Neun Fragen; die Lesart nennt hinter jeder Zeile die Vorschrift, und die Pflichten folgen als Tabelle, die Sie kopieren oder herunterladen können.
Firmenname (optional, für das Dokument) Verarbeiten Sie personenbezogene Daten im Auftrag Ihrer Kunden, als deren Auftragsverarbeiter? Ein SaaS, das die Endnutzerdaten seiner Kunden hält, tut das; jedes Unternehmen ist unabhängig davon Verantwortlicher für seine eigenen Kunden- und Mitarbeiterdaten (Artikel 4 Nummer 7 und 8).
Ja, unser Produkt verarbeitet die Daten unserer Kunden für sie Nein, nur unsere eigenen Kunden-, Interessenten- und Mitarbeiterdaten
Wo ist das Unternehmen niedergelassen? In der Union oder im EWR (Artikel 3 Absatz 1) Außerhalb der Union, aber wir bieten das Produkt Personen in der Union an oder beobachten ihr Verhalten (Artikel 3 Absatz 2) Außerhalb der Union, ohne Angebot an und ohne Beobachtung von Personen in der Union
Beschäftigt das Unternehmen weniger als 250 Personen? Artikel 30 Absatz 5: die Schwelle für die Ausnahme vom Verzeichnis, die die nächste Frage meist wieder aufhebt.
Ja Nein
Erfolgt die Verarbeitung personenbezogener Daten nur gelegentlich? Ein Produkt im Einsatz verarbeitet täglich personenbezogene Daten, für ein Softwareunternehmen lautet die Antwort also fast immer nein (Artikel 30 Absatz 5, Artikel 27 Absatz 2 Buchstabe a).
Ja Nein
Besteht die Kerntätigkeit in der umfangreichen regelmäßigen und systematischen Überwachung von Personen? Verhaltenstracking, Profiling für Werbung, Standortverfolgung, Mitarbeiterüberwachung als Zweck des Produkts (Artikel 37 Absatz 1 Buchstabe b).
Ja Nein
Verarbeiten Sie besondere Kategorien von Daten oder Daten über Straftaten in großem Umfang? Gesundheit, biometrische Daten zur Identifizierung, genetische Daten, sexuelle Orientierung, politische Meinungen, Religion, Gewerkschaftszugehörigkeit (Artikel 9), Verurteilungen und Straftaten (Artikel 10): 37 Absatz 1 Buchstabe c, 35 Absatz 3 Buchstabe b.
Ja Nein
Bewertet das Produkt Personen systematisch und umfassend auf automatisierter Grundlage, mit rechtlicher oder ähnlich erheblicher Wirkung? Kreditscoring, automatisierte Einstellungsentscheidungen, personenbezogene Versicherungstarife (Artikel 35 Absatz 3 Buchstabe a).
Ja Nein
Überwacht das Produkt systematisch und umfangreich einen öffentlich zugänglichen Bereich? Videoanalyse im öffentlichen Raum, Smart-City-Sensoren, die Personen identifizieren (Artikel 35 Absatz 3 Buchstabe c).
Ja Nein
Verlassen personenbezogene Daten die Union, zu einem Unterauftragsverarbeiter oder in eine Cloud-Region außerhalb des EWR? Ein Cloud-Anbieter mit Sitz in den USA und EU-Regionen zählt trotzdem, sobald Support oder Backups nach außerhalb reichen (Kapitel V, Artikel 44).
Ja Nein
Beantworten Sie die ersten zwei Fragen, um die Lesart für Ihren Fall zu lesen; jede weitere Antwort ergänzt ihre Pflicht.
Termine, Stunden und Zahlen werden aus der Verordnung und dem Katalog gelesen, nie auf dieser Seite getippt. Dies ist eine Lesart, keine Rechtsberatung.