Müssen Sie ein Verarbeitungsverzeichnis führen?
Die Erleichterung des Art. 30 Abs. 5 DSGVO gilt für Unternehmen und Einrichtungen mit weniger als 250 Mitarbeitern – und sie entfällt bereits, wenn eine von drei Bedingungen zutrifft. Der Rechner fragt deshalb genau diese drei ab, statt aus einer kleinen Beschäftigtenzahl eine Befreiung zu machen.
Die Erleichterung für Unternehmen mit weniger als 250 Beschäftigten entfällt bereits, wenn eine der drei Bedingungen zutrifft. Es wird nichts gespeichert.
Eine laufende Lohnabrechnung, eine gepflegte Kundendatei oder ein dauerhaft betriebener Newsletter sind nicht nur gelegentlich.
Ihre Einordnung erscheint hier.
So geht es
- Beschäftigtenzahl eintragenAb 250 Beschäftigten ist die Frage entschieden, denn die Erleichterung des Abs. 5 greift erst darunter. Die Angabe ist freiwillig: Fehlt sie, fragt der Rechner die drei Bedingungen trotzdem ab.
- Die drei Bedingungen beantwortenRisiko für die Rechte und Freiheiten der betroffenen Personen, Verarbeitung nicht nur gelegentlich, besondere Kategorien nach Art. 9 Abs. 1 DSGVO oder Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO. Eine davon genügt.
- Pflichtlage lesenSie sehen im Klartext, ob zu führen ist, welche Bedingungen zutreffen und welche noch offen sind. Solange eine offen ist, sagt der Rechner nicht, dass Sie befreit sind.
- Verzeichnis anlegenGeführt wird schriftlich, elektronisch genügt ausdrücklich (Art. 30 Abs. 3 DSGVO), und der Aufsichtsbehörde ist es auf Anfrage zur Verfügung zu stellen (Art. 30 Abs. 4 DSGVO).
Die Erleichterung ist eng, ihre Rückausnahme ist weit
Art. 30 Abs. 5 DSGVO nimmt Unternehmen und Einrichtungen mit weniger als 250 Mitarbeitern aus. Das Wort „weniger“ grenzt scharf ab: Bei genau 250 gilt die Pflicht ohne Umweg. Darunter hängt alles an drei Bedingungen, und es genügt eine einzige, damit die Erleichterung entfällt – Risiko für die Rechte und Freiheiten, Verarbeitung nicht nur gelegentlich, oder besondere Kategorien nach Art. 9 beziehungsweise Daten nach Art. 10.
Die mittlere ist die, an der die meisten Betriebe hängen bleiben. Wer monatlich Löhne abrechnet, eine Kundendatei pflegt oder dauerhaft einen Newsletter betreibt, verarbeitet regelmäßig und nicht bei Gelegenheit. Die Datenschutzkonferenz der Aufsichtsbehörden ordnet die laufende Lohnabrechnung genau so ein und schließt daraus, dass kaum ein Unternehmen generell befreit sein wird; als Gegenfälle nennt sie den Betrieb, der die Lohnabrechnung vollständig dem Steuerberater überlässt, und kleinere Vereine. Das ist die Auffassung der Aufsichtsbehörden und nicht der Verordnungstext – es ist aber die Praxis, an der Sie gemessen werden.
Was der Rechner nicht ausgibt
Eine Befreiung. Solange eine der drei Bedingungen unbeantwortet ist, bleibt es beim Ergebnis, das Verzeichnis zu führen, denn eine Lücke ist keine Verneinung. Und selbst bei dreimal Nein heißt das Ergebnis, dass die Erleichterung nach Ihren Angaben greift, und nicht, dass Sie befreit sind.
Das ist keine Vorsicht um ihrer selbst willen. Die Einschätzung, ob eine Verarbeitung nur gelegentlich erfolgt, fällt in der Aufsichtspraxis regelmäßig strenger aus als erwartet; ein geführtes Verzeichnis kostet weniger Zeit als die Begründung, warum keines geführt wurde.
Zwei Rollen, zwei Verzeichnisse
Wer im Auftrag eines anderen verarbeitet, führt ein eigenes Verzeichnis mit anderen Angaben (Art. 30 Abs. 2 DSGVO). Viele Betriebe sind beides zugleich: verantwortlich für die Daten der eigenen Beschäftigten und Kunden, Auftragsverarbeiter für die Daten ihrer Auftraggeber. Die Frage nach der Pflicht ist dann zweimal zu stellen.
Der Rechner beantwortet sie entlang der drei Bedingungen des Abs. 5. Welche Angaben danach in welches Verzeichnis gehören, unterscheidet sich je nach Rolle; der Katalog für Verantwortliche steht in Art. 30 Abs. 1 DSGVO und umfasst sieben Angaben, von denen zwei unter dem Vorbehalt „wenn möglich“ stehen.
Häufige Fragen
Wir haben zwölf Beschäftigte – sind wir befreit?
Die Zahl allein entscheidet nichts. Sie öffnet nur die Tür zur Erleichterung des Art. 30 Abs. 5 DSGVO; ob diese greift, hängt an den drei Bedingungen. In vielen Kleinbetrieben trifft schon die laufende Lohnabrechnung eine davon.
Was gilt als „nicht nur gelegentlich“?
Die Verordnung definiert es nicht. Die Aufsichtsbehörden stellen auf die Regelmäßigkeit ab: Was zum laufenden Betrieb gehört, erfolgt nicht gelegentlich. Diese Einschätzung gehört dokumentiert und nicht geschätzt, denn sie entscheidet über die Pflicht.
Was passiert, wenn die Aufsichtsbehörde fragt und nichts vorliegt?
Art. 30 Abs. 4 DSGVO verlangt, das Verzeichnis auf Anfrage zur Verfügung zu stellen. Wer erst dann anfängt, schreibt es unter Zeitdruck und aus Angaben, die im Betrieb verstreut liegen. Die ehrlichere Frage ist deshalb nicht, ob es sein muss, sondern wie lange es dauert.
Muss die Prüfung wiederholt werden?
Sie gehört an jede Änderung: Die Beschäftigtenzahl kann steigen, und eine neue Verarbeitung kann eine der drei Bedingungen erfüllen. Ein fester Jahresrhythmus steht dazu nicht im Gesetz.
Alle Funktionen inklusive. Keine Kreditkarte.
Verzeichnis im Konto führenDrei Bedingungen einzeln abgefragt · Offene Frage gilt nicht als Nein · Rechnet ohne Anmeldung
Ob eine der drei Bedingungen des Art. 30 Abs. 5 DSGVO zutrifft, entscheidet der Verantwortliche. BetroffenenRecht24 dokumentiert Fristen und stellt Textbausteine bereit, es ist keine Rechtsberatung im Einzelfall; die Bewertung bleibt beim Verantwortlichen.