Verzeichnis der Verarbeitungstätigkeiten (VVT)

Generell kümmert sich Metasoul darum, basierend auf den beantworteten Fragen im Unternehmensprofil und in den verschiedenen Fragenkatalogen, die Erstellung relevanter Einträge im Verzeichnis der Verarbeitungstätigkeiten (VVT) zu veranlassen.

Wird ein Fragenkatalog im “Datenschutz-Assistenten” fertiggestellt, wird im Hintergrund automatisch ein neuer Eintrag im Verzeichnis der Verarbeitungstätigkeiten erstellt und dieser auf Grundlage der Antworten im Fragenkatalog befüllt.

Auf der Metasoul-Nutzer-Seite sind folgende Aufgaben zu erledigen:

• Die Einträge im Verzeichnis der Verarbeitungstätigkeiten sowie das Verzeichnis selbst regelmäßig auf Richtigkeit und Vollständigkeit überprüfen. Metasoul erstellt dazu regelmäßig eine entsprechende Aufgabe.

• Das Befüllen der Löschregeln. Auch hier erstellt Metasoul, wenn notwendig, eine Aufgabe.

Kurz: Metasoul automatisiert die Erstellung und Pflege des Verzeichnisses der Verarbeitungstätigkeiten so gut wie möglich, der Aufwand auf Nutzerseite wird möglichst klein gehalten, und wenn etwas zu tun ist, meldet sich Metasoul über eine Aufgabe mit detaillierten Anweisungen.

Sollte der Bedarf an einem individuell erstellten Eintrag im VVT bestehen, kann dieser wie folgt erstellt werden.

Klicke oben rechts im Modul “Verzeichnis der Verarbeitungstätigkeiten (VVT)” auf “Eintrag erstellen”. Es kann nun zwischen “Neuer Eintrag anlegen” und “Wähle eine Vorlage” gewählt werden.

Falls “Wähle eine Vorlage” gewählt wird, öffnet sich ein Menü, aus dem eine Vorlage, in der bereits ein Prozess und eine Prozessbechreibung ausgefüllt sind, ausgewählt werden kann. Die Übersicht über Prozesse kann auch als Ideengeber dienen, um neue datenschutzrelevante Prozesse, die das Unternehmen betreffen, zu identifizieren.

Nach Auswahl einer Vorlage oder falls initial “Neuer Eintrag anlegen“ gewählt wurde, erscheint ein “Stepper“, in dem alle relevanten Daten strukturiert eingegeben werden. Mit der Schaltfläche “Weiter” springt man zum nächsten Schritt. Über die Schaltfläche “Schritt abschließen” bestätigt man die vollständige Eingabe in einem Schritt und schließt ihn ab.

Wichtig: Wenn ein Schritt abgeschlossen ist, kann er nicht mehr bearbeitet werden. Um einen Schritt zu bearbeiten, muss mit einem Klick auf die rote Schaltfläche “Schritt als unvollständig markieren“ in den Bearbeitungsmodus gewechselt werden.

Im ersten Schritt “PROZESS“ werden nach dem Prozessnamen und einer Kurzbeschreibung gefragt. Falls eine Vorlage gewählt wurde, sind diese Felder bereits ausgefüllt und können weiter bearbeitet werden.

Im nächsten Schritt wird die Verantwortlichkeit des Unternehmens im Prozess gewählt, wobei zwischen den Optionen „Verantwortlicher“ und „Auftragsverarbeiter“ unterschieden wird. Im anschließenden Schritt wird festgelegt, welches Unternehmen für die jeweilige Verantwortung zuständig ist.

Wählt man die Rolle des “Verantwortlichen“, kann im darauffolgenden Schritt “VERANTWORTLICHKEITEN“ optional eine interne Verantwortlichkeit angegeben werden. Diese Angabe ist jedoch nicht verpflichtend und dient eher internen Dokumentationszwecken. Ist die Rolle des “Auftragsverarbeiters” gewählt, müssen im Schritt “VERANTWORTLICHKEITEN” die Kategorien der Verarbeitung innerhalb des Prozesses sowie der Ort, an dem die verantwortlichen Unternehmen (Kunden) verwaltet werden, angegeben werden.

Werden die im Sinne der DSGVO Verantwortlichen in Metasoul verwaltet, ist eine zusätzliche Eingabe sichtbar, in der diese Unternehmen angeführt werden können. Diese Eingabe ist unter anderem zur Erstellung von Auftragsverarbeitungsvereinbarungen relevant.

Wurde gewählt, dass die Verantwortlichen an einem externen Ort, außerhalb von Metasoul, verwaltet werden, erscheint ein Eingabefeld, in dem dieser Ort näher spezifiziert werden kann (zum Beispiel durch einen Link oder eine andere unternehmensinterne Ortsangabe).

Wichtig: Wird die Verwaltung ausserhalb von Metasoul gewählt, hat dies die Auswirkung, dass im AVV-Modul eine generische Auftragsverarbeitungsvereinbarung ohne genaue Spezifizierung des Verantwortlichen generiert wird.

Im nächsten Schritt “ZWECKE DER VERARBEITUNG UND BETROFFENE PERSONEN“ werden alle Zwecke der Verarbeitung angegeben. Ein neuer Zweck wird durch einen Klick auf die Schaltfläche “Eintrag für die Datenverarbeitung hinzufügen“ erstellt.

Pro Zweck sind in der Rolle des Auftragsverarbeiters die folgenden Angaben zu machen:

• Die Kategorien personenbezogener Daten (Datenkategorien), die zum angegebenen Zweck verarbeitet werden.

• Die Kategorien der vom Verarbeitungszweck betroffenen Personen (Kategorien betroffener Personen).

• Optional die involvierten Sub-Verarbeiter, die für den angegebenen Verarbeitungszweck bei der Verarbeitung personenbezogener Daten unterstützen (Auftragsverarbeiter).

Ist man in der Rolle des Verantwortlichen, müssen folgende zusätzliche Angaben gemacht werden:

• Die Rechtsgrundlage, die die Verarbeitung personenbezogener Daten zum angegebenen Zweck erlaubt (Rechtsgrundlage).

• Optional andere Unternehmen, mit denen die Verantwortung der Verarbeitung geteilt wird (Geteilte Verantwortung).

Nachdem alle Zwecke der Verarbeitung und die damit verbundenen relevanten Informationen angelegt wurden, müssen im Schritt “DATENÜBERTRAGUNG IN DRITTLÄNDER ODER INTERNATIONALE ORGANISATIONEN” gegebenenfalls die Länder, in die ein Datentransfer zu den angeführten Zwecken erfolgt, sowie die Rechtsgrundlage, unter der der Datentransfer erfolgt, angegeben werden. Die Länder leiten sich üblicherweise vom Unternehmenssitz der Auftragsverarbeiter oder von anderen Gesellschaften und Standorten innerhalb eines Unternehmensverbundes ab.

Im letzten Schritt “LÖSCHFRISTEN“ wird pro Verarbeitungszweck festgelegt, wann personenbezogene Daten von betroffenen Personen gelöscht werden. Da die DSGVO vorschreibt, dass personenbezogene Daten nur so lange gespeichert werden dürfen, solange sie einen Zweck erfüllen, muss jeder Datenkategorie eine Löschfrist zugeordnet sein. Wie man Löschfristen am besten bestimmt und was dabei zu beachten ist, ist hier erklärt.

Nach Abschluss des letzten Schritts kann die Bearbeitungsansicht über einen Klick auf die Schaltfläche “Schließen“ geschlossen werden.

Wichtig: Alle Schritte im VVT-Eintrag müssen mittels der Schaltfläche “Schritt abschließen” bestätigt werden, damit der VVT-Eintrag den Status “Fertig” erhält.

Um den einen Eintrag im Verzeichnis der Verarbeitungstätigkeiten zu bearbeiten, navigiere zum entsprechenden Modul. Über einen Klick auf das “Bearbeiten”-Symbol rechts neben dem relevanten Eintrag kann dieser im Bearbeitungsmodus geöffnet werden.

Falls ein Schritt bereits als vollständig markiert wurde, können erst Änderungen vorgenommen werden, nachdem der Schritt, der zu ändern ist, über die Schaltfläche “Schritt als unvollständig markieren“ in den Bearbeitungsmodus zurückgesetzt wurde.

Wichtig: Änderungen werden erst übernommen, wenn sie über die Schaltfläche “Schritt abschließen” bestätigt wurden.