Verarbeitungsverzeichnis für KMU: der schlanke Weg nach Art. 30 DSGVO

Art. 30 DSGVO verlangt ein Verzeichnis von Verarbeitungstätigkeiten. Die vielzitierte Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern hängt an drei Gründen, die der Wortlaut mit „oder“ verknüpft — einer genügt, und die Pflicht steht. Dieser Beitrag zeigt die sieben Pflichtangaben im Wortlaut, den Grund für den Wegfall der Ausnahme und den schlanken Weg für kleine Unternehmen.

Was Art. 30 DSGVO verlangt

Art. 30 Abs. 1 DSGVO beginnt ohne Schwelle: Jeder Verantwortliche führt ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen. „Dieses Verzeichnis enthält sämtliche folgenden Angaben“, heißt es weiter. Die Landesbeauftragte für den Datenschutz Niedersachsen liest den Katalog als Untergrenze: Das Verzeichnis müsse „sämtliche der in Art. 30 Abs. 1 S. 2 lit a bis g DS-GVO enumerativ genannten Angaben“ enthalten, und ausgehend von diesen Mindestanforderungen seien Inhalt und Umfang „je nach Art und Größenordnung der Stelle“ zu differenzieren.

Zwei Wörter im Katalog verdienen Aufmerksamkeit. Der Vorbehalt „wenn möglich“ steht ausschließlich bei f und g. Und „gegebenenfalls“ steht bei a und e. Die Buchstaben b, c und d kennen keinen dieser Zusätze.

Wer im Auftrag verarbeitet, führt ein zweites, kürzeres Verzeichnis. Art. 30 Abs. 2 DSGVO verlangt vier Angaben: Namen und Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, in dessen Auftrag er tätig ist, dazu gegebenenfalls der Vertreter und ein etwaiger Datenschutzbeauftragter; die Kategorien von Verarbeitungen, die im Auftrag jedes Verantwortlichen durchgeführt werden; gegebenenfalls Drittlandsübermittlungen mit der Dokumentierung geeigneter Garantien; und, wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 DSGVO.

Zur Form ist der Wortlaut knapp. Art. 30 Abs. 3 DSGVO: „Das in den Absätzen 1 und 2 genannte Verzeichnis ist schriftlich zu führen, was auch in einem elektronischen Format erfolgen kann.“ Art. 30 Abs. 4 DSGVO verpflichtet Verantwortliche, Auftragsverarbeiter und gegebenenfalls deren Vertreter, der Aufsichtsbehörde das Verzeichnis auf Anfrage zur Verfügung zu stellen. Eine anlasslose Meldepflicht steht dort nicht.

Die Ausnahme unter 250 Beschäftigten

Art. 30 Abs. 5 DSGVO nimmt Unternehmen und Einrichtungen mit weniger als 250 Mitarbeitern von den Pflichten der Absätze 1 und 2 aus — „es sei denn“, einer von drei Gründen liegt vor. Entscheidend ist, wie der Satz diese Gründe verknüpft: mit „oder“, nicht mit „und“.

• Die vorgenommene Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, oder
• die Verarbeitung erfolgt nicht nur gelegentlich, oder
• es erfolgt eine Verarbeitung besonderer Datenkategorien gemäß Art. 9 Abs. 1 DSGVO bzw. von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Art. 10 DSGVO.

Die Landesbeauftragte für den Datenschutz Niedersachsen zieht daraus in ihren Hinweisen zum Verzeichnis von Verarbeitungstätigkeiten (Stand 30. Juni 2017) den Schluss: „Die Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten besteht also bereits dann, wenn mindestens eine der genannten drei Fallgruppen erfüllt ist.“ Die folgenden Beispiele stammen aus demselben Papier.

Wo die Ausnahme greift, entfällt genau das, was Art. 30 Abs. 5 DSGVO benennt: die Pflichten der Absätze 1 und 2. Andere Vorschriften bleiben davon unberührt. Die LfD Niedersachsen führt das Verzeichnis selbst als Mittel auf, das über die reine Dokumentation hinaus „für Zwecke der Rechenschafts- und Dokumentationspflicht, Art. 5 Abs. 2, Art. 24 DS-GVO“ eingesetzt werden kann.

Der schlanke Weg: fünf Schritte

Ein Verzeichnis wird groß, wenn man es an Systemen entlang baut, und klein, wenn man es an Tätigkeiten entlang baut. Die LfD Niedersachsen gliedert die Zwecke nach lit. b selbst so auf: Personalaktenführung und Stammdaten, Lohn-, Gehalts- und Bezügeabrechnung, Arbeitszeiterfassung, Urlaubsdatei, Nutzungsprotokollierungen IT, Internet und E-Mail, Bewerbungsverfahren.

Pflicht ist nach lit. c eine Beschreibung der Kategorien betroffener Personen und personenbezogener Daten. Einzelne Datenfelder darüber hinaus sind aber kein Fehler: Die LfD Niedersachsen gliedert ihre eigenen Beispiele zu lit. c genau so auf, etwa „Mitarbeiter-Stammdaten mit Adressdaten, Geburtsdatum, Bankverbindung, Steuermerkmale, Lohngruppe“ oder „Kunden-Kontaktdaten mit Adressdaten, Ansprechpartnern“. Für die weiteren Verwendungen des Verzeichnisses hält sie zusätzliche Informationen sogar für zwangsläufig nötig und nennt beispielhaft einzelne Datenfelder, Herkunft und Quelle der Daten, die Rechtsgrundlage der Verarbeitung sowie zugriffsberechtigte Personen und Personengruppen.

Ein Ordnungstipp aus demselben Papier kostet nichts und spart später Arbeit: Vergeben Sie den einzelnen Kategorien personenbezogener Daten laufende Nummern. Die LfD Niedersachsen empfiehlt das, weil sich damit die Angaben nach lit. d bis f — etwa konkrete Löschregeln — sauber der jeweiligen Datenkategorie zuordnen lassen. Was ein Verzeichnis dagegen wirklich aufbläht, ist dieselbe Tätigkeit doppelt zu führen.

Pflicht, Empfehlung, Praxis

Zwischen dem Wortlaut und dem, was eine Aufsichtsbehörde dazu veröffentlicht hat, liegt ein Bereich, der in Ratgebern gern zur Pflicht erklärt wird. Die rechte Spalte der folgenden Tabelle gibt ein einziges Papier wieder: die Hinweise der Landesbeauftragten für den Datenschutz Niedersachsen zum Verzeichnis von Verarbeitungstätigkeiten, Stand 30. Juni 2017. Andere Aufsichtsbehörden sind daran nicht gebunden, und das Papier arbeitet noch mit Verweisen auf das BDSG alter Fassung.

Zu den Rechtsfolgen: Art. 83 Abs. 4 lit. a DSGVO erfasst Verstöße gegen die Pflichten aus den Artikeln 25 bis 39 und damit auch gegen Art. 30. Der Einleitungssatz lautet: Es werden „Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist“. Maßgeblich ist also der höhere der beiden Beträge. Die LfD Niedersachsen nennt dazu als Verstöße die „fehlende oder nicht vollständige Führung eines Verzeichnisses aller Verarbeitungstätigkeiten“ und das „Nichtvorlegen des Verzeichnisses nach Aufforderung durch die Aufsichtsbehörde“. Das ist ein Rahmen, keine Regelbuße.

Verwechselt wird die Verzeichnispflicht oft mit der Pflicht zum Datenschutzbeauftragten. Die Schwellen sind verschieden: Nach § 38 Abs. 1 Satz 1 BDSG benennen Verantwortlicher und Auftragsverarbeiter ergänzend zu Art. 37 Abs. 1 lit. b und c DSGVO eine oder einen Datenschutzbeauftragten, „soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen“ — Details im Beitrag zur Pflicht zum Datenschutzbeauftragten ab 20 Personen.

Praxis: was das Verzeichnis zur Auskunft beiträgt

Den Nutzen zeigt das Verzeichnis nicht bei der Behörde, sondern bei der ersten Auskunftsanfrage. Wie groß dieser Nutzen ist, lässt sich genau beziffern, statt es zu behaupten. Art. 15 Abs. 1 DSGVO zählt acht Buchstaben auf, dazu kommt nach Art. 15 Abs. 3 DSGVO eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind. Drei dieser Angaben fragen nach demselben, was Art. 30 Abs. 1 DSGVO ohnehin verlangt.

• Die Verarbeitungszwecke — Art. 15 Abs. 1 lit. a, im Verzeichnis Art. 30 Abs. 1 lit. b.
• Die Kategorien personenbezogener Daten, die verarbeitet werden — Art. 15 Abs. 1 lit. b, im Verzeichnis Art. 30 Abs. 1 lit. c.
• Die geplante Speicherdauer oder die Kriterien für ihre Festlegung — Art. 15 Abs. 1 lit. d, im Verzeichnis Art. 30 Abs. 1 lit. f. Beide stehen unter einem Vorbehalt: „falls möglich“ dort, „wenn möglich“ hier.

Der Rest kommt nicht aus dem Verzeichnis, und das ist der ehrlichere Teil der Rechnung. Art. 15 Abs. 1 lit. c fragt nach den Empfängern oder Kategorien von Empfängern; Art. 30 Abs. 1 lit. d verlangt nur die Kategorien. Die Herkunft der Daten (Art. 15 Abs. 1 lit. g) und das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling (Art. 15 Abs. 1 lit. h) stehen im Katalog des Art. 30 Abs. 1 DSGVO überhaupt nicht. Und die Kopie nach Art. 15 Abs. 3 DSGVO betrifft die tatsächlich verarbeiteten Daten der antragstellenden Person — dafür hilft kein Verzeichnis, sondern nur der Zugriff auf die Systeme. Wie sich eine solche Auskunft zusammensetzt, zeigt der Beitrag zum Auskunftsantrag nach Art. 15 DSGVO.

Ohne Verzeichnis beginnt an dieser Stelle eine Suche durch Systeme und Zuständigkeiten, und zwar unter Zeitdruck: Der Verantwortliche stellt der betroffenen Person Informationen über die auf Antrag ergriffenen Maßnahmen unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags zur Verfügung (Art. 12 Abs. 3 DSGVO). Zur Berechnung dieser Frist siehe den Beitrag zur Ein-Monats-Frist bei Betroffenenanfragen.

BetroffenenRecht24 setzt an dieser Stelle an: Jede Anfrage wird als Vorgang mit Eingangsdatum, daraus berechneter Frist und Ampel geführt, und der Auskunftsentwurf ist entlang von sechs Feldern aufgebaut — Zwecke der Verarbeitung, Kategorien personenbezogener Daten, Empfänger oder Kategorien von Empfängern, geplante Speicherdauer, Herkunft der Daten und Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling. Wer sein Verzeichnis gepflegt hat, füllt die ersten Felder ab; die letzten beiden liefert kein Verzeichnis. Was die Software nicht tut: Sie erstellt kein Verarbeitungsverzeichnis und ersetzt keine Rechtsberatung. Ob Art. 30 Abs. 5 DSGVO greift, entscheidet der Verantwortliche — begründet und dokumentiert.

Häufige Fragen

Braucht ein Unternehmen mit weniger als 250 Beschäftigten ein Verarbeitungsverzeichnis?

In den meisten Fällen ja. Art. 30 Abs. 5 DSGVO nimmt Unternehmen und Einrichtungen mit weniger als 250 Mitarbeitern nur aus, solange keiner der drei genannten Gründe vorliegt: ein Risiko für die Rechte und Freiheiten der betroffenen Personen, eine nicht nur gelegentliche Verarbeitung oder die Verarbeitung besonderer Datenkategorien nach Art. 9 Abs. 1 bzw. von Daten nach Art. 10 DSGVO. Die LfD Niedersachsen hält fest, dass wegen der regelmäßig erfolgenden Lohnabrechnungen kaum Unternehmen generell befreit sein werden.

Was muss im Verarbeitungsverzeichnis stehen?

Art. 30 Abs. 1 DSGVO zählt sieben Angaben auf: Namen und Kontaktdaten des Verantwortlichen und gegebenenfalls weiterer Stellen, die Zwecke der Verarbeitung, eine Beschreibung der Kategorien betroffener Personen und personenbezogener Daten, die Kategorien von Empfängern, gegebenenfalls Drittlandsübermittlungen einschließlich der Angabe des betreffenden Drittlands sowie, wenn möglich, die Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1. Auftragsverarbeiter führen nach Abs. 2 ein eigenes Verzeichnis mit vier Angaben.

Reicht eine Tabellenkalkulation als Verarbeitungsverzeichnis?

Nach dem Wortlaut ja: Art. 30 Abs. 3 DSGVO verlangt, das Verzeichnis schriftlich zu führen, „was auch in einem elektronischen Format erfolgen kann“. Die LfD Niedersachsen weist ergänzend darauf hin, die Aufsichtsbehörde könne das Format der Vorlage eigenständig festlegen und daher auch bei elektronischer Führung einen Ausdruck verlangen (§ 3a VwVfG), begrenzt durch Verhältnismäßigkeit und Erforderlichkeit.

Muss das Verzeichnis bei der Aufsichtsbehörde eingereicht werden?

Nein. Nach Art. 30 Abs. 4 DSGVO ist es der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen; eine anlasslose Meldepflicht steht dort nicht. Die LfD Niedersachsen hält dazu fest, dass die bisher in § 4d und § 4e BDSG geregelten Meldepflichten an die Aufsichtsbehörde entfallen.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen — wenden Sie sich dafür an fachkundige Beratung.