Kurz erklärt: Das Verzeichnis von Verarbeitungstätigkeiten dokumentiert alle Vorgänge, in denen ein Unternehmen personenbezogene Daten verarbeitet: Zweck, Datenkategorien, Betroffene, Empfänger, Löschfristen und Sicherheitsmaßnahmen. Es ist die erste Unterlage, die eine Aufsichtsbehörde anfordert.
Was bedeutet Verarbeitungsverzeichnis?
Jede Verarbeitungstätigkeit (Lohnabrechnung, Kundenverwaltung, Bewerbermanagement, Videoüberwachung, Website, Newsletter) bekommt einen Eintrag mit den Pflichtangaben aus Art. 30 Abs. 1 DSGVO. Auftragsverarbeiter führen ein eigenes Verzeichnis über die Verarbeitungen für ihre Auftraggeber.
Die Ausnahme für Unternehmen unter 250 Beschäftigten greift nur, wenn die Verarbeitung nur gelegentlich erfolgt, kein Risiko birgt und keine besonderen Kategorien umfasst. Da Personal- und Kundendaten dauerhaft verarbeitet werden, gilt die Ausnahme praktisch nie.
Rechtsgrundlage
- Art. 30 Abs. 1 DSGVO (Inhalt, Verantwortlicher)
- Art. 30 Abs. 2 DSGVO (Auftragsverarbeiter)
- Art. 30 Abs. 5 DSGVO (Ausnahme unter 250 Beschäftigten)
- Art. 83 Abs. 4 lit. a DSGVO (Bußgeld)
In der Praxis
Ein gutes Verzeichnis ist kurz, vollständig und aktuell. Typische Fehler: Es fehlen Verarbeitungen wie Zeiterfassung, Fahrzeugortung, WhatsApp oder Messenger; Löschfristen stehen als „nach gesetzlichen Vorgaben“ ohne konkrete Angabe; Empfänger wie Steuerberater, IT-Dienstleister oder Cloud-Anbieter fehlen. Der Datenschutzbeauftragte erstellt das Verzeichnis bei der Bestandsaufnahme und aktualisiert es bei jeder Änderung.
Häufige Fragen
Fragen zu Verarbeitungsverzeichnis
Brauchen wir ein Verzeichnis mit 10 Mitarbeitern?
In fast allen Fällen ja, weil Lohnabrechnung und Kundenverwaltung nicht nur gelegentlich erfolgen. Die Ausnahme des Art. 30 Abs. 5 DSGVO greift praktisch nicht.
In welcher Form muss das Verzeichnis geführt werden?
Schriftlich, auch elektronisch. Eine Tabelle oder ein Dokument je Verarbeitungstätigkeit genügt, solange alle Pflichtangaben enthalten sind.
Verwandte Begriffe
Das gehört dazu
Ratgeber