> ## Documentation Index > Fetch the complete documentation index at: https://docs.orbit.devotel.io/llms.txt > Use this file to discover all available pages before exploring further. # Aufbau einer GDPR-Posture von Anfang bis Ende > Verbinden Sie die GDPR-Kontrollen — Einwilligungs-Erfassung, Datenresidenz und Aufbewahrung, DSAR-SLA, das Art.-30-Verzeichnis, die DPA und den Evidence Binder — zu einer tenant-owned Posture, die Sie einem Käufer oder einer Behörde vorlegen können. # Aufbau einer GDPR-Posture von Anfang bis Ende Die Compliance-Gruppe dokumentiert jede GDPR-Kontrolle auf einer eigenen Seite: Einwilligungsnachweise, Opt-out und Suppression, das Preference Center, der DSAR-Eingang, das Art.-30-Verzeichnis, die DPA, der Evidence Binder. Dieser Leitfaden ist die Reihenfolge über alle hinweg — die Reihenfolge, in der ein Tenant eine GDPR-Posture tatsächlich aufbaut, und was jeder Schritt als Nachweis hinterlässt. Er erweitert [Posture B](/compliance/posture-overview#posture-b-eu-gdpr-apac-drip-operator) aus der Posture-Karte zu einem vollständigen Walkthrough. Diese Seite beschreibt die Plattform-Kontrollen von Orbit. Sie ist **keine Rechtsberatung.** Welche Pflichten für Sie gelten — Controller oder Processor, welche Rechtsgrundlage passt, ob eine DPIA erforderlich ist — hängt von Ihrer Verarbeitung ab. Bestätigen Sie dies mit qualifiziertem Rechtsrat. ## Das tenant-owned Framing Lesen Sie dies zuerst, denn es prägt alles Folgende. Die GDPR-Oberfläche von Orbit folgt demselben Modell wie der Rest der Compliance-Karte ([Posture-Übersicht](/compliance/posture-overview)): * **Jede Kontrolle hier ist standardmäßig offen oder leer.** Ein neuer Tenant hat keine Einwilligungsnachweise, kein Quiet-Hours-Gate, keine Aktivitäten im Verzeichnis, keine DPA-Annahme und keine Binder-Generierungen. Nichts auf dieser Seite ist vorgeschrieben, und nichts hier blockiert den Versand von sich aus. Sie bauen die Posture auf; die Plattform erzwingt, was Sie konfigurieren, nicht eine Posture, die sie für Sie ausgewählt hat. * **Orbit ist der Conduit und das Ledger.** Orbit trägt Ihren Traffic, erzwingt die von Ihnen konfigurierten Gates und führt den auditierbaren Nachweis. Es entscheidet nie Ihre Rechtsgrundlage, meldet nie bei einer Aufsichtsbehörde für Sie und unterzeichnet niemals eine DPA in Ihrem Namen. * **Der Binder spiegelt wider, was Sie getan haben.** Ein leeres Verzeichnis exportiert als leeres Verzeichnis. Bauen Sie die Posture zuerst auf; exportieren Sie danach. *** ## Abschnitt 1 — Die GDPR-Oberflächenkarte Eine Zeile pro Pflicht, auf die ein GDPR-Betreiber üblicherweise antworten muss, zugeordnet zur Orbit-Kontrolle, die sie hält, und der Tiefenseite, die sie dokumentiert. | Pflicht | Orbit-Kontrolle | Wo sie liegt | Tiefenseite | | ----------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------ | | **Einwilligung mit Rechtsgrundlage** (Art. 6, Art. 7) | `POST /compliance/consent` mit `lawful_basis`, aufgezeichnet pro `(contact, channel)`-Paar | Consent API; Fan-out zu Suppression und Send-Gates | [Consent Management](/compliance/consent-management) | | **Einwilligungsnachweise auf Kanalebene mit Nachweis** (Beweislast Art. 7(1)) | Zustände pro Kanal (`opted_in` / `opted_out` / `unknown`), Rechtsgrundlage, Quelle und Zeitstempel auf jeder Zeile; Bulk-Export | Consent API + Proof-of-Record-Export | [Consent Management](/compliance/consent-management), [Export Consent & Suppression Records](/compliance/consent-suppression-export) | | **Widerruf und Suppression** (Art. 7(3)) | STOP-Keywords, Consent-API-Opt-outs, Preference Center, CSV-Bulk-Import — eine Suppression-Liste, scoped pro Kanal | Suppression-Schicht, die jeder Versand liest | [Opt-Out & Suppression Lists](/compliance/opt-out-suppression) | | **Empfänger-Self-Service** | Preference Center mit signierten Links pro Kontakt; Send-Gates lesen dasselbe Ledger | `POST /compliance/preference-center` | [Send Gates](/compliance/send-gates) | | **Betroffenen-Anfragen mit Frist** (Art. 12–22) | DSAR-Eingang, Verifikation und Erfüllung mit einer SLA-Uhr pro Jurisdiktion (`gdpr` 30 Tage) | Operator API + öffentliches Self-Service-Portal | [DSAR](/compliance/dsar) | | **Verarbeitungsverzeichnis** (Art. 30) und **DPIA** (Art. 35) | Das Privacy Register — Aktivitätsnachweise mit DPIA-Screening und exportierbarem Inventar | `…/compliance/privacy-register/*` | [Privacy Register](/compliance/privacy-register) | | **Processor-Vertrag** (Art. 28) | Die Self-Serve-DPA — Vorschau, getippte E-Signatur, ausgefüllte Kopie, Versionsverfolgung | `GET/POST /api/v1/compliance/dpa` | [Data Processing Agreement](/compliance/data-processing-agreement) | | **Breach-Incident-Register** (Art. 33/34) | `POST /compliance/breach-incidents` mit einer 72-Stunden-Benachrichtigungsbestätigung | Operator API; Lesen offen für jedes Mitglied, Schreiben Owner/Admin | [Breach Incident Register](/compliance/breach-incident-register) | | **DPO + EU/UK-Vertreter-Benennungen** (Art. 37/27) | `GET/PUT /compliance/dpo-representative` mit einer binder-tauglichen Bestätigung | Die Benennungen speisen Ihre Art.-13/14-Privacy-Hinweise neben der Art.-28-DPA | [DPO & EU/UK Representative Designation](/compliance/dpo-representative) | | **Storage-Limitation-Richtlinie** (Art. 5(1)(e)) | `PUT /compliance/data-retention` — Fenster pro Domäne für Nachrichtenkörper-Redaktion, Hard-Delete geschlossener Konversationen und Audit-Log-Purge | Drei unabhängige Domänen, standardmäßig deaktiviert | [Data Retention Policy](/compliance/data-retention-policy) | | **Nachweis für einen Käufer oder eine Behörde** | Der GDPR-Evidence-Binder — DSAR-Verlauf, Breach-Zählungen, Einwilligungs- und Aufbewahrungs-Posture in einem signierten Export | Einstellungen → Compliance → Binder | [Evidence Binder](/compliance/evidence-binder) | Zwei benachbarte Kontrollen runden die Karte ab: * **Quiet hours** sind kein GDPR-Artikel, aber ein EU-Empfänger unter einem lokalen Marketing-Regime erwartet sie — konfigurieren Sie sie mit dem Rest ([Quiet Hours-Konfiguration](/guides/quiet-hours-configuration)). * **Voice-Datenresidenz** entscheidet, wo Anrufaufzeichnungen und Transkripte physisch liegen ([Voice-Datenresidenz](/compliance/voice-data-residency)) — eine Residenz-Entscheidung, die Sie im Verzeichnis dokumentieren, kein Gate. *** ## Abschnitt 2 — Eine durchgeführte Sequenz für einen EU-Empfänger Ein konkreter Lauf für einen Tenant, der Drip-Kampagnen an EU-Empfänger sendet. Jeder Schritt benennt, was Sie tun und welchen Nachweis er hinterlässt. ### 1. Einwilligung mit Rechtsgrundlage vor dem ersten Versand erfassen Erfassen Sie die Einwilligung pro Kanal über `POST /compliance/consent`, mit gesetztem `lawful_basis`. Für Marketing an neue EU-Empfänger ist das üblicherweise `consent`; für bestehende Kunden, die Servicenachrichten erhalten, kann es `legitimate_interests` sein — diese Wahl liegt bei Ihnen, und Orbit zeichnet jegliche Grundlage auf, die Sie geltend machen. ```bash theme={null} curl -X POST https://api.orbit.devotel.io/api/v1/compliance/consent \ -H "Authorization: Bearer $ORBIT_API_KEY" \ -H "Content-Type: application/json" \ -d '{ "identifier": "jordan@example.com", "channels": ["email", "sms"], "opt_in": true, "lawful_basis": "consent", "source": "signup_form" }' ``` **Hinterlassener Nachweis:** eine Einwilligungszeile pro Kanal mit Grundlage, Quelle und Zeitstempel — exportierbar als Proof-of-Record-Datei unter [Export Consent & Suppression Records](/compliance/consent-suppression-export). ### 2. Das Fallback-Quiet-Hours-Fenster der Kampagne konfigurieren Setzen Sie das Fallback-Fenster, das jede Drip oder Journey erbt, wenn die Kampagnenzeile kein eigenes Fenster hat — zum Beispiel 22:00 → 07:00 empfänger-lokal, was einer üblichen EU-Marketing-Quiet-Period entspricht. Im Dashboard: **Einstellungen → Kampagnenlimits → Standard-Quiet-Hours**. Über die API: `PUT /api/v1/campaigns/quiet-hours/settings`. Dies ist die wertvollste Send-Time-Kontrolle für eine EU-Posture: ein Schreibzugriff deckt jede Kampagne ab, die nie eigene Zeiten setzt. Details unter [Quiet Hours-Konfiguration](/guides/quiet-hours-configuration). **Hinterlassener Nachweis:** gehaltene Versendungen erscheinen im Reporting mit dem aufgelösten Fenster, und `GET /api/v1/compliance/quiet-hours/preview` beantwortet „würde dieser Versand gehalten werden, und bis wann", bevor Sie ausrollen. ### 3. Widerrufspfade verwiren Die von Ihnen erfasste Einwilligung muss günstig widerrufbar sein — Art. 7(3). Drei Einstiegspunkte landen auf derselben Suppression-Liste: * STOP-Keywords auf SMS/WhatsApp, * `POST /compliance/consent` mit `opt_in: false`, * das Preference Center — konfigurieren Sie es über `POST /compliance/preference-center`, und geben Sie dann jedem Kontakt einen signierten Link, damit der Widerruf strukturiert ankommt statt als Support-Ticket. Wenn Sie von einer anderen Plattform migrieren, importieren Sie die Legacy-Liste per Bulk via `POST /compliance/suppression-list/import` vor dem ersten Versand. Siehe [Opt-Out & Suppression Lists](/compliance/opt-out-suppression). **Hinterlassener Nachweis:** fail-closed Suppression-Zeilen — eine unterdrückte Adresse wird vor der Auslieferung unabhängig vom Einstiegspunkt verworfen. ### 4. Entscheiden Sie Ihren DSAR-Eingangspfad Zwei Pfade, und die meisten EU-Postures betreiben beide: * **Operator-eingereicht** — Ihr Team reicht im Namen eines Kunden ein mit `POST /compliance/dsar` (`applicable_jurisdiction: "gdpr"` setzt die 30-Tage-SLA-Uhr). * **Öffentliches Self-Service-Portal** — veröffentlichen Sie den Portal-Link unter Ihrer Datenschutzerklärung, damit Betroffene direkt einreichen; der Flow verifiziert die Identität mit einer Zweifaktor-E-Mail + SMS-OTP, bevor irgendetwas in die Warteschlange geht. Entscheiden Sie vor der öffentlichen Verlinkung, von welchen E-Mails das Portal sendet — ein nicht gesetzter Absender lässt das Portal nicht verfügbar. Vollständige Eingangs- und Verifikationsdetails unter [DSAR](/compliance/dsar). **Hinterlassener Nachweis:** jede Anfrage trägt ihren Status, ihre SLA-Uhr und ihren Erfüllungsverlauf — die Zeilen, die der GDPR-Binder liest. ### 5. Ihre Verarbeitungstätigkeiten im Verzeichnis einreichen Bevor der erste DSAR ankommt, dokumentieren Sie, was Sie tun. Erfassen Sie jede Tätigkeit im [Privacy Register](/compliance/privacy-register): Zweck, Datenkategorien, Empfänger, grenzüberschreitende Übermittlungen, die Aufbewahrungsfrist und Sicherheitsmaßnahmen. Orbit prüft jede Tätigkeit gegen die Art.-35(3)-Trigger und kennzeichnet eine erforderliche DPIA — eine gekennzeichnete Tätigkeit kann nicht auf aktiv wechseln, bis die DPIA aufgezeichnet ist. **Hinterlassener Nachweis:** eine menschliche Referenz pro Tätigkeit (zum Beispiel `ROPA-2026-0004`) und ein exportierbares Inventar, das Sie einer Aufsichtsbehörde unter Art. 30(4) vorlegen können. ### 6. Die DPA ausführen Vorschau der Vorlage, Annahme mit der getippten E-Signatur und Ablage der ausgefüllten Kopie — alles über `GET/POST /api/v1/compliance/dpa` oder das Dashboard. Die Annahme ist vertragliche Aufzeichnung unter Art. 28: sie ändert nichts an dem, was Orbit verarbeitet, und blockiert nichts. Bis Sie annehmen, bleibt Ihr `dpa_status` auf `not_accepted` — ein offener Punkt, den jede Beschaffungsprüfung eines Käufers findet. Siehe [Data Processing Agreement](/compliance/data-processing-agreement). **Hinterlassener Nachweis:** der Annahmenachweis — Vorlagenversion, Unterzeichner, Zeitstempel — und die gerenderte ausgefüllte Kopie. ### 7. Den GDPR-Binder für Beschaffung oder eine Behörde exportieren Wenn die Sicherheitsprüfung eines Käufers oder eine Behörde nach der gesamten Posture fragt, erzeugen Sie den **GDPR**-Framework-Binder aus **Einstellungen → Compliance → Binder** (oder `POST /api/v1/compliance/binder/generate`). Er fasst den Betroffenen-Anfragerverlauf, Breach-Zählungen und die Einwilligungs- und Aufbewahrungs-Posture zu einem Paket mit einem 24-Stunden-signierten Download-Link zusammen — PDF für einen menschlichen Prüfer, ZIP für einen GRC-Import. Siehe [Evidence Binder](/compliance/evidence-binder). Führen Sie den Binder zuletzt aus. Er liest die Oberflächen, die die Schritte 1–6 befüllten, daher liefert das Erzeugen vor diesen Schritten dem Prüfer ein leeres Paket. *** ## Abschnitt 3 — Aktivierungs-Bundles, wo GDPR-relevant Der [Plugin-Marktplatz](/compliance/plugin-marketplace) bündelt zwei GDPR-relevante Startpunkte, beide aktiviert über `GET /api/v1/compliance/vertical-bundles`: | Bundle | GDPR-Relevanz | | --------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **Fintech KYC** | Stellt ein Entwurfs-Compliance-Profil und Dokumenten-Set bereit; die KYC-Dokumente passen zum Register — jeder gated Markteintritt ist eine Tätigkeit, die Sie unter Art. 30 einreichen. | | **E-Commerce** | Stellt Entwurfs-Kampagnen und einen Opt-in-Flow bereit; verwiren Sie die Einwilligungserfassung aus Abschnitt 2 Schritt 1 in den Opt-in-Flow, bevor die Entwürfe live gehen. | Jede Aktivierung ist nur Entwurf und kommt mit einer Go-live-Checkliste — kein Bundle aktiviert eine GDPR-Posture von sich aus, und das Aktivieren eines Bundles zeichnet niemals Einwilligung auf, reicht eine Register-Tätigkeit ein oder nimmt eine DPA für Sie an. Die Bundles kürzen die Einrichtung ab; die obige Sequenz ist trotzdem die Ihrige. Siehe [Plugin-Marktplatz](/compliance/plugin-marketplace). *** ## Abschnitt 4 — Was Orbit NICHT tut Randbedingungen, einmal und klar benannt: * **Orbit meldet nie bei einer Aufsichtsbehörde für Sie.** Breach-Benachrichtigung an eine Behörde (Art. 33) und an Betroffene (Art. 34) sind Ihre Handlungen. Der Binder zeigt Ihre Breach-Zählung als Nachweis; die Einreichung gehört Ihnen. * **Orbit unterzeichnet oder nimmt die DPA nie automatisch an.** Die getippte E-Signatur ist eine bewusste Handlung des Owners oder Admins Ihres Workspace. * **Orbit entscheidet nie Ihre Rechtsgrundlage, Aufbewahrungsfrist oder ob eine DPIA angemessen ist.** Das Register prüft und kennzeichnet; die Urteile, die es aufzeichnet, sind die Ihren. * **Nichts auf dieser Seite blockiert den Versand.** Einwilligungsnachweise, das Verzeichnis, die DPA und der Binder sind das Ledger. Die Send-Time-Gates, die es gibt — Quiet Hours, die Sie aktivierten, Suppression-Einträge, die Sie aufzeichneten — sind die, die Sie einschalteten, und jedes ist standardmäßig offen. * **Dies ist keine Rechtsberatung.** Die Sequenz stellt die Kontrollen von Orbit so zusammen, ob die zusammengestellte Posture GDPR für Ihre Verarbeitung erfüllt, ist eine Entscheidung für Ihren Rechtsrat. *** ## Zugehörige Referenzen * [Posture-Übersicht](/compliance/posture-overview) — die Toggle-Karte, die diese Sequenz erweitert. * [Consent Management](/compliance/consent-management) — Felder der Rechtsgrundlage und Zustände pro Kanal. * [Opt-Out & Suppression Lists](/compliance/opt-out-suppression) — Widerrufspfade und CSV-Import. * [DSAR](/compliance/dsar) — Eingang, Verifikation, SLA-Uhr. * [Privacy Register](/compliance/privacy-register) — Art.-30-Nachweise und Art.-35-DPIAs. * [Data Processing Agreement](/compliance/data-processing-agreement) — der Art.-28-Vertragslebenszyklus. * [Evidence Binder](/compliance/evidence-binder) — der Export, der alles obige liest. * [Quiet Hours-Konfiguration](/guides/quiet-hours-configuration) — das Send-Time-Fenster für EU-Empfänger.