Was ist ein Verzeichnis von Verarbeitungstätigkeiten?

Einfach erklärt

Das Verzeichnis von Verarbeitungstätigkeiten ist eine Übersicht, wofür Ihr Betrieb personenbezogene Daten nutzt. Für jeden Zweck steht dort, welche Daten es sind, von wem sie stammen, wer sie bekommt, wie lange sie bleiben und wie sie geschützt sind. Man kann es sich wie eine Inventurliste vorstellen, nur nicht für Werkzeuge, sondern für Daten. Typische Einträge sind Lohnabrechnung, Kundenverwaltung, Bewerbungen, Website und Videoüberwachung.

Brauchen Sie eins?

Die DSGVO kennt eine Ausnahme für Betriebe mit weniger als 250 Beschäftigten. Sie greift aber nicht, wenn Sie Daten nicht nur gelegentlich verarbeiten, wenn die Verarbeitung ein Risiko für die Betroffenen birgt oder wenn besondere Daten wie Gesundheitsdaten dabei sind. Lohnabrechnung und Kundenverwaltung laufen regelmäßig. Die Datenschutzaufsichtsbehörden gehen deshalb davon aus, dass ein Verzeichnis vielfach geboten ist, auch in kleinen Betrieben.

Wozu es Ihnen nützt

Die Aufsichtsbehörde kann das Verzeichnis jederzeit anfordern. Im Alltag wichtiger: Es ist die Grundlage für alles Weitere. Wer weiß, welche Daten wo liegen, kann Auskunftsanfragen beantworten, Löschfristen einhalten und mit den richtigen Dienstleistern einen AVV abschließen.

Was Sie tun können

Fangen Sie bei den Abläufen an, nicht bei der Software. Die Datenschutzkonferenz stellt dafür ein Muster bereit. Ihr IT-Dienstleister ergänzt die technischen Angaben, Ihr Datenschutzbeauftragter prüft das Ergebnis. Wie eine solche Dokumentation aufgebaut sein kann, zeigt die Seite Datenschutz-Dokumentation.

Einordnung: Ob die Ausnahme für kleine Betriebe bei Ihnen greift, klären Sie mit Ihrem Datenschutzbeauftragten oder einem Anwalt.

Pflichtangaben nach Art. 30

Für Verantwortliche nennt Art. 30 Abs. 1 DSGVO:

lit. a  Name und Kontaktdaten des Verantwortlichen, ggf. gemeinsam Verantwortliche,
        Vertreter und Datenschutzbeauftragter
lit. b  Zwecke der Verarbeitung
lit. c  Kategorien betroffener Personen und personenbezogener Daten
lit. d  Kategorien von Empfängern, auch in Drittländern
lit. e  ggf. Übermittlungen in Drittländer, bei Art. 49 Abs. 1 Unterabs. 2 mit Garantien
lit. f  wenn möglich: Löschfristen je Datenkategorie
lit. g  wenn möglich: allgemeine Beschreibung der TOM nach Art. 32 Abs. 1

Auftragsverarbeiter führen nach Abs. 2 ein eigenes Verzeichnis aller Kategorien von Tätigkeiten, die sie im Auftrag durchführen. Es nennt unter anderem die Verantwortlichen, für die sie tätig sind, die Kategorien der Verarbeitungen, Übermittlungen in Drittländer und die TOM. Das betrifft IT-Dienstleister und Agenturen, die Systeme von Kunden betreuen oder hosten. Das Verzeichnis ist schriftlich zu führen, elektronisch genügt (Abs. 3). Auf Anfrage geht es an die Aufsichtsbehörde (Abs. 4).

Die Ausnahme in Abs. 5

Unter 250 Beschäftigten entfällt die Pflicht nur, wenn keine Rückausnahme greift: Risiko für Rechte und Freiheiten, nicht nur gelegentliche Verarbeitung, besondere Kategorien nach Art. 9 Abs. 1 oder Daten nach Art. 10. Nach dem Kurzpapier Nr. 1 der Datenschutzkonferenz genügt eine dieser Fallgruppen. Weil jedes Risiko zählt und nicht erst ein hohes, hält die DSK das Verzeichnis vielfach für geboten.

Beispiel eines Eintrags:

Tätigkeit    Lohn- und Gehaltsabrechnung
Zweck        Entgeltzahlung, Meldungen an Sozialversicherung und Finanzamt
Betroffene   Beschäftigte
Daten        Stammdaten, Bankverbindung, Steuer- und SV-Merkmale,
             Konfession (Art. 9), Fehlzeiten (Art. 9)
Empfänger    Lohnbüro (Auftragsverarbeiter), Krankenkassen, Finanzamt
Drittland    keins
Löschfrist   Lohnkonto: Ablauf des sechsten Kalenderjahres nach der letzten
             eingetragenen Lohnzahlung (§ 41 Abs. 1 Satz 9 EStG)
TOM          Verweis auf TOM-Dokument, Abschnitt Lohn

Typische Fehler

• Softwareliste statt Tätigkeiten. Das Verzeichnis ordnet nach Zwecken. Ein CRM kann in mehreren Tätigkeiten vorkommen.
• „Gesetzliche Frist“ statt Frist. lit. f verlangt die Frist selbst, nicht den Hinweis, dass es eine gibt.
• Verzeichnis als Auftragsverarbeiter fehlt. Wer Kundensysteme betreut, braucht neben dem eigenen Verzeichnis das nach Abs. 2.
• Einmal erstellt, nie gepflegt. Neue Dienste fehlen, abgelöste stehen noch drin.

Prüfen

Abgleich in drei Richtungen:

• Jede Software mit Personendaten aus dem Inventar taucht in mindestens einer Tätigkeit auf.
• Jeder Empfänger mit der Rolle Auftragsverarbeiter hat einen AVV.
• Jede Tätigkeit hat eine konkrete Frist, die sich im Löschkonzept wiederfindet.

Vorlagen: die Muster der DSK für Verantwortliche und für Auftragsverarbeiter (Februar 2018).