Übersicht der Compliance-Einstellungen

Übersicht der Compliance-Einstellungen

Der Bereich Compliance-Einstellungen ist das Konfigurationsfundament des gesamten DPMS. Alles, was die Plattform ausmacht – von den gesetzlichen Datenschutzvorschriften, die Ihre Organisation verfolgt, über die Struktur Ihrer Abteilungen bis hin dazu, wer auf einzelne Datensätze zugreifen darf – wird hier festgelegt. Datenschutzbeauftragte, Compliance-Manager, IT-Administratoren und Risikomanager besuchen diesen Bereich regelmäßig, um die grundlegenden Parameter der Plattform aktuell zu halten. Ohne korrekt konfigurierte Compliance-Einstellungen sind viele Kernfunktionen des DPMS – von ROPA-Einträgen über DPIAs bis hin zur zielgruppenbasierten Zugriffskontrolle – unvollständig oder nicht verfügbar.

So öffnen Sie den Bereich

Navigieren Sie in der Hauptseitenleiste zu Einstellungen und wählen Sie anschließend Compliance-Einstellungen (innerhalb des linken Navigationsbereichs als Allgemeine Einstellungen bezeichnet). Die Plattform öffnet standardmäßig den Unterbereich Allgemein.

Jeder Unterbereich erfordert eine eigene Zugriffsberechtigung. Wenn Sie keinen Lesezugriff auf einen bestimmten Abschnitt haben, wird das entsprechende Menüelement entweder ausgeblendet oder es erscheint eine Seite mit dem Hinweis auf fehlende Zugriffsrechte. Wenden Sie sich an Ihren Systemadministrator, wenn Sie Zugang zu einem nicht sichtbaren Abschnitt benötigen.

Was Sie sehen

Der Bildschirm ist in zwei Bereiche gegliedert. Links befindet sich ein vertikales Navigationsfeld mit dem Titel Allgemeine Einstellungen, in dem alle verfügbaren Unterbereiche als anklickbare Textlinks aufgeführt sind. Der aktuell aktive Abschnitt ist hervorgehoben. Einige Elemente – wie Standards – haben untergeordnete Einträge, die sich beim Anklicken des übergeordneten Elements aufklappen. Im Menü werden nur Elemente angezeigt, auf die Sie Zugriff haben.

Rechts befindet sich der Inhaltsbereich. Oben in diesem Bereich zeigt ein Breadcrumb-Pfad Ihren aktuellen Standort an: Allgemeine Einstellungen (anklickbar, führt zurück zur Standardansicht) → ein Pfeil nach rechts → der Name des aktuellen Unterbereichs in Blau. Darunter zeigt die Inhaltskarte entweder eine schreibgeschützte Zusammenfassung der aktuellen Konfiguration oder ein bearbeitbares Formular an, je nachdem, ob Sie den Bearbeitungsbutton geklickt haben.

Schreibgeschützte Ansichten zeigen beschriftete Felder mit ihren aktuellen Werten sowie ein Stift-Symbol oben rechts, um das Bearbeitungsformular zu öffnen. Bearbeitungsformulare zeigen dieselben Felder als interaktive Eingaben, eine dünne blaue vertikale Linie am linken Rand als Hinweis auf nicht gespeicherte Änderungen sowie einen Speichern-Button am unteren Ende.

Arbeiten mit diesem Bereich

Erstmalige Erfassung der rechtlichen Organisationsinformationen

Wenn Sie DPMS zum ersten Mal öffnen, zeigt der Unterbereich Allgemein größtenteils leere Felder. Klicken Sie auf Allgemein im linken Navigationsmenü. Sie sehen die schreibgeschützte Ansicht mit Platzhalterstrichen, wo Werte eingetragen werden sollten.

Klicken Sie auf das Stift-Symbol oben rechts in der Karte, um das Bearbeitungsformular zu öffnen. Wählen Sie im Abschnitt Datenschutzbeauftragter sich selbst (oder Ihren DSB) aus dem Dropdown-Menü DSB aus – dies ist das einzige Pflichtfeld im Formular. Füllen Sie Kontakt-E-Mail, Kontakttelefon und die Adressfelder des DSB nach Bedarf aus. Scrollen Sie dann zum Abschnitt Verantwortlicher und tragen Sie den rechtlichen Namen Ihrer Organisation unter Unternehmen, die eingetragene Adresse, den Namen des Geschäftsführers sowie die URLs für den Impressum-Link und den Datenschutzhinweis-Link ein.

Klicken Sie abschließend auf Speichern. DPMS sendet die Daten an den Server und aktualisiert sofort den in der oberen Navigationsleiste angezeigten Unternehmensnamen. Diese Angaben können in exportierten Compliance-Berichten und Datenschutzhinweisen erscheinen, die von der Plattform erstellt oder verlinkt werden – daher ist ihre Aktualität wichtig.

Wenn Sie keine Bearbeitungsberechtigung haben, ist das Stift-Symbol deaktiviert und zeigt bei Mausberührung einen Hinweis auf die fehlende Berechtigung.

Anwendbare Gesetze hinzufügen oder entfernen

Der Unterbereich Anwendbare Gesetze steuert, welche Datenschutzvorschriften DPMS für Ihre Organisation aktiv verfolgt. Diese Gesetze erscheinen als Referenzkontext in ROPA-Einträgen und DPIA-Berichten und geben an, welche Vorschriften Ihre Organisation einzuhalten beansprucht.

Klicken Sie im linken Navigationsmenü auf Anwendbare Gesetze. Die schreibgeschützte Ansicht listet jedes aktuell ausgewählte Gesetz mit einem blauen Häkchen-Symbol, dem Ländernamen und einem anklickbaren Link zum offiziellen Gesetzestext auf.

Um Änderungen vorzunehmen, klicken Sie auf das Stift-Symbol. Sie sehen ein einziges Mehrfachauswahl-Dropdown, das alle verfügbaren Land/Gesetz-Kombinationen auflistet. Die aktuelle Auswahl ist bereits vorgeladen. Suchen Sie ein Land durch Eingabe in das Suchfeld und klicken Sie, um Gesetze hinzuzufügen oder zu entfernen. Klicken Sie anschließend auf Speichern.

Achtung: Die gespeicherte Auswahl ersetzt vollständig die vorherige Liste. Wenn Sie versehentlich ein Gesetz entfernen und speichern, verschwindet es sofort aus Ihren verfolgten Vorschriften – ohne Bestätigungsabfrage. Überprüfen Sie Ihre Auswahl sorgfältig, bevor Sie speichern.

Konfiguration des IGDTA für eine Unternehmensgruppe

Wenn Ihre Organisation als Gruppe mehrerer rechtlicher Einheiten operiert, ermöglicht der Abschnitt IGDTA-Konfiguration die Einrichtung einer konzerninternen Datentransfervereinbarung. Diese Konfiguration legt fest, welches Unternehmen als Gruppenvertreter fungiert, welche Tochtergesellschaften einbezogen sind, wer die Vereinbarung verwaltet und wie viele Kündigungsfristen erforderlich sind.

Navigieren Sie zu IGDTA-Konfiguration im linken Navigationsmenü. Falls IGDTA noch nicht eingerichtet ist, sehen Sie einen kleinen „unvollständig"-Indikator neben dem Menüelement. Klicken Sie auf das Stift-Symbol, um das Bearbeitungsformular zu öffnen.

Klicken Sie auf Als Gruppenvertreter festlegen, um das aktuelle Unternehmen als IGDTA-Administrator zu bestimmen. Das Aussehen des Buttons ändert sich (schwarzer Hintergrund, weißer Text), um die Designierung zu bestätigen. Suchen Sie anschließend die Liste der Gruppenunternehmen und aktivieren Sie den IGDTA berechtigt-Schalter für jede Tochtergesellschaft, die in die Vereinbarung einbezogen werden soll – die Beschriftung wird blau, wenn der Schalter aktiv ist. Wenn Sie der Gruppenvertreter sind, sehen Sie außerdem eine Mehrfachpersonenauswahl für Gruppenvertreter-Administrator (vorab mit Ihrem Konto ausgefüllt). Überprüfen Sie schließlich das Feld Kündigungsfrist – standardmäßig sind es 30 Tage, Sie können es auf eine beliebige ganze Zahl von mindestens 1 ändern.

Klicken Sie auf Speichern, wenn Sie fertig sind. DPMS sendet die Konfiguration an den Server; bei Erfolg verschwindet der „unvollständig"-Indikator im Menü und die Leseansicht zeigt alle konfigurierten Werte.

Achtung: Der Bearbeitungsbutton ist nur für Benutzer des Unternehmens verfügbar, das als Gruppenvertreter festgelegt ist. Wenn Ihr Unternehmen eine Tochtergesellschaft der Gruppe ist, sehen Sie die IGDTA-Konfiguration nur im schreibgeschützten Modus. Für Änderungen wenden Sie sich an den Administrator des Gruppenvertreters.

Eine Zielgruppe für granulare Datensatzzugriffe erstellen

Zielgruppen (auch Berechtigungsgruppen genannt) steuern in DPMS, wer auf einzelne Datensätze zugreifen darf. Jeder ROPA-Eintrag, jede DPIA, jedes Dokument, jeden Asset und jedes Projekt kann auf eine oder mehrere benannte Zielgruppen beschränkt werden. Wenn keine Zielgruppen vorhanden sind, kann die Option „Zugriff verwalten" bei Datensätzen die Sichtbarkeit nicht auf bestimmte Benutzergruppen einschränken.

Navigieren Sie im linken Navigationsmenü zu Zielgruppen-Management. Klicken Sie oben rechts auf Zielgruppe erstellen.

Geben Sie auf der Registerkarte Allgemein einen Namen für die Zielgruppe ein (zum Beispiel „HR-Team") und fügen Sie optional eine Beschreibung hinzu. Klicken Sie auf Speichern – dies erstellt den Zielgruppendatensatz und schaltet die weiteren Registerkarten frei.

Wählen Sie auf der Registerkarte Unternehmen hinzufügen das oder die Unternehmen aus, für die diese Zielgruppe gelten soll, und speichern Sie. Suchen und wählen Sie auf der Registerkarte Benutzer hinzufügen die Mitarbeitenden aus, die zu dieser Zielgruppe gehören sollen, und speichern Sie.

Öffnen Sie abschließend die Registerkarte Berechtigungen hinzufügen. Wählen Sie oben in der Zugewiesene Unternehmen-Dropdown ein Unternehmen aus und nutzen Sie dann die Berechtigungsmatrix, um die gewünschten Zugriffsebenen anzukreuzen: Lesezugriff und/oder Schreibzugriff für jedes Modul (ROPA, TOMs, Assets, DPIAs, Bewertungen, Dokumente, Projekte, Vorfälle, Betroffenenanfragen, Berechtigte Interessen). Klicken Sie auf Speichern.

Tipp: Wenn Ihre Zielgruppe mehrere Unternehmen umfasst, müssen Sie in der Zugewiesene Unternehmen-Dropdown jedes Unternehmen einzeln auswählen und die Berechtigungsmatrix für jedes separat speichern. Es passiert leicht, dass man die Berechtigungen für ein Unternehmen konfiguriert und die anderen vergisst, sodass diese keinerlei Zugriff erhalten.

Sobald die Zielgruppe gespeichert ist, steht sie in der Option „Zugriff verwalten" bei einzelnen Datensätzen im gesamten DPMS zur Verfügung.

Filerskeepers-Integration aktivieren

Filerskeepers ist ein Dienst zur Verfolgung von Meldefristen für Compliance-Einreichungen. Wenn er aktiviert und mit Jurisdiktionen konfiguriert ist, werden regulatorische Einreichungsfristen plattformweit angezeigt.

Klicken Sie im linken Navigationsmenü auf Filerskeepers (dieser Eintrag kann je nach Konfiguration unter einem separaten Gruppeneinstellungen-Bereich erscheinen). In der schreibgeschützten Ansicht sehen Sie den aktuellen Status (Aktiv oder Inaktiv) und die ausgewählten Länder/Jurisdiktionen.

Klicken Sie auf das Stift-Symbol zum Bearbeiten. Aktivieren Sie den Aktivieren-Schalter. Wenn die Integration bereits mit dem Filerskeepers-Dienst verbunden ist, erscheint ein blaues Häkchen-Symbol mit der Bezeichnung „Verbunden". Wählen Sie über das Mehrfachauswahl-Dropdown Jurisdiktionen die Länder aus, deren Meldefristen Sie verfolgen möchten. Klicken Sie auf Speichern. DPMS aktualisiert den Integrationsstatus sofort. Wenn die Integration „Getrennt" anzeigt, ist die Jurisdiktionsauswahl ausgegraut – wenden Sie sich an Ihren IT-Administrator, um die Verbindung zum Dienst herzustellen.

Beratungsunternehmen-Beziehung einrichten

Wenn Ihre Organisation mit einer externen DSB-Beratung zusammenarbeitet oder ein Mutterunternehmen Zugriff auf die Daten einer Tochtergesellschaft in DPMS benötigt, können Sie eine Beratungsbeziehung im Unterbereich Unternehmen konfigurieren (zugänglich über den Gruppeneinstellungen-Bereich).

Suchen Sie das zu konfigurierende Unternehmen (oder klicken Sie auf Erstellen, um ein neues hinzuzufügen). Tragen Sie im Unternehmens-Bearbeitungsformular Name und Land ein (beide sind Pflichtfelder). Um die Beratungsbeziehung herzustellen, verknüpfen Sie die relevanten Partnerunternehmen über das Mehrfachauswahl-Dropdown Beratungsunternehmen.

Achtung: Sobald Sie mindestens ein Beratungsunternehmen hinzufügen, erscheint ein gelbes Warnbanner, das die bidirektionale Beziehung erläutert. Diese Beziehung gewährt Benutzern des Beratungsunternehmens Zugriff auf die Datensätze dieses Unternehmens in DPMS. Das spätere Aufheben der Beziehung erfordert das Bearbeiten beider Unternehmenseinträge, und bereits geteilte Daten werden nicht automatisch ausgeblendet.

Klicken Sie auf Speichern, um die Änderungen zu übernehmen. Die Beziehung ist sofort wirksam, und das Beratungsunternehmen erscheint in den „Konsultierte Unternehmen"-Dropdowns der gesamten Plattform.

Feldreferenz

Unterbereich Allgemein – Abschnitt Datenschutzbeauftragter

• DSB — Der als Datenschutzbeauftragter Ihrer Organisation festgelegte DPMS-Benutzer. Pflichtfeld. Standardmäßig der aktuell angemeldete Benutzer bei einem neuen Formular.
• Stellvertretender DSB — Ein optionaler stellvertretender DSB-Benutzer.
• Kontaktperson — Freitext-Kontaktname für DSB-Korrespondenz.
• Kontakt-E-Mail — Die E-Mail-Adresse des DSB. Muss ein gültiges E-Mail-Format haben, maximal 255 Zeichen.
• Kontakttelefon — Freitext-Telefonnummer.
• Straße, Postleitzahl, Stadt, Land — Büroadresse des DSB. Alle optional.

Unterbereich Allgemein – Abschnitt Verantwortlicher

• Unternehmen — Der rechtliche Name Ihrer Organisation als Verantwortlicher.
• Unternehmensbeschreibung — Optionale Beschreibung der Organisation.
• Straße, Postleitzahl, Stadt, Land — Eingetragene Adresse des Verantwortlichen.
• Geschäftsführer — Name des Geschäftsführers.
• Impressum-Link — URL zur rechtlichen Impressumsseite Ihrer Organisation.
• Datenschutzhinweis-Link — URL zu Ihrer veröffentlichten Datenschutzerklärung.

IGDTA-Bearbeitungsformular

• Als Gruppenvertreter festlegen / Widerrufen — Umschalttaste. Bestimmt das aktuelle Unternehmen als IGDTA-Gruppenvertreter oder hebt diese Bestimmung auf.
• IGDTA berechtigt (pro Unternehmen) — Umschalter, einer pro Gruppenunternehmen. Aktivieren Sie diesen für jedes durch die Vereinbarung abgedeckte Unternehmen.
• Gruppenvertreter-Administrator — Mehrfachpersonenauswahl. Nur angezeigt, wenn das aktuelle Unternehmen der Gruppenvertreter ist. Standardmäßig der angemeldete Benutzer.
• Kündigungsfrist — Anzahl der Kalendertage, die als Vorankündigung für die Kündigung des IGDTA erforderlich sind. Muss eine ganze Zahl von mindestens 1 sein. Standard: 30. Das Formular wird nicht gespeichert, wenn dieser Wert unter 1 liegt.

Verbindung zum Rest des DPMS

Der Bereich Compliance-Einstellungen steht nahezu allen anderen Funktionen der Plattform vor. Änderungen hier haben sofortige, plattformweite Auswirkungen:

• Anwendbare Gesetze fließen direkt in ROPA-Einträge und DPIA-Berichte ein und liefern den regulatorischen Kontext für jede dokumentierte Verarbeitungstätigkeit.
• Zielgruppen aus dem Zielgruppen-Management steuern das gesamte datensatzbasierte Zugriffskontrollsystem. Jeder ROPA-Eintrag, jede DPIA, jedes Dokument, jeder Asset und jedes Projekt kann auf eine oder mehrere Zielgruppen beschränkt werden. Ohne Zielgruppen kann „Zugriff verwalten" bei diesen Datensätzen die Sichtbarkeit nicht auf benannte Benutzergruppen einschränken.
• Allgemein (DSB/Verantwortlicher-Daten) können in exportierten Compliance-Berichten und Datenschutzhinweisen erscheinen, die vom DPMS erstellt oder verlinkt werden.
• Beratungsunternehmen erscheinen im gesamten DPMS in den „Konsultierte Unternehmen"-Dropdowns und ermöglichen externe DSB-Beratungen oder Mutterunternehmen den Datenzugriff.
• IGDTA-Konfiguration beeinflusst, welche Gruppenunternehmen in datentransferbezogenen Einträgen als berechtigte konzerninterne Transferempfänger angezeigt werden.
• Filerskeepers (wenn mit Jurisdiktionen aktiviert) schaltet die Funktion zur Verfolgung von Meldefristen plattformweit ein. Ohne aktivierte Jurisdiktionen werden keine Fristen angezeigt.
• Attribute (Tags) und Status aus den jeweiligen Unterbereichen befüllen alle Klassifizierungs-Dropdowns im gesamten DPMS – personenbezogene Datenkategorien, Verarbeitungszwecke, Asset-Typen, Lieferantentypen, Dokumentenstatus und mehr. Ohne diese Einträge sind Klassifizierungsfelder bei ROPA-Einträgen, Assets und Lieferanten leer.
• Organisationseinheiten und Abteilungen werden als Zuweisungsziele für Aufgaben, Projekte, ROPA-Einträge und Benutzerprofile in der gesamten Plattform verwendet.
• Risikobezogene Elemente (Standards, Kontrollsets, Risikoszenarien, Reifemodell, Fristen und Dringlichkeit, Fragebögen) erscheinen im selben Navigationsmenü und verweisen auf das Risikoeinstellungs-Modul. Änderungen dort wirken sich auf Risikobewertungen im gesamten DPMS aus.

Nach der Konfiguration der Compliance-Einstellungen sollten Sie als nächstes sicherstellen, dass Ihre ROPA-Einträge auf die richtigen anwendbaren Gesetze verweisen, dass Zielgruppen über „Zugriff verwalten" sensiblen Datensätzen zugewiesen sind und dass alle benutzerdefinierten Tags und Status bereitstehen, bevor Ihr Team beginnt, Datensätze anzulegen.

Tipps und häufige Fallstricke

Tipp: Füllen Sie zuerst den Unterbereich Allgemein aus. Der Name des DSB und die Daten des Verantwortlichen werden in exportierten Berichten und Datenschutzhinweisen referenziert. Ein leerer Unterbereich Allgemein bedeutet, dass diese Dokumente Leerfelder enthalten.

Achtung: Das Bearbeitungsformular für Anwendbare Gesetze lädt die aktuelle Auswahl vorab. Das Entfernen eines Gesetzes und Speichern löscht es sofort aus allen ROPA- und DPIA-Einträgen, die darauf verweisen – ohne Rückgängig-Funktion und ohne Bestätigungsdialog. Überprüfen Sie Ihre Auswahl immer sorgfältig, bevor Sie auf Speichern klicken.

• Der IGDTA-Bearbeitungsbutton ist auf den Gruppenvertreter beschränkt. Wenn Ihr Unternehmen eine Tochtergesellschaft ist und das Mutterunternehmen bereits als Gruppenvertreter festgelegt wurde, sehen Sie die IGDTA-Konfiguration nur im schreibgeschützten Modus ohne Bearbeitungsbutton. Für Änderungen wenden Sie sich an den Administrator des Gruppenvertreters.
• Zielgruppenberechtigungen müssen pro Unternehmen konfiguriert werden. Auf der Registerkarte Berechtigungen hinzufügen gilt die Berechtigungsmatrix nur für das Unternehmen, das aktuell im Dropdown Zugewiesene Unternehmen ausgewählt ist. Wenn eine Zielgruppe drei Unternehmen umfasst, müssen Sie jedes Unternehmen nacheinander auswählen und die Berechtigungen separat speichern.
• Die IGDTA-Kündigungsfrist muss mindestens 1 Tag betragen. Bei Eingabe von null oder einem negativen Wert scheint der Speichern-Button keine Reaktion zu zeigen – das Formular validiert dies still ohne eine Fehlermeldung anzuzeigen. Wenn Ihr Speicherversuch keine Wirkung hat, überprüfen Sie zuerst dieses Feld.

Achtung: Die Menüelemente Standards, Kontrollsets, Risikoszenarien, Reifemodell, Fristen und Dringlichkeit und Fragebögen in diesem Navigationsmenü gehören zum Risikoeinstellungs-Bereich. Das Navigieren dorthin führt zu Risikokonfigurations-Bildschirmen. Änderungen dort betreffen das Risikomodul, nicht Ihre Kern-Compliance-Einträge.

• Das Klicken auf „Allgemeine Einstellungen" im Breadcrumb öffnet kein Übersichts-Dashboard. Es navigiert zum Unterbereich Allgemein (Ihre DSB- und Verantwortlichendaten). Es gibt keine einzelne Übersichtsseite, die alle Unterbereiche zusammenfasst.

Glossar

Anwendbares Gesetz — Eine spezifische Datenschutzvorschrift (z. B. DSGVO für Deutschland, PIPA für Südkorea), die Ihre Organisation für sich als verbindlich erklärt hat. Die Auswahl hier registriert diese Vorschrift als verfolgtes Regelwerk im gesamten DPMS.

Zielgruppe — Eine benannte Gruppe von Benutzern und/oder Beratungsunternehmen, die verwendet wird, um Lese- oder Schreibzugriff auf bestimmte Datensätze auf granularer Ebene zu gewähren. Sie wird hier konfiguriert und dann über „Zugriff verwalten" einzelnen Datensätzen zugewiesen.

Beratungs- / Beratenes Unternehmen — Zwei Unternehmen, die im DPMS eine Beratungsbeziehung eingegangen sind. Das Beratungsunternehmen kann auf die Daten des beratenen Unternehmens zugreifen, was einer externen DSB-Beratung oder einem Mutterunternehmen ermöglicht, in der DPMS-Umgebung eines Kunden oder einer Tochtergesellschaft zu arbeiten.

IGDTA (Intra-Group Data Transfer Agreement / Konzerninterne Datentransfervereinbarung) — Ein rechtlicher Rahmenvertrag, der regelt, wie personenbezogene Daten zwischen Einheiten einer Unternehmensgruppe übertragen werden dürfen. Ein Unternehmen ist der „Gruppenvertreter" und verwaltet die Vereinbarung; andere Gruppenunternehmen können als berechtigte Parteien markiert werden.

Filerskeeper — Eine Integration, die – wenn aktiviert und mit Jurisdiktionen konfiguriert – regulatorische Meldefristen für diese Länder plattformweit verfolgt.

Kündigungsfrist — Im IGDTA-Kontext die Anzahl der Kalendertage, die als schriftliche Vorankündigung erforderlich sind, bevor eine Partei die Vereinbarung formal kündigen kann. Standardmäßig 30 Tage.