Das Verzeichnis von Verarbeitungstätigkeiten erstellen

Das Verzeichnis ist der Pflichtteil, den Sie der Aufsichtsbehörde auf Anfrage vorlegen müssen (Art. 30 Abs. 4 DSGVO). Art. 30 Abs. 1 DSGVO verlangt dafür sieben Angaben je Verarbeitungstätigkeit, und die Ausnahme für kleine Unternehmen trägt seltener, als ihr Ruf vermuten lässt. BetroffenenRecht24 führt das Verzeichnis als Formular mit genau diesen sieben Feldern des Abs. 1.

Aktuell kostenlos

Alle Funktionen inklusive. Keine Kreditkarte.

Verarbeitungstätigkeit anlegen

Sieben Felder in der Reihenfolge des Wortlauts · Die beiden Soll-Angaben gekennzeichnet · Server in Deutschland

So geht es

Verarbeitung anlegenEine Zeile je Verarbeitungstätigkeit: Lohnabrechnung, Kundenverwaltung, Bewerbungen. Das Verzeichnis wächst so mit dem Betrieb, statt einmal im Jahr neu geschrieben zu werden.
Sieben Felder ausfüllenVerantwortlicher, Zwecke, Kategorien betroffener Personen und Daten, Empfängerkategorien, Drittlandsübermittlungen samt Garantien, Löschfristen sowie technische und organisatorische Maßnahmen (Art. 30 Abs. 1 lit. a bis g).
Pflicht von Soll unterscheidenLöschfristen (lit. f) und Maßnahmen (lit. g) stehen im Wortlaut unter dem Vorbehalt „wenn möglich“, die anderen fünf nicht. Das Formular kennzeichnet den Unterschied, statt alle sieben gleich zu behandeln.
Vorlagefertig haltenDie Form ist schriftlich, elektronisch genügt (Art. 30 Abs. 3 DSGVO). Der Aufsichtsbehörde ist das Verzeichnis auf Anfrage zur Verfügung zu stellen (Art. 30 Abs. 4) – es liegt dort, wo auch Anfragen und Pannen liegen.

Die sieben Angaben – und die beiden „wenn möglich“

Art. 30 Abs. 1 DSGVO verlangt je Verarbeitungstätigkeit: a) Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des gemeinsam Verantwortlichen, des Vertreters und des Datenschutzbeauftragten; b) die Zwecke der Verarbeitung; c) eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten; d) die Kategorien von Empfängern, gegenüber denen die Daten offengelegt worden sind oder noch offengelegt werden; e) Übermittlungen in ein Drittland oder an eine internationale Organisation samt Dokumentation der geeigneten Garantien; f) wenn möglich die vorgesehenen Löschfristen; g) wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1.

Die beiden „wenn möglich“ bei f und g sind der Unterschied zwischen einer Pflichtangabe und einer Sollangabe. Wer alle sieben Felder gleich behandelt, verschärft die Vorschrift; wer die beiden weglässt, unterschlägt sie. Im Formular tragen sie deshalb ein eigenes Kennzeichen und stehen nicht im Fließtext, wo sie beim Ausfüllen niemand liest.

Die 250-Beschäftigten-Ausnahme trägt fast nie

Art. 30 Abs. 5 DSGVO nimmt Unternehmen und Einrichtungen mit weniger als 250 Mitarbeitern aus – aber nur, solange keine der drei Rückausnahmen greift. Die Ausnahme entfällt bereits, wenn die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, wenn sie nicht nur gelegentlich erfolgt, oder wenn besondere Kategorien nach Art. 9 Abs. 1 beziehungsweise Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 verarbeitet werden. Eine der drei genügt.

Praktisch ist es die mittlere, die sie aushebelt. Die Datenschutzkonferenz der Aufsichtsbehörden zählt die Lohnabrechnung ausdrücklich zu den Verarbeitungen, die „nicht nur gelegentlich“ erfolgen, und schließt daraus, dass kaum ein Unternehmen generell befreit sein wird. Sie nennt aber auch die Gegenfälle: wer die Lohnabrechnung vollständig durch einen Steuerberater erledigen lässt, und kleinere Vereine. Das ist die Auffassung der Aufsichtsbehörden und nicht der Verordnungstext. Bei genau 250 Beschäftigten greift die Ausnahme ohnehin nicht mehr, denn der Wortlaut sagt „weniger als 250“. Das Formular rechnet deshalb nicht „unter 250 gleich befreit“, sondern fragt die drei Bedingungen ab.

Häufige Fragen

Wer muss ein Verzeichnis führen?

Im Grundsatz jeder Verantwortliche. Die Ausnahme des Art. 30 Abs. 5 DSGVO für Unternehmen mit weniger als 250 Beschäftigten entfällt, sobald eine von drei Bedingungen zutrifft; die Aufsichtsbehörden zählen die laufende Lohnabrechnung zu den Verarbeitungen, die „nicht nur gelegentlich“ erfolgen. Wer im Auftrag verarbeitet, führt daneben ein eigenes Verzeichnis mit anderen Angaben (Art. 30 Abs. 2 DSGVO) – dieses Formular bildet den Katalog des Abs. 1 für Verantwortliche ab.

Reicht eine Tabelle?

Die Form ist schriftlich, elektronische Form genügt ausdrücklich (Art. 30 Abs. 3 DSGVO). Entscheidend ist nicht das Werkzeug, sondern dass alle Angaben je Verarbeitungstätigkeit vorhanden und aktuell sind.

Was, wenn die Löschfristen noch nicht feststehen?

lit. f steht unter dem Vorbehalt „wenn möglich“. Das befreit nicht vom Nachdenken, macht die Angabe aber zur Soll- und nicht zur Pflichtangabe. Das Formular kennzeichnet beides getrennt, statt Sie an einem Pflichtfeld hängen zu lassen.

Was kostet das Verzeichnis?

Derzeit nichts. Die Verarbeitungstätigkeiten legen Sie in jedem Konto an und lesen sie dort – was Sie über den eigenen Betrieb eintragen, gehört Ihnen. Auch das fertige Schriftstück nach Art. 30 Abs. 4 DSGVO, also die Ausgabe für die Aufsichtsbehörde, ist zurzeit ohne Zahlungsdaten zu haben.