Question 1

Datenminimierung: Zweck

Accepted Answer

Der günstigste Schutz einer Person besteht darin, die Aufzeichnung erst gar nicht zu führen, deshalb muss jedes Feld seinen Platz rechtfertigen, bevor es erhoben wird. Ein Konto wird ohne Namen und ohne E-Mail-Adresse angelegt; die Identität ist ein generierter Code, der nur auf ein Guthaben und einen Satz Schlüssel verweist. Öffentliche Unternehmensinformationen, die auf Anfrage gelesen werden, werden als Erkenntnisse und Zahlen gespeichert, nicht als Kopien von Seiten über namentlich genannte Personen. Freitext, der an den Dienst gesendet wird, wird zur Beantwortung gelesen und verworfen, niemals als Kundenarchiv aufbewahrt. Jedes neue Feld in einem Formular oder Bericht muss die Entscheidung benennen, die es stützt, bevor es hinzugefügt wird. Felder, die keiner Entscheidung mehr dienen, werden bei der Überprüfung entfernt, statt für den Fall aufbewahrt zu werden, dass sie einmal nützlich sein könnten. Absolute Grenze: Es werden keine besonderen Kategorien nach Artikel 9 und keine Daten über Kinder an irgendeiner Stelle des Dienstes erhoben. Gelangen solche Inhalte in einen Upload, werden sie verworfen statt verarbeitet.

Question 2

Speicherdauer: Zweck

Accepted Answer

Eine Speicherdauer ist eine im Voraus getroffene Entscheidung, damit keine Aufzeichnung allein deshalb aufbewahrt wird, weil niemand daran gedacht hat, sie zu löschen. Jede Kategorie hat eine schriftlich festgelegte Frist, bestimmt durch den Zweck, dem sie dient, oder durch eine Buchführungspflicht, nicht durch verfügbaren Speicherplatz. Die Löschung läuft nach Zeitplan und wartet nicht auf eine Anfrage; eine Anfrage bewirkt nur eine vorgezogene Löschung. Support-Gespräche werden nach sieben Tagen maskiert und nach dreißig Tagen gelöscht. Buchführungsunterlagen werden sieben Jahre aufbewahrt, weil das Buchführungsrecht dies vorschreibt, und in dieser Zeit zu nichts anderem verwendet. Eine Löschung, die durch eine rechtliche Pflicht blockiert wird, wird mit der Pflicht und dem Datum ihres Endes beantwortet. Absolute Grenze: Keine Kategorie wird unbegrenzt aufbewahrt. Kann eine Frist wegen des Buchführungsrechts nicht verkürzt werden, wird die Aufzeichnung ausschließlich für diesen Zweck gesperrt.

Question 3

Pseudonymisierung: Zweck

Accepted Answer

Wird eine Aufzeichnung von der dahinterstehenden Person getrennt, identifiziert das Durchsickern der Aufzeichnung allein niemanden. Die Kundenidentität ist ein generierter Code, sodass Nutzung, Guthaben und Belege nie einen Namen tragen. Analyseergebnisse werden gegen diesen Code gespeichert, und der Code lässt sich innerhalb des Dienstes nicht auf eine Person zurückführen. Namen und Kontaktdaten, die in einem Bericht auftauchen, werden dem Kunden angezeigt und nicht bei uns gespeichert. Betriebsaufzeichnungen enthalten Zählwerte und Ergebnisse, nie den Text, den ein Kunde geschrieben hat. Die Wiederherstellung erfolgt über einen Code, den der Kunde besitzt, sodass der Zugang wiederhergestellt werden kann, ohne dass wir eine E-Mail-Adresse speichern. Absolute Grenze: Pseudonymisierung wird als Schutzmaßnahme behandelt, nicht als Anonymisierung: Die Aufzeichnungen gelten weiterhin als personenbezogene Daten und tragen weiterhin Rechte.

Question 4

Verschlüsselung: Zweck

Accepted Answer

Daten müssen für jeden unlesbar sein, der außerhalb des Dienstes darauf zugreift, sowohl während der Übertragung als auch während der Speicherung. Der gesamte Datenverkehr zum und vom Dienst läuft über TLS 1.2 oder höher; unverschlüsselte Verbindungen werden abgelehnt, nicht still weitergeleitet. Datenbanken, Dateispeicher und Sicherungskopien werden vom Hosting-Anbieter im Ruhezustand verschlüsselt. Zugangsdaten und Partnerschlüssel werden als Hashes oder in einem Geheimnisspeicher aufbewahrt, niemals als lesbare Werte im Code oder in einem Bericht. Ein Kundenschlüssel wird bei der Erstellung einmal im Klartext angezeigt; danach bleiben nur ein Fingerabdruck und ein Präfix. Schlüssel können vom Kunden jederzeit rotiert werden, und ein alter Schlüssel funktioniert nicht mehr, sobald der neue ausgegeben wird. Absolute Grenze: Es werden keine Kundeninhalte außerhalb der verschlüsselten Speicher abgelegt, auch nicht als temporäre Dateien, die während der Erstellung einer Antwort verwendet werden.

Question 5

Protokollierung: Zweck

Accepted Answer

Ein Prozess gilt erst dann als kontrolliert, wenn im Nachhinein gezeigt werden kann, was geschehen ist, wer auf die Daten zugegriffen hat und auf welcher Grundlage. Jeder Lesezugriff und jeder Export schreibt einen Eintrag mit Zeit, Zweck, Rechtsraum und dem Identitätscode hinter der Anfrage. Jede automatisierte Analyse schreibt ihren eigenen Eintrag, damit sich ein Ergebnis auf den Lauf zurückführen lässt, der es erzeugt hat. Protokolle enthalten Zählwerte, Ergebnisse und Verweise, nicht den Inhalt dessen, was ein Kunde geschrieben hat. Protokolleinträge sind gegen Veränderung geschützt und werden für eine feste Frist aufbewahrt, danach mit allem anderen gelöscht. Eine Verletzung des Schutzes personenbezogener Daten wird mit Zeit, Umfang und Maßnahmen protokolliert, damit die Meldung innerhalb von zweiundsiebzig Stunden auf Fakten statt auf Schätzungen beruht. Absolute Grenze: Protokolle werden nie verwendet, um eine Person zu profilieren oder ein Bild vom Verhalten einer einzelnen Person zu erstellen; sie dienen dazu, Kontrolle nachzuweisen und Vorfälle zu untersuchen.

Kategorie	Frist	Am Ende der Frist
Konto- und Schlüsseldaten	Solange das Konto aktiv ist, danach zwölf Monate	Gelöscht; Schlüssel funktionieren sofort nicht mehr, wenn das Konto geschlossen wird
Analyseergebnisse und Berichte	Zwölf Monate ab dem Lauf	Gelöscht; es bleiben nur aggregierte Zählwerte ohne Kundenbezug
Support-Gespräche	Nach sieben Tagen maskiert, nach dreißig Tagen gelöscht	Gelöscht; es bleiben nur die Anzahl der Vorgänge und das Ergebnis
Zugriffs- und Betriebsprotokolle	Zwölf Monate	Nach Zeitplan gelöscht; Vorfallsaufzeichnungen folgen der Vorfallsakte
Buchführungsunterlagen und Belege	Sieben Jahre	Gelöscht; für den gesamten Zeitraum ausschließlich für den Buchführungszweck gesperrt
Hochgeladene Dokumente	Innerhalb der Sitzung gelesen und verworfen	Es wird keine Kopie aufbewahrt; nur die vom Kunden zum Speichern ausgewählten Felder bleiben erhalten

Fünf Prozesse, die bestimmen, was mit Daten geschieht

Datenminimierung

Speicherdauer

Pseudonymisierung

Verschlüsselung

Protokollierung

Speicherdauer im Überblick

Die Regeln, denen diese Prozesse dienen

Verwandte Seiten