Verzeichnis von Verarbeitungstätigkeiten

Die Datenschutz-Grundverordnung (DSGVO) bringt eine Reihe von Dokumentationspflichten mit. Das Herzstück dieser Dokumentation ist das Verzeichnis von Verarbeitungstätigkeiten (kurz auch „Verarbeitungsverzeichnis“ oder „VVT“). Darin müssen die Prozesse, bei denen personenbezogene Daten verarbeitet werden, systematisch dokumentiert werden. Wir erläutern Ihnen nachfolgend, wer ein solches Verzeichnis in welcher Form führen muss, welche Inhalte verpflichtend sind und wie Sie so ein Verzeichnis am besten erstellen können.

Wen trifft die Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten?

Grundsatz

Grundsätzlich ist jede Stelle, die personenbezogene Daten verarbeitet, zur Erstellung und Führung eines Verarbeitungsverzeichnisses verpflichtet. Das gilt sowohl für Verantwortliche (Art. 30 Abs. 1 DSGVO), als auch für Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO).

Ausnahmen

Ausnahmen gelten für Unternehmen oder Einrichtungen, die weniger als 250 Beschäftigte haben, es sei denn

• die durchgeführten Verarbeitungen bergen ein Risiko für die Rechte und Freiheiten der betroffenen Personen,
• die Verarbeitung erfolgt nicht nur gelegentlich, oder
• es werden besondere personenbezogene Daten nach Art. 9 DSGVO oder Informationen zu strafrechtlichen Verurteilungen und Straftaten gem. Art. 10 DSGVO verarbeitet.

Aufgrund der sehr engen Ausnahmen ist in der Praxis davon auszugehen, dass nahezu alle Unternehmen und Organisationen ein Verarbeitungsverzeichnis führen müssen. Denn schon die Existenz einer Kundendatenbank oder von Beschäftigtendaten, führt zu einer nicht nur gelegentlichen Datenverarbeitung.

Warum müssen Unternehmen ein Verzeichnis von Verarbeitungstätigkeiten erstellen?

Sanktionen

Bei Verstößen gegen die Dokumentationspflicht drohen gemäß Art. 83 Abs. 4 lit. a) DSGVO Geldbußen von bis zu 10.000.000 EUR oder bis zu 2% des gesamten weltweit erzielten Vorjahresumsatzes des Unternehmens – je nachdem, was höher liegt.

Allerdings ist das kein Automatismus. Gemäß Art. 58 Abs. 1 DSGVO können Aufsichtsbehörden anstelle einer Geldbuße beispielsweise auch eine Verwarnung aussprechen. Die Frage, ob ein Bußgeld erlassen wird und wenn ja, in welcher Höhe, orientiert sich an der Leistungsstärke des Unternehmens und am konkreten Verstoß.

Welche Inhalte müssen in einem Verarbeitungsverzeichnis beschrieben werden?

Im Verarbeitungsverzeichnis müssen alle Verarbeitungstätigkeiten, die im Unternehmen stattfinden, beschrieben werden. Die Mindestinhalte pro Verarbeitungstätigkeit werden von Art. 30 DSGVO vorgegeben. Dabei unterscheiden sich die Vorgaben je nach Verantwortlichkeit des Unternehmens. Agiert ein Unternehmen als Verantwortlicher, müssen die Informationen aus dem Katalog des Art. 30 Abs. 1 DSGVO dokumentiert werden. Dazu gehören:

Agiert ein Unternehmen (in der Regel zusätzlich) als Auftragsverarbeiter, so muss ein gesondertes Verzeichnis der Verarbeitungstätigkeiten im Auftrag geführt werden. Maßgeblich ist dann der verkürzte Katalog des Art. 30 Abs. 2 DSGVO.

Welche Zusatzinhalte können in einem Verarbeitungsverzeichnis dokumentiert werden?

Neben den gesetzlichen Mindestinhalten kann es sinnvoll sein, relevante Zusatzinformationen für eine Verarbeitungstätigkeit im Verzeichnis zu dokumentieren. Das kann helfen, um die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO zu erfüllen. Sinnvolle Zusatzinformationen sind beispielsweise:

Wie erstelle ich ein Verzeichnis von Verarbeitungstätigkeiten?

Wenn Sie „auf der grünen Wiese“ starten, bietet sich ein strukturiertes Vorgehen an. Welche Schritte zur Erstellung eines Verarbeitungsverzeichnisses notwendig sind, zeigen wir Ihnen nachfolgend.

Schritt 2: Verarbeitungsprozesse identifizieren

Gehen Sie Ihr Unternehmen dann systematisch Bereich für Bereich durch und identifizieren Sie gemeinsam mit den jeweiligen Abteilungsverantwortlichen die einzelnen Verarbeitungstätigkeiten erst einmal grob. Tragen Sie jede Verarbeitungstätigkeit in Ihr Verzeichnis ein und wählen Sie dabei Bezeichnungen, mit denen man in Ihrem Unternehmen etwas anfangen kann.

Hierzu ein Beispiel:

Bei Ihnen gibt es wahrscheinlich eine Personalabteilung oder zumindest eine:n Personalverantwortliche:n. In diesem Bereich findet sich klassischerweise eine Vielzahl von Verarbeitungstätigkeiten, in denen Daten von Beschäftigten und auch von Bewerber:innen verarbeitet werden. Stellen Sie sich zur Identifikation von Verarbeitungstätigkeiten einfach einen typischen Beschäftigten vor – von der Bewerbung bis zur Kündigung. Der Beschäftigte wird zunächst im Bewerbungsverfahren rekrutiert, dann werden seine personenbezogenen Daten in der Personalakte gespeichert. Im Laufe des Beschäftigungsverhältnisses finden Feedbackgespräche statt, der Beschäftigte bekommt Lohnzahlungen, beantragt Urlaub und ist krankheitsbedingt abwesend. Vielleicht gibt es im Unternehmen zudem Benefits, wie zum Beispiel ein Fahrradleasing oder eine betriebliche Altersvorsorge. In all diesen Prozessen werden personenbezogenen Daten verarbeitet. All diese Prozesse stellen dementsprechend Verarbeitungstätigkeiten dar.

Hier finden Sie eine exemplarische Sammlung von typischen Verarbeitungstätigkeiten in Unternehmen:

Schritt 3: Detailerfassung

Sobald Sie Ihr Verzeichnis im Groben erstellt haben, geht es an die Detailerfassung. Nun müssen die vorher identifizierten Verarbeitungsprozesse mit Leben gefüllt werden. Sprechen Sie dazu am besten mit den Personen, die den Verarbeitungsprozess im Arbeitsalltag auch tatsächlich durchführen. Diese Personen wissen am besten, welche personenbezogenen Daten wie verarbeitet werden.

Fragen Sie im Gespräch die notwendigen Informationen ab, die zur Dokumentation der Verarbeitungstätigkeit erforderlich sind. Idealerweise dokumentieren Sie die Informationen direkt gemeinsam in Ihrer Datenschutz-Software (zum Beispiel DataDesk). Das spart Zeit und beugt Missverständnissen vor. In der analogen Variante hilft auch eine Checkliste zur Erfassung einer Verarbeitungstätigkeit.

Und fertig ist Ihr Verzeichnis von Verarbeitungstätigkeiten! Zumindest für den Moment.