Verzeichnis von Verarbeitungstätigkeiten erstellen: Anleitung

Fragt eine Aufsichtsbehörde nach dem Stand des Datenschutzes, ist eines der ersten Dokumente, das sie sehen möchte, das Verzeichnis von Verarbeitungstätigkeiten (VVT). Es ist das Herzstück der Datenschutzdokumentation und zugleich ein wertvolles Arbeitsinstrument: Wer weiß, welche Daten wo und wozu verarbeitet werden, kann Auskunftsersuchen beantworten, Löschfristen umsetzen und Risiken erkennen. Dennoch fehlt das Verzeichnis in vielen kleinen und mittleren Unternehmen oder ist veraltet.

Wer muss ein Verzeichnis führen?

Art. 30 DSGVO verpflichtet grundsätzlich jeden Verantwortlichen und jeden Auftragsverarbeiter. Die Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern in Art. 30 Abs. 5 DSGVO greift in der Praxis kaum: Sie gilt nicht, wenn die Verarbeitung ein Risiko für die Betroffenen birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien betrifft. Da nahezu jedes Unternehmen regelmäßig Lohnabrechnungen erstellt oder Kundendaten pflegt, erfolgt die Verarbeitung „nicht nur gelegentlich“. Im Ergebnis braucht damit fast jedes Unternehmen ein Verzeichnis, und zwar unabhängig davon, ob ein Datenschutzbeauftragter benannt werden muss.

Was ist eine „Verarbeitungstätigkeit“?

Eine Verarbeitungstätigkeit ist ein zusammenhängender Geschäftsprozess mit einem bestimmten Zweck, nicht jedes einzelne IT-System. Typische Einträge sind etwa: Lohn- und Gehaltsabrechnung, Bewerbermanagement, Kundenverwaltung, Rechnungsstellung, Newsletter-Versand, Website-Betrieb, Videoüberwachung, Zeiterfassung. Ein kleiner Handwerksbetrieb kommt oft mit 10 bis 20 Einträgen aus.

Pflichtangaben nach Art. 30 Abs. 1 DSGVO

• Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des Datenschutzbeauftragten,
• die Zwecke der Verarbeitung,
• die Kategorien betroffener Personen (z. B. Kunden, Beschäftigte, Bewerber) und der personenbezogenen Daten,
• die Kategorien von Empfängern, einschließlich Empfängern in Drittländern,
• gegebenenfalls Übermittlungen in Drittländer und die dafür vorgesehenen Garantien,
• wenn möglich die vorgesehenen Löschfristen,
• wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.

Gerade die Angaben zu Drittlandübermittlungen sollten nach dem Schrems-II-Urteil des EuGH überprüft werden: Wer bisher „USA – Privacy Shield“ eingetragen hat, muss die Grundlage neu bewerten.

In fünf Schritten zum Verzeichnis

1. Gehen Sie Abteilung für Abteilung durch und fragen Sie: Mit welchen personenbezogenen Daten arbeiten Sie, und wozu?
2. Erfassen Sie alle Dienstleister, also Steuerberater, Lohnbüro, IT-Dienstleister, Cloud-Anbieter und Newsletter-Tool. Alle Empfänger gehören ins Verzeichnis.
3. Ordnen Sie die Rechtsgrundlage nach Art. 6 DSGVO zu. Das ist nicht ausdrücklich gefordert, erleichtert aber die Erfüllung der Informationspflichten.
4. Legen Sie Löschfristen fest und orientieren Sie sich dabei an gesetzlichen Aufbewahrungspflichten, etwa aus Handels- und Steuerrecht.
5. Verweisen Sie für die technischen und organisatorischen Maßnahmen auf ein zentrales TOM-Dokument.

Typische Fehler

• Das Verzeichnis wird einmal erstellt und nie aktualisiert.
• Statt Prozessen werden nur Softwareprodukte aufgelistet.
• Löschfristen fehlen vollständig oder lauten pauschal „gesetzliche Fristen“.
• Auftragsverarbeiter werden nicht genannt, Verträge nach Art. 28 DSGVO fehlen.

Form und Vorlage

Das Verzeichnis ist schriftlich zu führen, wobei die elektronische Form genügt (Art. 30 Abs. 3 DSGVO). Eine Tabelle reicht für kleine Unternehmen völlig aus. Die Aufsichtsbehörden der Länder stellen Muster zur Verfügung, die sich gut als Ausgangspunkt eignen. Auf Anfrage ist das Verzeichnis der Aufsichtsbehörde zur Verfügung zu stellen.

Planen Sie einen festen Termin im Jahr ein, um das Verzeichnis zu aktualisieren, und passen Sie es bei jeder neuen Software und jedem neuen Dienstleister an. Beim Erstellen oder Überprüfen helfen wir Ihnen gern: per Kontaktformular oder über einen Online-Termin.