Eine Verarbeitungstätigkeit vollständig anlegen (Teil 5 der Reihe DSGVO-Dokumentation)
Teil 5 der Video-Reihe "DSGVO-Dokumentation mit preeco": die Bestellabwicklung im Webshop Abschnitt für Abschnitt nach Art. 30 DSGVO dokumentieren, mit Datenkategorien aus den Systemen und Verweis auf die TOMs.
Letzte Aktualisierung:
Transkript des Videos
In diesem Video legen Sie in preeco | datenschutz eine vollständige Verarbeitungstätigkeit an, Abschnitt für Abschnitt.
Wie sieht eine vollständige Verarbeitungstätigkeit aus? Wir nehmen die Bestellabwicklung im Webshop.
Zwecke, betroffene Personen, Datenkategorien, Empfänger, Drittländer, Löschfristen und die Schutzmaßnahmen.
Das Verzeichnis finden Sie unter Verarbeitungstätigkeiten.
Mit Neu öffnen Sie das Formular.
Wählen Sie Verarbeitungstätigkeit erstellen.
Die Bezeichnung: Bestellabwicklung Webshop.
Die Organisation: Vertrieb und Webshop. Alles Weitere ergänzen Sie danach über Bearbeiten.
Kaltenbach hat die Bestellabwicklung schon angelegt. Öffnen Sie sie und klicken Sie auf Bearbeiten.
In der Verfahrensakte stehen Aktenzeichen und der Ort, an dem weitere Unterlagen liegen.
Unter Zuständigkeiten tragen Sie die Ansprechpartner ein.
Wählen Sie die Art der Zuständigkeit und laden Sie die Person über Aktionen aus den Kontakten.
Wählen Sie Jonas Pfeiffer und klicken Sie auf Kontakt übernehmen.
Name, Position und Kontaktdaten stehen jetzt im Formular. Mit Übernehmen kommt der Eintrag in die Liste.
Fachlich ist Jonas Pfeiffer zuständig, technisch Murat Aydın.
Im Abschnitt Inhalt: Seit wann gibt es die Verarbeitung? Das Datum hilft, wenn später jemand nach dem Stand fragt.
Die Kurzbeschreibung: von der Bestellung bis zur Rechnung.
Hier beginnt der Kern: Wozu werden die Daten verarbeitet?
Die Rechtsgrundlage ist die Erfüllung des Kaufvertrags.
Für die Betrugsprüfung beruft sich Kaltenbach auf berechtigte Interessen. Dann gehört das Interesse ausgeschrieben dazu.
Jede Rechtsgrundlage braucht einen Zweck, zu dem sie passt. Schreiben Sie beides so auf, dass ein Prüfer den Zusammenhang sieht.
Woher stammen die Daten? Hier direkt vom Kunden.
Jetzt kommen die Systeme aus Teil 2 ins Spiel. Kaltenbach verknüpft die Datenfelder aus dem Webshop und dem ERP.
Weitere Felder finden Sie über die Suche, hier die übrigen Felder des ERP.
Die Datenkategorien tippen Sie nicht ab. Setzen Sie den Haken, dann kommen sie aus den verknüpften Systemen.
Betroffen sind Kunden des Webshops und Interessenten mit Kundenkonto.
Unter Datenempfänger tragen Sie ein, wer die Daten bekommt.
Der Webshop-Hoster verarbeitet die Daten im Auftrag von Kaltenbach. Er ist Auftragsverarbeiter.
Paketdienst und Zahlungsdienstleister sind keine Auftragsverarbeiter: Der Paketdienst steht unter Sonstige, der Zahlungsdienstleister ist eigener Verantwortlicher.
Ob ein Empfänger Auftragsverarbeiter ist, entscheidet, ob Sie einen Vertrag zur Auftragsverarbeitung brauchen. Teil 10 baut darauf auf.
Dazu die Empfänger als Kategorien: intern etwa die Buchhaltung, extern innerhalb der EU die Dienstleister.
Gehen Daten in ein Drittland? Bei der Bestellabwicklung nicht.
Beim Newsletter gehen Daten in die USA. Dann halten Sie fest, ob ein Angemessenheitsbeschluss gilt oder welche Garantien bestehen.
Die Löschfristen: Rechnungen zehn Jahre, das Kundenkonto bis der Kunde es löscht.
Die Frist hängt am Dokument, nicht an der ganzen Verarbeitung. Rechnung und Warenkorb haben unterschiedliche Fristen.
Unter Schutzmaßnahmen verweisen Sie auf die TOMs aus Teil 4, statt die Maßnahmen noch einmal aufzuschreiben.
Die Schwellwert-Analyse prüft, ob eine Folgenabschätzung nötig ist. Die sehen wir uns in Teil 7 an.
Speichern und schließen.
Die Detailansicht zeigt die Verarbeitungstätigkeit so, wie sie im Verzeichnis steht.
Daneben die Reiter für Aufgaben, Änderungsvorschläge, Revisionen und Beziehungen.
Unter Datenkategorien stehen die Kategorien aus den Datenfeldern, von Abrechnungs- bis Zahlungsdaten, ohne dass jemand sie abgetippt hat.
Und im TOM-Dokument steht die Bestellabwicklung jetzt bei den Verwendungen.
Eine Verarbeitungstätigkeit pro Zweck. Kundendaten ist kein Zweck, Bestellabwicklung schon.
Im nächsten Teil füllt Kaltenbach den Rest des Verzeichnisses, mit KI und mit den Fachbereichen.
Wie sieht eine vollständige Verarbeitungstätigkeit nach Art. 30 DSGVO aus? In diesem Teil dokumentiert die Velomanufaktur Kaltenbach die Bestellabwicklung im Webshop in preeco | datenschutz Abschnitt für Abschnitt: Zuständigkeiten, Zwecke und Rechtsgrundlagen, Datenkategorien aus den Systemen, Empfänger, Drittländer, Löschfristen und den Verweis auf die TOMs. Dieser Artikel ist Teil 5 der Video-Reihe "DSGVO-Dokumentation mit preeco".
Voraussetzungen
- Ihr Team verfügt über eine Lizenz für preeco | datenschutz.
- Organisation, Kontakte, Systeme mit Datenfeldern und Ihr TOM-Dokument sind angelegt (Teil 1 bis 4 der Reihe).
Verarbeitungstätigkeit anlegen
- Öffnen Sie Verarbeitungstätigkeiten, klicken Sie auf Neu und wählen Sie Verarbeitungstätigkeit erstellen.
- Tragen Sie die Bezeichnung ein, hier "Bestellabwicklung Webshop", und wählen Sie die Organisation, bei Kaltenbach Vertrieb und Webshop.
- Alle weiteren Angaben ergänzen Sie danach über Bearbeiten.
Verfahrensakte und Zuständigkeiten
- In der Verfahrensakte stehen das Aktenzeichen und der Ort, an dem weitere Unterlagen liegen.
- Unter Zuständigkeiten wählen Sie die Art der Zuständigkeit und laden die Person über Aktionen aus den Kontakten. Nach Kontakt übernehmen stehen Name, Position und Kontaktdaten im Formular, mit Übernehmen kommt der Eintrag in die Liste.
- Bei Kaltenbach ist Jonas Pfeiffer fachlich zuständig, Murat Aydın technisch.
Inhalt: Zweck, Rechtsgrundlage, Datenquellen
- Im Abschnitt Inhalt tragen Sie ein, seit wann es die Verarbeitung gibt, und eine Kurzbeschreibung.
- Beschreiben Sie die Zwecke der Verarbeitung.
- Wählen Sie die Rechtsgrundlage, bei der Bestellabwicklung die Erfüllung des Kaufvertrags nach Art. 6 Abs. 1 lit. b DSGVO.
- Stützen Sie einen Zweck auf berechtigte Interessen, wie Kaltenbach bei der Betrugsprüfung, schreiben Sie das Interesse aus.
- Unter Datenquellen halten Sie fest, woher die Daten stammen, hier direkt vom Kunden.
Jede Rechtsgrundlage braucht einen Zweck, zu dem sie passt. Schreiben Sie beides so auf, dass ein Prüfer den Zusammenhang sieht.
Datenfelder und Datenkategorien aus den Systemen
- Verknüpfen Sie die Datenfelder aus Ihren Systemen, bei Kaltenbach aus dem Webshop und dem ERP. Weitere Felder finden Sie über die Suche.
- Setzen Sie den Haken, damit die Datenkategorien aus den verknüpften Systemen kommen. Sie müssen sie dann nicht abtippen.
- Tragen Sie die betroffenen Personen ein, hier Kunden des Webshops und Interessenten mit Kundenkonto.
In der Detailansicht und im Dokument stehen anschließend die Kategorien aus den Datenfeldern, von Abrechnungs- bis Zahlungsdaten.
Empfänger und Drittländer
- Unter Datenempfänger tragen Sie ein, wer die Daten bekommt, und wählen die Art. Der Webshop-Hoster verarbeitet die Daten im Auftrag von Kaltenbach und ist Auftragsverarbeiter.
- Paketdienst und Zahlungsdienstleister sind keine Auftragsverarbeiter: Der Paketdienst steht unter Sonstige, der Zahlungsdienstleister ist eigener Verantwortlicher.
- Ergänzen Sie die Empfänger als Kategorien, intern etwa die Buchhaltung, extern innerhalb der EU die Dienstleister.
- Gehen Daten in ein Drittland, halten Sie fest, ob ein Angemessenheitsbeschluss gilt oder welche Garantien bestehen. Bei Kaltenbach betrifft das den Newsletter, dessen Daten in den USA liegen.
Ob ein Empfänger Auftragsverarbeiter ist, entscheidet, ob Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO brauchen. Darauf baut Teil 10 der Reihe auf.
Löschfristen und Schutzmaßnahmen
- Tragen Sie die Löschfristen ein, bei Kaltenbach zehn Jahre für Rechnungen und für das Kundenkonto bis zur Löschung durch den Kunden. Die Frist hängt am Dokument, nicht an der ganzen Verarbeitung.
- Unter Schutzmaßnahmen verweisen Sie auf Ihr TOM-Dokument aus Teil 4, statt die Maßnahmen noch einmal aufzuschreiben.
- Die Schwellwert-Analyse prüft, ob eine Datenschutz-Folgenabschätzung nötig ist. Sie ist Thema in Teil 7.
- Speichern und schließen Sie das Formular.
Detailansicht und Verwendungen
- Die Detailansicht zeigt die Verarbeitungstätigkeit so, wie sie im Verzeichnis steht. Daneben finden Sie die Reiter für Aufgaben, Änderungsvorschläge, Revisionen und Beziehungen.
- Im TOM-Dokument steht die Bestellabwicklung jetzt bei den Verwendungen.
Eine Faustregel aus der Praxis: eine Verarbeitungstätigkeit pro Zweck. "Kundendaten" ist kein Zweck, "Bestellabwicklung" schon.
Nächster Schritt
Im nächsten Teil füllt Kaltenbach den Rest des Verzeichnisses, mit KI und mit den Fachbereichen.
Alle Teile der Reihe
← Teil 4: TOMs nach Art. 32 · Teil 6: Verzeichnis mit KI und Team füllen →
- Auftakt: DSGVO-Dokumentation aufbauen
- Teil 1: Organisation, Datenschutzbeauftragter, Kontakte
- Teil 2: Systeme erfassen
- Teil 3: Datenfelder und Datenflüsse
- Teil 4: TOMs nach Art. 32
- Teil 5: Die erste Verarbeitungstätigkeit (dieser Artikel)
- Teil 6: Verzeichnis mit KI und Team füllen
- Teil 7: Prüfen, freigeben, vorlegen
- Teil 8: Informationspflichten nach Art. 13 und 14
- Teil 9: Veröffentlichen
- Teil 10: Fehlende AV-Verträge erkennen
- Teil 11: AV-Vertrag erstellen und unterzeichnen