Verarbeitungsverzeichnis

Art. 30 DSGVO verlangt ein Verzeichnis der Verarbeitungstätigkeiten. Complianty erzeugt daraus den technisch messbaren Teil: die Verarbeitungen, die über die Websites eines Mandanten stattfinden. Nach jedem Scan baut die Anwendung das Verzeichnis automatisch neu auf. Sie können es zusätzlich jederzeit von Hand neu erzeugen.

Woher die Einträge kommen

Grundlage ist das jeweils jüngste Ergebnis des Scans vor und nach der Einwilligung für jede Website des Mandanten. In das Verzeichnis fließen:

• alle erkannten Werkzeuge, unabhängig davon, ob sie vor oder nach der Einwilligung geladen haben
• Werkzeuge, die nur ein Einwilligungssignal gesendet haben: Der Anbieter ist auf der Seite eingebunden und gehört damit ins Verzeichnis, auch wenn er noch nicht gemessen hat
• unbekannte Dritt-Domains, für die keine Signatur greift
• über die eigene Domain geleitete Werkzeuge als Verdachtsfall, sofern sie nicht von Hand verworfen wurden

Ein Verzeichniseintrag entsteht also aus dem, was gemessen wurde. Niemand hakt eine Auswahlliste ab.

Zusammenfassung über mehrere Websites

Ein Mandant hat oft mehrere Websites, auf denen dieselben Dienste laufen. Im Verzeichnis erscheint jedes Werkzeug deshalb genau einmal, zusammengeführt über seinen Namen. Der Eintrag hält fest, auf welchen Websites des Mandanten er beruht. Das PDF weist die Zahl der betroffenen Websites aus. Das entspricht der Logik von Art. 30. Verzeichnet wird die Verarbeitungstätigkeit, nicht ihre technische Fundstelle.

Drei Stufen der Belastbarkeit

Jeder Eintrag trägt eine Kennzeichnung, wie sicher er ist:

• Erkannt: Für das Werkzeug existiert eine hinterlegte Vorlage mit ausformuliertem Zweck, Rechtsgrundlage, Empfänger samt Anschrift und Übermittlungsgrundlage.
• Klassifiziert: Das Werkzeug wurde eindeutig erkannt, es gibt aber keine eigene Vorlage. Zweck und Rechtsgrundlage stammen dann aus der Voreinstellung seiner Kategorie.
• Prüfen: Eine unbekannte Dritt-Domain. Der Eintrag beschreibt nur die beobachtete Verbindung und setzt die Rechtsgrundlage vorsorglich auf Einwilligung, bis Zweck und Grundlage geklärt sind.

Verdachtsfälle aus der Erkennung getarnter Einbindungen bleiben auf dem niedrigsten Rang, solange sie niemand bestätigt hat. In die Datenschutzerklärung wandern sie deshalb nicht.

Vorlagen und Kategorie-Voreinstellungen

Hinterlegt sind derzeit 87 ausformulierte Vorlagen für verbreitete Werkzeuge sowie 20 Kategorie-Voreinstellungen (Analyse, Werbung, Video, Karten, Schriften, Zahlung, Support und weitere). Die Kategorie entscheidet unter anderem, ob als Rechtsgrundlage eine Einwilligung oder ein berechtigtes Interesse vorgeschlagen wird. Vorlagen decken damit nur einen Teil des Werkzeug-Katalogs ab. Alles Übrige ordnet die Kategorie ein.

Drittland und Übermittlungsgrundlage

Für Vorlagen ist das Verarbeitungsland fest hinterlegt. Für alle anderen Einträge leitet Complianty es aus der Endung der Domain ab: .de, .at und .ch ergeben das jeweilige Land, 29 weitere europäische Endungen ergeben „EU“, jede andere Endung wird vorsorglich als USA geführt. Liegt der Empfänger außerhalb von EU, Deutschland, Österreich und der Schweiz, ergänzt der Eintrag eine Übermittlungsgrundlage. Bei den USA ist das der Hinweis, die Zertifizierung nach dem EU-U.S. Data Privacy Framework zu prüfen und andernfalls Standardvertragsklauseln heranzuziehen.

Reihenfolge und Export

Die Einträge sind nach Eingriffstiefe gruppiert: Tracking und Analyse, externe Inhalte und Dienste, Infrastruktur und CDN, sonstige Dienste. Der PDF-Export trägt den Titel „Verarbeitungsverzeichnis gem. Art. 30 DSGVO“, nennt Auftraggeber und Erstellungsdatum, fasst das Risiko in einem Kasten zusammen und endet mit Feldern für Datum und Unterschrift. Bei aktivem White-Label erscheint die Agenturmarke.