Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO: Pflichtangaben, Aufbau und Pflege im Unternehmen

Das Verzeichnis von Verarbeitungstätigkeiten ist die zentrale Dokumentation, mit der ein Unternehmen nachweist, welche personenbezogenen Daten es zu welchen Zwecken verarbeitet. Art. 30 der Datenschutz-Grundverordnung verpflichtet Verantwortliche und Auftragsverarbeiter, ein solches Verzeichnis zu führen und der Aufsichtsbehörde auf Anfrage vorzulegen. In der Praxis ist es das Dokument, das Aufsichtsbehörden bei Prüfungen und Beschwerden als Erstes anfordern.

Viele mittelständische Unternehmen besitzen ein Verzeichnis, das einmalig angelegt und seither nicht mehr gepflegt wurde. Es enthält Verarbeitungen, die es längst nicht mehr gibt, und es fehlen neue Systeme wie Cloud-Dienste, Bewerberportale oder Videokonferenzwerkzeuge. Ein solches Verzeichnis ist im Ernstfall wenig wert, denn es belegt eher fehlende Sorgfalt als ordnungsgemäße Organisation.

Dieser Beitrag erläutert, wer zur Führung verpflichtet ist, welche Angaben das Verzeichnis enthalten muss, wie es aufgebaut und in sinnvollen Schritten erstellt wird und wie die Pflege dauerhaft gelingt. Er richtet sich an Geschäftsführer, Datenschutzverantwortliche und IT-Leitungen im Mittelstand und enthält eine Checkliste, mit der sich der eigene Bestand prüfen lässt.

Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von cyberschutzbetrieb.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.

Titelbild: Foto von Kelly Sikkema auf Unsplash.

Rechtlicher Rahmen und Zweck des Verzeichnisses

Art. 30 DSGVO regelt das Verzeichnis in zwei Ausprägungen: für Verantwortliche (Absatz 1) und für Auftragsverarbeiter (Absatz 2). Das Verzeichnis dient mehreren Zwecken. Es unterstützt die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO, macht Verarbeitungen intern transparent und bildet die Grundlage für viele weitere Datenschutzpflichten, etwa Auskunftsersuchen, Löschkonzepte und Datenschutz-Folgenabschätzungen.

Den Verordnungstext finden Sie auf EUR-Lex. Ergänzende nationale Regelungen enthält das Bundesdatenschutzgesetz.

Wer muss ein Verzeichnis führen

Grundsätzlich gilt die Pflicht für jedes Unternehmen. Art. 30 Abs. 5 DSGVO sieht eine Ausnahme für Organisationen mit weniger als 250 Beschäftigten vor, allerdings nur unter Bedingungen: Die Verarbeitung darf kein Risiko für die Rechte und Freiheiten der betroffenen Personen bergen, sie darf nicht nur gelegentlich erfolgen und sie darf keine besonderen Datenkategorien oder Daten über Straftaten betreffen. Da nahezu jedes Unternehmen regelmäßig Personaldaten verarbeitet, greift die Ausnahme in der Praxis kaum. Als sichere Linie gilt: Auch kleine Betriebe führen ein Verzeichnis.

Pflichtangaben für Verantwortliche

Für Verantwortliche nennt Art. 30 Abs. 1 DSGVO folgende Angaben:

• Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des gemeinsam Verantwortlichen, des Vertreters und des Datenschutzbeauftragten
• Zwecke der Verarbeitung
• Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten
• Kategorien von Empfängern, einschließlich Empfängern in Drittländern oder bei internationalen Organisationen
• Übermittlungen in Drittländer mit Angabe des Landes und gegebenenfalls der geeigneten Garantien
• Vorgesehene Fristen für die Löschung der verschiedenen Datenkategorien
• Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1

Die Angaben sind je Verarbeitungstätigkeit zu machen. Eine Verarbeitungstätigkeit ist ein Vorgang oder eine Reihe von Vorgängen mit gemeinsamem Zweck, etwa Lohnabrechnung, Bewerbermanagement, Kundenverwaltung oder Videoüberwachung.

Pflichtangaben für Auftragsverarbeiter

Wer als Dienstleister Daten im Auftrag verarbeitet, etwa ein IT-Dienstleister, ein Lohnbüro oder ein Rechenzentrum, führt ein eigenes Verzeichnis nach Art. 30 Abs. 2. Es enthält Name und Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, für den er tätig ist, die Kategorien von Verarbeitungen, Drittlandübermittlungen mit Garantien und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Zweck, Betroffene und Datenarten bestimmt hier der Auftraggeber, daher entfallen diese Angaben im Verzeichnis des Dienstleisters in Teilen.

Unternehmen sind häufig in beiden Rollen unterwegs. Ein Softwarehaus ist für eigene Beschäftigtendaten Verantwortlicher und für Kundendaten in einer Cloud-Anwendung Auftragsverarbeiter. In diesem Fall sind zwei Verzeichnisse oder zwei klar getrennte Teile erforderlich.

Aufbau: Struktur, die sich im Alltag bewährt

Das Gesetz schreibt kein Format vor, verlangt aber Schriftlichkeit, wobei auch ein elektronisches Format ausreicht. Entscheidend ist, dass das Verzeichnis vollständig, verständlich und aktuell ist. Bewährt hat sich eine tabellarische Struktur mit einer Zeile oder einem Blatt je Verarbeitungstätigkeit.

Feld	Inhalt	Beispiel Bewerbermanagement
Bezeichnung	Name der Verarbeitung	Bewerbermanagement
Verantwortlicher Fachbereich	Interne Zuständigkeit	Personalabteilung
Zweck	Wofür werden Daten verarbeitet	Durchführung von Bewerbungsverfahren
Rechtsgrundlage	Grundlage nach Art. 6 DSGVO	Vorvertragliche Maßnahmen, Beschäftigtendatenschutz
Betroffene	Personengruppen	Bewerber
Datenkategorien	Arten der Daten	Kontaktdaten, Lebenslauf, Zeugnisse
Empfänger	Interne und externe Stellen	Fachabteilung, Bewerberportal-Anbieter
Drittland	Übermittlung außerhalb der EU	Nein
Löschfristen	Vorgesehene Fristen	Nach Abschluss des Verfahrens, spätestens nach festgelegter Frist
Maßnahmen	Technische und organisatorische	Zugriffsbeschränkung, Verschlüsselung

Die Rechtsgrundlage ist im Gesetz nicht als Pflichtangabe aufgeführt, wird aber in der Praxis häufig ergänzt, weil sie ohnehin für Datenschutzhinweise und Auskunftsersuchen benötigt wird. Zusätzliche Felder wie Systeme, Auftragsverarbeiter, Risikobewertung oder Datum der letzten Prüfung erhöhen den Nutzen und erleichtern die Pflege.

Erstellung in sieben Schritten

1. Projekt aufsetzen: Verantwortlichkeit klären, Zeitrahmen festlegen und die Datenschutzbeauftragte oder den Datenschutzbeauftragten einbinden.
2. Verarbeitungstätigkeiten identifizieren: Fachbereiche befragen und Systemlisten auswerten.
3. Vorlage festlegen: Einheitliche Felder und Begriffe, damit Einträge vergleichbar sind.
4. Angaben erheben: Gespräche mit Fachbereichen, Prüfung von Systemen und Verträgen.
5. Bewerten: Rechtsgrundlagen, Löschfristen und Maßnahmen plausibilisieren, Lücken dokumentieren.
6. Freigeben: Prüfung durch Datenschutzbeauftragten und Freigabe durch die Geschäftsführung.
7. Pflege organisieren: Verantwortliche, Rhythmus und Änderungsverfahren festlegen.

Verarbeitungstätigkeiten finden

Der schwierigste Schritt ist die Vollständigkeit. Hilfreich sind drei Quellen. Erstens die Abteilungen, die nach ihren Aufgaben und eingesetzten Programmen befragt werden. Zweitens die IT-Systemliste, in der jede Anwendung auf personenbezogene Daten geprüft wird. Drittens die Verträge und Rechnungen von Dienstleistern, die Hinweise auf Cloud-Dienste und externe Verarbeitung geben.

Typische Verarbeitungstätigkeiten im Mittelstand sind unter anderem Personalverwaltung und Lohnabrechnung, Bewerbermanagement, Zeiterfassung, Kundenverwaltung und CRM, Newsletterversand, Lieferantenverwaltung, Videoüberwachung, Zutrittskontrolle, Website-Betrieb mit Webanalyse, Telefonie und Videokonferenzen sowie IT-Administration mit Protokollierung.

Angaben sinnvoll formulieren

Das Verzeichnis richtet sich auch an Behörden und muss ohne interne Kenntnisse verständlich sein. Zwecke sollten konkret beschrieben werden, nicht mit Sammelbegriffen wie Geschäftsbetrieb. Datenkategorien sollten benannt werden, etwa Name, Anschrift, Bankverbindung, Gehaltsdaten, statt nur Stammdaten.

Bei den Löschfristen genügt der Verweis auf gesetzliche Aufbewahrungsfristen nur, wenn die Frist genannt wird. Für Daten ohne gesetzliche Frist muss ein Löschzeitpunkt oder ein Kriterium festgelegt sein. Die Angaben sollten zum Löschkonzept des Unternehmens passen. Bei den technischen und organisatorischen Maßnahmen reicht eine allgemeine Beschreibung. Üblich ist der Verweis auf ein zentrales Maßnahmendokument, ergänzt um Besonderheiten der jeweiligen Verarbeitung.

Ein Verzeichnis, das nur formal vollständig ist, aber nicht der Realität entspricht, schafft keine Sicherheit. Entscheidend ist, dass es beschreibt, was tatsächlich geschieht.

Rechtsgrundlagen und Zweckbindung dokumentieren

Auch wenn Art. 30 die Rechtsgrundlage nicht ausdrücklich nennt, ist ihre Dokumentation im Verzeichnis empfehlenswert. Jede Verarbeitung benötigt eine Grundlage aus Art. 6 DSGVO, bei Beschäftigtendaten ergänzend aus dem Bundesdatenschutzgesetz, bei besonderen Kategorien zusätzlich aus Art. 9. Die Zuordnung zwingt dazu, den Zweck genau zu benennen und zu prüfen, ob die Verarbeitung überhaupt erforderlich ist.

Besondere Aufmerksamkeit verdient die Zweckbindung. Daten, die für die Vertragsabwicklung erhoben wurden, dürfen nicht ohne Weiteres für Werbung oder Auswertungen verwendet werden. Wird ein neuer Zweck verfolgt, ist er als eigene Verarbeitungstätigkeit oder zumindest als ergänzender Zweck im Verzeichnis zu erfassen und rechtlich zu prüfen. Stützt sich eine Verarbeitung auf ein berechtigtes Interesse, sollte die durchgeführte Interessenabwägung dokumentiert und mit dem Eintrag verknüpft werden.

Bei Einwilligungen ist zu vermerken, wie sie eingeholt, nachgewiesen und widerrufen werden können. Diese Angaben erleichtern später die Beantwortung von Anfragen und die Zusammenarbeit mit der Aufsichtsbehörde.

Besondere Datenkategorien und Drittlandübermittlungen

Werden besondere Kategorien personenbezogener Daten verarbeitet, etwa Gesundheitsdaten im Rahmen des Betrieblichen Eingliederungsmanagements, Angaben zur Gewerkschaftszugehörigkeit oder biometrische Daten, sollte dies im Verzeichnis klar gekennzeichnet sein. Es gelten erhöhte Anforderungen, und die Verarbeitung bedarf einer zusätzlichen Rechtfertigung nach Art. 9 DSGVO.

Bei Übermittlungen in Drittländer sind Land, Empfänger und die Garantie anzugeben, auf die sich die Übermittlung stützt. Das kann ein Angemessenheitsbeschluss der Europäischen Kommission sein oder es können Standardvertragsklauseln sein. Typische Fälle sind Cloud-Anbieter mit Rechenzentren außerhalb der EU und Supportzugriffe von Konzerngesellschaften. Gerade hier entstehen Lücken, weil die Datenflüsse in Standardsoftware nicht immer sichtbar sind.

Verzeichnis und weitere Datenschutzdokumente

Das Verzeichnis ist nicht isoliert zu sehen. Es bildet die Grundlage für zahlreiche weitere Pflichten:

• Datenschutzhinweise nach Art. 13 und 14 DSGVO müssen mit den Zwecken, Empfängern und Fristen des Verzeichnisses übereinstimmen.
• Das Löschkonzept setzt die Fristen aus dem Verzeichnis um.
• Auskunftsersuchen nach Art. 15 lassen sich nur beantworten, wenn bekannt ist, wo Daten liegen.
• Die Datenschutz-Folgenabschätzung wird für Verarbeitungen mit hohem Risiko aus dem Verzeichnis abgeleitet.
• Verträge zur Auftragsverarbeitung sollten mit den Empfängerangaben übereinstimmen.
• Meldungen bei Datenschutzverletzungen profitieren von einer schnellen Einschätzung betroffener Daten.

Wer das Verzeichnis als zentrales Verzeichnis versteht, vermeidet Widersprüche zwischen diesen Dokumenten. Abweichungen sind ein häufiger Beanstandungsgrund bei Prüfungen.

Pflege und Aktualisierung

Das Verzeichnis ist ein lebendes Dokument. Neue Software, Prozessänderungen, Dienstleisterwechsel und neue Zwecke verändern den Inhalt. Damit es aktuell bleibt, braucht es feste Auslöser und einen festen Rhythmus.

Auslöser für Änderungen

• Einführung oder Ablösung eines IT-Systems
• Beauftragung eines neuen Dienstleisters
• Neue Verwendung vorhandener Daten
• Organisatorische Änderungen, etwa Zusammenlegung von Abteilungen
• Neue gesetzliche oder behördliche Vorgaben

Verfahren

Am wirksamsten ist die Verankerung im Änderungs- und Beschaffungsprozess: Kein neues System und kein neuer Dienstleister ohne Prüfung, ob das Verzeichnis ergänzt werden muss. Zusätzlich wird einmal jährlich ein Review mit den Fachbereichen durchgeführt. Änderungen werden mit Datum und Bearbeiter dokumentiert, damit der Verlauf nachvollziehbar bleibt.

Rollen und Verantwortlichkeiten

Verantwortlich für das Verzeichnis ist rechtlich das Unternehmen, also die Geschäftsführung. Die Datenschutzbeauftragte oder der Datenschutzbeauftragte berät und überwacht, soll das Verzeichnis aber nicht allein führen, um Interessenkonflikte zu vermeiden. Praktisch bewährt sich folgende Verteilung:

• Geschäftsführung: Gesamtverantwortung, Freigabe, Bereitstellung von Ressourcen
• Fachbereiche: Pflege der Angaben zu ihren Verarbeitungen
• IT: Auskünfte zu Systemen, Schnittstellen, Dienstleistern und Maßnahmen
• Datenschutzkoordination: Zusammenführung, Qualitätsprüfung, Erinnerungen
• Datenschutzbeauftragte: Beratung, Kontrolle, Ansprechpartner der Aufsichtsbehörde

Typische Fehler und Stolperfallen

• Das Verzeichnis wird einmalig erstellt und nie aktualisiert.
• Verarbeitungen werden zu grob zusammengefasst, sodass Zwecke und Datenarten nicht erkennbar sind.
• Cloud-Dienste, Kollaborationswerkzeuge und Marketing-Tools fehlen.
• Löschfristen werden pauschal als gesetzlich bezeichnet, ohne Angabe der Frist.
• Das Verzeichnis widerspricht Datenschutzhinweisen oder Verträgen.
• Es existiert nur ein Verzeichnis, obwohl das Unternehmen auch als Auftragsverarbeiter tätig ist.
• Die Vorlage stammt aus dem Internet und wird nicht an den Betrieb angepasst.

Praxisbeispiel: Mittelständischer Zulieferer

Ein Zulieferer mit etwa 200 Beschäftigten besaß ein Verzeichnis aus der Zeit der Einführung der DSGVO. Bei einer Anfrage der Aufsichtsbehörde zu einer Beschwerde stellte sich heraus, dass mehrere Systeme fehlten: ein Bewerberportal, eine Cloud-Plattform für die Zeiterfassung und ein Videokonferenzdienst.

Das Unternehmen setzte ein kleines Projekt auf. Die Datenschutzkoordinatorin befragte alle Abteilungen anhand eines Fragebogens, die IT lieferte eine Systemliste, der Einkauf eine Liste aller Dienstleister mit Datenzugriff. Daraus entstanden 28 Verarbeitungstätigkeiten, von denen elf bisher nicht dokumentiert waren. Bei fünf Verarbeitungen fehlte ein Vertrag zur Auftragsverarbeitung, der nachgeholt wurde.

Das neue Verzeichnis wurde in einer Tabelle mit Änderungsprotokoll geführt. Die Pflege wurde in den Beschaffungsprozess eingebunden: Jede Bestellung von Software wird mit einem Prüfvermerk zum Datenschutz versehen. Ein Jahr später fiel bei einer erneuten Anfrage der Behörde die Beantwortung deutlich leichter, weil Verzeichnis, Verträge und Datenschutzhinweise übereinstimmten.

Software oder Tabelle

Für kleinere Betriebe genügt eine gut strukturierte Tabelle mit Versionierung und Zugriffsbeschränkung. Mit wachsender Zahl an Verarbeitungen und Beteiligten lohnt sich eine spezialisierte Datenschutzsoftware, die Erinnerungen, Freigaben und Verknüpfungen mit Verträgen und Maßnahmen bietet. Wichtig sind Exportmöglichkeiten, damit das Verzeichnis der Aufsichtsbehörde in lesbarer Form übergeben werden kann, sowie eine nachvollziehbare Historie der Änderungen.

Unabhängig vom Werkzeug gilt: Die Qualität der Inhalte hängt von der Beteiligung der Fachbereiche ab, nicht von der Software.

Checkliste für ein belastbares Verzeichnis

• Alle Verarbeitungstätigkeiten erfasst, auch als Auftragsverarbeiter
• Zwecke, Betroffene und Datenkategorien konkret beschrieben
• Empfänger und Auftragsverarbeiter vollständig, Verträge vorhanden
• Drittlandübermittlungen mit Garantien dokumentiert
• Löschfristen konkret benannt
• Technische und organisatorische Maßnahmen beschrieben
• Übereinstimmung mit Datenschutzhinweisen und Löschkonzept geprüft
• Verantwortliche für Pflege und Review benannt
• Änderungsprotokoll geführt
• Jährliche Überprüfung terminiert

FAQ

Muss ein kleines Unternehmen ein Verzeichnis von Verarbeitungstätigkeiten führen?
In aller Regel ja. Die Ausnahme für Unternehmen unter 250 Beschäftigten greift nur, wenn die Verarbeitung kein Risiko birgt, nur gelegentlich erfolgt und keine besonderen Datenkategorien umfasst. Da regelmäßig Personaldaten verarbeitet werden, ist die Ausnahme selten anwendbar.

Muss das Verzeichnis veröffentlicht werden?
Nein. Es ist intern zu führen und der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen. Öffentlich bereitzustellen sind dagegen die Datenschutzhinweise.

Wer darf das Verzeichnis führen?
Die Pflicht trifft das Unternehmen. Die Führung kann an eine Datenschutzkoordination delegiert werden. Die oder der Datenschutzbeauftragte soll beraten und überwachen, nicht die Verantwortung übernehmen.

Wie oft sollte das Verzeichnis aktualisiert werden?
Bei jeder relevanten Änderung und mindestens einmal jährlich im Rahmen eines Reviews. Besser ist die Verankerung im Beschaffungs- und Änderungsprozess.

Welche Sanktionen drohen bei einem fehlenden Verzeichnis?
Verstöße gegen Art. 30 können nach Art. 83 DSGVO mit Bußgeld geahndet werden. Die Höhe richtet sich nach den Umständen des Einzelfalls. Aufsichtsbehörden berücksichtigen häufig, ob erkennbar um Ordnung bemüht wurde.