Verzeichnis von Verarbeitungstätigkeiten: Inhalt und Pflicht

Von allen Datenschutzunterlagen ist das Verzeichnis von Verarbeitungstätigkeiten diejenige, die im Prüfungsfall zuerst verlangt wird. Es beschreibt, welche personenbezogenen Daten ein Unternehmen zu welchem Zweck verarbeitet – und ist damit die Grundlage für fast jede weitere Auskunft.

Wer muss ein Verarbeitungsverzeichnis führen?

Art. 30 Abs. 5 DSGVO nimmt Unternehmen mit weniger als 250 Beschäftigten von der Pflicht aus. Die Ausnahme hat allerdings drei Rückausnahmen, und jede einzelne genügt, damit die Pflicht doch greift:

1. Die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen.
2. Die Verarbeitung erfolgt nicht nur gelegentlich.
3. Es werden besondere Datenkategorien nach Art. 9 oder Daten über strafrechtliche Verurteilungen nach Art. 10 verarbeitet.

Der zweite Punkt trägt das meiste Gewicht. Wer Personal beschäftigt, führt Beschäftigtendaten – laufend, nicht gelegentlich. Wer Kunden hat, verarbeitet Kundendaten. In den allermeisten Unternehmen ist die Ausnahme damit verbraucht, unabhängig von der Mitarbeiterzahl.

Was gehört in ein Verarbeitungsverzeichnis?

Für Verantwortliche nennt die Vorschrift sieben Angaben:

• Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des gemeinsam Verantwortlichen, des Vertreters und eines etwaigen Datenschutzbeauftragten
• die Zwecke der Verarbeitung
• eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten
• die Kategorien von Empfängern, gegenüber denen die Daten offengelegt worden sind oder noch werden
• gegebenenfalls Übermittlungen in Drittländer oder an internationale Organisationen samt Angabe der Garantien
• wenn möglich die vorgesehenen Löschfristen für die verschiedenen Datenkategorien
• wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen

Das zweite Verzeichnis nach Absatz 2

Weniger bekannt ist, dass Art. 30 zwei Verzeichnisse kennt. Wer Daten im Auftrag anderer verarbeitet – Agenturen, IT-Dienstleister, Lohnbüros, Rechenzentren, Callcenter –, führt zusätzlich ein Verzeichnis zu allen Kategorien der im Auftrag durchgeführten Verarbeitungen.

Hinein gehören Name und Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, in dessen Auftrag er tätig ist, die Kategorien der Verarbeitungen je Auftraggeber, gegebenenfalls Drittlandübermittlungen sowie eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.

Der Unterschied liegt in der Perspektive: Absatz 1 beschreibt, was Sie mit eigenen Daten tun. Absatz 2 beschreibt, für wen Sie was tun. Viele Dienstleister führen nur das erste und stehen bei einer Kundenanfrage ohne das zweite da.

Form, Vorlage und Bußgeldrahmen

Drei Punkte regelt Art. 30 knapp, und alle drei haben praktische Folgen.

Die Form. Nach Absatz 3 ist das Verzeichnis schriftlich zu führen, was auch in einem elektronischen Format erfolgen kann. Eine Tabelle genügt also – ein spezielles Werkzeug verlangt die Verordnung nicht. Was sie verlangt, ist eine feste, abrufbare Fassung; verstreute Notizen in verschiedenen Postfächern sind kein Verzeichnis.

Die Vorlage. Absatz 4 verpflichtet dazu, das Verzeichnis der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen. Es ist nicht einzureichen und nicht zu veröffentlichen – aber es muss vorliegen, wenn gefragt wird. Zwischen Anfrage und Antwort liegt keine Zeit für eine Erhebung.

Der Bußgeldrahmen. Art. 30 gehört zu den in Art. 83 Abs. 4 DSGVO aufgeführten Vorschriften. Der Rahmen beträgt bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

In der Aufsichtspraxis wird ein fehlendes Verzeichnis selten für sich genommen geahndet. Es wirkt anders: Wer es nicht vorlegen kann, kann auch die Rechtmäßigkeit einzelner Verarbeitungen nicht belegen – und genau daran hängt die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Was eine Verarbeitungstätigkeit ist – und was nicht

Die häufigste Verzögerung beim Aufbau entsteht an einer Definitionsfrage: Ist jedes System ein eigener Eintrag?

Nein. Der Anknüpfungspunkt ist der Zweck, nicht die Software. „Bewerbermanagement” ist eine Verarbeitungstätigkeit, auch wenn drei Werkzeuge daran beteiligt sind. Umgekehrt kann ein einzelnes System mehrere Tätigkeiten tragen: Ein CRM, in dem sowohl Kundenbetreuung als auch Newsletter-Versand laufen, gehört zweimal ins Verzeichnis, weil die Zwecke – und damit die Rechtsgrundlagen und Löschfristen – auseinanderfallen.

Ein zweiter Punkt sorgt regelmäßig für Diskussion: Art. 30 verlangt keine Angabe der Rechtsgrundlage. Viele Vorlagen führen die Spalte trotzdem, und das aus gutem Grund – wer sie ausfüllt, beantwortet die Frage nach der Zulässigkeit gleich mit und muss sie im Ernstfall nicht neu aufrollen. Pflicht ist sie nicht; nützlich ist sie fast immer.

Wo entstehen typischerweise Lücken?

Die Empfängerkategorien fehlen. Damit fehlt zugleich die Brücke zu den Auftragsverarbeitungsverträgen – die Spalte, die zeigt, welcher Dienstleister welche Daten sieht.

Die Löschfrist ist eine Absichtserklärung. „Nach Zweckerreichung” ist keine Frist, sondern eine Umschreibung. Brauchbar wird die Angabe erst, wenn Zweck, Erforderlichkeit und gesetzliche Aufbewahrungspflichten zusammen betrachtet werden.

Die technischen Maßnahmen fehlen ganz. Das „wenn möglich” liest sich wie eine Einladung zum Weglassen; bei einer Prüfung wirkt es wie eine Lücke.

Das Verzeichnis ist zwei Jahre alt. Eine Pflicht zur jährlichen Aktualisierung gibt es nicht – aber ein Verzeichnis, das die heutige Verarbeitung nicht beschreibt, erfüllt seinen Zweck nicht. Es dokumentiert dann nur, wie es einmal war.

Der praktische Aufbau

Beginnen Sie bei den Abteilungen, nicht bei den Systemen. Personal, Vertrieb, Buchhaltung, IT und Marketing decken in den meisten Unternehmen den Großteil ab.

Fragen Sie je Bereich: Welche Daten werden von wem erhoben, wozu, wo liegen sie, wer bekommt sie zu sehen, und wann werden sie gelöscht. Aus den Antworten entsteht das Verzeichnis fast von selbst.

Ob das Verzeichnis die Wirklichkeit noch beschreibt, zeigt ein Datenschutz-Audit verlässlicher als jede Selbsteinschätzung.

Halten Sie es aktuell, indem Sie es an einen bestehenden Anlass koppeln – etwa an die Einführung neuer Software oder an den Abschluss eines Vertrags mit einem Dienstleister. Ein Verzeichnis, das nur einmal im Jahr betrachtet wird, hinkt zwölf Monate hinterher.

Eine ausfüllbare Vorlage nach Art. 30 DSGVO stellen wir kostenlos in unseren Ressourcen bereit. Wenn Sie das Verzeichnis lieber führen lassen möchten: Unser externer Datenschutzbeauftragter erstellt und pflegt es als Teil der laufenden Betreuung. Ein Eintrag, der in vielen Verzeichnissen fehlt, ist die Kommunikation über Messenger; was dabei zu regeln ist, zeigt der Beitrag zu WhatsApp im Unternehmen.