Anwälte für Datenschutzrecht · DSGVO · BDSG · TDDDG · 10 Standorte bundesweit

0511.35 73 56-0 · info@datenschutzrechtblog.de

Fachkanzlei für Datenschutzrecht · horak.

Schlagwort: Verzeichnis von Verarbeitungstätigkeiten

  • Datenschutz-Jahrescheck für KMU: 12 Punkte vor dem Jahresende

    Datenschutz ist kein Projekt, das einmal abgeschlossen wird, sondern eine Daueraufgabe. Das Jahresende ist ein guter Zeitpunkt, um Bilanz zu ziehen: Was hat sich im Unternehmen verändert, welche neuen Tools sind hinzugekommen, welche rechtlichen Entwicklungen müssen berücksichtigt werden? Unser 12-Punkte-Check hilft kleinen und mittleren Unternehmen, ihren Datenschutz mit überschaubarem Aufwand auf Stand zu bringen.

    Organisation und Dokumentation

    1. Ist das Verzeichnis von Verarbeitungstätigkeiten aktuell, mit neuen Prozessen, neuer Software und ohne weggefallene Verfahren? Unsere Anleitung hilft.
    2. Hat sich die Mitarbeiterzahl verändert, und ist die Benennung des Datenschutzbeauftragten noch korrekt gemeldet?
    3. Gibt es für jeden neuen Dienstleister mit Datenzugriff einen Auftragsverarbeitungsvertrag, und sind Unterauftragnehmer und Drittlandübermittlungen geprüft?
    4. Ist der Löschlauf erledigt? Bewerberdaten, alte Angebote, Daten ausgeschiedener Beschäftigter und Bestände mit abgelaufenen Aufbewahrungsfristen werden gemäß Löschkonzept bereinigt.

    Website und Marketing

    1. Welche Cookies und Drittdienste lädt die Website? Stimmen Cookie-Banner und Datenschutzerklärung noch mit der Realität überein? Seit Mai 2024 heißt das TTDSG übrigens TDDDG; veraltete Verweise sollten angepasst werden.
    2. Sind Einwilligungen für Newsletter und Werbung dokumentiert, und werden Abmeldungen und Widersprüche zuverlässig umgesetzt?
    3. Haben Kontaktformulare nur die nötigen Pflichtfelder, und kommen Antworten auf Online-Bewertungen ohne Kundendaten aus?

    IT-Sicherheit

    1. Sind Updates, Zwei-Faktor-Authentifizierung, Berechtigungen, Offline-Backups und ein getesteter Wiederherstellungsprozess auf Stand? Hinweise in unserem Beitrag zu TOMs nach Art. 32 DSGVO.
    2. Ist der Notfallplan aktuell, mit Telefonliste, Meldewegen für Datenpannen und, falls einschlägig, den NIS2-Meldepflichten?

    Beschäftigte und KI

    1. Haben alle Beschäftigten eine aktuelle Datenschutzschulung erhalten, und ist die KI-Kompetenz nach Art. 4 AI Act abgedeckt?
    2. Welche KI-Tools werden genutzt, und sind Inventar und Richtlinie aktuell? Seit August 2026 gelten die Transparenzpflichten der KI-Verordnung; die Hochrisiko-Pflichten für Anhang-III-Systeme folgen nach dem KI-Omnibus ab Dezember 2027 (siehe unseren Beitrag zum KI-Omnibus).
    3. Wie viele Auskunfts- und Löschanfragen gab es, wurden die Fristen eingehalten, und wo hakte es?

    Ergebnisse festhalten

    Dokumentieren Sie den Jahrescheck kurz: Datum, geprüfte Punkte, festgestellte Lücken, verantwortliche Personen und Fristen für die Umsetzung. Das erfüllt nicht nur die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO, sondern verbessert auch Ihre Position, falls es einmal zu einer Datenpanne, einer Beschwerde oder einer Abmahnung kommt.

    In kleinen Unternehmen ist ein solcher Check oft an einem halben Tag erledigt. Wenn Sie ihn gemeinsam mit uns durchgehen möchten, schreiben Sie uns oder buchen Sie einen Termin.

  • Verzeichnis von Verarbeitungstätigkeiten erstellen: Anleitung

    Fragt eine Aufsichtsbehörde nach dem Stand des Datenschutzes, ist eines der ersten Dokumente, das sie sehen möchte, das Verzeichnis von Verarbeitungstätigkeiten (VVT). Es ist das Herzstück der Datenschutzdokumentation und zugleich ein wertvolles Arbeitsinstrument: Wer weiß, welche Daten wo und wozu verarbeitet werden, kann Auskunftsersuchen beantworten, Löschfristen umsetzen und Risiken erkennen. Dennoch fehlt das Verzeichnis in vielen kleinen und mittleren Unternehmen oder ist veraltet.

    Wer muss ein Verzeichnis führen?

    Art. 30 DSGVO verpflichtet grundsätzlich jeden Verantwortlichen und jeden Auftragsverarbeiter. Die Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern in Art. 30 Abs. 5 DSGVO greift in der Praxis kaum: Sie gilt nicht, wenn die Verarbeitung ein Risiko für die Betroffenen birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien betrifft. Da nahezu jedes Unternehmen regelmäßig Lohnabrechnungen erstellt oder Kundendaten pflegt, erfolgt die Verarbeitung „nicht nur gelegentlich“. Im Ergebnis braucht damit fast jedes Unternehmen ein Verzeichnis, und zwar unabhängig davon, ob ein Datenschutzbeauftragter benannt werden muss.

    Was ist eine „Verarbeitungstätigkeit“?

    Eine Verarbeitungstätigkeit ist ein zusammenhängender Geschäftsprozess mit einem bestimmten Zweck, nicht jedes einzelne IT-System. Typische Einträge sind etwa: Lohn- und Gehaltsabrechnung, Bewerbermanagement, Kundenverwaltung, Rechnungsstellung, Newsletter-Versand, Website-Betrieb, Videoüberwachung, Zeiterfassung. Ein kleiner Handwerksbetrieb kommt oft mit 10 bis 20 Einträgen aus.

    Pflichtangaben nach Art. 30 Abs. 1 DSGVO

    • Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des Datenschutzbeauftragten,
    • die Zwecke der Verarbeitung,
    • die Kategorien betroffener Personen (z. B. Kunden, Beschäftigte, Bewerber) und der personenbezogenen Daten,
    • die Kategorien von Empfängern, einschließlich Empfängern in Drittländern,
    • gegebenenfalls Übermittlungen in Drittländer und die dafür vorgesehenen Garantien,
    • wenn möglich die vorgesehenen Löschfristen,
    • wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.

    Gerade die Angaben zu Drittlandübermittlungen sollten nach dem Schrems-II-Urteil des EuGH überprüft werden: Wer bisher „USA – Privacy Shield“ eingetragen hat, muss die Grundlage neu bewerten.

    In fünf Schritten zum Verzeichnis

    1. Gehen Sie Abteilung für Abteilung durch und fragen Sie: Mit welchen personenbezogenen Daten arbeiten Sie, und wozu?
    2. Erfassen Sie alle Dienstleister, also Steuerberater, Lohnbüro, IT-Dienstleister, Cloud-Anbieter und Newsletter-Tool. Alle Empfänger gehören ins Verzeichnis.
    3. Ordnen Sie die Rechtsgrundlage nach Art. 6 DSGVO zu. Das ist nicht ausdrücklich gefordert, erleichtert aber die Erfüllung der Informationspflichten.
    4. Legen Sie Löschfristen fest und orientieren Sie sich dabei an gesetzlichen Aufbewahrungspflichten, etwa aus Handels- und Steuerrecht.
    5. Verweisen Sie für die technischen und organisatorischen Maßnahmen auf ein zentrales TOM-Dokument.

    Typische Fehler

    • Das Verzeichnis wird einmal erstellt und nie aktualisiert.
    • Statt Prozessen werden nur Softwareprodukte aufgelistet.
    • Löschfristen fehlen vollständig oder lauten pauschal „gesetzliche Fristen“.
    • Auftragsverarbeiter werden nicht genannt, Verträge nach Art. 28 DSGVO fehlen.

    Form und Vorlage

    Das Verzeichnis ist schriftlich zu führen, wobei die elektronische Form genügt (Art. 30 Abs. 3 DSGVO). Eine Tabelle reicht für kleine Unternehmen völlig aus. Die Aufsichtsbehörden der Länder stellen Muster zur Verfügung, die sich gut als Ausgangspunkt eignen. Auf Anfrage ist das Verzeichnis der Aufsichtsbehörde zur Verfügung zu stellen.

    Planen Sie einen festen Termin im Jahr ein, um das Verzeichnis zu aktualisieren, und passen Sie es bei jeder neuen Software und jedem neuen Dienstleister an. Beim Erstellen oder Überprüfen helfen wir Ihnen gern: per Kontaktformular oder über einen Online-Termin.