Verzeichnis von Verarbeitungstätigkeiten

Verarbeitung nach Aufgaben erfassen

Beginnen Sie mit konkreten Aufgaben wie Personalverwaltung, Kundenbetreuung und Websitebetrieb. Eine Liste eingesetzter Programme ist noch kein Verzeichnis der Verarbeitungstätigkeiten. Verschiedene Anwendungen können dieselbe Aufgabe unterstützen; ein Programm kann mehrere Zwecke bedienen. Befragen Sie die zuständigen Bereiche und beschreiben Sie jeweils Daten, Personen und Abläufe. Diese Zuordnung schafft eine verständliche Grundlage für die weiteren Angaben und verhindert, dass wichtige manuelle Vorgänge oder ausgelagerte Leistungen in einer rein technischen Softwareübersicht fehlen.

Die einschlägigen Pflichtangaben zusammenstellen

Art. 30 DSGVO unterscheidet Angaben für Verantwortliche und Auftragsverarbeiter. Prüfen Sie, welche Rolle das Unternehmen im jeweiligen Vorgang hat. Für Verantwortliche gehören unter anderem Zwecke, betroffene Personengruppen, Datenkategorien und Empfängerkategorien in die Übersicht. Weitere vorgeschriebene Angaben werden entsprechend ergänzt. Ein allgemeiner Satz über Kundendaten ersetzt diese Beschreibung nicht. Das Verzeichnis wird schriftlich geführt, auch elektronisch, und muss die einschlägigen Informationen so enthalten, dass es der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden kann.

Übermittlungen, Fristen und Sicherheit abgleichen

Ermitteln Sie relevante Drittlandübermittlungen und die dafür vorgesehenen Angaben. Soweit möglich werden geplante Löschfristen und eine allgemeine Beschreibung der Sicherheitsmaßnahmen festgehalten. Die Einträge sollen zu Verträgen, Löschkonzept und tatsächlichen Systemeinstellungen passen. Pauschale Formulierungen ohne Bezug zum Vorgang erschweren diesen Abgleich. Offene Fragen werden als solche dokumentiert und einer zuständigen Person zugewiesen. Damit kann die Übersicht zugleich zeigen, an welchen Stellen Angaben fehlen oder organisatorische Entscheidungen noch nicht umgesetzt sind.

Eine Ausnahme nicht allein aus der Größe ableiten

Eine geringe Beschäftigtenzahl befreit nicht automatisch von der Führung des Verzeichnisses. Die Ausnahme in Art. 30 Absatz 5 DSGVO hat zusätzliche Voraussetzungen und Gegenausnahmen. Prüfen Sie insbesondere Art und Regelmäßigkeit der Verarbeitung sowie relevante Risiken und Datenkategorien. Eine laufende Personal- oder Kundenverwaltung sollte daher nicht ungeprüft aus der Dokumentation entfernt werden. Die konkrete Pflicht wird anhand der Tätigkeit bewertet; eine allgemeine Einstufung als kleines Unternehmen ersetzt diese Untersuchung nicht.

Beispiel: Kundenverwaltung mit mehreren Systemen

Ein Betrieb führt Kundendaten in einer Fachanwendung, einem Postfach und einer Tabellenablage. Die Bestandsaufnahme beschreibt zunächst den gemeinsamen Betreuungszweck und prüft anschließend die beteiligten Systeme und Empfänger. Unterschiedliche Speicherfristen werden nachvollziehbar zugeordnet. Eine früher übersehene Tabellenkopie wird in die Löschprüfung einbezogen. Das Beispiel zeigt, dass ein gutes Verzeichnis nicht bei der Hauptsoftware endet, sondern die tatsächliche Verarbeitung einer Aufgabe einschließlich ihrer weiteren Ablagen und Verantwortlichkeiten sichtbar macht.

Pflege und Freigabe organisieren

Bestimmen Sie, wer Änderungen meldet, Einträge prüft und die aktuelle Fassung verwaltet. Neue Zwecke, Anbieter oder Systeme lösen einen konkreten Abgleich aus. Ergebnis ist ein gepflegtes Verzeichnis mit zuständigen Bereichen und nachvollziehbaren Angaben. Es unterstützt weitere Datenschutzprüfungen, ersetzt aber weder eine Rechtsgrundlage noch die Umsetzung nötiger Schutzmaßnahmen. Die Dokumentation wird deshalb mit Entscheidungen verbunden, damit sie nicht nur den ursprünglichen Projektstand beschreibt, während sich der betriebliche Umgang mit Daten bereits verändert hat.

Checkliste für Ihre Vorbereitung

• Liste tatsächlicher Aufgaben und Systeme
• Personen-, Daten- und Empfängerkategorien
• Übermittlungen, Löschfristen und Sicherheitsangaben
• Zuständigkeiten und Änderungsprozess

Ordnen Sie Dokumente nach Datum. Unklare Angaben werden als offen markiert; Originale und vollständige Anlagen helfen bei der konkreten Prüfung.

Häufige Fragen

Fachliche Einordnung

Grundlagen: Art. 30 DSGVO; EDSA: Datenschutzkonform handeln. Die allgemeinen Informationen ersetzen keine Prüfung Ihrer Unterlagen. Zuständigkeit und erforderliche Fristen werden im konkreten Auftrag geklärt.

• Art. 30 DSGVO – Art. 30 DSGVO
• EDSA: Datenschutzkonform handeln – EDSA: Datenschutzkonform handeln