Es ist das Dokument, nach dem Aufsichtsbehörden zuerst fragen. Und es ist das Dokument, das in den meisten Unternehmen entweder fehlt oder aus einer Liste von Softwarenamen besteht. So bauen Sie eines, das seinen Zweck erfüllt.
Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist die einzige Dokumentation, die eine Aufsichtsbehörde ohne Vorortbesuch vollständig bewerten kann. Wer es vorlegt, zeigt, dass er seine Datenflüsse kennt. Wer es nicht vorlegen kann, hat die anschließenden Fragen deutlich schwerer.
Der praktische Nutzen liegt aber woanders: Ohne Verzeichnis können Sie ein Auskunftsersuchen nicht sauber beantworten, keine Löschfristen umsetzen und im Fall einer Datenpanne nicht innerhalb von 72 Stunden sagen, welche Daten betroffen sind.
Der häufigste Konstruktionsfehler ist eine Liste von Programmen. „Microsoft 365", „DATEV", „Shopware" sind keine Verarbeitungstätigkeiten – es sind Werkzeuge. Eine Verarbeitungstätigkeit ist ein Vorgang mit einem eigenen Zweck: Bewerbermanagement, Lohnabrechnung, Kundenbetreuung, Newsletterversand, Videoüberwachung des Lagers.
Fragen Sie deshalb abteilungsweise: Welche Aufgaben erledigen Sie, bei denen Daten von Menschen vorkommen? Ein typisches KMU kommt auf 15 bis 30 Tätigkeiten.
Art. 30 Abs. 1 DSGVO verlangt:
In der Praxis ergänzen die meisten Verzeichnisse zwei weitere Felder, die die DSGVO nicht vorschreibt, die aber jede spätere Prüfung erleichtern: Rechtsgrundlage und eingesetztes System samt Dienstleister.
Das sind die beiden Felder, an denen Verzeichnisse scheitern. „Art. 6 DSGVO" ist keine Rechtsgrundlage – gemeint ist der konkrete Buchstabe, bei Beschäftigtendaten zusätzlich § 26 BDSG. Und „nach Wegfall des Zwecks" ist keine Löschfrist, sondern eine Umschreibung des Gesetzestextes.
Tragen Sie stattdessen konkrete Werte ein: Bewerbungsunterlagen sechs Monate nach Absage, Rechnungen zehn Jahre nach § 147 AO, Bewerbervideos sofort nach Abschluss des Verfahrens.
Zu jeder Tätigkeit gehört die Frage, wer von außen beteiligt ist. Notieren Sie den Dienstleister, das Land des Serverstandorts und wo der AV-Vertrag abgelegt ist. Damit erledigen Sie zwei Pflichten in einem Durchgang und finden zuverlässig die Verträge, die noch fehlen.
Ein Verzeichnis, das nach der Erstellung nicht mehr angefasst wird, ist nach zwölf Monaten wertlos. Zwei Regeln genügen:
Ein formales Verzeichnis beantwortet die Frage „Haben Sie eins?". Ein gutes beantwortet die Frage „Wo liegen die Daten von Frau Müller?" – und zwar in unter zehn Minuten. Das ist der Maßstab, an dem Sie Ihr Dokument messen sollten.
Praktisch fast nie. Art. 30 Abs. 5 DSGVO befreit nur, wenn die Verarbeitung nicht regelmäßig erfolgt, kein Risiko birgt und keine besonderen Datenkategorien betrifft. Wer Personalakten führt und Kundendaten speichert, verarbeitet regelmäßig – die Ausnahme greift damit nicht.
Für den Einstieg ja. Ab etwa 25 bis 30 Verfahren wird die Pflege in Excel mühsam, weil Änderungen an Löschfristen oder Dienstleistern an vielen Stellen nachgezogen werden müssen. Ein Datenschutzmanagementsystem lohnt sich ab dieser Größenordnung, ist aber keine Pflicht.
Anlassbezogen bei jedem neuen Verfahren oder Tool und darüber hinaus in einem festen Turnus. Einmal jährlich ist der praxisübliche Rhythmus und lässt sich gut mit dem internen Audit verbinden.
Nein. Es ist ein internes Dokument und wird nur auf Anforderung der Aufsichtsbehörde vorgelegt. Betroffene Personen haben keinen Anspruch auf Einsicht – ihre Informationsrechte werden über die Datenschutzerklärung und Art. 15 DSGVO bedient.
30 Minuten Erstgespräch – kostenlos, unverbindlich und ohne Verkaufsdruck.