Skip to main content

​
Aufbau einer GDPR-Posture von Anfang bis Ende

Die Compliance-Gruppe dokumentiert jede GDPR-Kontrolle auf einer eigenen Seite: Einwilligungsnachweise, Opt-out und Suppression, das Preference Center, der DSAR-Eingang, das Art.-30-Verzeichnis, die DPA, der Evidence Binder. Dieser Leitfaden ist die Reihenfolge über alle hinweg — die Reihenfolge, in der ein Tenant eine GDPR-Posture tatsächlich aufbaut, und was jeder Schritt als Nachweis hinterlässt. Er erweitert Posture B aus der Posture-Karte zu einem vollständigen Walkthrough.
Diese Seite beschreibt die Plattform-Kontrollen von Orbit. Sie ist keine Rechtsberatung. Welche Pflichten für Sie gelten — Controller oder Processor, welche Rechtsgrundlage passt, ob eine DPIA erforderlich ist — hängt von Ihrer Verarbeitung ab. Bestätigen Sie dies mit qualifiziertem Rechtsrat.

​
Das tenant-owned Framing

Lesen Sie dies zuerst, denn es prägt alles Folgende. Die GDPR-Oberfläche von Orbit folgt demselben Modell wie der Rest der Compliance-Karte (Posture-Übersicht):
  • Jede Kontrolle hier ist standardmäßig offen oder leer. Ein neuer Tenant hat keine Einwilligungsnachweise, kein Quiet-Hours-Gate, keine Aktivitäten im Verzeichnis, keine DPA-Annahme und keine Binder-Generierungen. Nichts auf dieser Seite ist vorgeschrieben, und nichts hier blockiert den Versand von sich aus. Sie bauen die Posture auf; die Plattform erzwingt, was Sie konfigurieren, nicht eine Posture, die sie für Sie ausgewählt hat.
  • Orbit ist der Conduit und das Ledger. Orbit trägt Ihren Traffic, erzwingt die von Ihnen konfigurierten Gates und führt den auditierbaren Nachweis. Es entscheidet nie Ihre Rechtsgrundlage, meldet nie bei einer Aufsichtsbehörde für Sie und unterzeichnet niemals eine DPA in Ihrem Namen.
  • Der Binder spiegelt wider, was Sie getan haben. Ein leeres Verzeichnis exportiert als leeres Verzeichnis. Bauen Sie die Posture zuerst auf; exportieren Sie danach.

​
Abschnitt 1 — Die GDPR-Oberflächenkarte

Eine Zeile pro Pflicht, auf die ein GDPR-Betreiber üblicherweise antworten muss, zugeordnet zur Orbit-Kontrolle, die sie hält, und der Tiefenseite, die sie dokumentiert. Zwei benachbarte Kontrollen runden die Karte ab:
  • Quiet hours sind kein GDPR-Artikel, aber ein EU-Empfänger unter einem lokalen Marketing-Regime erwartet sie — konfigurieren Sie sie mit dem Rest (Quiet Hours-Konfiguration).
  • Voice-Datenresidenz entscheidet, wo Anrufaufzeichnungen und Transkripte physisch liegen (Voice-Datenresidenz) — eine Residenz-Entscheidung, die Sie im Verzeichnis dokumentieren, kein Gate.

​
Abschnitt 2 — Eine durchgeführte Sequenz für einen EU-Empfänger

Ein konkreter Lauf für einen Tenant, der Drip-Kampagnen an EU-Empfänger sendet. Jeder Schritt benennt, was Sie tun und welchen Nachweis er hinterlässt.

​
1. Einwilligung mit Rechtsgrundlage vor dem ersten Versand erfassen

Erfassen Sie die Einwilligung pro Kanal über POST /compliance/consent, mit gesetztem lawful_basis. Für Marketing an neue EU-Empfänger ist das üblicherweise consent; für bestehende Kunden, die Servicenachrichten erhalten, kann es legitimate_interests sein — diese Wahl liegt bei Ihnen, und Orbit zeichnet jegliche Grundlage auf, die Sie geltend machen.
Hinterlassener Nachweis: eine Einwilligungszeile pro Kanal mit Grundlage, Quelle und Zeitstempel — exportierbar als Proof-of-Record-Datei unter Export Consent & Suppression Records.

​
2. Das Fallback-Quiet-Hours-Fenster der Kampagne konfigurieren

Setzen Sie das Fallback-Fenster, das jede Drip oder Journey erbt, wenn die Kampagnenzeile kein eigenes Fenster hat — zum Beispiel 22:00 → 07:00 empfänger-lokal, was einer üblichen EU-Marketing-Quiet-Period entspricht. Im Dashboard: Einstellungen → Kampagnenlimits → Standard-Quiet-Hours. Über die API: PUT /api/v1/campaigns/quiet-hours/settings. Dies ist die wertvollste Send-Time-Kontrolle für eine EU-Posture: ein Schreibzugriff deckt jede Kampagne ab, die nie eigene Zeiten setzt. Details unter Quiet Hours-Konfiguration. Hinterlassener Nachweis: gehaltene Versendungen erscheinen im Reporting mit dem aufgelösten Fenster, und GET /api/v1/compliance/quiet-hours/preview beantwortet „würde dieser Versand gehalten werden, und bis wann”, bevor Sie ausrollen.

​
3. Widerrufspfade verwiren

Die von Ihnen erfasste Einwilligung muss günstig widerrufbar sein — Art. 7(3). Drei Einstiegspunkte landen auf derselben Suppression-Liste:
  • STOP-Keywords auf SMS/WhatsApp,
  • POST /compliance/consent mit opt_in: false,
  • das Preference Center — konfigurieren Sie es über POST /compliance/preference-center, und geben Sie dann jedem Kontakt einen signierten Link, damit der Widerruf strukturiert ankommt statt als Support-Ticket.
Wenn Sie von einer anderen Plattform migrieren, importieren Sie die Legacy-Liste per Bulk via POST /compliance/suppression-list/import vor dem ersten Versand. Siehe Opt-Out & Suppression Lists. Hinterlassener Nachweis: fail-closed Suppression-Zeilen — eine unterdrückte Adresse wird vor der Auslieferung unabhängig vom Einstiegspunkt verworfen.

​
4. Entscheiden Sie Ihren DSAR-Eingangspfad

Zwei Pfade, und die meisten EU-Postures betreiben beide:
  • Operator-eingereicht — Ihr Team reicht im Namen eines Kunden ein mit POST /compliance/dsar (applicable_jurisdiction: "gdpr" setzt die 30-Tage-SLA-Uhr).
  • Öffentliches Self-Service-Portal — veröffentlichen Sie den Portal-Link unter Ihrer Datenschutzerklärung, damit Betroffene direkt einreichen; der Flow verifiziert die Identität mit einer Zweifaktor-E-Mail + SMS-OTP, bevor irgendetwas in die Warteschlange geht.
Entscheiden Sie vor der öffentlichen Verlinkung, von welchen E-Mails das Portal sendet — ein nicht gesetzter Absender lässt das Portal nicht verfügbar. Vollständige Eingangs- und Verifikationsdetails unter DSAR. Hinterlassener Nachweis: jede Anfrage trägt ihren Status, ihre SLA-Uhr und ihren Erfüllungsverlauf — die Zeilen, die der GDPR-Binder liest.

​
5. Ihre Verarbeitungstätigkeiten im Verzeichnis einreichen

Bevor der erste DSAR ankommt, dokumentieren Sie, was Sie tun. Erfassen Sie jede Tätigkeit im Privacy Register: Zweck, Datenkategorien, Empfänger, grenzüberschreitende Übermittlungen, die Aufbewahrungsfrist und Sicherheitsmaßnahmen. Orbit prüft jede Tätigkeit gegen die Art.-35(3)-Trigger und kennzeichnet eine erforderliche DPIA — eine gekennzeichnete Tätigkeit kann nicht auf aktiv wechseln, bis die DPIA aufgezeichnet ist. Hinterlassener Nachweis: eine menschliche Referenz pro Tätigkeit (zum Beispiel ROPA-2026-0004) und ein exportierbares Inventar, das Sie einer Aufsichtsbehörde unter Art. 30(4) vorlegen können.

​
6. Die DPA ausführen

Vorschau der Vorlage, Annahme mit der getippten E-Signatur und Ablage der ausgefüllten Kopie — alles über GET/POST /api/v1/compliance/dpa oder das Dashboard. Die Annahme ist vertragliche Aufzeichnung unter Art. 28: sie ändert nichts an dem, was Orbit verarbeitet, und blockiert nichts. Bis Sie annehmen, bleibt Ihr dpa_status auf not_accepted — ein offener Punkt, den jede Beschaffungsprüfung eines Käufers findet. Siehe Data Processing Agreement. Hinterlassener Nachweis: der Annahmenachweis — Vorlagenversion, Unterzeichner, Zeitstempel — und die gerenderte ausgefüllte Kopie.

​
7. Den GDPR-Binder für Beschaffung oder eine Behörde exportieren

Wenn die Sicherheitsprüfung eines Käufers oder eine Behörde nach der gesamten Posture fragt, erzeugen Sie den GDPR-Framework-Binder aus Einstellungen → Compliance → Binder (oder POST /api/v1/compliance/binder/generate). Er fasst den Betroffenen-Anfragerverlauf, Breach-Zählungen und die Einwilligungs- und Aufbewahrungs-Posture zu einem Paket mit einem 24-Stunden-signierten Download-Link zusammen — PDF für einen menschlichen Prüfer, ZIP für einen GRC-Import. Siehe Evidence Binder. Führen Sie den Binder zuletzt aus. Er liest die Oberflächen, die die Schritte 1–6 befüllten, daher liefert das Erzeugen vor diesen Schritten dem Prüfer ein leeres Paket.

​
Abschnitt 3 — Aktivierungs-Bundles, wo GDPR-relevant

Der Plugin-Marktplatz bündelt zwei GDPR-relevante Startpunkte, beide aktiviert über GET /api/v1/compliance/vertical-bundles: Jede Aktivierung ist nur Entwurf und kommt mit einer Go-live-Checkliste — kein Bundle aktiviert eine GDPR-Posture von sich aus, und das Aktivieren eines Bundles zeichnet niemals Einwilligung auf, reicht eine Register-Tätigkeit ein oder nimmt eine DPA für Sie an. Die Bundles kürzen die Einrichtung ab; die obige Sequenz ist trotzdem die Ihrige. Siehe Plugin-Marktplatz.

​
Abschnitt 4 — Was Orbit NICHT tut

Randbedingungen, einmal und klar benannt:
  • Orbit meldet nie bei einer Aufsichtsbehörde für Sie. Breach-Benachrichtigung an eine Behörde (Art. 33) und an Betroffene (Art. 34) sind Ihre Handlungen. Der Binder zeigt Ihre Breach-Zählung als Nachweis; die Einreichung gehört Ihnen.
  • Orbit unterzeichnet oder nimmt die DPA nie automatisch an. Die getippte E-Signatur ist eine bewusste Handlung des Owners oder Admins Ihres Workspace.
  • Orbit entscheidet nie Ihre Rechtsgrundlage, Aufbewahrungsfrist oder ob eine DPIA angemessen ist. Das Register prüft und kennzeichnet; die Urteile, die es aufzeichnet, sind die Ihren.
  • Nichts auf dieser Seite blockiert den Versand. Einwilligungsnachweise, das Verzeichnis, die DPA und der Binder sind das Ledger. Die Send-Time-Gates, die es gibt — Quiet Hours, die Sie aktivierten, Suppression-Einträge, die Sie aufzeichneten — sind die, die Sie einschalteten, und jedes ist standardmäßig offen.
  • Dies ist keine Rechtsberatung. Die Sequenz stellt die Kontrollen von Orbit so zusammen, ob die zusammengestellte Posture GDPR für Ihre Verarbeitung erfüllt, ist eine Entscheidung für Ihren Rechtsrat.

​
Zugehörige Referenzen