Verarbeitungs­verzeichnis: die 250-Ausnahme trägt fast nie

Art. 30 Abs. 5 DSGVO gilt als der Satz, der kleine Unternehmen vom Verarbeitungsverzeichnis befreit. Er tut es selten: Die Erleichterung greift nur unterhalb von 250 Mitarbeitern, und sie entfällt bereits, wenn eine einzige von drei Bedingungen zutrifft. Eine davon erfüllt schon die laufende Lohnabrechnung. Dieser Beitrag zeigt, wann die Ausnahme trägt und was auch dann bleibt.

Wie Art. 30 Abs. 5 DSGVO aufgebaut ist

Die Vorschrift arbeitet mit zwei Stufen. Zuerst die Zahl: Art. 30 Abs. 5 DSGVO nimmt Unternehmen und Einrichtungen mit weniger als 250 Mitarbeitern von den Pflichten der Absätze 1 und 2 aus. Ab 250 Beschäftigten gilt die Pflicht ohne Erleichterung. Dann folgt der Halbsatz „es sei denn“. Dort entscheidet sich fast alles.

Auf ihn folgen drei Gründe. Entscheidend ist, wie der Wortlaut sie verknüpft: mit „oder“, nicht mit „und“. Es genügt also einer.

• Die vorgenommene Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, oder
• die Verarbeitung erfolgt nicht nur gelegentlich, oder
• es werden besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO oder Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO verarbeitet.

Daraus ergibt sich die Reihenfolge der Prüfung. Die Mitarbeiterzahl ist der Einstieg, nicht das Ergebnis. Unterhalb von 250 Beschäftigten beginnt die eigentliche Frage erst, und sie wird dreimal gestellt.

Die drei Bedingungen und was sie auslöst

Wie weit die Gründe reichen, hat eine Aufsichtsbehörde ausbuchstabiert. Die rechte Spalte gibt ein einziges Papier wieder: die Hinweise der Landesbeauftragten für den Datenschutz Niedersachsen zum Verzeichnis von Verarbeitungstätigkeiten, Stand 30. Juni 2017. Andere Behörden sind daran nicht gebunden.

Die zweite Zeile ist die, an der die Ausnahme scheitert: Erfasst ist alles, was laufend oder wiederkehrend stattfindet. Der Schluss der LfD Niedersachsen: „Wegen der regelmäßig erfolgenden Lohnabrechnungen werden damit kaum Unternehmen von der Pflicht eines solchen Verzeichnisses generell befreit sein, allenfalls Unternehmen, die diese Tätigkeiten komplett durch einen Steuerberater erledigen lassen sowie eventuell kleinere Vereine.“

Oft fallen zwei Bedingungen zusammen. Bei Lohnabrechnungen lägen mit der Konfessionszugehörigkeit „zumeist auch gleich besondere Datenkategorien i.S.d. Art. 9 Abs. 1 DS-GVO vor“, schreibt dieselbe Behörde. Auch Gesundheitsdaten von Beschäftigten fallen darunter. Ihr Gesamturteil: „Es ist davon auszugehen, dass die Ausnahmen nur selten greifen werden.“

Was auch ohne Verzeichnispflicht bleibt

Der Absatz nimmt von den Pflichten der Absätze 1 und 2 aus. Andere Vorschriften berührt er nicht. Der Verantwortliche muss die Einhaltung der Grundsätze der Verarbeitung weiterhin nachweisen können (Art. 5 Abs. 2 DSGVO). Die LfD Niedersachsen nennt das Verzeichnis selbst ein Mittel „für Zwecke der Rechenschafts- und Dokumentationspflicht, Art. 5 Abs. 2, Art. 24 DS-GVO“.

Ein Nein zur Verzeichnispflicht entlastet auch nicht von der Frage, wer welche Daten wozu verarbeitet. Die kommt bei der ersten Auskunftsanfrage zurück, und dann unter Frist: binnen eines Monats nach Eingang des Antrags (Art. 12 Abs. 3 DSGVO). Welche sieben Angaben Art. 30 Abs. 1 DSGVO verlangt, steht im Beitrag zum schlanken Verarbeitungsverzeichnis für KMU.

Wer sich auf die Ausnahme beruft, sollte die Prüfung festhalten: die drei Bedingungen, die Antwort auf jede, das Datum. Vorgeschrieben ist eine solche Notiz nicht, sie ist eine Empfehlung. Ohne sie steht bei einer Rückfrage der Aufsicht eine Behauptung ohne Beleg im Raum.

Die 250 aus Art. 30 sind nicht die 20 aus § 38 BDSG

Zwei Schwellen werden verwechselt, weil beide mit Personenzahlen arbeiten. Sie betreffen verschiedene Pflichten und zählen verschieden.

Eine Zählregel für die 250 nennt Art. 30 Abs. 5 DSGVO nicht. Genaues Zählen bringt knapp darunter wenig: Dort entscheiden die drei Bedingungen. Wie bei der 20-Personen-Grenze gezählt wird, steht im Beitrag zur Pflicht zum Datenschutzbeauftragten ab 20 Personen.

Praxis: die Frage einmal beantworten und festhalten

BetroffenenRecht24 stellt diese Frage als Verzeichnis-Check bereit: zuerst die Beschäftigtenzahl, dann die drei Bedingungen einzeln. Ab 250 lautet das Ergebnis „Pflicht ohne Ausnahme“, bei einer zutreffenden Bedingung „Verzeichnis führen“. Bleibt eine Frage offen, gibt der Check keine Entwarnung, sondern benennt den offenen Punkt. Und selbst bei drei Verneinungen heißt die Ausgabe „nach Ihren Angaben greift die Erleichterung“ und nicht „befreit“.

Wer bei der Pflicht landet, führt das Verzeichnis in der App weiter: je Tätigkeit die sieben Angaben. Löschfristen und die technischen und organisatorischen Maßnahmen stehen im Wortlaut unter dem Vorbehalt „wenn möglich“ und werden deshalb getrennt ausgewiesen. Die Frage nach Art. 30 Abs. 5 DSGVO entscheidet die Software nicht, und sie ersetzt keine Rechtsberatung.

Häufige Fragen

Gilt die 250-Mitarbeiter-Ausnahme beim Verarbeitungs­verzeichnis für kleine Unternehmen?

Meistens nicht. Art. 30 Abs. 5 DSGVO nimmt Unternehmen mit weniger als 250 Mitarbeitern nur so lange von den Pflichten der Absätze 1 und 2 aus, wie keiner von drei Gründen vorliegt: ein Risiko für die Rechte und Freiheiten der betroffenen Personen, eine nicht nur gelegentliche Verarbeitung oder besondere Datenkategorien nach Art. 9 Abs. 1 bzw. Daten nach Art. 10 DSGVO. Einer genügt.

Was bedeutet „nicht nur gelegentlich“ in Art. 30 Abs. 5 DSGVO?

Gemeint sind Verarbeitungen, die laufend oder wiederkehrend stattfinden, nicht nur der einmalige Vorgang. Die Landesbeauftragte für den Datenschutz Niedersachsen fasst darunter in ihren Hinweisen zum Verzeichnis von Verarbeitungstätigkeiten (Stand 30. Juni 2017) „alle sonstigen Verarbeitungen“ und nennt als Beispiele Lohnabrechnungen, Kundendatenverwaltung, IT- und E-Mail-Protokollierung sowie Schulnoten.

Zählt die Lohnabrechnung als nicht nur gelegentliche Verarbeitung?

Ja. Eine laufende Lohn- und Gehaltsabrechnung erfüllt die zweite Bedingung des Art. 30 Abs. 5 DSGVO, und damit entfällt die Erleichterung für Unternehmen mit weniger als 250 Mitarbeitern. Die LfD Niedersachsen hält fest, dass wegen der regelmäßig erfolgenden Lohnabrechnungen kaum Unternehmen generell befreit sein werden, allenfalls solche, die diese Tätigkeiten komplett einem Steuerberater überlassen, sowie eventuell kleinere Vereine.

Was droht, wenn kein Verarbeitungs­verzeichnis geführt wird?

Art. 83 Abs. 4 lit. a DSGVO erfasst Verstöße gegen die Artikel 25 bis 39 und damit auch gegen Art. 30 DSGVO. Der Rahmen reicht bis zu 10 000 000 EUR oder bei einem Unternehmen bis zu 2 % des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Das ist ein Rahmen und keine Regelbuße.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen – wenden Sie sich dafür an fachkundige Beratung.