Verarbeitungsverzeichnis nach Art. 30 DSGVO erstellen

Fast jedes Unternehmen verarbeitet personenbezogene Daten. Dabei fragt die Datenschutzbehörde im Ernstfall zuerst nach einem Dokument. Nämlich dem Verarbeitungsverzeichnis nach Art. 30 DSGVO. Dieses Verzeichnis listet auf, welche Daten Sie zu welchem Zweck verarbeiten. Deshalb ist es das Fundament jeder Datenschutz-Dokumentation. Und es ist eine Rechtspflicht, keine Kür.

Viele Betriebe glauben, sie seien wegen ihrer Größe befreit. Doch diese Annahme trügt fast immer. Denn die Ausnahme greift enger, als der Gesetzestext vermuten lässt. Dieser Beitrag zeigt, wer ein Verarbeitungsverzeichnis braucht. Zudem erklärt er die Pflichtangaben. Danach folgt der Unterschied zwischen Verantwortlichem und Auftragsverarbeiter. Zuletzt der Weg zum fertigen Verzeichnis.

Was ein Verarbeitungsverzeichnis ist

Ein Verarbeitungsverzeichnis ist eine strukturierte Übersicht Ihrer Datenverarbeitungen. Dabei beschreibt es jede Tätigkeit, bei der Sie personenbezogene Daten nutzen. Zum Beispiel die Lohnverrechnung, das Bewerbermanagement oder den Newsletter-Versand. Für jede dieser Tätigkeiten hält das Verzeichnis danach fest, was Sie warum tun. Somit entsteht eine Landkarte Ihrer gesamten Datenverarbeitung. Zunächst wirkt das nach viel Arbeit. Danach zahlt es sich jedoch aus.

Die rechtliche Grundlage steht in Artikel 30 der DSGVO. Den vollständigen Text finden Sie in der Verordnung (EU) 2016/679. Der Artikel verlangt ein Verzeichnis in schriftlicher Form. Zudem darf es elektronisch geführt werden. Somit reicht eine gepflegte Tabelle völlig aus. Ein sauberes Verarbeitungsverzeichnis ist folglich ein Kernstück Ihres Datenschutz-Managements.

Warum das Verzeichnis so wichtig ist

Das Verzeichnis erfüllt zwei Aufgaben zugleich. Zunächst dient es der Behörde als Nachweis. Auf Anfrage müssen Sie es vorlegen. Danach dient es Ihnen selbst als Werkzeug. Denn nur wer seine Datenverarbeitung kennt, kann sie absichern. Insbesondere in einer Prüfung zeigt sich der Wert. Somit ist es auch die Basis für weitere Pflichten. Etwa für die Datenschutz-Folgenabschätzung. Oder für die Antwort auf ein Auskunftsbegehren.

Kein reines Formalpapier

Viele sehen im Verzeichnis nur lästige Bürokratie. Diese Sicht greift zu kurz. Denn ein gepflegtes Verzeichnis spart im Ernstfall enorm Zeit. Kommt eine Datenpanne, wissen Sie sofort, welche Daten betroffen sind. Fragt ein Kunde nach seinen Daten, finden Sie die Antwort schnell. Genau deshalb lohnt sich der Aufwand doppelt. Er erfüllt die Pflicht. Und er macht Ihren Datenschutz handhabbar.

Ein Beispiel zeigt den Nutzen konkret. Ein Handelsbetrieb mit 40 Beschäftigten erhält eine Anfrage der Datenschutzbehörde. Ohne Verzeichnis müsste er jede Abteilung einzeln befragen. Das kostet Tage und bindet mehrere Personen. Mit einem gepflegten Verzeichnis legt er die Übersicht hingegen binnen Minuten vor. Somit wandelt sich ein Stressmoment in eine Routineauskunft. Genau darin liegt der stille Wert des Dokuments. Es arbeitet für Sie, sobald es gefragt ist.

Wer es führen muss und wer nicht

Die Pflicht zum Verarbeitungsverzeichnis trifft grundsätzlich jedes Unternehmen. Denn Art. 30 DSGVO nennt zunächst keine Untergrenze. Sobald Sie personenbezogene Daten verarbeiten, sind Sie in der Pflicht. Es gibt jedoch eine viel zitierte Ausnahme. Und genau diese sorgt für die meisten Missverständnisse. Deshalb lohnt ein genauer Blick darauf.

Die 250-Mitarbeiter-Ausnahme und warum sie kaum greift

Art. 30 Abs. 5 DSGVO befreit kleinere Betriebe scheinbar. Nämlich Unternehmen mit weniger als 250 Beschäftigten. Doch die Befreiung ist an drei Bedingungen geknüpft. Sie gilt nur, wenn alle zutreffen. Die Verarbeitung darf kein Risiko für Betroffene bergen. Zudem darf sie keine besonderen Datenkategorien umfassen. Außerdem darf sie nur gelegentlich erfolgen.

In der Praxis fällt fast jeder Betrieb aus dieser Ausnahme heraus. Denn sobald Sie Löhne verrechnen, verarbeiten Sie regelmäßig. Führen Sie eine Kundendatenbank, gilt dasselbe. Ebenso zählt der laufende E-Mail-Verkehr als regelmäßige Verarbeitung. Deshalb ist die Erleichterung praktisch bedeutungslos. Die österreichische Wirtschaftskammer weist ausdrücklich darauf hin. Somit braucht auch das kleine KMU in aller Regel ein Verarbeitungsverzeichnis. Selbst ein Ein-Personen-Betrieb mit Website und Kundenliste fällt meist unter die Pflicht. Denn schon das Kontaktformular verarbeitet regelmäßig personenbezogene Daten.

Was bei Verstößen droht

Ein fehlendes Verzeichnis ist kein Kavaliersdelikt. Denn Art. 83 DSGVO stuft es als sanktionierbaren Verstoß ein. Möglich sind Bußgelder bis zu 10 Millionen Euro. Oder alternativ bis zu 2 Prozent des weltweiten Jahresumsatzes. In der Praxis fällt die Strafe für ein KMU jedoch meist geringer aus. Dennoch ist das Risiko real. Denn die Behörde prüft das Verzeichnis oft als Erstes. Somit lohnt sich die Vorsorge in jedem Fall. Fehlt es, entsteht sofort ein schlechter Eindruck. Und weitere Prüfungen folgen. Ein sauberes Datenschutz-Audit deckt solche Lücken früh auf.

Diese Pflichtangaben gehören hinein

Das Verarbeitungsverzeichnis verlangt bestimmte Pflichtangaben. Diese listet Art. 30 DSGVO klar auf. Für jede Tätigkeit füllen Sie diese Felder aus. Somit ist es kein Fließtext, sondern eine Tabelle. Jede Zeile steht dabei für eine Tätigkeit. Jede Spalte hingegen für ein Pflichtfeld.

Die Pflichtfelder im Überblick

Der Gesetzgeber nennt einen festen Katalog. Dieser gilt für jeden Verantwortlichen. Die folgende Tabelle fasst die Pflichtangaben und ihre Bedeutung zusammen. Damit sehen Sie auf einen Blick, was in jede Zeile Ihres Verzeichnisses gehört.

Die zwei kniffligen Felder

Zwei Angaben bereiten in der Praxis oft Mühe. Zunächst die Löschfristen. Denn viele Betriebe haben nie festgelegt, wann Daten weg müssen. Hier hilft ein Blick in die gesetzlichen Aufbewahrungspflichten. Zum Beispiel sieben Jahre für Buchhaltungsunterlagen. Danach die technischen und organisatorischen Maßnahmen. Diese müssen Sie nur allgemein beschreiben. Details gehören in ein eigenes Dokument. Konkrete Beispiele dazu finden Sie in unserem Beitrag zu TOMs nach DSGVO. Ein ISMS nach ISO 27001 liefert diese Maßnahmen ohnehin strukturiert.

Ein ausgefülltes Beispiel

Nehmen wir die Verarbeitungstätigkeit Lohnverrechnung. Der Zweck ist die Gehaltszahlung an Mitarbeiter. Die Kategorie der Betroffenen sind die eigenen Beschäftigten. Die Datenarten umfassen Name, Sozialversicherungsnummer, Bankverbindung und Gehaltsdaten. Empfänger sind zudem der Steuerberater, die Sozialversicherung und das Finanzamt. Ein Drittlandtransfer findet hingegen nicht statt. Die Löschfrist beträgt sieben Jahre nach gesetzlicher Aufbewahrung. Die Maßnahmen umfassen Zugriffsbeschränkung und verschlüsselte Übertragung. Somit ist eine einzige Zeile vollständig. Nach diesem Muster füllen Sie jede weitere Tätigkeit aus. Deshalb wirkt das Verarbeitungsverzeichnis nach den ersten drei Zeilen schnell vertraut. Zudem gewinnen Sie mit jeder Zeile an Tempo.

Verantwortlicher oder Auftragsverarbeiter

Die DSGVO kennt zwei Rollen mit eigenen Verzeichnissen. Nämlich den Verantwortlichen. Und den Auftragsverarbeiter. Ihre Rolle entscheidet über die nötigen Angaben. Deshalb klären Sie zuerst, in welcher Rolle Sie handeln. Oft sind es sogar beide zugleich.

Der Verantwortliche

Verantwortlicher ist, wer über Zweck und Mittel der Verarbeitung entscheidet. Das ist meist Ihr eigenes Unternehmen. Sie entscheiden beispielsweise, welche Kundendaten Sie speichern. Und wofür Sie sie nutzen. Als Verantwortlicher führen Sie das umfangreichere Verzeichnis. Es enthält nämlich alle acht Pflichtangaben aus der Tabelle oben. Somit dokumentiert es Ihre gesamte eigene Datenverarbeitung.

Der Auftragsverarbeiter

Auftragsverarbeiter ist, wer Daten im Auftrag eines anderen verarbeitet. Ein klassisches Beispiel ist ein IT-Dienstleister. Er betreut Ihre Server, entscheidet aber nicht über die Zwecke. Ebenso handelt ein Lohnbüro oft als Auftragsverarbeiter. Dessen Verzeichnis ist folglich schlanker. Es nennt die Verantwortlichen, für die er arbeitet. Zudem die Kategorien der Verarbeitung, Drittlandtransfers und die TOMs. Die Grundlage bildet stets ein Auftragsverarbeitungsvertrag.

Wenn beide Rollen zusammentreffen

Viele Betriebe sind beides gleichzeitig. Ein Beispiel macht das klar. Eine Agentur verwaltet die Daten ihrer eigenen Mitarbeiter. Dort ist sie Verantwortlicher. Zugleich betreut sie die Kundendaten ihrer Auftraggeber. Dort ist sie Auftragsverarbeiter. Folglich braucht sie zwei getrennte Verzeichnisse. Beide zusammen bilden ihr vollständiges Verzeichnis. Wer hier unsicher ist, klärt die Rollen mit unserer Datenschutz-Beratung. Denn eine falsche Einordnung zieht falsche Pflichten nach sich.

Die richtige Abgrenzung hat spürbare Folgen. Als Verantwortlicher tragen Sie die volle Rechenschaftspflicht für die Zwecke. Als Auftragsverarbeiter haften Sie vor allem für die vereinbarten Schutzmaßnahmen. Verwechseln Sie die Rollen, führen Sie das falsche Verarbeitungsverzeichnis. Somit fehlen im Ernstfall genau die Angaben, die die Behörde sehen will. Deshalb steht die Rollenklärung immer am Anfang. Erst danach beginnt die eigentliche Arbeit am Verzeichnis. Ein kurzer Prüfschritt spart hier viel spätere Korrektur.

In Schritten das Verzeichnis erstellen

Ein Verarbeitungsverzeichnis entsteht in einer klaren Reihenfolge. Dabei brauchen Sie keine teure Software. Eine Tabelle genügt für den Anfang. Zudem gibt es fertige Muster als Startpunkt. Die folgenden vier Schritte führen zum Ziel.

Schritt eins: Verarbeitungen sammeln

Beginnen Sie mit einer Bestandsaufnahme. Fragen Sie jede Abteilung, welche Daten sie nutzt. Die Personalabteilung nennt Lohnverrechnung und Bewerbungen. Der Vertrieb nennt danach die Kundendatenbank. Das Marketing nennt zudem den Newsletter. Somit entsteht eine erste Liste aller Tätigkeiten. Diese Liste ist das Gerüst Ihres Verzeichnisses.

Schritt zwei: die Felder ausfüllen

Ergänzen Sie danach die Pflichtangaben je Tätigkeit. Arbeiten Sie die acht Spalten der Reihe nach ab. Welche Betroffenen, welche Daten, welche Empfänger? Ziehen Sie ein Muster als Vorlage heran. Die WKO stellt eine kostenlose Vorlage für Verantwortliche bereit. Auch die deutsche Aufsichtsbehörde bietet Muster mit Ausfüllhilfe.

Schritt drei: Empfänger und Fristen klären

Prüfen Sie danach jeden Datenfluss nach außen. Wer bekommt welche Daten? Ein Cloud-Anbieter in den USA bedeutet beispielsweise einen Drittlandtransfer. Dieser braucht folglich eine eigene Rechtsgrundlage. Legen Sie zudem für jede Datenart eine Löschfrist fest. Somit schließen Sie die zwei kniffligsten Felder sauber ab. Genau hier entstehen sonst die meisten Lücken.

Schritt vier: prüfen und freigeben

Lesen Sie das fertige Verzeichnis noch einmal durch. Ist jede Tätigkeit erfasst? Stimmen die Angaben mit der Realität überein? Lassen Sie es danach von der Leitung freigeben. Ergänzen Sie zudem das Datum der Erstellung. Somit haben Sie ein belastbares Verzeichnis. Fehlt intern die Zeit, übernimmt ein externer Datenschutzbeauftragter die Steuerung. Ein Blick auf Ihre gesamte Informationssicherheit rundet das Bild ab.

Das Verzeichnis aktuell halten

Ein Verzeichnis ist nie endgültig fertig. Denn Ihr Unternehmen verändert sich laufend. Neue Systeme kommen hinzu. Alte Prozesse fallen hingegen weg. Deshalb muss das Verzeichnis mit dem Betrieb wachsen. Ein einmal erstelltes und dann vergessenes Dokument nützt wenig.

Wann Sie aktualisieren müssen

Bestimmte Anlässe verlangen eine Anpassung. Führen Sie ein neues Software-Tool ein, entsteht meist eine neue Verarbeitung. Starten Sie zudem einen Webshop, kommen Kundendaten hinzu. Beauftragen Sie danach einen neuen Dienstleister, ändert sich die Empfängerliste. Bei jedem dieser Anlässe gehört das Verzeichnis auf den Tisch. Somit bleibt es ein Spiegel der Wirklichkeit.

Die jährliche Routine

Zusätzlich empfiehlt sich eine feste Routine. Prüfen Sie das Verzeichnis einmal im Jahr komplett. Gehen Sie dabei jede Zeile durch. Stimmt sie noch? Fehlt womöglich eine neue Tätigkeit? Notieren Sie das Datum der Prüfung. Somit weisen Sie gegenüber der Behörde eine laufende Pflege des Verarbeitungsverzeichnisses nach. Verbinden Sie diesen Termin mit anderen Datenschutz-Aufgaben. Etwa mit der Prüfung Ihrer Auftragsverarbeitungsverträge.

Verbindung zu anderen Pflichten

Ein aktuelles Verzeichnis erleichtert viele weitere Aufgaben. Kommt ein Auskunftsersuchen einer betroffenen Person, finden Sie die relevanten Daten sofort. Meldet sich eine Datenpanne, wissen Sie binnen Minuten, welche Daten betroffen sind. Genau dann zählt jede Stunde. Das zeigt unser Beitrag zur Meldung einer Datenpanne. Somit ist das gepflegte Verzeichnis Ihr schnellster Zugriff auf die eigenen Daten. Praktische Tipps für kleinere Betriebe bündelt auch die Plattform onlinesicherheit.gv.at. Kommen Sie mit dem Aufbau nicht weiter, hilft ein kurzer Blick von außen über unseren Kontakt.

Wer die Pflege übernimmt

Die Verantwortung für das Verzeichnis liegt bei der Leitung. In der Praxis kümmert sich oft der Datenschutzbeauftragte darum. In kleineren Betrieben fehlt diese Rolle jedoch häufig. Dann bleibt die Aufgabe leicht liegen. Deshalb hilft ein fester Verantwortlicher intern. Er sammelt Änderungen und trägt sie ein. Zudem erinnert er an die jährliche Prüfung. So verhindern Sie, dass das Verzeichnis veraltet. Ein veraltetes Verarbeitungsverzeichnis ist im Zweifel schlechter als gar keines. Denn es täuscht eine Ordnung vor, die nicht mehr stimmt. Somit lohnt sich eine klare Zuständigkeit von Beginn an.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Braucht mein kleines Unternehmen wirklich ein Verarbeitungsverzeichnis?

In den meisten Fällen ja. Zwar befreit Art. 30 Abs. 5 DSGVO Betriebe unter 250 Beschäftigten. Doch die Ausnahme gilt nur bei gelegentlicher Verarbeitung ohne Risiko. Wer Löhne verrechnet oder eine Kundendatenbank führt, verarbeitet regelmäßig. Deshalb braucht fast jedes KMU ein Verzeichnis.

Was passiert, wenn ich kein Verarbeitungsverzeichnis führe?

Ein fehlendes Verzeichnis gilt als Verstoß nach Art. 83 DSGVO. Möglich sind Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes. Zudem prüft die Behörde das Verzeichnis oft zuerst. Fehlt es, entsteht sofort ein schlechter Eindruck und weitere Prüfungen folgen.

Welche Angaben muss ein Verarbeitungsverzeichnis enthalten?

Für Verantwortliche verlangt Art. 30 DSGVO acht Angaben. Nämlich Verantwortlicher, Zwecke, Kategorien der Betroffenen und der Daten, Empfänger, Drittlandtransfers, Löschfristen und die technischen und organisatorischen Maßnahmen. Jede Verarbeitungstätigkeit bekommt dabei eine eigene Zeile.

Worin unterscheiden sich Verantwortlicher und Auftragsverarbeiter?

Der Verantwortliche entscheidet über Zweck und Mittel der Verarbeitung. Der Auftragsverarbeiter verarbeitet Daten nur im Auftrag, etwa ein IT-Dienstleister. Das Verzeichnis des Auftragsverarbeiters ist schlanker. Viele Betriebe sind beides zugleich und brauchen dann zwei getrennte Verzeichnisse.

Gibt es ein Muster für das Verarbeitungsverzeichnis?

Ja, die WKO stellt kostenlose Vorlagen für Verantwortliche und Auftragsverarbeiter bereit. Auch deutsche Aufsichtsbehörden bieten Muster mit Ausfüllhilfe. Eine strukturierte Tabelle genügt als Format. Sie brauchen also keine teure Software, um zu starten.

Wie oft muss ich das Verzeichnis aktualisieren?

Immer dann, wenn sich Ihre Datenverarbeitung ändert. Etwa bei neuer Software, einem neuen Webshop oder einem neuen Dienstleister. Zusätzlich empfiehlt sich eine jährliche Komplettprüfung. Notieren Sie das Datum, um die laufende Pflege nachzuweisen.

In welcher Form muss das Verzeichnis vorliegen?

Art. 30 DSGVO verlangt eine schriftliche Form. Diese darf auch elektronisch sein, etwa als Tabelle oder in einer Datenschutz-Software. Auf Anfrage müssen Sie das Verzeichnis der Datenschutzbehörde vorlegen. Deshalb sollte es jederzeit aktuell und vollständig sein.

Fazit: Ein gutes Verzeichnis schafft Überblick

Das Verarbeitungsverzeichnis ist die Pflichtdokumentation nach Art. 30 DSGVO. Fast jedes Unternehmen muss es führen, denn die Größenausnahme greift kaum. Für jede Verarbeitungstätigkeit halten Sie acht Pflichtangaben fest. Vom Zweck über die Empfänger bis zu Löschfristen und Schutzmaßnahmen. Zunächst klären Sie Ihre Rolle als Verantwortlicher oder Auftragsverarbeiter. Danach entsteht das Verzeichnis Schritt für Schritt in einer Tabelle.

Der Aufwand zahlt sich mehrfach aus. Denn ein gepflegtes Verzeichnis erfüllt nicht nur die Pflicht. Es verschafft Ihnen den schnellsten Überblick über Ihre Daten. Kommt eine Anfrage oder eine Panne, sparen Sie damit wertvolle Zeit. Halten Sie es aktuell, und es bleibt Ihr verlässlichstes Datenschutz-Werkzeug. Bei Fragen zum Aufbau begleiten wir Sie gerne.

SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren