Risk Register / DPIA
bti.de Risiko-/DSFA-Center: 18 Risikozeile(n), 3 kritisch, 12 hoch/kritisch, dpia_empfohlen.
Automatisch aus SaferPage-Befunden und Betreiber-Artefakten abgeleitetes Risikoregister. Risikoakzeptanz, Rechtsbewertung und finale Priorisierung müssen Betreiber und Datenschutzverantwortliche entscheiden.
Privacy Risk Register
Unklare Anbieterrollen, Drittlandtransfers oder fehlende AVV/DPA-Nachweise erhöhen Compliance-Risiko.
Top-Anbieter priorisieren, AVV/DPA/TIA prüfen und Vendor-Akte vervollständigen.Hohe oder unklare Risiken brauchen eine dokumentierte DSFA-/DPIA-Entscheidung.
DPIA-Screening fachlich entscheiden, Schutzmaßnahmen und Restrestrisiko dokumentieren.Kritische Datenflüsse können Empfänger-, Transfer-, Zweck- oder Löschrisiken enthalten.
Datenfluss-Kanten mit Datenklasse, Empfänger, Rechtsgrundlage, Transfer und Retention klären.Offenes Betreiber-Nachweisposition mit Zielzeit- und Nachweispflicht.
Formularfelder müssen für Tastatur und Screenreader verständlich beschriftet sein.Offenes Betreiber-Nachweisposition mit Zielzeit- und Nachweispflicht.
Datenschutzerklärung sollte zentrale Pflichtinformationen vollständig abdecken.Offenes Betreiber-Nachweisposition mit Zielzeit- und Nachweispflicht.
Datenschutzhinweise in Formularnähe ergänzen.Offenes Betreiber-Nachweisposition mit Zielzeit- und Nachweispflicht.
Login-Zweck und Verarbeitung klar erklären.Offenes Betreiber-Nachweisposition mit Zielzeit- und Nachweispflicht.
Erkannte Anbieter müssen in der Datenschutzerklärung konkret und verständlich erscheinen.Offenes Betreiber-Nachweisposition mit Zielzeit- und Nachweispflicht.
Die Zustandsmatrix zeigt Datenschutz-Signale nach Ablehnen.Offenes Betreiber-Nachweisposition mit Zielzeit- und Nachweispflicht.
Google-Tags brauchen vor dem ersten Tag klare Consent-Defaults.Offenes Betreiber-Nachweisposition mit Zielzeit- und Nachweispflicht.
Tracking, Cookies und Drittanbieter müssen zur tatsächlichen Technik passen.Bei Datenschutzvorfällen drohen Verzögerungen bei Beweissicherung, Risikoentscheidung und 72h-Prüfung.
Incident Verantwortlichkeit, Playbook, Meldeentscheidung und Nachweisprotokoll vorbereiten.Nutzer erhalten möglicherweise keine vollständige Information zu Anbietern, Cookies oder Zwecken.
Datenschutzerklärung, Cookie-Tabelle und Anbieterregister gegen Scan-Evidenz aktualisieren.Kann Datenschutz-, Sicherheits-, Transparenz- oder Vertrauensrisiken für Nutzer und Betreiber erhöhen.
Prüfen, ob Text absichtlich vor Nutzern verborgen, aber für Suchmaschinen platziert wird.DSFA / DPIA
DPIA/DSFA fachlich starten oder begründet dokumentieren, warum keine hohe Risikoschwelle erreicht ist.
DPIA/DSFA-Screening: dpia_empfohlen, Risiko-Score 84/100, 6 ausgelöste Risikofaktor(en), 5 hoch.
Tracking, Profiling, sensible Daten, Drittanbieter und Datenflüsse fachlich bewerten.
16 Formular(e), Datenarten: Name/personenbezogene Daten, E-Mail, Login/Passwort, Adresse, Zahlung
2 gecrawlte Formularseite(n) mit Kontextlücke; Startseiten-Kontext fehlt.
1 datenschutzrelevante Domain(s) im Default-Zustand; Fingerprinting-Signale 0.
11 Anbieterregister-Eintrag/Einträge, 11 Drittanbieter-Domain(s).
Transfer hoch 1, unklar 0.
PII-Risiko unklar, Referrer-betroffene Domains 1.
Profil: Website-Typ Allgemeine Website, Betreiber Deutschland.
0 externe Embed-/Widget-Element(e) vorab geladen.
GPC-Test mit 0 datenschutzrelevanten Domain(s).
RoPA / Verzeichnis
Bearbeitung von Eingaben, Kontakt-, Newsletter- oder Konto-/Service-Anfragen.
Verantwortlich · Art. 6 Abs. 1 lit. b/f DSGVO oder Einwilligung je Formularzweck prüfen.Bereitstellung der Website, Consent-Verwaltung, Statistik/Tracking oder Komfortfunktionen je Kategorie.
Verantwortlich · TDDDG/ePrivacy: technische Erforderlichkeit oder Einwilligung; DSGVO-Rechtsgrundlage je Zweck prüfen.Einbindung externer Dienste für Hosting, CDN, Medien, Analyse, Sicherheit, Komfort oder Kommunikation.
Verantwortlich · Berechtigtes Interesse, Vertragserfüllung oder Einwilligung je Dienst prüfen.Annahme, Prüfung und Beantwortung von Auskunfts-, Lösch-, Berichtigungs-, Widerspruchs- oder Portabilitätsanfragen.
Verantwortlich · Art. 6 Abs. 1 lit. c DSGVO zur Erfüllung rechtlicher Pflichten.Data Map
16 Formular(e), Datenarten Name/personenbezogene Daten, E-Mail, Login/Passwort, Adresse, Zahlung.
Datenkategorie aus Verarbeitungstätigkeit abgeleitet.
Datenkategorie aus Verarbeitungstätigkeit abgeleitet.
Datenkategorie aus Verarbeitungstätigkeit abgeleitet.
Datenkategorie aus Verarbeitungstätigkeit abgeleitet.
Datenkategorie aus Verarbeitungstätigkeit abgeleitet.
Datenkategorie aus Verarbeitungstätigkeit abgeleitet.
Datenkategorie aus Verarbeitungstätigkeit abgeleitet.
11 Drittanbieter für Transfer-/Jurisdiktionsprüfung, 1 mit hohem Prüfbedarf, 0 unklar.
11 Drittanbieter für Transfer-/Jurisdiktionsprüfung, 1 mit hohem Prüfbedarf, 0 unklar.
11 Drittanbieter für Transfer-/Jurisdiktionsprüfung, 1 mit hohem Prüfbedarf, 0 unklar.
11 Drittanbieter für Transfer-/Jurisdiktionsprüfung, 1 mit hohem Prüfbedarf, 0 unklar.
Retention / Löschung
Session bis 13 Monate je Zweck prüfen
Ablauf, Widerruf, Zweckende, technische BereinigungZweckende plus notwendige Nachweis-/Verjährungsfrist
Anfrage erledigt, Abmeldung, Zweckende, LöschanfrageNach Anbieterzweck, AVV/DPA und Transferprüfung
Vendor-Offboarding, Zweckende, DSAR-Löschung, VertragsendeNachweispflicht und Sicherheitsbedarf fachlich festlegen
Fristablauf, Zweckende, Archivierung oder Rechtsgrund entfälltEntwurf aus Scan-Evidenz: 3 Cookie(s), 11 Drittanbieter-Domain(s), 4 Storage-Key(s).
Cookies 7, fehlende Laufzeit 0, Retention-Risiken 0, langlebige Hinweise 4.
4 Verarbeitungstätigkeit(en), 51 Data-Map-Knoten, 7 Datenart(en).
26 Rechtsgrundlagenzeile(n) im Report.
DSAR-Workflow-Readiness 48/100; 5/10 Kontrollpunkt(e) erfüllt, 5 Lücke(n) oder manuelle Betreiber-Nachweise offen.
Vendor-Due-Diligence mit 11 Anbieter(n), 1 hohem Risiko, 11 AVV-/DPA-Prüfung(en) und 1 Transfer-/Jurisdiktionsfrage(n).
Aus öffentlichem Scan nicht beweisbar.
Formulare 16, Datenschutzkontext nein.
Prüfbeleg vorhanden, Root-Hash 4946daf31eb1ba6c.
Alerts 0, Regulatory-Pflichten 10.
Offene Entscheidungen
Systemliste je Verarbeitung mit Verantwortlichkeit, Datenkategorien, Löschfrist und Zugriffskonzept.
Anbieterakte, AVV/DPA, SCC/TIA, Zweckbeschreibung, Consent-Regel und Datenschutzerklärungseintrag.
Retention-Matrix je Datenkategorie, System und Empfänger.