Datenexport nach Art. 20 DSGVO
Alle Daten des Kontos als Archiv anfordern: Umfang, Format, Ablauf.
Art. 20 DSGVO gibt das Recht, die eigenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Complianty löst das als Selbstbedienung. Sie fordern das Archiv im Konto an, die Anwendung baut es im Hintergrund, danach laden Sie es herunter. Niemand muss dafür angeschrieben werden.
Was im Archiv steckt
Der Export enthält 16 Datensatzarten, je eine JSON-Datei, dazu eine meta.json:
- Stammdaten:
clients.json,websites.json - Messungen:
scan_results.json,banner_audits.json,impressum_checks.json,ssl_checks.json,form_checks.json,a11y_checks.json - Befunde:
todos.json, offene wie erledigte - Dokumente:
vvts.json,dses.json,avv_trackers.json,training_records.json,a11y_statements.json - Teilen und Akquise:
share_links.json,prospects.json
Die meta.json nennt Zeitpunkt des Exports, die Kennung des Kontos, die Rechtsgrundlage und die Zahl der Datensätze je Datei. Damit ist ohne Öffnen jeder einzelnen Datei nachvollziehbar, was das Archiv abdeckt.
Einige Dateien enthalten mehr, als ihr Name vermuten lässt. Zu jedem Mandanten stehen in clients.json auch die Befunde, die für den geteilten Bericht ausgeblendet wurden, jeweils mit der damals hinterlegten Begründung, dem Zeitpunkt und der Person. todos.json führt offene und erledigte Befunde mit Typ, Priorität, Detailtext und Erledigungszeitpunkt. share_links.json enthält den Zugangsschlüssel jedes geteilten Berichts im Klartext, training_records.json die Namen der Personen aus dem Schulungsnachweis.
Wie tief die Daten reichen
Die Messungen sind je Website und Prüfart auf die letzten zehn Ergebnisse begrenzt. Ein Scan-Eintrag führt die vor und nach der Einwilligung erkannten Werkzeuge auf, dazu die reinen Einwilligungssignale und die Verdachtsfälle aus der Erkennung getarnter Einbindungen samt Sicherheit und Erkennungsweg. Prüfungen tragen ihre Einzelchecks mit Status, Schwere und Fassung des Regelwerks.
Verarbeitungsverzeichnis und Datenschutzerklärung liegen in ihrer aktuellen Fassung bei, die Erklärung als HTML und als Markdown. Einen Versionsverlauf dieser Dokumente gibt es nicht. Akquise-Kontakte kommen vollständig mit, also mit dem eingefrorenen Prüfergebnis, den Bewertungen, den Notizen und dem Teaser-Link.
Format
Ausgeliefert wird eine ZIP-Datei mit eingerückten JSON-Dateien in UTF-8. Umlaute bleiben Umlaute, die Dateien sind ohne Werkzeug lesbar und zugleich direkt weiterverarbeitbar. Der Dateiname folgt dem Muster complianty-export-<konto>-<datum>.zip.
Ablauf
Der Export läuft als Auftrag, nicht als Antwort auf den Klick. Sie stoßen ihn an und erhalten eine Auftragskennung. Die Oberfläche fragt den Stand alle zwei Sekunden ab und zeigt ihn als „eingereiht“, „läuft“, „fertig“ oder „Fehler“. Ist er fertig, erscheint der Download.
Das fertige Archiv steht 24 Stunden bereit. Danach ist es fort und muss neu angefordert werden. Der Download hängt am Konto, nicht am Link. Ein fremdes Konto bekommt mit derselben Auftragskennung nichts zu sehen.
Anfordern darf jedes angemeldete Mitglied des Kontos. Der Export hängt an keinem Tarifschalter und verbraucht nichts vom Tagesbudget für Prüfungen. Da das fertige Archiv Zugangsschlüssel und Namen enthält, gehört es behandelt wie ein Auszug aus der Datenbank und nicht wie ein Bericht.
Über die Schnittstelle
Derselbe Ablauf steht über die Programmierschnittstelle bereit: anstoßen, Stand abfragen, herunterladen. Nötig ist dafür die Berechtigung gdpr:export. Ein Testschlüssel simuliert den Vorgang und erzeugt kein echtes Archiv.
Was diese Prüfung nicht leistet
Es sind Ihre Daten, nicht die Ihrer Mandanten gegenüber deren Betroffenen. Der Export beschreibt das Verhältnis zwischen Ihrer Agentur und Complianty. Fragt eine Besucherin der Website eines Mandanten nach ihren Daten, hilft dieses Archiv nicht. Es enthält keine personenbezogenen Daten von Websitebesuchern, weil der Scanner keine erhebt.
Der Verlauf ist gekappt. Je Website und Prüfart sind die letzten zehn Ergebnisse enthalten. Wer eine lückenlose Messhistorie braucht, holt sie laufend über die Schnittstelle ab.
Einiges fehlt. Nicht enthalten sind die abgelegten Dateien, das Compliance-Protokoll, freigegebene Domains und die Bilder der Banner-Prüfung. Von den Bildern steht nur die Adresse im Archiv, nicht die Datei.
Konto- und Vertragsdaten stehen woanders. Nutzer, Anmeldedaten, Abonnement und Zahlungsdaten sind kein Teil dieses Archivs. Dafür gibt es im Bereich Datenschutz des Kontos einen eigenen Auszug.
Der Export ist kontoweit. Er umfasst alle Mandanten des Kontos. Die Einschränkung eines Mitglieds auf bestimmte Mandanten wirkt hier nicht.
Kein Rückweg und keine Sicherung. Ein Import fehlt. Ein einmal ausgeführter Export bildet den Stand seines Zeitpunkts ab und altert danach. Mit der Löschung des Kontos hat er nichts zu tun.