Was ist das Verzeichnis von Verarbeitungstätigkeiten?
Nach Art. 30 Abs. 1 DSGVO führt jeder Verantwortliche „ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen“. Es ist der Kern Ihrer Datenschutzdokumentation: Es zeigt, welche personenbezogenen Daten Sie zu welchem Zweck wie lange und mit wem verarbeiten. Es bildet die Grundlage für fast alle weiteren Pflichten, von Auskunftsersuchen bis zur Datenpanne. Das Verzeichnis ist schriftlich zu führen, was auch in einem elektronischen Format erfolgen kann (Abs. 3), und der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen (Abs. 4).
Wer muss ein Verzeichnis führen?
Art. 30 Abs. 5 nimmt Unternehmen mit weniger als 250 Mitarbeitern von der Pflicht aus, aber mit drei Gegenausnahmen. Die Ausnahme gilt nicht, wenn
- die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt,
- die Verarbeitung nicht nur gelegentlich erfolgt oder
- besondere Kategorien von Daten nach Art. 9 Abs. 1 oder Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 verarbeitet werden.
Wer Mitarbeiter beschäftigt, rechnet Löhne regelmäßig ab und verarbeitet damit nicht nur gelegentlich Daten. Gleiches gilt für eine laufende Kunden- oder Mitgliederverwaltung. Das Verzeichnis ist daher für kleine und mittlere Unternehmen der Regelfall.
Pflichtangaben für Verantwortliche
Art. 30 Abs. 1 Satz 2 verlangt „sämtliche“ folgenden Angaben:
Beispiel einer Verarbeitungstätigkeit
| Angabe | Beispiel: Lohn- und Gehaltsabrechnung |
|---|---|
| Zweck | Abrechnung und Auszahlung von Löhnen und Gehältern, Abführung von Steuern und Sozialversicherung |
| Betroffene Personen | Beschäftigte |
| Datenkategorien | Stammdaten, Bankverbindung, Steuermerkmale, Arbeitszeiten, Gehalt, gegebenenfalls Angaben zu Krankheitszeiten |
| Empfänger | Steuerberater oder Lohnbüro, Finanzamt, Sozialversicherungsträger, Bank |
| Drittlandübermittlung | Keine |
| Löschfristen | Nach Ablauf der gesetzlichen Aufbewahrungsfristen, siehe Löschkonzept |
| Maßnahmen | Zugriff nur für Personalabteilung, verschlüsselte Übermittlung, Sicherung der Systeme |
Eine Verarbeitungstätigkeit ist ein Geschäftsprozess, nicht jede einzelne Datei. Legen Sie so fest, dass die Aufsichtsbehörde anhand der Angaben erkennen kann, wofür Sie die Daten brauchen. Typische Tätigkeiten sind Kundenverwaltung, Lohnabrechnung, Bewerbermanagement, Website-Betrieb, Newsletter, Videoüberwachung und Zutrittskontrolle.
Verzeichnis als Auftragsverarbeiter
Auch Auftragsverarbeiter führen nach Art. 30 Abs. 2 ein Verzeichnis, allerdings mit weniger Angaben: Name und Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, die Kategorien der im Auftrag durchgeführten Verarbeitungen, gegebenenfalls Drittlandübermittlungen und, wenn möglich, eine allgemeine Beschreibung der Maßnahmen. Wer für Kunden Daten verarbeitet, etwa als IT-Dienstleister oder Lohnbüro, führt also beide Verzeichnisse. Mehr zur Rolle: Auftragsverarbeitungsvertrag.
Pflege: Ein Verzeichnis ist nie fertig
Das Verzeichnis muss die Wirklichkeit abbilden. Ergänzen Sie es, wenn Sie eine neue Software einführen, einen neuen Dienstleister beauftragen oder einen neuen Zweck verfolgen. Bewährt hat sich ein fester Ablauf: Wer ein neues Verfahren plant, meldet es vorab dem Datenschutzbeauftragten, der es aufnimmt oder anpasst. Planen Sie zusätzlich eine jährliche Durchsicht ein.
Verzeichnis mit Software führen
Tabellenkalkulationen und Wordvorlagen veralten schnell. Unsere Datenschutzmanagement-Software erstellt das Verzeichnis nach Art. 30 gemeinsam mit Ihnen, hält es aktuell und verknüpft es mit Maßnahmen, Dienstleistern und Löschfristen. Ein externer Datenschutzbeauftragter prüft die Einträge fachlich.
