Verzeichnis von Verarbeitungs­tätigkeiten: Pflichtangaben und Ausnahmen

Pflicht zur Führung des Verzeichnisses

Gemäß Art. 30 DSGVO ist jeder Verantwortliche dazu verpflichtet, ein Verzeichnis aller Verarbeitungstätigkeiten zu führen, die seiner Zuständigkeit unterliegen. Auch Auftragsverarbeiter, also Dienstleister, die Daten im Auftrag anderer verarbeiten, haben ein eigenes, weniger umfangreiches Verzeichnis zu führen (Art. 30 Abs. 2 DSGVO).

Die Pflicht obliegt dem Unternehmen, vertreten durch die Geschäftsleitung. Ein Datenschutzbeauftragter kann das Verzeichnis pflegen und prüfen. Die Pflicht selbst geht dadurch jedoch nicht auf ihn über.

Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern

Nach Art. 30 Abs. 5 DSGVO sind Unternehmen mit weniger als 250 Mitarbeitern von der Pflicht ausgenommen. Diese Ausnahme gilt jedoch nicht, wenn die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, wenn sie nicht nur gelegentlich erfolgt oder wenn besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO oder Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO verarbeitet werden.

Bereits eine dieser Voraussetzungen genügt, und die zweite ist in der Regel erfüllt. Die monatliche Lohnabrechnung, die laufende Kundenverwaltung und der tägliche E-Mail-Verkehr sind beispielsweise keine gelegentlichen Verarbeitungen. Unternehmen mit Beschäftigten verarbeiten zudem regelmäßig Gesundheitsdaten, etwa bei Krankmeldungen. Folglich benötigt nahezu jedes Unternehmen ein Verzeichnis, zumindest für diese Tätigkeiten.

Begriff der Verarbeitungstätigkeit

Das Verzeichnis ist nach Zwecken und nicht nach Programmen gegliedert. Zu den Verarbeitungstätigkeiten zählen beispielsweise die Lohnabrechnung, das Bewerbermanagement, die Kundenverwaltung, der Newsletterversand, die Videoüberwachung des Eingangsbereichs und der Betrieb der Website. Eine Software kann mehreren Tätigkeiten dienen, und eine Tätigkeit kann mehrere Programme nutzen.

In kleinen und mittleren Unternehmen ergibt sich auf diese Weise häufig eine zweistellige Zahl von Einträgen. Ein Verzeichnis mit nur drei Einträgen ist dagegen nahezu immer unvollständig. Ein Verzeichnis mit mehreren hundert Einträgen ist hingegen meist zu kleinteilig, um gepflegt werden zu können.

Pflichtangaben nach Art. 30 Abs. 1 DSGVO

Gemäß Art. 30 Abs. 1 DSGVO sind für jede Verarbeitungstätigkeit folgende Angaben erforderlich:

• der Name und die Kontaktdaten des Verantwortlichen und gegebenenfalls des gemeinsam mit ihm Verantwortlichen, des Vertreters des Verantwortlichen sowie eines etwaigen Datenschutzbeauftragten,
• die Zwecke der Verarbeitung,
• eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten,
• die Kategorien von Empfängern, gegenüber denen die personenbezogenen Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfängern in Drittländern oder internationalen Organisationen,
• gegebenenfalls Übermittlungen in ein Drittland oder an eine internationale Organisation einschließlich der Angabe des Drittlands oder der Organisation; bei Übermittlungen nach Art. 49 Abs. 1 Unterabs. 2 DSGVO ist auch die Dokumentation geeigneter Garantien erforderlich,
• wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien,
• wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOM) gemäß Art. 32 Abs. 1 DSGVO.

Die Rechtsgrundlage der Verarbeitung wird in Art. 30 Abs. 1 DSGVO nicht ausdrücklich genannt. Sie sollte dennoch aufgenommen werden, da sich beim Eintragen zeigt, für welche Verarbeitung sich keine Rechtsgrundlage benennen lässt. Diese Frage kann das Unternehmen dann klären, bevor die Aufsichtsbehörde sie aufgreift.

Form des Verzeichnisses

Das Verzeichnis ist schriftlich zu führen, wobei auch ein elektronisches Format zulässig ist (Art. 30 Abs. 3 DSGVO). Eine sorgfältig gepflegte Tabelle genügt. Erst wenn viele Standorte, Gesellschaften oder Bearbeiter beteiligt sind, ist der Einsatz einer speziellen Software sinnvoll.

Der Verantwortliche hat das Verzeichnis der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen (Art. 30 Abs. 4 DSGVO). Da es sich somit nicht um ein reines Innendokument handelt, sollte es so formuliert sein, dass es auch von außenstehenden Personen verstanden wird.

Nutzen des Verzeichnisses in der Praxis

Ein aktuelles Verzeichnis erleichtert zahlreiche andere Aufgaben.

• Bei Auskunftsanfragen zeigt es beispielsweise, in welchen Systemen nach Daten einer Person zu suchen ist. Die Bearbeitung solcher Anfragen wird im Beitrag zur Auskunftsanfrage nach Art. 15 DSGVO erläutert.
• Im Falle einer Datenpanne lässt sich schneller beurteilen, welche Daten betroffen sind und wie schutzbedürftig sie sind. Informationen zum Vorgehen finden sich im Beitrag Datenpanne: die ersten 72 Stunden.
• Bei Dienstleistern zeigen die Angaben zu den Empfängern, wo ein Auftragsverarbeitungsvertrag fehlt.
• Die im Verzeichnis festgelegten Löschfristen bilden den Ausgangspunkt für ein Löschkonzept.
• Die Zwecke, Empfänger und Speicherdauer im Verzeichnis müssen mit den Informationen übereinstimmen, die betroffene Personen nach Art. 13 und 14 DSGVO erhalten, insbesondere mit der Datenschutzerklärung.

Aktualisierung des Verzeichnisses

Viele Unternehmen erstellen das Verzeichnis einmal und pflegen es anschließend nicht mehr. So beschreibt es dann Abläufe, die es in dieser Form nicht mehr gibt. Drei Regeln tragen dazu bei, das Verzeichnis aktuell zu halten:

• Jedes neue Programm und jeder neue Dienstleister sollte vor Beginn des Betriebs in das Verzeichnis aufgenommen werden oder zu einer Änderung bestehender Einträge führen.
• Eine bestimmte Person sollte für die Pflege zuständig sein.
• Das Verzeichnis sollte einmal jährlich vollständig überprüft werden und jeder Eintrag sollte das Datum seiner letzten Prüfung erhalten.

Rechtsfolgen von Verstößen

Gemäß Art. 83 Abs. 4 Buchst. a DSGVO kann ein fehlendes oder unvollständiges Verzeichnis mit einer Geldbuße geahndet werden. In der Praxis fällt ein solcher Mangel jedoch meist erst auf, wenn die Aufsichtsbehörde aus einem anderen Anlass nachfragt, beispielsweise nach einer Beschwerde oder einer Datenpanne. Anhand des Verzeichnisses lässt sich dann überprüfen, ob der Datenschutz im Unternehmen so organisiert ist, wie es die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt.