Im Datenschutz-Assistenten erstellen Sie unter Verzeichnis von Verarbeitungstätigkeiten den Nachweis nach Art. 30 DSGVO: Sie legen je Tätigkeit einen Eintrag an, bestimmen die Verarbeitungsrolle, dokumentieren Datenkategorien, Rechtsgrundlage und Aufbewahrung und ordnen die betroffenen Assets zu. Über den Reiter Abgleich mit Assets sehen Sie, wo das Verzeichnis noch Lücken hat. Beim Speichern werden die fertigen Tätigkeiten in die Aufzeichnungen übernommen.
Verzeichnis öffnen und vorbereiten
Verarbeitungsverzeichnis öffnen
Öffnen Sie den Datenschutz-Assistenten und wählen Sie den Schritt Verzeichnis von Verarbeitungstätigkeiten. Die Seite zeigt oben einen Statushinweis zum aktuellen Stand (Veröffentlicht, Entwurf oder neu) und darunter die aufklappbaren Handlungsempfehlungen.
Informationen einsammeln
Klappen Sie die Handlungsempfehlungen auf. Unter Schritt 1 finden Sie eine E-Mail-Vorlage, die Sie über die Schaltfläche kopieren und an jedes beteiligte Team senden können. Die zurückgemeldeten Angaben zu Zweck, Datenkategorien, Empfängern und Aufbewahrung übertragen Sie anschließend in das Formular.
Verarbeitungstätigkeit erfassen
Neue Tätigkeit anlegen
Bleiben Sie im Reiter Verarbeitungstätigkeiten und klicken Sie auf Verarbeitungstätigkeit hinzufügen. Beim ersten Eintrag nutzen Sie Erste Verarbeitungstätigkeit hinzufügen. Es öffnet sich das Formular Neue Verarbeitungstätigkeit.
Verarbeitungsrolle wählen
Wählen Sie ganz oben im Formular die Verarbeitungsrolle: Verantwortlicher, Gemeinsam Verantwortlicher, Auftragsverarbeiter oder Gemeinsamer Auftragsverarbeiter. Die Auswahl steuert, welche weiteren Felder erscheinen, etwa die Angabe der gemeinsam verantwortlichen Organisation oder des Auftraggebers.
Grundlegende Informationen eintragen
Tragen Sie unter Grundlegende Informationen den Name der Tätigkeit und eine kurze Beschreibung ein. Wählen Sie einen Datentyp, entweder aus den Voreinstellungen oder über Benutzerdefiniert mit eigenem Namen. Eine Voreinstellung schlägt Zweck, Empfänger und Aufbewahrung vor, alle Vorschläge bleiben überschreibbar. Formulieren Sie einen kurzen Zweck der Verarbeitung und wählen Sie über die Personen-Auswahl eine verantwortliche Person für diese Verarbeitungstätigkeit.
Datenkategorien festlegen
Wählen Sie unter Kategorien betroffener Personen, wessen Daten verarbeitet werden, etwa Kunden, Mitarbeitende oder Interessenten. Markieren Sie anschließend unter Kategorien personenbezogener Daten jede zutreffende Kategorie. Besondere Kategorien nach Art. 9 DSGVO sind gelb hervorgehoben. Das Anhaken einer solchen Kategorie setzt die Datenschutzklassifizierung automatisch auf Hoch und markiert die Tätigkeit als DSFA-pflichtig.
Rechtsgrundlage, Aufbewahrung und Assets ergänzen
Wählen Sie die Rechtsgrundlage für die Verarbeitung und tragen Sie unter Aufbewahrungsfrist ein, wie lange die Daten gespeichert werden. Ordnen Sie unter Zugehörige Assets die Systeme zu, in denen die Daten liegen. Ist das ISMS aktiv, können Sie die Tätigkeit zusätzlich mit einem Prozess aus Ihrem ISMS verknüpfen.
Tätigkeit bestätigen
Klicken Sie unten im Formular auf Verarbeitungstätigkeit bestätigen. Der Eintrag erscheint danach in der Liste mit Rolle, Datentyp und Risiko-Kennzeichen. Über Abbrechen verwerfen Sie die Eingabe. Wiederholen Sie das Anlegen für jede weitere Tätigkeit.
Lücken prüfen und speichern
Abgleich mit Assets prüfen
Wechseln Sie auf den Reiter Abgleich mit Assets. Cenedril zeigt zwei Panels: Personenbezogene Assets ohne Verarbeitungstätigkeit und Verarbeitungstätigkeiten ohne zugehörige Assets. Über Verarbeitungstätigkeit anlegen beziehungsweise Asset zuordnen springen Sie direkt zur Behebung der jeweiligen Lücke.
Verzeichnis speichern
Klicken Sie auf Speichern. Cenedril prüft die Einträge, übernimmt jede vollständige oder geänderte Tätigkeit in die Aufzeichnungen und führt Sie weiter zum Schritt Datenübermittlungen. Über Als Entwurf speichern sichern Sie den Zwischenstand, ohne die Tätigkeiten in die Aufzeichnungen zu übernehmen.
Ergebnis: Das Verzeichnis von Verarbeitungstätigkeiten ist nach Art. 30 DSGVO dokumentiert, jede Tätigkeit trägt Rolle, Datenkategorien und Aufbewahrung, der Abgleich mit den Assets zeigt keine offenen Lücken, und die fertigen Einträge liegen revisionssicher in den Aufzeichnungen.