wird dasselbe hineingeschrieben. Zugriffskontrolle, Sicherungen, Virenschutz. Dann die nächste Verarbeitung, und wieder von vorn. Es geht nicht nur um Zeit: eine hastig geschriebene Maßnahme ist schlecht geschrieben, und bei einer Prüfung fällt eine uneinheitliche Liste innerhalb desselben Verantwortlichen als Erstes auf.
Ein Katalog, der vorschlägt und nichts abschließt
Die 35 Maßnahmen stehen in neun Gruppen, die am jeweils nennenden Artikel verankert sind: Zugriffskontrolle, Verschlüsselung und Pseudonymisierung, Sicherungen, Kontinuität, Netzschutz, Geräte, organisatorische Maßnahmen, Protokollierung, Überprüfung und Löschung. Man kreuzt sie an, sie erscheinen als Etiketten auf der Karte, und das Textfeld bleibt daneben für das, was im Einzelfall abweicht. Kein bereits ausgefülltes Verzeichnis verliert eine Zeile.
- Die Vorschläge oben ergeben sich aus der Verarbeitung selbst: besondere Kategorien lassen Verschlüsselung im Ruhezustand, Zugriffsprotokollierung und starke Authentifizierung nach oben rücken; eine Drittlandsübermittlung ruft die nach Schrems II erörterten ergänzenden Maßnahmen auf.
- Zu den Einträgen zählt die regelmäßige Überprüfung der Wirksamkeit, die Art. 32 Abs. 1 Buchst. d verlangt und die kaum ein Verzeichnis führt.
- Der CSV-Export führt ausgewählte Maßnahmen und Freitext zusammen: wer die Datei öffnet, sieht dasselbe wie am Bildschirm.
Datenkategorien: die sechs rechtlichen bleiben, darunter kommt das Detail
Die sechs Kästchen — allgemeine Daten, besondere Kategorien, Verurteilungen, Minderjährige, biometrische, genetische — sagen, auf welcher Grundlage die Daten verarbeitet werden, und dienen der Verknüpfung mit Art. 6 und der Bedingung nach Art. 9 Abs. 2. Sie sagen nicht, welche Daten. Unter jeder stehen nun 26 beschreibende Arten, dazu ein Feld für eigene. Das beschleunigt das Ausfüllen, hilft aber vor allem, einer betroffenen Person zu antworten, die fragt, welche Daten sie betreffen, wie Art. 15 Abs. 1 Buchst. b verlangt.
«Die USA sind angemessen» ist der Satz, der am meisten schadet
In der Übermittlungskarte — und in der des Auftragsverarbeiters — ist das Land kein Textfeld mehr. Man wählt aus einer nach Status gruppierten Liste, und darunter erscheint, was das bedeutet. Der entscheidende Fall ist die teilweise Angemessenheit: der Beschluss zu den Vereinigten Staaten erfasst nur im Data Privacy Framework zertifizierte Organisationen, und nur für die dort erklärten Verarbeitungen; der zu Kanada nur gewerbliche Organisationen unter dem PIPEDA. Außerhalb davon ist ein Instrument nach Art. 46 mit Transfer-Folgenabschätzung erforderlich.
Was das Programm nicht tut
Es stellt nicht fest, ob die Maßnahmen angemessen sind: die Angemessenheit hängt von Risiko, Stand der Technik und Kosten ab (Art. 32 Abs. 1), und diese Bewertung obliegt dem, der unterschreibt. Es leitet die rechtliche Einordnung der Daten nicht ab: wenn Sie Gesundheitsdaten angeben, ohne «besondere Kategorien» anzukreuzen, weist das Formular darauf hin und bleibt dabei. Und es ersetzt nicht die Liste der Kommission zu den Angemessenheitsbeschlüssen, die weiterhin die zu prüfende Quelle ist: die beweglichen Fälle — Vereinigtes Königreich und Vereinigte Staaten — tragen eine entsprechende Kennzeichnung.
Alle drei Änderungen gehen auf eine Rückmeldung während einer kostenlosen Testphase zurück. Wenn Sie etwas beim Arbeiten aufhält, hilft es, das zu sagen: so bewegen sich die Dinge.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
