Das Verarbeitungsverzeichnis ist das Dokument, nach dem eine Aufsichtsbehörde zuerst fragt. Es ist zugleich das Dokument, das am häufigsten veraltet ist. Art. 30 DSGVO schreibt es vor, und die viel zitierte Ausnahme für kleine Unternehmen greift in der Praxis fast nie. Die fünf Fehler unten sehen wir bei Übernahmen immer wieder.
Warum die 250-Mitarbeiter-Ausnahme fast nie hilft
Art. 30 Abs. 5 DSGVO befreit Unternehmen mit weniger als 250 Beschäftigten, aber nur unter drei Bedingungen zugleich: Die Verarbeitung darf kein Risiko für die Rechte Betroffener bergen, sie darf nur gelegentlich erfolgen, und sie darf keine besonderen Datenkategorien nach Art. 9 DSGVO und keine Daten über strafrechtliche Verurteilungen umfassen.
Wer Beschäftigte hat, verarbeitet deren Daten dauerhaft und damit nicht nur gelegentlich. Damit ist die Ausnahme für praktisch jeden Betrieb mit Personal erledigt. Die Diskussion darüber kostet in der Regel mehr Zeit, als das Verzeichnis anzulegen.
Was hineingehört
Art. 30 Abs. 1 DSGVO nennt den Pflichtinhalt für Verantwortliche. Je Verarbeitungstätigkeit sind das: Name und Kontaktdaten des Verantwortlichen und des Datenschutzbeauftragten, die Zwecke der Verarbeitung, die Kategorien betroffener Personen und der Daten, die Kategorien von Empfängern, Übermittlungen in Drittländer mit den zugehörigen Garantien, die vorgesehenen Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.
Verarbeiten Sie zusätzlich im Auftrag anderer, etwa als Dienstleister, kommt das gesonderte Verzeichnis nach Art. 30 Abs. 2 DSGVO hinzu.
Die fünf häufigsten Fehler
1. Das Verzeichnis beschreibt Systeme statt Tätigkeiten
Ein Eintrag mit dem Namen der Warenwirtschaft ist kein Eintrag. Verlangt ist die Verarbeitungstätigkeit, also etwa Kundenverwaltung oder Auftragsabwicklung. Ein System kann mehrere Tätigkeiten tragen, eine Tätigkeit mehrere Systeme nutzen. Wer nach Systemen gliedert, übersieht regelmäßig Zwecke.
2. Die Löschfristen stehen auf „gesetzliche Aufbewahrungsfristen“
Dieser Satz sagt nichts. Gefragt ist die konkrete Frist je Datenkategorie. Bewerbungsunterlagen abgelehnter Bewerber werden nach üblicher Praxis wenige Monate nach Abschluss des Verfahrens gelöscht, Handelsbriefe und Buchungsbelege unterliegen den handels- und steuerrechtlichen Fristen, Bewerberdaten mit Einwilligung für einen Pool haben eine eigene Frist. Diese Differenzierung ist der eigentliche Nutzen des Dokuments.
3. Die Empfänger sind unvollständig
Genannt werden meist Steuerberater und Lohnbüro. Vergessen werden regelmäßig der IT-Dienstleister mit Fernzugriff, der Hoster, der Anbieter der Zeiterfassung, das Werkzeug für Newsletter und der Aktenvernichter. Jeder von ihnen braucht in der Regel einen Vertrag zur Auftragsverarbeitung, und genau diesen Abgleich macht das Verzeichnis sichtbar.
4. Die technischen und organisatorischen Maßnahmen sind ein Textbaustein
Art. 32 DSGVO verlangt Maßnahmen, die zum Risiko passen. Eine Beschreibung, die für jedes Unternehmen gleich klingt, passt zu keinem. Brauchbar wird der Abschnitt, wenn er die tatsächliche Lage beschreibt: wer Zugriff hat, wie Zugänge vergeben und entzogen werden, wie gesichert wird und ob die Wiederherstellung je getestet wurde.
5. Das Verzeichnis ist auf dem Stand des Tages, an dem es entstand
Der häufigste Befund bei einer Übernahme. Seitdem sind Systeme gewechselt, Dienstleister hinzugekommen und Abläufe geändert worden, ohne dass das Dokument je wieder geöffnet wurde. Ein veraltetes Verzeichnis ist in einer Prüfung schlechter als ein schlankes, das stimmt.
Ein Vorgehen, das funktioniert
Gehen Sie nicht von der IT aus, sondern von den Abteilungen. Fragen Sie je Bereich, welche Daten dort von wem zu welchem Zweck verarbeitet werden und wo sie liegen. Daraus entstehen die Tätigkeiten. Für einen typischen Betrieb kommen zehn bis dreißig zusammen.
Legen Sie danach je Tätigkeit die Löschfrist fest und gleichen Sie die Empfänger mit Ihren Verträgen ab. Was dabei auffällt, ist der eigentliche Ertrag: fehlende Verträge, überflüssige Zugriffe, Daten ohne Zweck.
Halten Sie das Verzeichnis dort, wo es im Alltag geöffnet wird, und ändern Sie es beim Anlass, nicht einmal im Jahr auf Zuruf. Wie eine Behörde das Dokument im Ernstfall liest, steht im Beitrag Was prüft die Aufsichtsbehörde wirklich.
Wenn Sie das Verzeichnis einmal sauber aufsetzen und danach gepflegt wissen wollen, übernehmen wir das als externer Datenschutzbeauftragter: Kontakt aufnehmen oder anrufen unter 05406 500 4210.
Häufige Fragen zum Verarbeitungsverzeichnis
Muss jedes Unternehmen ein Verarbeitungsverzeichnis führen?
In der Praxis ja. Die Ausnahme in Art. 30 Abs. 5 DSGVO greift nur, wenn die Verarbeitung nicht risikobehaftet ist, nur gelegentlich erfolgt und keine besonderen Datenkategorien betrifft. Wer Beschäftigte hat, verarbeitet deren Daten dauerhaft.
Wie viele Verarbeitungstätigkeiten hat ein kleiner Betrieb?
Meist zehn bis dreißig: Personal, Lohn, Bewerbungen, Kunden, Angebote und Rechnungen, Website, Newsletter, Videoüberwachung, Zeiterfassung.
Reicht eine Vorlage aus dem Internet?
Als Gerüst ja, als Ergebnis nein. Der Nachweiswert entsteht erst dadurch, dass die Einträge den tatsächlichen Betrieb abbilden.
Muss das Verzeichnis der Aufsichtsbehörde vorgelegt werden?
Ja, auf Anforderung. Art. 30 Abs. 4 DSGVO verpflichtet dazu. In Prüfungen ist es regelmäßig das erste angeforderte Dokument.
Wie oft muss aktualisiert werden?
Bei jeder Änderung, also bei neuem System, neuem Dienstleister oder neuem Zweck. Dazu eine jährliche Durchsicht.
