Das Risiko wird im Verzeichnis bewertet, und jede Funktion ist ein Wort entfernt

Vier fehlende Funktionen, drei davon vorhanden

Eine DSB hat die Plattform einige Tage genutzt und eine Liste dessen geschickt, was es ihrer Ansicht nach nicht gab: das Verzeichnis der Datenpannen, die Risikobewertung, den Dokumentenupload und die Preise. Drei dieser vier gab es seit Monaten. Die Preise stehen auf einer über das Menü erreichbaren Seite; Datenpannen und Dokumente liegen in der Mandantenakte, und das ist der richtige Ort, denn eine Datenpanne betrifft einen Verantwortlichen und nicht die Kanzlei.

Man hätte antworten können, wo sie liegen. Das wäre die falsche Antwort gewesen. Wenn eine erfahrene Fachfrau sucht und nicht findet, liegt es nicht an ihr: die in einem Mandanten verschachtelten Bereiche erscheinen nirgends, solange man keinen Mandanten öffnet. Daraus wurden zwei Dinge: die Funktion, die wirklich fehlte, und ein Weg, alle anderen zu finden.

Das Risiko nach Art. 32, im Verzeichnis, wo es hingehört

Art. 32 Abs. 1 verlangt geeignete Maßnahmen «unter Berücksichtigung» des Risikos «unterschiedlicher Eintrittswahrscheinlichkeit und Schwere», und Absatz 2 benennt die zu betrachtenden Ereignisse: unbefugte Vernichtung, Verlust, Veränderung, Offenlegung oder unbefugter Zugang. Bisher standen im Verzeichnis Maßnahmen, ohne dass gesagt wurde, wovor sie schützen. Nun hat jede Verarbeitung drei Zeilen — unbefugter Zugang zu den Daten, unerwünschte Veränderung, Verlust oder Nichtverfügbarkeit — und für jede wird angegeben, wie wahrscheinlich und wie schwer sie wäre, in vier Graden: vernachlässigbar, begrenzt, erheblich, maximal.

• Die Zusammenfassung nimmt den höchsten der drei Werte, nicht den Durchschnitt: ein maximales Risiko des Datenverlusts wird durch ein vernachlässigbares Veränderungsrisiko nicht ausgeglichen, und ein Durchschnitt würde es verdecken.
• Das Restrisiko — was nach den Maßnahmen bleibt — wird nur ausgefüllt, wenn Sie wollen: es steht hinter einem Kästchen, denn es zu erklären, ohne es wirklich geschätzt zu haben, ist schlechter, als es leer zu lassen.
• Ergibt sich ein hohes Risiko und ist zur Verarbeitung keine Maßnahme angegeben, weist das Formular darauf hin. Es blockiert nicht: es sagt es.
• Ist das Risiko erheblich oder maximal, erscheint ein Hinweis auf die Folgenabschätzung nach Art. 35, und die bereits vorgenommene Bewertung wird vom DSFA-Modul übernommen, statt erneut erfasst zu werden.

Ein Wort, und Sie sind dort

Strg K, auf dem Mac Cmd K, öffnet ein Suchfenster über jeder Seite; oben im Menü gibt es zusätzlich eine Schaltfläche, und auf dem Telefon eine in der oberen Leiste. Man tippt ein beliebiges Wort, und die passenden Einträge erscheinen, sortiert, mit einer Zeile darunter, die sagt, wo sie liegen. Es sind 29 Ziele: 19 Menübereiche und 10 Themen, die in der Mandantenakte liegen. Wählen Sie eines dieser zehn, fragt die Suche, für welchen Mandanten, und führt Sie hin; gibt es nur einen Mandanten, fragt sie nicht.

• Sie sucht die Bezeichnung in allen neun Sprachen, nicht nur in der aktiven: wer das Fach anhand englischer Texte gelernt hat, tippt «breach» und findet die Datenpannen auch bei deutscher Oberfläche.
• Sie versteht Artikelnummern und Kürzel: «Art. 30», «Art. 33», «72», «DSFA», «DSAR», «SCC», «RoPA», «Schrems».
• Singular oder Plural stören sie nicht: «Datenpanne» findet «Datenpannen».
• Sie findet auch Mandanten nach Name und Branche.
• Sie erzeugt keinen einzigen zusätzlichen Datenbankzugriff: die Mandantenliste ist jene, die das Menü ohnehin für die Fristenzählung im Speicher hält.

Beide Ergänzungen gehen auf eine kostenlose Testphase zurück und auf eine Person, die sich die Mühe gemacht hat aufzuschreiben, was nicht funktionierte. Wenn Sie etwas bei der Arbeit aufhält, hilft es wirklich, das zu sagen.