Benutzerhandbuch

TCP Privacy unterstützt Unternehmen beim strukturierten Aufbau, Betrieb und der fortlaufenden Verbesserung eines Privacy Information Management Systems (PIMS).

• PIMS / Build erzeugt und verwaltet die dokumentierte Datenschutzorganisation.
• Operate führt wiederkehrende Datenschutzprozesse strukturiert aus und aktualisiert die zugehörigen Register.
• Improve unterstützt Wirksamkeitsmessung, Maßnahmen und – editionsabhängig – Assurance-Funktionen.

Die drei Produktbereiche bilden einen zusammenhängenden Managementkreislauf. Ergebnisse aus dem Betrieb und aus Improve können Anlass für eine neue PIMS-Revision sein.

• Build definiert die wirksame Grundlage.
• Operate wendet diese Grundlage in konkreten Fällen an.
• Improve bewertet Wirksamkeit und leitet Verbesserungen ein.

TCP Privacy ist auf die strukturierte Vorbereitung und Nachweisführung für ISO/IEC 27701 ausgerichtet. Die Nutzung der Software ersetzt weder eine Zertifizierungsstelle noch garantiert sie eine Zertifizierung.

• Die fachliche Verantwortung für die tatsächliche Umsetzung verbleibt beim Unternehmen.
• Zertifizierungsentscheidungen werden ausschließlich durch die jeweilige Zertifizierungsstelle getroffen.

Neue öffentliche Registrierungen starten in einer einmonatigen ESSENTIAL-Testphase ohne erforderliches Zahlungsmittel.

• Die Testphase endet am gleichen Kalendertag des Folgemonats; existiert dieser Tag nicht, am letzten Kalendertag des Folgemonats.
• Bei Abschluss eines kostenpflichtigen Tarifs während der Testphase beginnt das Abonnement sofort; die restliche Testzeit verfällt.

Nach Auswahl des Unternehmens zeigt die linke Navigation die für Rolle, Edition und Produktzustand verfügbaren Bereiche.

• Starten Sie mit PIMS, bevor produktive Operate-Prozesse als belastbare Nachweisführung genutzt werden.
• Nicht sichtbare Funktionen können durch fehlende Berechtigung, Edition oder noch nicht erfüllte fachliche Voraussetzungen bedingt sein.

Für einen nachvollziehbaren Start empfiehlt sich eine feste Reihenfolge.

• 1. Unternehmens- und Benutzerangaben prüfen.
• 2. Rollen und Verantwortlichkeiten festlegen.
• 3. Grundsituation und Assessment für die erste PIMS-Version bearbeiten.
• 4. Erforderliche PIMS-Dokumente erzeugen, prüfen und freigeben.
• 5. PIMS-Version aktivieren und anschließend Operate/Improve nutzen.

Die Edition bestimmt den verfügbaren fachlichen Funktionsumfang; Unternehmensgröße allein ist kein Editionskriterium.

• ESSENTIAL deckt die grundlegenden PIMS- und Kern-Operate-Funktionen ab.
• PROFESSIONAL erweitert den Funktionsumfang unter anderem um zusätzliche Risiko-/Transfer-/Löschprozesse sowie CAPA.
• ENTERPRISE ergänzt weitergehende Governance- und Assurance-Funktionen wie interne Audits, Management Review und Kontrolltests.

Kostenpflichtige Upgrades werden nach erfolgreichem Abschluss des vorgesehenen Zahlungs- oder Enterprise-Prozesses wirksam.

• Bei einer Editionserweiterung kann die bestehende PIMS-Version um neu erforderliche Dokumente ergänzt werden.
• Neu hinzukommende Inhalte müssen vor ihrer gemeinsamen Wirksamkeit den vorgesehenen Build-/Freigabeprozess durchlaufen.

Bezahlte Downgrades werden zum Ende der laufenden Abrechnungsperiode vorgemerkt, soweit der Zielwechsel zulässig ist.

• PROFESSIONAL → ESSENTIAL wird zum Periodenende wirksam.
• ENTERPRISE → PROFESSIONAL oder ESSENTIAL wird ebenfalls erst nach Ablauf der laufenden ENTERPRISE-Periode wirksam.
• Bis dahin bleiben der bisherige Funktionsumfang und Preis bestehen; für die laufende Periode erfolgt keine anteilige Gutschrift.

TCP Privacy trennt technische Berechtigungen von fachlichen Verantwortlichkeiten in PIMS-, Workflow- und Auditprozessen.

• Tenant Administrator verwaltet den eigenen Tenant im zulässigen Umfang.
• Privacy-Systemrollen steuern fachliche Verantwortlichkeiten wie Owner, Reviewer, Approver oder Auditor.
• Benutzerdefinierte Rollen können zusätzliche tenantbezogene Berechtigungsmodelle abbilden.

Unter Benutzer und Zuweisungen verwalten Tenant-Administratoren die Mitglieder ihres Tenants. Eine Tenant-Einladung wird erst mit der erfolgreichen Anmeldung des eingeladenen Benutzers bei TCP Privacy angenommen und aktiviert.

• Der Tenant-Administrator erstellt die Einladung und legt die vorgesehenen initialen Rollen fest.
• Der eingeladene Benutzer öffnet den Einladungslink und richtet zunächst sein Benutzerkonto ein bzw. setzt das erforderliche Passwort.
• Nach erfolgreicher Kontoeinrichtung wird der Benutzer automatisch zu TCP Privacy zurückgeleitet.
• Der Benutzer meldet sich anschließend mit der eingeladenen E-Mail-Adresse und dem soeben eingerichteten Passwort an. Das Einrichten des Benutzerkontos bzw. das Setzen des Passworts allein aktiviert den Tenant-Zugang noch nicht.
• Erst die erfolgreiche Anmeldung schließt die Tenant-Einladung ab: Die Einladung wird angenommen, die Tenant-Mitgliedschaft wird aktiv und die vorgesehenen Rollen werden wirksam.
• Bis zu dieser erfolgreichen Anmeldung bleibt der Status beim Tenant-Administrator „Annahme ausstehend“.
• Rollen können nach der Aktivierung tenantweit oder – soweit unterstützt – mit einem engeren Geltungsbereich zugewiesen, befristet und bei Wegfall der Aufgabe widerrufen werden.
• Temporäre direkte Berechtigungen sind Ausnahmefälle und sollten nur mit nachvollziehbarer Begründung und so eng wie erforderlich vergeben werden.

Die Zugriffsprüfung zeigt wirksame Rollen- und Berechtigungszuweisungen und unterstützt die kontrollierte Vergabe befristeter direkter ALLOW- oder DENY-Regeln.

• Prüfen Sie den effektiven Zugriff insbesondere bei Aufgabenwechseln, Austritten oder außergewöhnlichen Berechtigungsanforderungen.
• Direkte Berechtigungen ersetzen nicht das reguläre Rollenmodell und sollten nicht als dauerhafte Standardzuweisung verwendet werden.

Dokumenten- und Prozessfreigaben folgen dem für den jeweiligen Dokument- oder Workflowtyp geltenden Governance-Profil.

• Owner erstellt bzw. verantwortet den fachlichen Inhalt.
• Reviewer führt eine unabhängige fachliche Prüfung durch, soweit das Profil dies verlangt.
• Approver erteilt eine zusätzliche Freigabe bei Governance-Profilen, die diese Stufe verlangen.

Interne Audits verwenden getrennte Auditrollen, um Durchführung und Review voneinander abzugrenzen.

• Privacy Auditor führt das Fieldwork fachlich durch.
• Audit Manager übernimmt die vorgesehene Review-Verantwortung.

Eine PIMS-Version bündelt die für einen bestimmten Stand geltende Grundsituation, strukturierte Auswahlentscheidungen und die daraus erzeugten PIMS-Dokumente.

• Die Grundsituation wird versionsbezogen gespeichert.
• Eine aktive PIMS-Version wird nicht direkt verändert; Änderungen erfolgen über eine Revision.

Bevor PIMS-Dokumente bearbeitet oder erzeugt werden können, müssen die organisatorischen Grundlagen der Dokumentenlenkung vollständig eingerichtet sein.

• Bestätigen Sie zunächst die Grundsituation der aktuellen PIMS-Version.
• Für die vollständige Standard-Dokumentenlenkung benötigt TCP Privacy neben dem Tenant Administrator mindestens drei weitere aktive Benutzer.
• Verantwortlicher, Prüfer und Freigebender müssen vollständig und unterschiedlichen Personen zugeordnet sein. Erst dann wird die PIMS-Dokumentbearbeitung freigeschaltet.
• Diese produktseitige Funktionstrennung unterstützt kontrollierte Dokumentenlenkung, unabhängige Überprüfung und nachvollziehbare Freigabe in einem ISO/IEC-27701-orientierten PIMS; sie ist keine Aussage, dass ISO/IEC 27701 wörtlich drei zusätzliche Benutzer verlangt.
• Empfohlene Reihenfolge: Benutzer einladen → erforderliche Privacy-Rollen zuweisen → Standard-Dokumentenlenkung einrichten → PIMS-Dokumente bearbeiten.

Assessment-Ergebnisse unterstützen die Ermittlung, welche PIMS-Inhalte und Dokumente für den Tenant relevant sind.

• Der Dokumentkatalog wird editionsbezogen dargestellt.
• Ein Dokument wird erst dann als nicht erforderlich behandelt, wenn die für die Bedarfsentscheidung maßgeblichen Assessment-Quellen ausreichend bewertet wurden.

PIMS-Dokumente werden aus strukturierten Produktregeln, bestätigten Tenant-Fakten und den für die Version geltenden Auswahlentscheidungen erzeugt.

• Die Erzeugung soll nachvollziehbar und reproduzierbar sein.
• Änderungen an relevanten Grundlagen können eine Neuerzeugung und erneute Freigabe erforderlich machen.

Eine PIMS-Version wird erst wirksam, wenn die erforderlichen aktuellen Dokumente genehmigt sind und die Version anschließend ausdrücklich aktiviert wird.

• Die Aktivierung ist eine gesonderte Aktion und nicht mit der Genehmigung eines einzelnen Dokuments identisch.
• Die bisher aktive Version bleibt historisch nachvollziehbar und wird durch die neue Version abgelöst.

Das Product Mapping legt je Dokumenttyp ein Mindest- und Standardprofil für die Dokumentenlenkung fest.

• SIMPLE: Owner-Abschluss ohne zwingende unabhängige Review-/Approver-Stufe.
• STANDARD: Owner plus unabhängiger Reviewer.
• ENHANCED: Owner, Reviewer und zusätzliche Approver-Stufe.

Das PIMS-Verzeichnis folgt fachlichen Aufbaustufen. Dokumente einer späteren Aufbaustufe werden erst bearbeitbar, wenn die erforderlichen vorangehenden PIMS-Dokumente erstellt wurden und weitere ausgewiesene Voraussetzungen erfüllt sind.

• Ist ein erforderliches Vorgängerdokument noch nicht vorhanden, zeigt TCP Privacy keinen wirkungslosen Bearbeiten-Button, sondern den Hinweis, dass vorherige Dokumente zuerst erstellt werden müssen.
• Soweit möglich nennt die Aktionsspalte die konkret noch fehlenden vorangehenden Dokumente.
• Die Sperre wird automatisch aufgehoben, sobald die erforderlichen Vorgängerdokumente vorhanden und die weiteren fachlichen Voraussetzungen der Aufbaustufe erfüllt sind.
• Bei späteren Änderungen an Fakten, Policies oder Governance kann eine neue PIMS-Revision eine Neuerzeugung oder erneute Freigabe betroffener Dokumente erforderlich machen.

Dokumentstatus zeigen, ob ein Dokument noch bearbeitet, bereits genehmigt oder in einer aktiven PIMS-Version wirksam ist.

• DRAFT / Entwurf: Bearbeitung läuft.
• APPROVED / genehmigt: erforderliche Freigabe abgeschlossen, aber nicht zwingend bereits wirksam.
• EFFECTIVE / wirksam: Bestandteil der aktiven PIMS-Version.
• REVIEW_DUE: wirksam, aber eine turnusmäßige Überprüfung ist fällig.

Änderungen an einer aktiven PIMS-Grundlage werden über eine neue oder bereits offene Revision vorgenommen.

• Betroffene Dokumente können durch Änderungen wieder freigabepflichtig werden.
• Erst die Aktivierung der vollständig vorbereiteten Revision ersetzt den bisherigen wirksamen Stand.

Operate führt konkrete Datenschutzfälle anhand strukturierter Workflow-Blueprints durch. Fragen, Entscheidungen, Evidenzen und Registerauswirkungen werden dabei nachvollziehbar verbunden.

• Die Oberfläche zeigt die aktuelle Workflow-Phase und – soweit verfügbar – die Position im Ablauf.
• Strukturierte Eingaben werden freien Texteingaben vorgezogen, soweit dies fachlich sinnvoll ist.

Operate wendet das aktuell wirksame PIMS auf konkrete Datenschutzfälle an. Jeder Vorgang wird mit einer bestimmten Workflow-Version und den dafür maßgeblichen wirksamen PIMS-Dokumentversionen gestartet und anschließend Schritt für Schritt bis zum vorgesehenen Ergebnis geführt.

• Beim ersten Öffnen von „Vorgänge und Register“ richtet TCP die für die Edition erforderlichen Operate-Workflows automatisch ein, wenn noch keine vorhanden sind. Die Erstellung läuft nacheinander im Hintergrund; der Fortschritt wird angezeigt.
• Scheitert die Erstellung eines Workflows, wird der Fehler gespeichert und mit dem nächsten Workflow fortgefahren. Der fehlgeschlagene Workflow kann anschließend über „Workflow erneut erstellen“ manuell neu angestoßen werden.
• Mit „Vorgang starten“ wird immer die aktuelle wirksame Workflow-Version verwendet. Gleichzeitig friert TCP die zugrunde liegenden wirksamen PIMS-Dokumentversionen und den zugehörigen PIMS-Kontext für diesen Vorgang ein.
• Beim Start werden nur fallspezifische Angaben abgefragt, die der Workflow für den konkreten Vorgang benötigt. Verantwortliche Rolle, Fristen und eine vorgesehene Registerbindung werden aus dem wirksamen Workflow bestimmt und nicht frei vom Benutzer überschrieben.
• Der Vorgang wird anschließend schrittweise bearbeitet. TCP zeigt den aktuellen Schritt, die zuständige Rolle, Arbeitsanweisung, Pflichtfragen, erforderliche Nachweise und die zulässigen nächsten Entscheidungen bzw. Ergebnisse.
• Ein Schritt kann nur abgeschlossen werden, wenn die vom Workflow verlangten Pflichtangaben, Nachweise und Abschlusskriterien erfüllt sind. Negative Entscheidungen erfordern eine Begründung und können gezielt in einen Nacharbeitsschritt zurückführen.
• Soweit der Prozess ein Register führt, legt TCP beim Start einen zugehörigen Registerentwurf an. Workflow-Schritte können Registerdaten ergänzen oder aktualisieren; beim vorgesehenen Abschluss wird der Registerstand entsprechend dem Workflow finalisiert. Wird ein Vorgang abgebrochen, wird ein zugehöriger Registerentwurf archiviert.
• Spätere Änderungen am PIMS oder neu erzeugte Workflow-Versionen verändern einen bereits gestarteten Vorgang nicht stillschweigend. Die für den Vorgang eingefrorene PIMS- und Workflow-Grundlage bleibt für seine Nachvollziehbarkeit erhalten.

ESSENTIAL enthält die grundlegenden user-startable Operate-Prozesse.

• Neue Verarbeitungstätigkeit (NEW_PROCESSING_ACTIVITY).
• Betroffenenanfrage (DATA_SUBJECT_REQUEST).
• Datenschutzverletzung (PRIVACY_BREACH).
• Auftragsverarbeiter-Prüfung (PROCESSOR_REVIEW).

PROFESSIONAL erweitert den Operate-Katalog um weitere strukturierte Prüf- und Lifecycle-Prozesse.

• Datenschutz-Folgenabschätzung (DPIA).
• Transferprüfung (TRANSFER_REVIEW).
• Löschlauf (DELETION_RUN).

ENTERPRISE ergänzt weitere Governance-Prozesse im Operate-Umfeld.

• Privacy-by-Design-Review (PRIVACY_BY_DESIGN_REVIEW).
• Legal Hold (LEGAL_HOLD).
• Training Assignment (TRAINING_ASSIGNMENT).

Register bündeln strukturierte Ergebnisse aus PIMS- und Operate-Prozessen und unterstützen die fortlaufende Nachweisführung.

• Einträge können durch abgeschlossene Workflow-Schritte erzeugt oder aktualisiert werden.
• Die jeweilige Registerdarstellung zeigt den fachlichen Lebenszyklus und die Herkunft der Daten.

Vor dem Abschluss eines Workflows sollten die vorgesehenen Registerauswirkungen geprüft werden.

• Automatisch übernommene Angaben bleiben auf den zugrunde liegenden Fall zurückführbar.
• Korrekturen sollen über den vorgesehenen fachlichen Prozess erfolgen, nicht durch unkontrolliertes Überschreiben der Nachweiskette.

Improve unterstützt die strukturierte Bewertung, ob das PIMS und seine Kontrollen im Betrieb die vorgesehenen Ergebnisse erreichen.

• Kennzahlen und Ergebnisse werden mit den zugehörigen Produkt- und Kontrollbezügen geführt.
• Erkannte Verbesserungsbedarfe können Folgeaktivitäten oder eine PIMS-Revision auslösen.

Ab PROFESSIONAL können Nichtkonformitäten und Corrective/Preventive Actions im NONCONFORMITY_CAPA-Prozess strukturiert nachverfolgt werden.

• Maßnahmen werden mit Verantwortlichkeit, Status und Nachweis verknüpft.
• CAPA dient der nachvollziehbaren Bearbeitung festgestellter Abweichungen und Verbesserungsbedarfe.

ENTERPRISE unterstützt strukturierte interne Audits (INTERNAL_AUDIT) mit Planung, eingefrorenem Scope/Kriterien, Fieldwork, Evidenzbewertung und Review.

• Auditkriterien werden aus zulässigen TCP-Werten ausgewählt, nicht als unkontrollierter Freitext definiert.
• Das Fieldwork wird an die bei der Planung eingefrorenen Kriterien gebunden.
• Auditor und Audit-Review sind als getrennte Governance-Rollen vorgesehen.

ENTERPRISE erweitert Improve um Assurance-Funktionen für Kontrolltests (CONTROL_TEST) und Management Review (MANAGEMENT_REVIEW).

• Kontrolltests dokumentieren die Prüfung definierter Kontrollen und zugehöriger Evidenzen.
• Management Review unterstützt die strukturierte Leitungsbewertung des PIMS.

TCP Privacy kann versionierte Berichte aus den in der jeweiligen Edition verfügbaren Privacy-Daten erzeugen.

• PIMS-Bericht: dokumentierter PIMS-Stand.
• Operate-Bericht: strukturierte Prozess- und Registerinformationen.
• Wirksamkeitsbericht: Improve-/Effectiveness-Ergebnisse im verfügbaren Umfang.
• Gesamtbericht: zusammengeführte Sicht auf die verfügbaren Bereiche.

Berichte unterstützen interne und externe Nachweiszwecke, ersetzen jedoch keine eigenständige rechtliche oder zertifizierende Bewertung.

• Achten Sie bei Weitergabe auf Version, Erstellungszeitpunkt und zugrunde liegenden PIMS-Stand.
• Exportierte Berichte sollten entsprechend der internen Dokumentenlenkung des Unternehmens behandelt werden.

TCP Privacy unterstützt einen nachvollziehbaren Pfad von der dokumentierten PIMS-Grundlage über den Betrieb bis zur Verbesserung.

• PIMS/Build: dokumentierte Governance und Regelungsgrundlage.
• Operate: nachweisbare Durchführung wiederkehrender Datenschutzprozesse.
• Improve: Wirksamkeitsbewertung und editionsabhängige Assurance.

Die Kombination aus wirksamem PIMS, Registern, Evidenzen, internen Audits und Management Review kann die Vorbereitung auf eine Zertifizierungsprüfung unterstützen.

• Vor einer externen Prüfung sollten offene Findings, überfällige Reviews und unvollständige Evidenzen bearbeitet werden.
• Die Zertifizierungsstelle bewertet die tatsächliche Umsetzung und Wirksamkeit außerhalb der Software eigenständig.

Kostenpflichtige Tarife werden netto in EUR auf Monats- oder Jahresbasis abgerechnet. Die Abrechnungsperiode beginnt mit dem Kaufdatum.

• ESSENTIAL und PROFESSIONAL können im vorgesehenen Online-Checkout abgeschlossen werden.
• ENTERPRISE wird über einen individuellen Angebots-/Vertragsprozess abgewickelt.

Die verfügbaren Stripe-Zahlungsmittel werden im Billing-Prozess verwaltet. Bei SEPA wird die Edition nach erfolgreichem Checkout und erteiltem Mandat aktiviert.

• Ein später fehlgeschlagener Einzug kann den Account in PAST_DUE versetzen.
• Gespeicherte Zahlungsmittel können in dafür vorgesehenen Upgrade-Prozessen wiederverwendet werden.

ENTERPRISE wird nicht als normaler Self-Service-Checkout angeboten. Nach der Anfrage erfolgt ein individueller Angebots- und Freigabeprozess.

• Nach Freigabe kann ein persönlicher Stripe-Zahlungslink für monatliche oder jährliche Abrechnung bereitgestellt werden.
• Downgrades aus ENTERPRISE werden zum Ende der bereits bezahlten ENTERPRISE-Periode wirksam.

Für kostenpflichtige B2B-Abschlüsse werden Unternehmens- und Rechnungsdaten einschließlich Land, VAT-ID, Rechnungs-E-Mail und Ansprechpartner benötigt.

• Änderungen an Rechnungsdaten sollten vor dem nächsten abrechnungsrelevanten Vorgang geprüft werden.
• Rechnungsdaten des Kunden und Verkäuferdaten werden getrennt geführt.

EU-Umsatzsteuer-Identifikationsnummern werden für abrechnungsrelevante Vorgänge gegen VIES geprüft.

• VALID bedeutet, dass die Prüfung die Nummer als gültig bestätigt hat.
• INVALID bedeutet, dass die Nummer in der ausgeführten Prüfung nicht als gültig bestätigt wurde.
• PENDING kann verwendet werden, wenn eine verlässliche abschließende Prüfung vorübergehend nicht möglich ist.

Tarifwechsel können je nach Richtung und Zeitpunkt Rechnungen oder Gutschriften auslösen. Verzögerte Downgrades zum Periodenende erzeugen keine sofortige anteilige Gutschrift.

• Leistungszeiträume werden auf der Rechnung ausgewiesen.
• Negative Abrechnungsbeträge werden als geeignete Gutschrift-/Credit-Dokumente behandelt.

TCP Privacy verwendet tenantbezogene Zugriffskontexte und Berechtigungen, damit Benutzer nur auf die für ihren Tenant freigegebenen Daten und Funktionen zugreifen.

• Rollen und Berechtigungen werden serverseitig geprüft.
• Administrative Sonderrechte werden von normalen Tenant-Mitgliedschaften getrennt behandelt.

Die Anmeldung erfolgt über die vom Produkt bereitgestellten Identity-Verfahren. Eine natürliche Benutzeridentität soll providerübergreifend nicht mehrfach als unabhängiger Trial-Benutzer angelegt werden.

• Schützen Sie individuelle Benutzerkonten und teilen Sie keine persönlichen Zugangsdaten.
• Entfernen oder deaktivieren Sie Zugänge, sobald sie für den Tenant nicht mehr benötigt werden.

Technische Sicherheitsmechanismen von TCP Privacy ersetzen nicht die organisatorischen Sicherheitsmaßnahmen des Kunden.

• Kunden bleiben für korrekte Benutzerzuordnung, Rollenvergabe und den Umgang mit exportierten Daten verantwortlich.
• Sicherheitsrelevante Auffälligkeiten sollten unverzüglich über den vorgesehenen Supportweg gemeldet werden.

Nach Ende einer nicht in ein Abonnement überführten Testphase bleiben vorhandene Privacy-Daten für die vorgesehene Aufbewahrungsfrist lesbar/exportierbar, bevor sie gelöscht werden.

• Die vorgesehene Aufbewahrung beträgt sechs Monate, sofern keine frühere Löschung verlangt wird.
• Während einer Read-only-Phase sind Änderungen deaktiviert.

Eine Kündigung wird grundsätzlich zum vorgesehenen Periodenende wirksam, sofern im konkreten Vertrag nichts Abweichendes gilt.

• Bis zum Wirksamkeitszeitpunkt bleibt der aktuell bezahlte Leistungsumfang verfügbar.
• Nach Vertragsende kann eine zeitlich begrenzte Exportphase vorgesehen sein.

Vor endgültiger Löschung sollten benötigte Nachweise und Daten über die vorgesehenen Exportfunktionen gesichert werden.

• Eine verlangte frühere Löschung kann vorhandene Wiederherstellungs- und Exportmöglichkeiten beenden.
• Gelöschte Tenant-Daten können nach Abschluss des vorgesehenen Löschprozesses nicht als regulärer Produktbestand weitergenutzt werden.

Tenant-Administratoren können Benutzer im Rahmen ihrer Berechtigungen verwalten und die erforderlichen Rollen zuordnen.

• Vergeben Sie nur die Berechtigungen, die für die jeweilige Aufgabe erforderlich sind.
• Prüfen Sie Rollen regelmäßig, insbesondere bei Aufgaben- oder Personalwechseln.

Die Organisationsstruktur bildet rechtliche und operative Geltungsbereiche ab, die unter anderem für Rollen- und Berechtigungszuweisungen verwendet werden können.

• Rechtsträger bilden rechtlich selbständige Unternehmen des Tenants ab.
• Organisationseinheiten bilden Bereiche, Abteilungen oder Teams hierarchisch ab.
• Kostenstellen und Projekte können als zusätzliche fachliche Geltungsbereiche gepflegt werden.
• Änderungen sollten so vorgenommen werden, dass bestehende Rollen- und Prozesszuordnungen weiterhin fachlich nachvollziehbar bleiben.

Unternehmens- und Rechnungsdaten sollten aktuell gehalten werden, da sie in Produkt- und Abrechnungsprozessen verwendet werden.

• Änderungen an fachlicher PIMS-Governance erfolgen im vorgesehenen PIMS-Revisionsprozess.
• Platform-Administration ist keine normale Tenant-Funktion und wird getrennt behandelt.

Prüfen Sie zuerst, ob alle für die aktuelle Revision erforderlichen Dokumente aktuell erzeugt und vollständig genehmigt sind.

• Offene Reviews oder Freigaben verhindern die Aktivierung.
• Änderungen an Grundsituation, Policies oder Governance können bestehende Freigaben zurücksetzen.

Häufige Ursachen sind fehlende Berechtigungen, fehlende PIMS-Voraussetzungen, editionsbedingte Einschränkungen oder noch nicht erfüllte Pflichtentscheidungen.

• Prüfen Sie Hinweise direkt im Workflow und den Status der aktiven PIMS-Version.
• Bei reproduzierbaren Fehlern dokumentieren Sie Workflowtyp, Phase und sichtbare Fehlermeldung für den Support.

Prüfen Sie Rechnungsland, VAT-ID, Zahlungsstatus und den aktuell vorgemerkten Tarifwechsel.

• Eine INVALID-VAT-ID kann abrechnungsrelevante Checkout-Vorgänge blockieren.
• Ein bereits vorgemerkter Downgrade kann einen erneuten identischen Wechsel verhindern.
• Verzögerte Downgrades zum Periodenende sind keine neuen Checkouts und sollen nicht durch eine erneute VAT-Checkout-Prüfung blockiert werden.

Eine gute Fehlerbeschreibung beschleunigt die Bearbeitung und reduziert Rückfragen.

• Nennen Sie Tenant/Unternehmen, betroffenen Produktbereich und Zeitpunkt.
• Beschreiben Sie die ausgeführte Aktion und die sichtbare Fehlermeldung.
• Übermitteln Sie keine Passwörter, Secrets oder vollständige Zahlungsdaten.

Individuelle ENTERPRISE-Vertragsfragen werden über den vorgesehenen Enterprise-Kontaktprozess bearbeitet.

• Ein Downgrade auf PROFESSIONAL oder ESSENTIAL kann im Produkt zum Periodenende vorgemerkt werden.
• Individuelle Vertragsänderungen außerhalb des Standard-Tarifwechsels bleiben Gegenstand der gesonderten Betreuung.

Kunden-Release-Notes beschreiben sichtbare neue Funktionen, relevante Verhaltensänderungen und wichtige Fehlerbehebungen.

• Interne Patchnummern, technische Zwischenfixes und Implementierungsdetails werden nicht vollständig als Kundendokumentation gespiegelt.
• Wenn eine Änderung eine Kundenaktion erfordert, wird diese ausdrücklich genannt.

Die Dokumentation wird mit kundenrelevanten Produktänderungen fortgeschrieben.

• ENTERPRISE-Downgrades auf PROFESSIONAL oder ESSENTIAL werden zum Ende der laufenden ENTERPRISE-Periode vorgemerkt.
• Die öffentliche Produktpositionierung stellt die ISO/IEC-27701-Readiness und den PIMS-Lifecycle in den Vordergrund.

Die folgenden Begriffe werden in TCP Privacy in einem festgelegten Produktkontext verwendet.

• PIMS: Privacy Information Management System.
• Tenant: organisatorisch und technisch abgegrenzter Kundenbereich.
• Policy: strukturierte normative Produktauswahl, die den PIMS-Inhalt beeinflusst.
• Fact: konkrete für den Tenant feststellbare Variable, keine normative Regel.
• Evidence: Nachweis, der eine Aussage, Entscheidung oder Prüfung unterstützt.
• Workflow: strukturierter Ablauf zur Bearbeitung eines konkreten Datenschutzvorgangs.

Improve verwendet zusätzliche Begriffe für Abweichungen und Verbesserungsmaßnahmen.

• Finding: dokumentierte Feststellung aus einer Prüfung oder Bewertung.
• Nonconformity: festgestellte Nichtkonformität gegenüber einer maßgeblichen Anforderung.
• CAPA: Corrective and Preventive Action zur strukturierten Maßnahmenverfolgung.

Interne Audits verwenden einen eigenen strukturierten Begriffsrahmen.

• Scope: festgelegter Auditumfang.
• Criteria: eingefrorene Auditkriterien, gegen die im Fieldwork geprüft wird.
• Fieldwork: Durchführung der eigentlichen Auditprüfung und Evidenzbewertung.
• Management Review: strukturierte Leitungsbewertung des PIMS.

Tenant-Administratoren können den kundenseitigen Tenant-Datenbestand als verifizierbare ZIP-Sicherung erstellen und herunterladen.

• Die Erstellung läuft asynchron im Hintergrund; währenddessen zeigt TCP Privacy den Backup-Status an.
• Die ZIP enthält tenantbezogene Eingaben, Uploads, erzeugte Artefakte, Versionen, Beziehungen und die für Integrität und spätere Wiederherstellung erforderlichen Metadaten.
• Die fertige ZIP steht 24 Stunden im privaten Storage zum Download bereit; ein Download-Link ist jeweils nur kurzzeitig gültig.
• Pro Tenant wird nur ein aktuelles Backup-ZIP vorgehalten. Ein neues Backup ersetzt das vorherige aktuelle Backup.

Der Tenant-Administrator kann eine gültige TCP-Tenant-Backup-ZIP hochladen, prüfen lassen und fachlich konsistente Bereiche gezielt auf den Backup-Stand zurücksetzen.

• Restore bedeutet Überschreiben des ausgewählten Bereichs auf den Backup-Stand; es findet kein Merge alter und neuer Daten statt.
• Abhängigkeiten zwischen ausgewählten Bereichen werden vor dem Restore geprüft; inkonsistente Teil-Restores werden blockiert.
• Vor jedem destruktiven Restore erstellt TCP Privacy zwingend ein vollständiges Safety Backup des aktuellen Tenant-Stands. Dieses Safety Backup wird sieben Tage aufbewahrt.
• Während des Restore ist der Tenant für schreibende Änderungen gesperrt. Die Audit-Historie bleibt append-only und wird niemals durch Restore überschrieben oder gelöscht.
• Globale Benutzeridentitäten und Authentifizierungsdaten werden nicht restauriert; tenantbezogene Rollen und Zuweisungen können Bestandteil des Restore sein.