Ihr DSGVO-Verarbeitungsverzeichnis wird nun mit den Modulen gefüllt, die Sie bereits nutzen – statt mit einer leeren Seite zu beginnen. DoliPlus bietet Ihnen fünf konkrete Tools:

• ein vorbefülltes Verzeichnis: DoliPlus analysiert Ihre Installation und schlägt einen Eintrag pro erkanntem Prozess vor;
• ein Anfragen-Portal: Zugriff, Berichtigung, Löschung, Datenübertragbarkeit, mit automatischer Frist von einem Monat;
• ein Verzeichnis für Datenschutzverletzungen mit Countdown von 72 Stunden;
• eine automatische Löschung veralteter Daten, die Sie vor der Aktivierung testen können;
• ein gesichertes Protokoll: Jede tatsächlich ausgeführte Löschung hinterlässt eine Spur, die niemand unbemerkt ändern kann.

Mit anderen Worten: Ihre Management-Software speichert nicht nur Daten – sie hilft Ihnen, den korrekten Umgang damit nachzuweisen. Diese Tools werden auf Anfrage in Ihrem DoliPlus aktiviert – teilen Sie uns mit, dass Sie sie nutzen möchten, und wir schalten sie für Sie frei.

 

Ihre Konformität auf einen Blick

Menü Übersicht, dann „DSGVO-Konformität“ im linken Menü: Vier Karten fassen zusammen, wo Sie stehen.

• „Verzeichnis der Verarbeitungen“: die Anzahl der Verarbeitungen und die noch zu validierenden, mit „Verzeichnis öffnen“;
• „Zugriffsanfragen“: die offenen und die überfälligen Anfragen, mit „Offene Anfragen“;
• „Datenverstöße“: die laufenden Verstöße, mit „Verstoßregister öffnen“;
• „Datenaufbewahrung“: ob die Bereinigung aktiv ist und wann sie zuletzt lief, mit „Löschung simulieren und aktivieren“ und „Dauer konfigurieren“ (dem Administrator vorbehalten).

Das linke Menü führt außerdem zu den Einträgen „Verarbeitungsverzeichnis“, „Rechtsanfragen“, „Datenverstöße“ und „Versiegelte Protokolle“.

 

Das DSGVO-Verarbeitungsverzeichnis, das Sie nicht selbst erstellen müssen

Jedes Unternehmen, das personenbezogene Daten verarbeitet, muss ein Verzeichnis seiner Verarbeitungsvorgänge führen. In der Praxis betrifft dies fast alle KMUs: Sobald Sie Rechnungen stellen, Kunden akquirieren, Mitarbeiter verwalten oder eine Kamera installieren, sind Sie betroffen.

Genau hier liegt das Problem. Vor einer leeren Tabellenkalkulation weiß niemand, wo er anfangen soll.

DoliPlus geht das Problem von der anderen Seite an. Da es weiß, welche Module Sie nutzen, kennt es auch die von Ihnen verarbeiteten Daten. Ein Button Meine Installation analysieren durchsucht Ihre aktiven Module und erstellt einen Eintrag pro erkanntem Prozess: Kundenmanagement, Akquise, Gehaltsabrechnung, E-Mail-Kampagnen, Videokonferenzen, Support…

Jeder Eintrag ist mit Zweck, Rechtsgrundlage, betroffenen Personen, verarbeiteten Daten, Empfängern und einer Speicherdauer gemäß den üblichen Empfehlungen vorbefüllt. Er hat den Status „zu bestätigen“: Sie überprüfen, passen ihn an Ihre tatsächliche Praxis an und bestätigen ihn.

Anschließend fügen Sie manuell Ihre Prozesse hinzu, die außerhalb der Software ablaufen – Videoüberwachung, externe Gehaltsabrechnung, Zeiterfassung. Ohne diese wäre Ihr Verzeichnis unvollständig.

Schließlich exportiert ein Button Ihr DSGVO-Verarbeitungsverzeichnis im Tabellenkalkulationsformat mit den von der Aufsichtsbehörde erwarteten Feldern. Dies ist das Dokument, das Sie bei einer Prüfung vorlegen.

Eine Verarbeitung außerhalb der Software hinzufügen, Schritt für Schritt

1. Menü Übersicht › „DSGVO-Konformität“, dann „Verarbeitungsverzeichnis“ im linken Menü und „Prozess hinzufügen“.
2. Geben Sie ihr einen aussagekräftigen Namen, zum Beispiel „Videoüberwachung des Lagers“: Das ist das einzige Pflichtfeld.
3. „Zweck“: wozu diese Verarbeitung dient. „Rechtsgrundlage“: was Sie dazu berechtigt (Vertrag, gesetzliche Pflicht, berechtigtes Interesse, Einwilligung). Geben Sie danach an, wer betroffen ist, welche Daten verarbeitet werden und wer sie erhält.
4. Tragen Sie die tatsächliche „Speicherdauer“ ein (zum Beispiel 30 Tage für Videoaufnahmen), die Sicherheitsmaßnahmen und die beteiligten Unterauftragnehmer.
5. Der Status: Lassen Sie „Zu validieren“, wenn jemand den Eintrag noch prüfen soll, wählen Sie „Validiert“, wenn er stimmt, und „Veraltet“ für eine eingestellte Verarbeitung, die nachvollziehbar bleibt.
6. Klicken Sie auf „Speichern“. Als Herkunft zeigt der Eintrag „Manuell erfasst“: „Meine Installation analysieren“ verändert ihn nie. Mit „Ändern“ korrigieren Sie ihn, und er erscheint im Export des Verzeichnisses.

 

Anfragen beantworten, ohne drei Stunden zu suchen

Eine Person schreibt Ihnen, um zu erfahren, welche Daten Sie über sie gespeichert haben, oder um deren Löschung zu beantragen. Sie haben einen Monat Zeit zu antworten. Die Herausforderung liegt nicht im Antwortschreiben, sondern darin, die verstreuten Informationen in Angeboten, Rechnungen, Korrespondenz und Tickets zu finden.

DoliPlus erfasst die Anfrage, berechnet die Frist und findet automatisch alle Datensätze des Antragstellers. Sie sehen sofort, welche Daten vorliegen, und überfällige Anfragen werden priorisiert.

Was gelöscht wird – und was bleiben muss

Die eigentliche Schwierigkeit bei Löschungsanträgen: Sie dürfen nicht alles entfernen. Das Handelsgesetzbuch verpflichtet Sie, Rechnungen zehn Jahre aufzubewahren – selbst bei Löschungswunsch.

DoliPlus warnt Sie eindeutig vor der Aktion, z.B. „12 Rechnungen – Aufbewahrung 10 Jahre (gesetzliche Pflicht)“. Die übrigen Daten werden dann dauerhaft anonymisiert. So antworten Sie präzise, ohne Unmögliches zu versprechen.

Niemand kann für andere handeln

Ein offenes Löschformular wäre riskant: Jeder könnte Daten Dritter anfordern. DoliPlus erfordert daher zwei Prüfungen. Zuerst bestätigt der Antragsteller, sofern die Anfrage über das öffentliche Anfrageportal eingegangen ist, seine E-Mail-Adresse per Link. Dann verifiziert ein Mitarbeiter die Identität und dokumentiert die Methode.

Ohne diese doppelte Bestätigung ist keine Datenaktion möglich. Jeder Schritt wird im zeitgestempelten Antwortdossier festgehalten – für etwaige Beanstandungen.

Zugriff, Übertragbarkeit, Widerspruch, Berichtigung: die übrigen Anfragen

Sobald auf der Anfrage die Identität bestätigt ist („Identitätsprüfung bestätigen“) und die Datensätze der Person verknüpft sind, hängt die angebotene Schaltfläche von der Art der Anfrage ab:

• Zugriff oder Übertragbarkeit: „Daten der Person exportieren“ lädt eine Datei (im JSON-Format) herunter, die für jeden verknüpften Datensatz die gespeicherten Daten, die Dokumente und die Aufbewahrungspflichten zusammenfasst. Der Export wird im versiegelten Protokoll vermerkt. Übermitteln Sie diese Datei selbst an die Person: Sie wird der Antwort nicht beigefügt;
• Widerspruch: „Widerspruch speichern“ schließt jeden verknüpften Datensatz von Massensendungen aus (die Zielgruppen der Kampagnen in DoliPlus und Brevo lassen ihn ab sofort außen vor) und vermerkt dort den Widerspruch gegen Werbung, mit Datum. Die Aktion wird beim ersten Klick ausgeführt und im versiegelten Protokoll vermerkt. Steht die Person bereits in einer Liste bei Brevo, entfernen Sie sie auch dort: Der Widerspruch übernimmt das nicht;
• Berichtigung: Eine Schaltfläche „Datensatz … korrigieren“ je verknüpftem Datensatz öffnet den Geschäftspartner oder Kontakt zur Bearbeitung; korrigieren Sie und speichern Sie dann.

Zum Schluss fragt „Anfrage abschließen“ nach einer Bestätigung und sendet dem Antragsteller die in den Einstellungen verfasste Antwort (oder den Standardtext).

 

Die entscheidenden 72 Stunden bei Datenlecks

Verlorener USB-Stick, gehacktes Mailkonto, falscher Dateiversand: Dann bleiben 72 Stunden, um die CNIL zu informieren – inklusive Wochenenden. Der Countdown beginnt bei Kenntnisnahme, nicht beim Vorfall.

Das Interface ist für Stresssituationen optimiert. Es zeigt die verbleibende Zeit – „noch 41 Stunden“ – statt berechnungsbedürftiger Daten. Klare Checklisten führen durch die Schritte: CNIL-Benachrichtigung, Risikomeldung an Betroffene, ergriffene Maßnahmen.

Bei Fristüberschreitung fragt DoliPlus nach dem Grund. Kein Vorwurf: Die CNIL verlangt diese Angabe bei verspäteten Meldungen.

 

Vor der Löschung prüfen, was betroffen wäre

Zu lange Datenspeicherung birgt Risiken. Doch eine falsch eingestellte automatische Löschung vernichtet unwiderruflich Daten, die Sie noch benötigen.

DoliPlus löst dieses Dilemma durch eine Simulation. Mit einem Klick erhalten Sie eine genaue Übersicht der betroffenen Daten: Regel für Regel die Anzahl der betroffenen Datensätze, differenziert nach anonymisierten und gelöschten Einträgen.

Der Bestätigungsbutton erscheint erst unter dieser Übersicht. So ist eine Löschung unmöglich, ohne die Zahlen gesehen zu haben. Die Funktion bleibt deaktiviert, bis Sie entscheiden – jede Freigabe wird protokolliert inkl. Name der verantwortlichen Person.

Verwalten Sie mehrere Unternehmen mit DoliPlus? Jedes wendet eigene Aufbewahrungsfristen an – nie die eines anderen. Von der Hauptgesellschaft aus zeigt die Simulation Details pro Unternehmen plus Gesamtsumme. Tochtergesellschaften sehen nur ihre eigenen Daten. Die Freigabe erfolgt zentral, da sie alle betrifft. So wissen Sie stets, welchen Umfang die angezeigten Zahlen haben.

Fristen, Anfrageportal und Nachrichten einstellen, Schritt für Schritt

1. Klicken Sie auf der Startseite „DSGVO-Konformität“ auf „Dauer konfigurieren“ (dem Administrator vorbehalten).
2. „Öffentliche Schalter für Anfragen zu Rechten öffnen“: Ist dies angehakt, kann jede Person über eine öffentliche Seite den Zugriff auf ihre Daten, deren Berichtigung oder Löschung beantragen; jede Anfrage landet in den „Rechtsanfragen“. Eine Höchstzahl pro Stunde verhindert Missbrauch.
3. Betreff und Text der Antwort an den Antragsteller: Bleiben sie leer, verwendet DoliPlus seinen Standardtext.
4. Für jede Art von Geschäftspartner (Kunde, Interessent, Lieferant…) und danach von Kontakt: die Dauer, nach der ein Datensatz OHNE JEDES Ereignis und ohne Verknüpfung mit einem Dokument von der Bereinigung anonymisiert wird. „Nie“ bewahrt ihn auf.
5. Die Zeile „Weder Prospect noch Kunde“ trägt dagegen eine LÖSCHFRIST: Diese Datensätze ohne Geschäftsbeziehung werden gelöscht, nicht nur anonymisiert. Das Symbol daneben berechnet, wie viele Datensätze heute betroffen wären.
6. Reiter „Einstellungen der Nachrichten“: Der unter „E-Mail-Adresse des Datenschutzbeauftragten“ gewählte Verantwortliche ist der Absender der Einwilligungsanfragen und der Bestätigungen. Hier verfassen Sie den Text der beiden Links („Ich stimme zu“ / „Ich widerrufe meine Einwilligung“) und drei Nachrichten: die Anfrage, die Bestätigung der Zustimmung, die Bestätigung der Ablehnung. Die Variablen (__CIVILITY__, __LASTNAME__…) werden durch die Angaben des Empfängers ersetzt; jeder Block wird mit seiner eigenen Schaltfläche gespeichert.
7. Die Fristen gelten nur, wenn die automatische Bereinigung aktiviert ist. Klicken Sie auf der Seite der Bereinigung zuerst auf „Bereinigung simulieren“: Sie berechnet, was heute geschehen würde, je Unternehmen und je Art von Datensatz, ohne etwas zu verändern. Überrascht Sie eine Zahl, überprüfen Sie die Fristen.
8. Erst danach startet „Bereinigung aktivieren“ (nach Bestätigung) sie jede Nacht, unwiderruflich: Das ist eine Entscheidung des Datenschutzverantwortlichen und wird im versiegelten Protokoll vermerkt.

 

Nachweis der Löschung – auch noch nach sechs Monaten

Diese Frage kommt immer – und immer zum falschen Zeitpunkt: „Beweisen Sie, dass Sie meine Daten gelöscht haben.“ Ein Datum in einer Tabelle beweist wenig, denn Datenbank-Admins können diese ändern.

DoliPlus dokumentiert daher jede ausgeführte Aktion in einem versiegelten Log: Löschungen, Widersprüche gegen Werbung, Datenauskünfte, Löschaufträge und deren Ergebnisse.

Jeder Eintrag enthält einen Hash-Wert, der vom vorherigen Eintrag abhängt. So entsteht eine Kette. Änderungen, Löschungen oder eingeschobene Einträge brechen diese – ein Button Integrität prüfen zeigt die erste betroffene Zeile an.

Was diese Versiegelung garantiert – und was nicht

Der Schlüssel für das Log liegt außerhalb der Datenbank in einer geschützten Serverdatei. Selbst mit Datenbankzugriff kann niemand eine plausible Kette fälschen – Manipulationen fallen auf.

Vollzugriff auf den Server ermöglicht jedoch weiterhin Fälschungen. Lokale Versiegelungen bieten dagegen keinen Schutz – bei uns wie anderswo. Wir sagen es lieber offen: Unerklärliche Beweise nutzen bei Kontrollen nichts.

Zwei Details sind praktisch: Das Log überlebt Anfragen – selbst wenn Sie diese löschen, bleiben die Handlungsnachweise. Zudem exportiert ein Button das gesamte Log tabellarisch, bereit für Anhänge.

Das Protokoll prüfen und exportieren, Schritt für Schritt

1. Menü Übersicht › „DSGVO-Konformität“, dann „Versiegelte Protokolle“ im linken Menü.
2. Jede Zeile ist eine Aktion: das Datum, der Benutzer, die Aktion (Löschung, Export des Dossiers, Bereinigung…), der betroffene Datensatz und das Detail. Die letzte Spalte zeigt den Anfang des digitalen Fingerabdrucks.
3. Klicken Sie auf „Integrität prüfen“: DoliPlus liest die gesamte Kette erneut, ohne etwas zu verändern. Die Meldung „Unversehrte Kette: …“ bedeutet, dass alle Aktionen vorhanden sind, in der richtigen Reihenfolge und unverändert; andernfalls färbt sich der Rahmen rot und zeigt, wo die Kette bricht.
4. Bei einer Prüfung lädt „Journal exportieren (CSV)“ das gesamte Protokoll herunter, einschließlich der vollständigen Fingerabdrücke.

 

Was DoliPlus leistet – und was nicht

Seien wir klar: Keine Software macht Sie automatisch compliant. DoliPlus stattet Sie aus, ersetzt aber weder Ihr Urteilsvermögen noch Ihren Datenschutzverantwortlichen.

Zwei Themen bleiben bewusst außerhalb der Software, da die CNIL diese bereits kostenlos und besser abdeckt, als wir es könnten:

• die Folgenabschätzung, nur für Hochrisikoverarbeitungen verpflichtend – in typischen KMUs selten. Die CNIL bietet dafür eine kostenlose Open-Source-Lösung nach ihrer eigenen Methode, online oder serverinstallierbar;
• das Cookie-Management Ihrer Website, das in den Verantwortungsbereich Ihrer Webpräsenz fällt, nicht Ihrer Geschäftssoftware.

Was DoliPlus jedoch leistet – und kein externes Tool kann dies – ist das aktive Handeln mit Ihren Daten: echte Anonymisierung, vollständiger Export von Personendossiers samt Nachweis. Ein separates Compliance-Tool hingegen protokolliert nur Ihre Anfrage – denn es hat keinen Zugriff auf Ihre Dateien.

 

Weiterführendes

• Standard-Kontaktverwaltung – die primär von Ihren Aufbewahrungsfristen betroffenen Datensätze.
• E-Mail-Marketing mit Brevo – Einwilligung und Abmeldung Ihrer Kampagnen.
• Automatische Mail-Archivierung – Kommunikation im Kundenhistorieverlauf.
• Kontakte ins CRM importieren – Herkunft Ihrer gesammelten Daten.