Menü
Das Verarbeitungsverzeichnis steht im Mittelpunkt Ihrer Organisation des Datenschutzes und ist eine Pflichtaufgabe für jeden Verantwortlichen.
Auch auf die Gefahr hin, Ihnen jegliche Illusion zu rauben: Ja, es muss sein. Nach Art. 30 DSGVO besteht die grundsätzliche Pflicht hierzu. Nur in wenigen Ausnahmefällen kann von der Erstellung abgesehen werden und auch die im Gesetz genannte Grenze von 250 Mitarbeitenden, ab der erst eine Pflicht besteht, führt in der Praxis zu keiner Entlastung für Kleinunternehmen. Dies liegt daran, dass ein Verarbeitungsverzeichnis in jedem Unternehmen zu führen ist, wenn die Verarbeitung von personenbezogenen Daten regelmäßig erfolgt, was im heutigen digitalisierten Geschäftsalltag (z. B. bei Personalaktenführung, Nutzung von Kundendatenbanken, Versand des Newsletters) praktisch immer der Fall sein dürfte.
Die Pflicht trifft sowohl Sie selbst als Verantwortlicher hinsichtlich der eigenen Verarbeitungsprozesse als auch für den Fall, dass Sie im Auftrag als Dienstleister Daten für ein anderes Unternehmen verarbeiten und insoweit als sog. Auftragsverarbeiter tätig werden.
Die Pflicht zur Führung des Verarbeitungsverzeichnisses obliegt der Unternehmensleitung. Eine Delegation an den Datenschutzbeauftragten erfolgt in der Praxis häufig, insbesondere bei internen Datenschutzbeauftragten. Schließlich wird beim Datenschutzbeauftragten eine entsprechende Kompetenz erwartet, sodass es für die Unternehmensleitung sinnvoll ist, diese zu nutzen. Die Delegierung an den Datenschutzbeauftragten wird jedoch zum Teil kritisch gesehen, da dieser in erster Linie nicht die ganze Arbeit der verantwortlichen Unternehmensleitung übernehmen soll, sondern für die Beratung und Prüfung zuständig ist.
Das Verarbeitungsverzeichnis muss zwar Dritten nicht zur Einsicht vorgelegt werden, jedoch kann die Aufsichtsbehörde im Fall einer Kontrolle die Einsicht verlangen, um sich selbst einen Überblick über die Datenverarbeitung in Ihrem Betrieb zu verschaffen.
Die Mindestinhalte des Verzeichnisses sind gesetzlich festgelegt. Wir setzen Sie nachfolgend kurz ins Bild. Wie Sie im Detail das Verzeichnis erstellen, können Sie unter Schritt 02 unseres Fahrplans erfahren.
Pflicht
Kür
Jede Verarbeitung ist einzeln zu erfassen. Der Begriff der Verarbeitungstätigkeit orientiert sich am Zweck der Datenverarbeitung und meint einen je nach verfolgtem Zweck vorgenommenen Geschäftsprozess, der meist auch mehrere einzelne Verarbeitungsvorgänge sowie mehrere verbundene Zwecke umfasst. Beispiele sind Kundenverwaltung, Buchhaltung, Webseitenbetrieb, Einstellungsprozess, Videoüberwachung des Firmengeländes. Mehrere Softwareapplikationen, die zu demselben Zweck – z. B. Lohn-/Gehaltsabrechnung – verwendet werden, können also zum selben Verfahren gehören.
Die zu erfassende Verarbeitungstätigkeit ist unabhängig davon, ob sie automatisch oder nur manuell (z. B. Karteikartensystem) erfolgt. Probleme ergeben sich in der Frage, wie detailliert die Prozesse abzubilden sind. Am Anfang der Erstellung empfiehlt es sich, dabei einen gröberen Maßstab anzusetzen, um sich nicht in Details zu verlieren. Schließlich soll das Verarbeitungsverzeichnis als Übersicht dienen. Eine zu große Detailtiefe kann insoweit hinderlich sein. In jedem Fall müssen die Angaben so detailliert sein, dass die betreffenden Verarbeitungsvorgänge allein anhand des Verzeichnisses kontrolliert werden können. Die Bezeichnung der Verarbeitungstätigkeit sollte daher auch eindeutig und selbsterklärend sein. Zulässig ist die Zusammenfassung von Arbeitsabläufen oder Prozessen in einem Verfahren, beispielsweise zum Prozess der Bewerberverwaltung oder Kundenbetreuung.
Es ist anzugeben, wessen Daten verarbeitet werden. Hierbei sind jedoch nicht die konkreten Personen anzugeben, sondern eine Gruppe der Personen anhand gleicher Merkmale zu bilden und zu bezeichnen (= Kategorie), wie z. B. Beschäftigte, Kunden, Interessenten u. ä.
Die verarbeiteten Daten müssen Sie nicht einzeln benennen, sondern auch hier Kategorien bilden. Es ist daher aus Daten mit gemeinsamen Merkmalen eine Kategorie zu bilden und diese im Verzeichnis anzugeben. Hierbei sollten jedoch nicht zu grobe Bezeichnungen wie „Kundendaten“ verwendet werden, da sonst unklar bleibt, was darunter im Konkreten zu verstehen ist. Beispiele sind: Kontaktdaten (Name, Anschrift, Telefon, E-Mail), Beschäftigtenstammdaten (Kontaktdaten, Geburtsdatum, Bank, Sozialversicherung), Lieferantendaten. Auch Kategorien technischer Daten, wie Metadaten, Protokolldaten sind anzugeben, sofern Sie Personenbezug aufweisen.
Auch etwaige Empfänger der Daten sind nicht im Einzelnen namentlich zu benennen, sondern wiederum in Kategorien nach gemeinsamen Merkmalen zu gruppieren.
Sofern Sie Daten in sog. Drittländer, das heißt in Länder außerhalb der EU / des EWR, oder an eine internationale Organisation übermitteln, ist prinzipiell Vorsicht geboten. Sie sollten eine aufmerksame Prüfung vornehmen. Nur unter speziellen Voraussetzungen ist eine grenzüberschreitende Übermittlung erlaubt.
Tiefergehende Infos zur Problematik erhalten Sie in unserer Handreichung Internationaler Datentransfer der Stiftung Datenschutz.
Werden Daten in ein Drittland übermittelt, müssen Sie den Empfänger und das Empfängerland angeben und ggf. Angaben zu geeigneten Garantien machen.
Im Verzeichnis sind Angaben zu den vorgesehen Aufbewahrungs- bzw. Löschfristen zu machen. Diese Angaben beziehen sich auf die jeweiligen im Verarbeitungsverzeichnis abgebildeten Verarbeitungstätigkeiten. Um sich die Arbeit zu erleichtern, können Sie in Ihrem aufzustellenden Löschkonzept die entsprechenden Fristen erfassen und im Verarbeitungsverzeichnis auf das Löschkonzept verweisen.
Die Verarbeitung von personenbezogenen Daten muss abgesichert erfolgen. Hierzu sind im Unternehmen sog. „technische und organisatorische Maßnahmen“ (Abk. TOM) zu erstellen. Sie können dann im Verarbeitungsverzeichnis auf die dort konkret niedergelegten Maßnahmen verweisen. Nur wenn für eine einzelne Verarbeitungstätigkeit eine spezielle oder abweichende Sicherheitsmaßnahme besteht, die nicht in den TOM abgebildet ist, müssen Sie diese im Verzeichnis benennen.
Beispielverzeichnisse oder veröffentlichte Verzeichnisse von Firmen und Institutionen können Ihnen ein Gefühl für die Erfassung von Verarbeitungstätigkeiten vermitteln. Wir empfehlen den Blick in Beispielverzeichnisse zu werfen, welche die Aufsichtsbehörden veröffentlichen. Ein gutes Beispiel bietet der Europäische Datenschutzbeauftragte (European Data Protection Supervisor – EDPS) mit seinem online einsehbaren Verzeichnis.
Des Weiteren finden Sie typische Verarbeitungstätigkeiten in unserer Vorlage unter Arbeitshilfen, die Sie bei der Erstellung des Verzeichnisses übernehmen und ggf. anpassen können.
Ein Beispiel für eine regelmäßige Verarbeitungstätigkeit ist die Kundenverwaltung. Zwecke hierfür können z. B. Auftragsabwicklung, Inkasso, Buchhaltung sein. Folgende beispielhaften Verarbeitungstätigkeiten dürften in den meisten Firmen anfallen und wären im Verzeichnis zu erfassen:
Haben Sie einmal das Verzeichnis erstellt, ist die Hauptarbeit hierzu erledigt. Es darf jedoch nicht in Vergessenheit geraten. Das erstellte Verzeichnis sollte mindestens jährlich überprüft und wenn notwendig aktualisiert werden. Die Verarbeitungsprozesse und die Betroffenen ändern sich regelmäßig – sei es, weil Sie die Daten, statt sie wie bisher auf Ihrem Server zu speichern, nun in eine Cloud auslagern wollen, oder weil Sie neue Kundenkreise mit geänderter Datenerfassung erschließen wollen. Das einmal erstellte Verzeichnis ist stets aktuell zu halten und turnusmäßig zu überprüfen. Neue Prozesse müssen in das Verzeichnis eingepflegt werden und alte, eingestellte Verarbeitungen herausgenommen werden. Behalten Sie das Verzeichnis also stets im Auge.