Rechtsfrage

Das Verzeichnis der Verarbeitungstätigkeiten

Die Herausforderung eines Verzeichnisses der Verarbeitungstätigkeiten liegt meist nicht in seiner erstmaligen Erstellung, sondern in der kontinuierlichen Aktualisierung. Eine ausschließlich zentrale Pflege bildet häufig nur einen veralteten Stand ab, da die fachlichen Informationen in den jeweiligen Fachbereichen entstehen. Zuverlässig bleibt das Verzeichnis erst dann, wenn neue Verarbeitungstätigkeiten unmittelbar dort erfasst werden, wo sie eingeführt oder verändert werden.

Eine Tabelle ohne Pflege

Auf dem Tisch liegt eine Tabelle, die vor drei Jahren jemand angelegt hat, der das Unternehmen inzwischen verlassen hat. Darin stehen Systeme, die abgelöst sind. Es fehlen die, die seither dazugekommen sind. Vorzulegen ist sie trotzdem in dieser Fassung.

Die Ausnahme für kleine Unternehmen befreit fast nie und nie ganz

Ob ein Unternehmen mit weniger als 250 Beschäftigten überhaupt ein Verzeichnis führen muss, entscheidet sich nicht an dieser Zahl. Die Pflicht trifft nach Art. 30 Abs. 1 DSGVO jeden Verantwortlichen und nach Absatz 2 jeden Auftragsverarbeiter. Absatz 5 nimmt kleinere Einheiten aus, allerdings nur, soweit drei Arten von Verarbeitung nicht vorliegen.

Drei Fälle, von denen einer genügt

Die Verarbeitung fällt darunter	Merkmal	Die Verarbeitung fällt nicht darunter
Verzeichnis nötigJedes Risiko genügt, nicht erst das hohe Risiko des Art. 35 DSGVO.	Risiko für die Rechte und Freiheiten	Insoweit befreit
Verzeichnis nötigGelegentlich ist eine Verarbeitung nur außerhalb des regelmäßigen Geschäftsbetriebs.	Nicht nur gelegentliche Verarbeitung	Insoweit befreit
Verzeichnis nötigEbenso Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO.	Besondere Kategorien nach Art. 9 Abs. 1 DSGVO	Insoweit befreit

Die drei Fälle stehen nebeneinander und nicht kumulativ. Ein Unternehmen mit Personal verarbeitet Beschäftigtendaten dauerhaft und erfüllt damit den zweiten. Die Zahl der Beschäftigten spielt danach keine Rolle mehr.

Der deutsche Wortlaut des Absatzes 5 ist an dieser Stelle schwer zu lesen, weil er die drei Fälle in eine Verneinung packt. Die englische Fassung setzt sie mit or nebeneinander. Die Artikel-29-Gruppe hat in ihrem Positionspapier vom 19.04.2018, das der Europäische Datenschutzausschuss am selben Tag übernommen hat, ausdrücklich festgehalten, dass schon einer von ihnen die Pflicht auslöst.

Die Befreiung fällt umgekehrt nicht als Ganzes weg. Nach demselben Papier erstreckt sich die Pflicht in einem kleinen Unternehmen auf die Verarbeitungen der drei genannten Arten und nicht zwangsläufig auf jede weitere. Praktisch bleibt davon wenig übrig, denn die Abgrenzung kostet mehr Aufwand als die Aufnahme.

Wenn möglich ist keine Einladung, die Spalte leer zu lassen

Wie tief die sieben Angaben reichen müssen, bleibt im Verordnungstext offen und entscheidet sich an zwei Wörtern. Die Löschfristen und die Beschreibung der Maßnahmen stehen unter dem Vorbehalt „wenn möglich“. Der Vorbehalt betrifft die Angabe und nicht die Sorgfalt.

Die sieben Angaben nach Art. 30 Abs. 1 DSGVO

Verantwortliche Stelle und Kontaktdaten

Dazu gehören ggf. der Vertreter und die oder der Datenschutzbeauftragte. Bei mehreren Gesellschaften einer Gruppe wäre je Gesellschaft ein eigenes Verzeichnis zu führen, denn verantwortlich ist die einzelne Stelle und nicht der Verbund.

Die Zwecke der Verarbeitung

Der Zweck unterscheidet eine Tätigkeit von der nächsten. Bewerberverwaltung und Lohnabrechnung verfolgen verschiedene Zwecke und sind deshalb zwei Tätigkeiten, auch wenn dieselbe Software beide erledigt.

Kategorien betroffener Personen und von Daten

Kategorien und nicht Einzelfälle. Beschäftigte, Bewerberinnen, Kundschaft und Besucher sind Kategorien betroffener Personen, Stammdaten, Vertragsdaten und Gesundheitsdaten sind Kategorien von Daten. Besondere Kategorien nach Art. 9 Abs. 1 DSGVO gehören ausgewiesen, weil sie die Datenschutzfolgenabschätzung und die Maßnahmen maßgeblich beeinflussen.

Kategorien von Empfängern

Empfänger sind auch Auftragsverarbeiter. Die Angabe sollte so genau ausfallen, dass sich ein Drittlandbezug daraus ablesen lässt. „Dienstleister“ genügt dafür nicht, „Rechenzentrum in Irland, Support in Indien“ schon.

Übermittlungen in Drittländer

Zu nennen sind das Drittland und die Garantie, also der Angemessenheitsbeschluss, die Standardvertragsklauseln oder eine Ausnahme nach Art. 49 DSGVO. Diese Zeile ist der Einstieg in das Transfer Impact Assessment und häufig der Anlass, es überhaupt zu bemerken.

Die vorgesehenen Löschfristen

Wo eine Frist noch nicht feststeht, gehörten die Kriterien hinein, nach denen sie sich bestimmt. Steht dort eine Frist, die kein System ausführt, ist die Angabe falsch und nicht unvollständig.

Die technischen und organisatorischen Maßnahmen

Einen brauchbaren Maßstab gibt die Datenschutzkonferenz. Die Beschreibung der Maßnahmen nach Art. 32 DSGVO solle so konkret erfolgen, dass die Aufsichtsbehörden eine erste Rechtmäßigkeitsüberprüfung vornehmen können. Eine Aufzählung von Schlagworten erfüllt das nicht.

Der schwierigste Schnitt verläuft zwischen Verarbeitungstätigkeit und System. Eine Tätigkeit ist ein Vorgang mit einem eigenen Zweck und kein Programm. Umgekehrt wäre es ein Fehler, jedes Formular einzeln zu führen. Zweihundert Einträge pflegt niemand. Ein ungepflegtes Verzeichnis wiegt im Prüfungsfall schwerer als ein knappes.

Ohne Verzeichnis wird die Verarbeitung nicht rechtswidrig

Die Folgen eines fehlenden Verzeichnisses der Verarbeitungstätigkeiten werden häufig in beide Richtungen überschätzt. Während die eine Sichtweise jede Verarbeitung ohne Verzeichnis als unzulässig betrachtet, geht die andere davon aus, dass ein Verstoß gegen die Dokumentationspflicht keine praktischen Konsequenzen hat.

Der Gerichtshof hat die erste am 04.05.2023 verworfen. Ein Verstoß gegen Art. 26 und Art. 30 DSGVO sei keine unrechtmäßige Verarbeitung im Sinne von Art. 17 Abs. 1 Buchst. d und Art. 18 Abs. 1 Buchst. b DSGVO und gebe der betroffenen Person daher weder einen Anspruch auf Löschung noch auf Einschränkung.

Die Begründung liegt in der Systematik. Die Verordnung unterscheidet die Grundsätze ihres Kapitels II, zu denen Art. 5 und Art. 6 DSGVO zählen, von den allgemeinen Pflichten des Kapitels IV, zu denen Art. 30 DSGVO gehört. Das Verzeichnis ist demnach keine Voraussetzung der Rechtmäßigkeit.

Ein Verzeichnis veraltet nicht nach Kalender, sondern mit der Änderung

Woran die Fortschreibung hängt und wer die Angaben liefert, bleibt in den meisten Unternehmen ungeklärt. Nach Art. 30 Abs. 1 DSGVO führt der Verantwortliche das Verzeichnis. Die oder der Datenschutzbeauftragte überwacht die Einhaltung nach Art. 39 Abs. 1 Buchst. b DSGVO. Beides fällt auseinander. In der Praxis fällt es zusammen.

Die Angaben kennen die Fachbereiche. Zentrale Pflege liefert deshalb die Abschrift des letzten Standes und keine Bestandsaufnahme.

Vier Anlässe, an denen ein Eintrag von selbst entsteht

Beschaffung
Eine neue Software wird ausgewählt. Zweck, Datenkategorien und Empfänger stehen in diesem Moment fest und danach nie wieder so genau.
Freigabe eines Verfahrens
Ein Fachbereich nimmt einen neuen Vorgang auf. Wer freigibt, kennt den Zweck.
Änderung am Bestand
Eine Schnittstelle kommt dazu, ein Empfänger wechselt, eine Frist ändert sich.
Ablösung eines Systems
Der Eintrag wird geschlossen. Dabei stellt sich die Frage nach den Altdaten.

Ein Verzeichnis bleibt nur dann dauerhaft aktuell, wenn seine Pflege in bestehende Arbeitsabläufe integriert wird. Werden Einträge unmittelbar bei der Einführung oder Änderung einer Verarbeitungstätigkeit erstellt, entstehen sie sowohl zum richtigen Zeitpunkt als auch dort, wo das erforderliche Wissen vorhanden ist.

Verzeichnis der Verarbeitungstätigkeiten und Löschkonzept basieren auf derselben Grundlage: den dokumentierten Verarbeitungstätigkeiten. Werden beide getrennt gepflegt, entwickeln sie sich erfahrungsgemäß innerhalb kurzer Zeit auseinander.

So unterstützen wir Sie beim Verzeichnis der Verarbeitungstätigkeiten

Unsere Empfehlung geht über die Rechtspflicht hinaus. Ein strukturierter Überblick über die eigenen Verarbeitungen ist das Kernelement einer Datenschutzorganisation. Ohne ihn lässt sich keine weitere Pflicht zuordnen. Über die Form ließe sich streiten, über das Ob nicht.

Was eine Bestandsaufnahme leistet

Die Liste der Tätigkeiten, geschnitten nach Zweck und nicht nach System
Die Zuordnung, welcher Fachbereich für welchen Eintrag zuliefert
Die Anlässe, an denen ein Eintrag entsteht, geändert und geschlossen wird
Der Abgleich mit dem Löschkonzept, damit beide dieselbe Liste benutzen

Häufige Fragen

Gilt die Ausnahme für Unternehmen unter 250 Beschäftigten?

Nur selten und dann auch nur teilweise. Art. 30 Abs. 5 DSGVO nimmt drei Arten von Verarbeitung von der Befreiung aus. Schon eine davon begründet die Pflicht. Beschäftigtendaten werden nicht gelegentlich verarbeitet. Die Pflicht erfasst dann diese Verarbeitungen und nicht zwingend jede weitere.

Muss das Verzeichnis vorgelegt werden?

Auf Anfrage der Aufsichtsbehörde, Art. 30 Abs. 4 DSGVO. Das Nichtvorlegen ist nach Art. 83 Abs. 4 Buchst. a DSGVO eigenständig bewehrt, unabhängig davon, ob ein Verzeichnis existiert.

Genügt eine Tabelle?

Verlangt ist Schriftform einschließlich eines elektronischen Formats, Art. 30 Abs. 3 DSGVO. Eine Tabelle genügt, solange sie gepflegt wird. Das Werkzeug entscheidet weniger als die Frage, wer sie bei einer Änderung anfasst.

Wie oft ist das Verzeichnis fortzuschreiben?

Die DSGVO nennt keine Frist. Eine feste Frist ersetzt den Anlass nicht, denn ein Verzeichnis veraltet nicht nach Kalender, sondern mit der nächsten Änderung. Praktikabel ist die Kopplung an Beschaffung und Verfahrensfreigabe, ergänzt um einen jährlichen Abgleich.

Weitere Fragen aus diesem Bereich

Kontaktieren Sie uns!

Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!

Kontakt aufnehmen

Alternativ können Sie um einen Rückruf bitten.