Admin GDPR Guide

Audience: Admins
Language: Deutsch

---

1) GDPR-Grundlagen für Admins

GDPR/DSGVO regelt, wie personenbezogene Daten verarbeitet werden. Für den Teambetrieb in Shifty bedeutet das:

• Nur notwendige Daten erheben.
• Verarbeitung transparent machen.
• Rechte der Betroffenen umsetzen.
• Lösch- und Aufbewahrungsregeln praktisch umsetzen.

2) Rechte von Mitarbeitenden

Die zentralen Rechte:

• Auskunft (Right of Access)
• Berichtigung (Right to Rectification)
• Löschung (Right to Erasure)
• Datenübertragbarkeit (Right to Data Portability)
• Einschränkung der Verarbeitung (Right to Restrict Processing)

3) Aufgaben von Admins

Admins stellen sicher, dass:

• Datenschutzinformationen zugänglich sind.
• Anfragen dokumentiert und fristgerecht bearbeitet werden.
• Rollen/Zugriffe angemessen gesetzt sind.
• sensible Vorfälle nachvollziehbar erfasst werden.

4) Ablauf bei Betroffenenanfragen

A) Auskunft/Export

1. Identität prüfen.
2. Anfragezeitpunkt dokumentieren.
3. Datenexportprozess starten.
4. Export sicher bereitstellen.
5. Erledigung dokumentieren.

B) Löschung

1. Identität prüfen.
2. gesetzliche Aufbewahrungspflichten prüfen.
3. Lösch- oder Sperrprozess ausführen.
4. Ergebnis dokumentieren.

C) Incident/Breach-Verdacht

1. Vorfall intern erfassen.
2. Auswirkungen bewerten.
3. Verantwortliche informieren.
4. Weitere Schritte nach internem Datenschutzprozess ausführen.

5) Compliance Audit Checklist

• Datenschutzhinweise aktuell?
• Prozess für Auskunft/Export/Löschung dokumentiert?
• Rollen- und Rechtekonzept eingehalten?
• Sicherheitsereignisse nachvollziehbar protokolliert?
• Aufbewahrungsregeln technisch und organisatorisch umgesetzt?

6) Datenverarbeitungsliste (Template)

Für jede Datenkategorie dokumentieren:

• Datenart
• Zweck
• Rechtsgrundlage
• Zugriffsberechtigte
• Aufbewahrungsdauer
• Lösch-/Archivierungsprozess

7) Fallbeispiele

• Mitarbeitender fordert Export: Anfrage aufnehmen, Exportprozess starten, dokumentieren.
• Mitarbeitender fordert Löschung: rechtliche Pflichtdaten prüfen, Rest löschen oder anonymisieren.
• Verdacht auf unberechtigten Zugriff: Zugriff einschränken, Loglage prüfen, Vorfall dokumentieren.

---

Referenzen im Projekt

• logs endpoints: elbtalteamadmin-services/src/logs/
• retention cleanup job: elbtalteamadmin-services/src/_utils/queues/garbage-collection/jobs/cleanup-database.ts
• related docs:
  • docs/knowledge-base/security/data-protection.md
  • docs/knowledge-base/privacy/employee-privacy-rights.md
  • docs/knowledge-base/privacy/developer-compliance.md