Begriffe der rechtmässigen Verarbeitung

Compliance-Beauftragte und Datenschutzbeauftragte (DSB) verwenden die Seite „Begriffe der rechtmässigen Verarbeitung", um den zentralen Katalog der Rechtsgrundlagen aufzubauen und zu pflegen – also jene Begriffe, die jeder Eintrag im Verzeichnis der Verarbeitungstätigkeiten (VVT) zwingend enthalten muss, um auditreif zu sein.

Die Seite „Begriffe der rechtmässigen Verarbeitung" (im System als Legal Basis bezeichnet) ist der Ort, an dem Ihre Organisation alle rechtlichen Grundlagen für die Verarbeitung personenbezogener Daten definiert, benennt und verwaltet – etwa „Einwilligung", „Berechtigte Interessen" oder „Rechtliche Verpflichtung". Unter der DSGVO, dem Schweizer nDSG und vergleichbaren Rechtsnormen ist die Dokumentation einer gültigen Rechtsgrundlage für jede Verarbeitungstätigkeit keine Kür, sondern eine zentrale regulatorische Pflicht. Betrachten Sie diesen Bereich als das offizielle Glossar Ihrer Organisation für Verarbeitungsrechtfertigungen: Sie pflegen die Begriffe einmal hier ein, und sie stehen danach überall in DPMS als Auswahlmöglichkeit zur Verfügung – vor allem im VVT-Modul, wo jeder Verarbeitungseintrag mindestens eine Rechtsgrundlage angeben muss, bevor er als prüfbereit gilt.

DSBs und Datenschutz-Manager besuchen diese Seite regelmässig: um den vorhandenen Katalog zu prüfen, neue Begriffe anzulegen, wenn eine neue Art der Verarbeitung identifiziert wird, Beschreibungen bei Gesetzesänderungen zu aktualisieren und nicht mehr zutreffende Begriffe zu deaktivieren. Prüfer und IT-Administratoren können die Seite im Lesemodus aufrufen, um zu verifizieren, dass jede Verarbeitungsgrundlage korrekt dem jeweiligen Rechtsinstrument zugeordnet ist.

So öffnen Sie die Seite

Klappen Sie in der linken Navigationsleiste den Bereich Compliance auf und klicken Sie auf Legal Basis (Rechtsgrundlagen). Die Seite steht allen Nutzenden mit Lesezugriff auf das Legal-Basis-Modul zur Verfügung. Wer nicht über diese Berechtigung verfügt, sieht den Menüpunkt nicht, und ein direkter Aufruf der URL führt zur Zugriff-verweigert-Seite. Das Erstellen und Bearbeiten von Begriffen erfordert die entsprechenden Schreibrechte, die Ihr Systemadministrator über die übliche Rollenverwaltung vergibt.

Die Übersichtsseite zeigt eine Tabelle mit allen konfigurierten Begriffen Ihrer Organisation, jeweils mit Name und den abgedeckten Vorschriften (zum Beispiel „GDPR, nDSG"). Wurde ein Begriff ohne Vorschriftenzuordnung gespeichert, erscheint in dieser Spalte „Keine Vorschrift" – das ist technisch zulässig, sollte aber überprüft werden.

Was Sie sehen

Die Seite besteht aus zwei Hauptbereichen: der Übersichtsliste und der Detailansicht eines einzelnen Begriffs.

In der Übersichtsliste befinden sich oben eine Such- und Filterleiste sowie darunter eine Tabelle mit allen konfigurierten Begriffen. Jede Zeile zeigt den Begriff und die zugehörigen Vorschriften. In der oberen rechten Ecke ermöglicht die Schaltfläche Erstellen das Anlegen neuer Begriffe. Am rechten Rand jeder Zeile sind vier kleine Symbole sichtbar (Verbotszeichen, Briefumschlag, Häkchen, Drucker). Diese sind Platzhalter für künftige Funktionen und führen derzeit keine Aktionen aus – Sie können sie bedenkenlos ignorieren.

Wenn Sie eine Zeile anklicken, öffnet sich die Detailansicht. Links befindet sich ein schmales Panel mit den verfügbaren Tabs (aktuell nur Allgemein). Rechts zeigt eine fixierte Kopfleiste, wer für den Eintrag verantwortlich ist, welchen Status er hat (Aktiv, Entwurf, Inaktiv, Review oder Nachgelagerte Verarbeiter) und welche Priorität gesetzt ist – all das lässt sich inline ändern, ohne ein Bearbeitungsformular öffnen zu müssen. Unterhalb der Kopfleiste zeigt der Tab Allgemein Name, Beschreibung und Vorschriften in einer Lesekarte, ergänzt durch eine Bearbeiten-Schaltfläche. Ein Uhr-Symbol oben rechts öffnet das Aktivitätsprotokoll, in dem die vollständige Änderungshistorie des Eintrags eingesehen werden kann.

Arbeiten mit dieser Seite

Einen neuen Begriff erstellen

Ein neuer Begriff wird benötigt, sobald Ihre Organisation eine Verarbeitungstätigkeit identifiziert, die auf einer im Katalog noch nicht vorhandenen Rechtsgrundlage beruht. Angenommen, Ihr Team möchte Produktverbesserungs-Analysen auf Basis von Berechtigten Interessen (DSGVO Art. 6 Abs. 1 lit. f) durchführen, aber dieser Begriff existiert noch nicht in DPMS.

Klicken Sie auf der Übersichtsseite oben rechts auf Erstellen und wählen Sie im kleinen Dropdown Legal Basis erstellen aus.
Das Erstellungsformular öffnet sich im Tab Allgemein. Das Feld Name erhält automatisch den Fokus – tragen Sie eine eindeutige Bezeichnung ein, etwa „Berechtigte Interessen – Produktanalyse". Da dieser Name in allen VVT-Dropdowns erscheint, sollten Sie möglichst präzise sein.
Schreiben Sie in das Feld Beschreibung eine verständliche Erläuterung, wann diese Rechtsgrundlage greift und welche Bedingungen daran geknüpft sind (zum Beispiel einen Verweis auf eine durchgeführte Interessenabwägung). Wenn in den IT-Einstellungen der DPMS-KI-Assistent konfiguriert wurde, erscheint neben diesem Feld eine Schaltfläche für automatische Übersetzung oder Texterstellung.
Wählen Sie im Mehrfachauswahlfeld Vorschriften alle einschlägigen Datenschutzgesetze aus – z. B. GDPR und nDSG, wenn Ihre Organisation beiden unterliegt. Falls eine benötigte Vorschrift nicht aufgeführt ist, können Sie den Begriff ohne Zuordnung speichern und diese später ergänzen; Prüfer könnten nicht verknüpfte Begriffe jedoch beanstanden.
Klicken Sie auf Speichern. DPMS legt den Eintrag an und leitet Sie zur Detailansicht weiter.
Klicken Sie in der fixierten Kopfleiste auf das Dropdown Status und wechseln Sie von Entwurf zu Aktiv. Diese Änderung wird sofort gespeichert – ein weiterer Klick auf „Speichern" ist nicht erforderlich. Nur aktive Begriffe erscheinen standardmässig im VVT-Dropdown; dieser Schritt ist daher unerlässlich, bevor Ihre Kolleginnen und Kollegen den neuen Begriff in Verarbeitungseinträgen verwenden können.

Formular zum Erstellen eines neuen Rechtsgrundbegriffs mit den Feldern Name, Beschreibung, Vorschriften und Status

Einen bestehenden Begriff prüfen und aktualisieren

Wenn eine Vorschrift geändert wird oder sich die interne Auslegung ändert, müssen Sie möglicherweise die Beschreibung oder den Vorschriftenbereich eines vorhandenen Begriffs aktualisieren.

Öffnen Sie die Übersichtsseite und tippen Sie den Begriffsnamen in die Suchleiste. Die Tabelle filtert während der Eingabe.
Klicken Sie auf die entsprechende Zeile, um die Detailansicht zu öffnen.
Prüfen Sie Name, Beschreibung und Vorschriften in der Lesekarte des Tabs Allgemein.
Klicken Sie auf Bearbeiten, um das Bearbeitungsformular zu öffnen. Aktualisieren Sie die Beschreibung oder passen Sie die Vorschriftenauswahl an.
Klicken Sie auf Speichern. DPMS übernimmt die Änderungen und kehrt zur Detailansicht zurück.
Klicken Sie auf das Uhr-Symbol oben rechts, um die Änderung im Aktivitätsprotokoll zu bestätigen. Das Protokoll zeigt alle Feldänderungen mit Benutzer und Zeitstempel – nützlich, wenn ein Prüfer später nachfragt, wann der Begriff zuletzt überarbeitet wurde.

Begriffe während einer Prüfung navigieren

Im Rahmen einer Compliance-Prüfung müssen Sie möglicherweise alle aktiven Rechtsgrundlagen der Reihe nach durcharbeiten, ohne ständig zur Übersichtsseite zurückzukehren. DPMS unterstützt dies mit den Vor- und Zurück-Pfeilen in der Breadcrumb-Leiste.

Setzen Sie auf der Übersichtsseite einen Filter auf Status = Aktiv.
Klicken Sie auf den ersten Eintrag. In der Breadcrumb-Leiste der Detailansicht erscheinen kleine Chevron-Pfeile neben dem Eintragsnamen.
Prüfen Sie den Eintrag, und klicken Sie dann auf den rechten Chevron, um zum nächsten aktiven Begriff zu wechseln. DPMS ermittelt den Nachfolger auf Basis Ihres aktiven Filters.
Wenn Sie den letzten Begriff erreicht haben, wird der rechte Pfeil ausgegraut und ist nicht mehr klickbar.

Tipp: Die Vor-/Zurück-Pfeile funktionieren zuverlässig, wenn Sie die Detailansicht durch Klicken auf eine Zeile in der gefilterten Liste aufgerufen haben. Öffnen Sie eine Detailansicht direkt über eine Lesezeichen-URL, kann es einen Moment dauern, bis die Pfeile aktiv werden.

Einen nicht mehr zutreffenden Begriff deaktivieren

Wenn Ihre Organisation eine bestimmte Rechtsgrundlage nicht mehr benötigt – etwa „Einwilligung – Produktlinie A" nach dem Einstellen dieses Produkts –, sollten Sie den Begriff deaktivieren, statt ihn zu löschen. So bleibt die historische Verknüpfung für bestehende VVT-Einträge erhalten.

Öffnen Sie den betreffenden Eintrag aus der Übersichtsseite.
Klicken Sie in der fixierten Kopfleiste auf das Dropdown Status und wählen Sie Inaktiv.
Der Status wird sofort aktualisiert. Der Begriff erscheint beim Erstellen neuer VVT-Einträge nicht mehr im aktiven Dropdown, bestehende Einträge, die ihn referenzieren, zeigen den Begriffsnamen jedoch weiterhin korrekt an.

Verbindung zum VVT-Modul

Die wichtigste nachgelagerte Verbindung besteht zum Verzeichnis der Verarbeitungstätigkeiten (VVT). Wenn eine Kollegin oder ein Kollege einen VVT-Verarbeitungseintrag öffnet und zum Tab Rechtsgrundlage navigiert, wird das Dropdown direkt aus den hier konfigurierten aktiven Begriffen gespeist.

Verarbeitet Ihre Organisation besondere Kategorien personenbezogener Daten (etwa Gesundheits- oder biometrische Daten), zeigt das VVT zusätzlich ein Feld für die Rechtsgrundlage nach Art. 9 neben dem Standardfeld nach Art. 6. Auch die Art.-9-Optionen stammen aus dem hier verwalteten Katalog – stellen Sie daher sicher, dass die entsprechenden Rechtsgrundlagen für besondere Kategorien eingerichtet sind, bevor Ihre Kolleginnen und Kollegen VVT-Einträge mit sensiblen Daten anlegen.

Begriffe der Rechtsgrundlage sind ausserdem über Einstellungen → Compliance-Einstellungen → Attribute / Tags zugänglich, wo sie neben anderen konfigurierbaren Tag-Typen erscheinen. In diesem Bereich kann ein Systemadministrator Massenvorgänge durchführen – etwa den Import von Begriffen über eine JSON-Datei –, was bei der Einrichtung eines neuen DPMS-Mandanten oder einer Migration nützlich ist.

Sobald Ihr Rechtsgrundlagen-Katalog vollständig ist und alle Begriffe auf Aktiv gesetzt wurden, können Ihre Kolleginnen und Kollegen VVT-Einträge mit dem Vertrauen ausfüllen, dass jede verfügbare Verarbeitungsgrundlage korrekt dokumentiert und dem entsprechenden Rechtsinstrument zugeordnet ist.

Feldreferenz

Name — Die kurze, lesbare Bezeichnung, die in allen VVT-Dropdowns erscheint. Pflichtfeld. Formulieren Sie spezifisch genug, dass ähnliche Begriffe unterscheidbar sind (z. B. „Berechtigte Interessen – Marketing" vs. „Berechtigte Interessen – IT-Sicherheit"). Keine maximale Zeichenanzahl im Formular vorgegeben, aber kürzere Bezeichnungen werden in Dropdowns besser dargestellt.
Beschreibung — Eine verständliche Erläuterung, wann und wie diese Rechtsgrundlage gilt. Kein Pflichtfeld, für Prüfzwecke aber dringend empfohlen. Mehrzeiliger Text möglich. Bei konfiguriertem DPMS-KI-Assistenten erscheint eine KI-Unterstützungsschaltfläche.
Vorschriften — Eine oder mehrere Datenschutzrahmenwerke, unter die dieser Begriff fällt (z. B. GDPR, nDSG). Kein Pflichtfeld – ein Begriff kann ohne Vorschriftenzuordnung gespeichert werden –, doch nicht verknüpfte Begriffe können von Prüfern beanstandet werden. Mehrfachauswahl ist möglich.

Tipps und häufige Fallstricke

Achtung: Wenn der Rechtsgrundlagen-Katalog leer ist oder alle Begriffe auf „Inaktiv" stehen, ist das Dropdown im VVT leer. Ihre Kolleginnen und Kollegen können Verarbeitungseinträge dann nicht vervollständigen. Aktivieren Sie Begriffe stets, bevor Sie sie als verfügbar kommunizieren.

Tipp: Nutzen Sie das Feld Beschreibung, um Datum und Ergebnis einer Interessenabwägung (LIA) oder eines anderen internen Reviews festzuhalten. So wird jeder Begriff zum lebendigen Auditdokument und nicht nur zu einer Bezeichnung.

„Keine Vorschrift" ist gültig, aber ungewöhnlich. Das Speichern ohne Vorschriftenauswahl ist erlaubt – nützlich, wenn ein Begriff angelegt wird, bevor die Vorschrift offiziell im Mandanten hinterlegt wurde. Ergänzen Sie die Zuordnung so bald wie möglich, um Rückfragen bei Prüfungen zu vermeiden.
Der Status „Nachgelagerte Verarbeiter" ist einzigartig für dieses Modul. Im Gegensatz zu den meisten anderen DPMS-Elementen bietet der Legal-Basis-Eintrag einen fünften Lebenszyklus-Status: Nachgelagerte Verarbeiter. Dieser Status steht nur in der fixierten Kopfleiste der Detailansicht zur Verfügung, nicht im Erstellungsformular.
Die vier Zeilensymbole in der Übersicht (Verbot, Briefumschlag, Häkchen, Drucker) haben noch keine Funktion. Sie sind Platzhalter für künftige Features. Bauen Sie sie nicht in aktuelle Arbeitsabläufe ein.
Der Zielort nach dem Speichern hängt davon ab, woher Sie kamen. Wenn Sie das Erstellungs- oder Bearbeitungsformular aus einem Assessment-Review-Portal oder einem VVT-Datenzuordnungs-Workflow heraus geöffnet haben, führt Speichern zurück in diesen Workflow – nicht zur Legal-Basis-Übersicht. Das ist gewollt. Falls Sie nach dem Speichern an einem unerwarteten Ort landen, nutzen Sie die Browserschaltfläche „Zurück" oder den Breadcrumb-Link.
Das Aktivitätsprotokoll ist Ihr bester Verbündeter bei Prüfungen. Klicken Sie vor jeder Compliance-Prüfung oder externen Revision auf das Uhr-Symbol bei den wichtigsten Begriffen, um zu verifizieren, dass Änderungen ordnungsgemäss erfasst wurden. Das Protokoll zeigt feldgenaue Details – was geändert wurde, von wem und wann.