Verarbeitungsverzeichnis – die Liste, die jede Firma braucht

Das Verzeichnis der Verarbeitungstätigkeiten ist eine Liste: Was machst du mit personenbezogenen Daten, wozu, und wer bekommt sie? Artikel 30 DSGVO verlangt sie von praktisch jedem Unternehmen. Sie wird nirgends veröffentlicht und nirgends eingereicht – sie muss nur existieren und vorgelegt werden können, wenn die Aufsichtsbehörde danach fragt.

Genau deshalb fehlt sie so oft. Und genau deshalb kann der DSGVO-Check sie von außen nicht sehen und fragt dich.

Vorab: Ich bin Programmierer und Gestalter, kein Rechtsanwalt. Das hier ist Praxiswissen aus der Arbeit an vielen Websites, keine Rechtsberatung.

Die Ausnahme, die fast nie gilt

Verbreitet ist die Annahme, Unternehmen mit weniger als 250 Beschäftigten bräuchten kein Verzeichnis. Die Ausnahme steht tatsächlich im Gesetz – sie hat aber drei Bedingungen, und es genügt, dass eine nicht erfüllt ist:

• Die Verarbeitung birgt kein Risiko für die Betroffenen,
• sie erfolgt nur gelegentlich,
• und es geht nicht um besonders sensible Daten wie Gesundheitsdaten.

An der zweiten Bedingung scheitert es praktisch immer. Wer Kunden verwaltet, Rechnungen schreibt, Beschäftigte hat oder eine Website mit Kontaktformular betreibt, verarbeitet Daten regelmäßig. Das Verzeichnis ist damit auch für den Ein-Personen-Betrieb Pflicht.

Die gute Nachricht: Für eine kleine Firma sind es zwei bis vier Seiten.

Was hineingehört

Artikel 30 gibt die Angaben vor. Einmal für das ganze Verzeichnis:

• Name und Kontaktdaten des Unternehmens – und des Datenschutzbeauftragten, falls es einen gibt

Und dann für jede Verarbeitungstätigkeit:

• Zweck – wozu werden die Daten verarbeitet?
• Betroffene Personen – Interessenten, Kunden, Bewerber, Beschäftigte
• Art der Daten – Kontaktdaten, Vertragsdaten, Zahlungsdaten, Nutzungsdaten
• Empfänger – wer bekommt die Daten, einschließlich der Dienstleister
• Übermittlung in Länder außerhalb der EU – ob, wohin und auf welcher Grundlage
• Löschfristen
• Schutzmaßnahmen – eine allgemeine Beschreibung genügt

Nicht vorgeschrieben, aber dringend zu empfehlen ist eine weitere Spalte: die Rechtsgrundlage. Du brauchst sie ohnehin für die Datenschutzerklärung, und hier hast du sie an einer Stelle beisammen.

Was eine „Verarbeitungstätigkeit" ist

Nicht jede Software und nicht jedes Formularfeld bekommt einen eigenen Eintrag. Eine Tätigkeit ist ein Vorgang mit einem Zweck. Für eine kleine Firma ergeben sich typischerweise diese Einträge:

Rund um die Website

• Bereitstellung der Website (Zugriffsprotokolle beim Hoster)
• Kontaktanfragen über Formular und E-Mail
• Terminbuchung
• Newsletter
• Besucherstatistik
• Bewerbungen

Im übrigen Betrieb

• Kunden- und Auftragsverwaltung
• Rechnungsstellung und Buchhaltung
• Personalverwaltung und Lohnabrechnung
• E-Mail-Verkehr und Kalender

Der DSGVO-Check fragt, ob in deinem Verzeichnis die Website vorkommt – also die erste Gruppe. Sie wird am häufigsten vergessen, weil das Verzeichnis oft einmal von der Buchhaltung aus gedacht wurde.

Ein Eintrag zum Abschauen

So sieht der Eintrag für ein Kontaktformular aus. Die anderen folgen demselben Muster.

Und der Eintrag für die Website selbst:

Die Schutzmaßnahmen – einmal für alle

Die technischen und organisatorischen Maßnahmen beschreibst du nicht bei jedem Eintrag neu, sondern einmal am Ende. Für eine kleine Firma genügt eine halbe Seite mit Punkten wie:

• Rechner und Telefone mit Kennwort und Festplattenverschlüsselung
• Kennwörter in einem Kennwortverwalter, Anmeldung in zwei Schritten bei wichtigen Diensten
• Regelmäßige Aktualisierungen von Betriebssystem, Programmen und Website
• Datensicherung – wie oft, wohin, wie lange aufbewahrt
• Wer hat Zugriff worauf
• Website ausschließlich verschlüsselt erreichbar

Schreib auf, was tatsächlich so ist – nicht, was gut klingt.

So legst du es an

1. Vorlage besorgen. Die Datenschutzkonferenz und mehrere Landesbehörden stellen kostenlose Muster bereit, einige ausdrücklich für kleine Unternehmen und Vereine. Eine Tabelle genügt als Form – das Verzeichnis darf elektronisch geführt werden.
2. Tätigkeiten sammeln. Die Liste oben als Ausgangspunkt nehmen und streichen, was es bei dir nicht gibt.
3. Ausfüllen – mit dem, was du schon hast. Die Empfänger kennst du aus deiner Liste der Auftragsverarbeiter, die Fristen aus deinem Löschkonzept. Für die Website liefert der DSGVO-Check die gemessenen Dienste.
4. Mit der Datenschutzerklärung abgleichen. Beide beschreiben dasselbe aus zwei Blickwinkeln. Steht in der Erklärung ein Dienst, der im Verzeichnis fehlt – oder umgekehrt –, stimmt eines von beiden nicht.
5. Datum daraufschreiben und ablegen.

Aktuell halten

Ein Verzeichnis von 2018, das seitdem niemand angefasst hat, ist nur wenig besser als keines. Anlass für eine Änderung ist jedes Mal, wenn sich an der Verarbeitung etwas ändert:

• ein neues Werkzeug kommt dazu (Newsletter-Dienst, Terminbuchung, Statistik)
• ein Dienstleister wird gewechselt
• ein Formular fragt neue Daten ab
• ein Dienst wird abgeschaltet

Dazu einmal im Jahr ein Durchgang über alle Einträge. Zehn Minuten, wenn sich nichts geändert hat.

Wozu es wirklich gut ist

Das Verzeichnis ist nicht nur Pflicht. Es ist die Unterlage, aus der sich fast alles andere ableitet:

• Die Datenschutzerklärung lässt sich daraus Punkt für Punkt schreiben.
• Bei einer Auskunftsanfrage weißt du sofort, wo du nachsehen musst – siehe Auskunftsanfragen.
• Bei einer Datenpanne kannst du binnen Stunden sagen, welche Daten betroffen sein können.
• Und wenn die Aufsichtsbehörde fragt, ist das Verzeichnis das Erste, was sie sehen will. Wer es vorlegen kann, hat den wichtigsten Eindruck schon gemacht.