Verzeichnis von Verarbeitungs­tätigkeiten und Schwell­wert­analyse

Zu den Pflichten der DSGVO gehört es, ein Verzeichnis von Verarbeitungstätigkeiten zu führen. Beim Betrieb eines Mastodon-Servers sollte hierbei zwischen angemeldeten Nutzerinnen und Gastzugriffen über die öffentlich verfügbare Website unterschieden werden. Für beide Verarbeitungstätigkeiten stehen beispielhafte Einträge als Muster zur Verfügung.

Zu einem Verzeichnis der Verarbeitungstätigkeiten gehört es ebenfalls, die technischen und organisatorischen Maßnahmen (TOMs) zu dokumentieren. Diese unterscheiden sich stark, je nachdem ob ein Server in eigenen Räumlichkeiten oder als gemieteter Server in einem Rechenzentrum betrieben wird. Für beide Fälle steht eine beispielhafte Dokumentation zum Download bereit.

Des weiteren sollte eine Schwellwertanalyse zur Feststellung des mit dem Betrieb der Instanz verbundenen Risikos durchgeführt werden. Wenn eine Verarbeitung voraussichtlich hohe Risiken für Rechte und Freiheiten hat, muss eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt werden. Eine Schwellwertanalyse hilft bei der Einschätzung, ob derartige hohe Risiken gegeben sind. Das bereitgestellte Muster soll dabei unterstützen, eine Schwellwertanalyse korrekt und systematisch durchzuführen.