Ratgeber
Verarbeitungsverzeichnis: Vorlage und Pflichtangaben
„Wir haben unter 250 Mitarbeiter, wir brauchen kein Verarbeitungsverzeichnis." Dieser Satz fällt in fast jedem Erstgespräch, und er stimmt fast nie.
Die Ausnahme in Artikel 30 Absatz 5 DSGVO existiert. Sie hat aber drei Rückausnahmen, und mindestens eine davon trifft auf so gut wie jeden Betrieb zu.
Dieser Text referiert die Vorschrift. Ob dein Betrieb im Einzelfall befreit ist, ist eine rechtliche Bewertung.
Die Ausnahme, die keine ist
Artikel 30 Absatz 5 befreit Betriebe mit weniger als 250 Beschäftigten von der Pflicht — es sei denn, eine von drei Bedingungen greift.
Erstens: Die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten betroffener Personen. Zweitens: Sie erfolgt nicht nur gelegentlich. Drittens: Sie betrifft besondere Kategorien nach Artikel 9 oder Daten über strafrechtliche Verurteilungen nach Artikel 10.
Die zweite Bedingung erledigt die Ausnahme in der Praxis. Eine Lohnabrechnung ist nicht gelegentlich. Eine Kundenverwaltung ist nicht gelegentlich. Wer Beschäftigte hat, verarbeitet deren Daten dauerhaft — und ist damit in der Pflicht.
Die dritte kommt oft dazu, ohne dass es jemandem bewusst ist: Die Konfessionszugehörigkeit für die Kirchensteuer ist eine besondere Kategorie nach Artikel 9.
Was hineingehört
Artikel 30 Absatz 1 zählt die Angaben auf, die ein Verantwortlicher führen muss. Sie sind überschaubar — der Aufwand liegt nicht in der Anzahl der Felder, sondern darin, sie für jede Verarbeitung ehrlich auszufüllen.
Ein Verzeichnis ist übrigens kein Dokument, das man einmal schreibt. Es beschreibt einen Zustand, und der ändert sich, sobald ein neues Werkzeug eingeführt oder ein Dienstleister gewechselt wird.
Typische Fehler
Der häufigste: Rechtsgrundlagen, die nicht zur Verarbeitung passen. „Einwilligung" steht oft dort, wo in Wahrheit ein Vertrag oder eine gesetzliche Pflicht die Grundlage ist — und eine Einwilligung kann widerrufen werden, eine gesetzliche Pflicht nicht.
Der zweitäufigste: Löschfristen als Platzhalter. „Nach Zweckfortfall" ist keine Frist. Wenn eine Aufbewahrungspflicht besteht, gehört sie mit Fundstelle hinein.
Und der stillste: ein Verzeichnis, das den Stand von 2019 beschreibt. Ohne Datum der letzten Prüfung lässt sich das von außen nicht erkennen — mit Datum sofort.
Die Pflichtangaben nach Art. 30 Abs. 1
Diese Felder enthält die Vorlage bereits als Spalten:
Verantwortlicher und Kontakt
Name und Kontaktdaten, gegebenenfalls des Vertreters und des Datenschutzbeauftragten.
Zwecke der Verarbeitung
Wofür die Daten verarbeitet werden. Je Verarbeitung eigene Zeile, nicht ein Sammelzweck für alles.
Kategorien von Personen und Daten
Wessen Daten und welche. Kategorien genügen, Einzelfelder sind nicht verlangt.
Empfänger
An wen die Daten gehen, einschließlich Auftragsverarbeitern und Empfängern in Drittländern.
Drittlandübermittlung
Falls vorhanden: Land und Grundlage der Übermittlung.
Löschfristen
Wann gelöscht wird, wenn möglich mit der Vorschrift, aus der sich die Frist ergibt.
Technische und organisatorische Maßnahmen
Allgemeine Beschreibung nach Artikel 32. Ein Verweis auf ein separates TOM-Dokument ist üblich.
Wer das Verzeichnis nicht in einer Datei führen will: Opspect unterstützt bei der Pflege im System — Verarbeitungstätigkeiten mit allen Pflichtangaben, Verknüpfung zu Lieferanten und Maßnahmen, Wiedervorlage und Ausgabe als PDF. Die Vorlage bleibt trotzdem kostenlos.
Vorlage herunterladen
Excel-Datei mit allen Pflichtangaben als Spalten, zwei ausgefüllten Beispielzeilen und einem Hinweisblatt zur 250-Mitarbeiter-Ausnahme. Ohne Anmeldung, ohne E-Mail-Adresse.
VVT-Vorlage (Excel)Verzeichnis im System statt in der Tabelle
Vierzehn Tage kostenlos, ohne Abbuchung in der Testphase, monatlich kündbar.
Häufige Fragen
Gilt die Ausnahme unter 250 Mitarbeitern für uns?
Nur wenn keine der drei Rückausnahmen greift. Da Lohnabrechnung und Kundenverwaltung nicht gelegentlich erfolgen, greift sie in der Praxis fast nie.
Muss das Verzeichnis veröffentlicht werden?
Nein. Es ist auf Anfrage der Aufsichtsbehörde vorzulegen, nicht öffentlich zu machen.
Reicht eine Excel-Datei?
Ja. Die Verordnung schreibt kein Format vor, verlangt aber Schriftform, was ein elektronisches Format einschließt.
Wie oft muss es aktualisiert werden?
Es muss den aktuellen Stand abbilden. Praktisch heißt das: bei jeder Änderung, und zusätzlich eine regelmäßige Durchsicht mit festgehaltenem Datum.
Brauchen auch Auftragsverarbeiter ein Verzeichnis?
Ja, mit einem eigenen, kürzeren Pflichtumfang nach Artikel 30 Absatz 2.