Warum meldet Maditon nicht alles, was das Dokument eines Lieferanten auslässt?

Ein Befund zu etwas, das ein Dokument nicht sagt, ist nur dann nützlich, wenn das Dokument der Ort war, es zu sagen. Maditon knüpft fehlende Angaben deshalb an den Dokumenttyp.

• Ein Auftragsverarbeitungsvertrag schuldet die Regelungen aus Art. 28 Abs. 3 DSGVO: dokumentierte Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, Genehmigung von Unterauftragsverarbeitern, Unterstützung, Löschung oder Rückgabe, Kontrollrechte — dazu ein Verfahren zur Meldung von Verletzungen des Schutzes personenbezogener Daten und eine Angabe zur Speicherdauer.
• Eine Datenschutzerklärung schuldet die Speicherdauer, die Übermittlungsmechanismen, die Kategorien von Daten und Empfängern und die Angabe, wie betroffene Personen ihre Rechte ausüben.
• Eine Liste der Unterauftragsverarbeiter schuldet die Liste selbst und die Angabe, wie Kunden über Änderungen informiert werden.
• Eine Sicherheitsseite schuldet die Maßnahmen und die Hosting-Regionen.
• Eine Service-Level-Vereinbarung (SLA) schuldet die Verfügbarkeitszusage und die Support-Kanäle.
• Nutzungsbedingungen und Dokumente, die als Sonstiges Dokument abgelegt sind, schulden nichts Bestimmtes: Was sie sagen, wird erfasst und kommentiert, und ihr Schweigen ist kein Befund.

Ist ein Dokument unter dem falschen Typ abgelegt — etwa eine Cookie-Richtlinie, die als Datenschutzerklärung erfasst wurde —, wird es an der falschen Liste gemessen und bekommt Lücken angelastet, die es nicht verdient. Wird der Dokumenttyp korrigiert, stimmt auch die Auswertung wieder. Wo ein Dokument einen Punkt zwar anspricht, das Modell aber nicht festmachen konnte, wozu es sich verpflichtet, wird der Befund als Muss geprüft werden statt als Nicht angesprochen markiert, sodass die beiden Fälle nie verwechselt werden.