Noch knapp acht Monate bis zum 25. Mai 2018. Wenn wir derzeit mit kleinen Unternehmen über die Datenschutz-Grundverordnung sprechen, kommt eine Frage besonders oft: „Was ist dieses Verzeichnis, und brauchen wir das wirklich?“ Das Verzeichnis von Verarbeitungstätigkeiten ist das Herzstück der Datenschutzdokumentation nach DSGVO. Es klingt bürokratisch, ist aber mit etwas Systematik gut zu bewältigen. Hier ist unsere Anleitung für kleine Firmen.
Was ist das Verzeichnis von Verarbeitungstätigkeiten?
Das Verzeichnis ist eine Übersicht darüber, welche personenbezogenen Daten Ihr Unternehmen zu welchen Zwecken verarbeitet. Geregelt ist es in Artikel 30 der DSGVO. Es löst das bisherige Verfahrensverzeichnis nach dem Bundesdatenschutzgesetz ab. Wer bereits ein ordentliches Verfahrensverzeichnis hat, hat also eine gute Grundlage.
Zwei Unterschiede sind wichtig: Das neue Verzeichnis ist nicht mehr öffentlich, sondern nur der Aufsichtsbehörde auf Anfrage vorzulegen. Die bisherige Pflicht, eine Übersicht jedermann auf Antrag zugänglich zu machen, entfällt. Und das Verzeichnis ist ein zentraler Baustein, um die neue Rechenschaftspflicht zu erfüllen: Sie müssen nachweisen können, dass Sie datenschutzkonform arbeiten.
Wer braucht ein Verzeichnis?
Grundsätzlich jeder Verantwortliche, also jedes Unternehmen, das personenbezogene Daten verarbeitet. Die DSGVO sieht zwar eine Ausnahme für Unternehmen mit weniger als 250 Beschäftigten vor. Diese gilt aber nicht, wenn die Verarbeitung
- ein Risiko für die Rechte und Freiheiten der Betroffenen birgt,
- nicht nur gelegentlich erfolgt oder
- besondere Kategorien von Daten betrifft, etwa Gesundheitsdaten oder Religionszugehörigkeit.
In der Praxis greift die Ausnahme deshalb kaum: Wer Mitarbeiter beschäftigt, rechnet regelmäßig Löhne ab. Das ist keine gelegentliche Verarbeitung, und die Lohnabrechnung enthält mit der Konfession sogar ein besonders geschütztes Datum. Auch eine Kundendatei wird in aller Regel nicht nur gelegentlich genutzt. Unsere Empfehlung ist daher eindeutig: Gehen Sie davon aus, dass Sie ein Verzeichnis brauchen.
Was muss hinein?
Für jede Verarbeitungstätigkeit verlangt Artikel 30 diese Angaben:
| Pflichtangabe | Erläuterung |
|---|---|
| Verantwortlicher | Name und Kontaktdaten des Unternehmens, des Vertreters und gegebenenfalls des Datenschutzbeauftragten |
| Zwecke | Wozu werden die Daten verarbeitet? |
| Betroffene Personen | Kunden, Interessenten, Mitarbeiter, Bewerber, Lieferanten … |
| Datenkategorien | Kontaktdaten, Bankdaten, Vertragsdaten, Gesundheitsdaten … |
| Empfänger | Wer erhält die Daten? Etwa Steuerberater, Banken, Behörden, Dienstleister |
| Drittländer | Werden Daten außerhalb der EU übermittelt, und mit welchen Garantien? |
| Löschfristen | Wann werden die Daten gelöscht? Soweit möglich |
| Technische und organisatorische Maßnahmen | allgemeine Beschreibung, wie die Daten geschützt werden. Soweit möglich |
Die DSGVO verlangt das Verzeichnis schriftlich, was auch ein elektronisches Format einschließt. Eine Tabelle oder ein Textdokument reicht völlig aus.
Schritt für Schritt zum Verzeichnis
1. Verarbeitungstätigkeiten sammeln
Gehen Sie Ihr Unternehmen gedanklich Bereich für Bereich durch und notieren Sie, was dort mit Personendaten passiert. Eine Verarbeitungstätigkeit ist dabei kein einzelner Arbeitsschritt, sondern ein zusammenhängender Vorgang mit einem Zweck, etwa „Lohn- und Gehaltsabrechnung“ oder „Kundenverwaltung und Auftragsabwicklung“.
Typische Verarbeitungstätigkeiten in kleinen Unternehmen:
- Personalverwaltung und Lohnabrechnung
- Bewerbermanagement
- Kundenverwaltung, Angebote, Aufträge, Rechnungen
- Lieferantenverwaltung und Einkauf
- E-Mail-Kommunikation
- Website mit Kontaktformular, gegebenenfalls Webanalyse
- Newsletter
- Videoüberwachung, Zutrittskontrolle
2. Je Tätigkeit ein Blatt anlegen
Für jede Tätigkeit füllen Sie die Pflichtangaben aus. Muster finden Sie inzwischen bei Aufsichtsbehörden und Verbänden. Wichtig: Passen Sie das Muster an Ihre Wirklichkeit an. Ein Verzeichnis, das Werkzeuge nennt, die Sie gar nicht nutzen, hilft niemandem.
3. Technische und organisatorische Maßnahmen beschreiben
Beschreiben Sie einmal zentral, wie Sie Daten schützen: Zutritt zu Büro und Serverraum, Passwörter und Zugriffsrechte, Verschlüsselung, Datensicherung, Virenschutz, Schulung der Mitarbeiter. In den einzelnen Blättern verweisen Sie dann darauf und ergänzen nur Besonderheiten.
4. Löschfristen festlegen
Für viele Unterlagen gibt es gesetzliche Aufbewahrungsfristen, etwa aus Handels- und Steuerrecht. Für andere legen Sie selbst sinnvolle Fristen fest, zum Beispiel für Bewerbungsunterlagen nach Abschluss des Verfahrens. Notieren Sie die Fristen im Verzeichnis und sorgen Sie dafür, dass die Löschung auch tatsächlich passiert.
5. Aktuell halten
Neue Software, neuer Dienstleister, neuer Newsletter? Dann wird das Verzeichnis ergänzt. Planen Sie zusätzlich eine jährliche Durchsicht ein.
Ein Beispiel: Bewerbermanagement
- Zweck: Auswahl geeigneter Bewerber für offene Stellen
- Betroffene: Bewerberinnen und Bewerber
- Daten: Kontaktdaten, Lebenslauf, Zeugnisse, Gesprächsnotizen
- Empfänger: intern Geschäftsführung und Fachabteilung
- Drittland: keine Übermittlung
- Löschung: nach Abschluss des Verfahrens zuzüglich einer angemessenen Frist für mögliche Rechtsansprüche, sofern keine Einwilligung zur längeren Aufbewahrung vorliegt
- Schutzmaßnahmen: Ablage in einem Ordner mit eingeschränkten Zugriffsrechten, siehe zentrale Beschreibung
Häufige Fragen
Wer ist für das Verzeichnis verantwortlich?
Das Unternehmen selbst, also letztlich die Geschäftsführung. Ein Datenschutzbeauftragter kann beraten und unterstützen, die Pflicht zur Führung bleibt aber beim Verantwortlichen.
Wie detailliert muss es sein?
So detailliert, dass ein Außenstehender, etwa ein Mitarbeiter der Aufsichtsbehörde, versteht, was bei Ihnen mit personenbezogenen Daten passiert. Seitenlange Romane sind nicht nötig, Stichworte reichen oft.
Wir arbeiten auch für andere. Brauchen wir ein zweites Verzeichnis?
Ja, wenn Sie als Dienstleister im Auftrag Ihrer Kunden personenbezogene Daten verarbeiten, etwa als IT-Betreuer, Lohnbüro oder Callcenter. Für diese Tätigkeiten verlangt die DSGVO ein eigenes, etwas schlankeres Verzeichnis als Auftragsverarbeiter.
Wir helfen Ihnen gerne
Sie möchten Ihr Verzeichnis von Verarbeitungstätigkeiten rechtzeitig vor Mai 2018 fertigstellen oder Ihr bestehendes Verfahrensverzeichnis auf die DSGVO umstellen? Das Datenschutz-Team der Mittelstandsoptimierer unterstützt Sie mit Vorlagen, Workshops und Prüfung. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
