dataROPA: Ihre Verarbeitungsverzeichnis-Profi-Software

Die Datenschutzgrundverordnung geht in ihrem Artikel 30 davon aus, dass grundsätzlich „jeder Verantwortliche“ ein Verarbeitungsverzeichnis führen muss – in der Praxis also jedes Unternehmen und jede sonstige Einrichtung, die personenbezogene Daten verarbeitet.

Zwar gibt es eine Ausnahme für Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter beschäftigten, wenn eine Datenverarbeitung „nur gelegentlich“ erfolgt. Aber diese Ausnahme greift in der Praxis so gut wie nie, denn auch kleine und mittlere Unternehmen verarbeiten in aller Regel Personendaten – sei es bei der Erfassung von Bestellungen, für die Erstellung von Lieferscheinen und Rechnungen, für Versandaufkleber, für die Buchhaltung und so weiter.

Nur soweit Personendaten in rein privatem Zusammenhang verarbeitet werden – zum Beispiel im privaten E-Mail-Verkehr – ist kein Verarbeitungsverzeichnis erforderlich.

Welche Informationen das Verarbeitungsverzeichnis enthalten muss, regelt Artikel 30 DSGVO in Absatz 1. Danach muss das Verzeichnis

• alle Kategorien von verarbeiteten Daten benennen (z.B. Name, Anschrift)
• die Kategorien der betroffenen Personen (z.B. Kunden, Lieferanten)
• die Zwecke der Verarbeitung (z.B. Lieferung, Buchhaltung)
• die konkrete Rechtsgrundlage für jeden einzelnen Verarbeitungsvorgang (z.B. Artikel 6 Absatz 1 Buchstabe b DSGVO)
• die Kategorien von Empfängern, denen Daten offengelegt werden (z.B. Webhoster, E-Mail-Provider)
• Erläuterungen zur Datenübermittlung ins Ausland
• die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien
• und eine Beschreibung der technischen und organisatorischen Maßnahmen zum Schutz der verarbeiteten Daten.

Das Verarbeitungsverzeichnis muss zu jeder Zeit einen vollständigen Überblick über alle Unternehmensvorgänge geben, bei denen personenbezogene Daten verarbeitet werden. Das betrifft auch jede Verarbeitung, die externe Dienstleister (Auftragsverarbeiter gemäß Artikel 28 DSGVO) erledigen. Wenn Sie beispielsweise eine Nutzungsanalyse Ihrer Webseite einführen, die Postablage oder die Arbeitszeiterfassung digitalisieren, eine neue Cloud-Software einführen oder einen IT-Dienstleister wechseln, müssen Sie Ihr Verarbeitungsverzeichnis aktualisieren. Je nach Unternehmensgröße und Branche kann die Häufigkeit nötiger Aktualisierungen stark variieren. Erfahrungsgemäß sollten Sie Ihr Verfahrensverzeichnis mindestens einmal im Quartal auf Aktualität überprüfen.

Jede Einrichtung muss bereits ab der ersten Verarbeitung von personenbezogenen Daten über ein Verarbeitungsverzeichnis verfügen. Wenn Sie zum Beispiel eine Webseite betreiben, verarbeiten Sie – technisch zwingend – die IP-Adressen Ihrer Webseitenbesucher. Bereits mit dem Launch Ihrer Webseite benötigen Sie also ein Verarbeitungsverzeichnis. Auch dann, wenn Sie Mitarbeiter beschäftigten, brauchen Sie ein Verarbeitungsverzeichnis – denn darin müssen Sie aufführen, welche Arten von Daten Sie über Ihre Mitarbeiter erfassen. Es gibt auch keine „Schonfrist“ für die Aktualisierung nach Änderungen in den Verarbeitungsvorgängen. Jede Änderung in den Unternehmensabläufen muss unverzüglich in das Verarbeitungsverzeichnis übernommen werden, wenn personenbezogene Daten berührt sind.

Wenn Sie kein Verarbeitungsverzeichnis führen, obwohl Sie dazu gemäß Artikel 30 DSGVO verpflichtet sind, kann dies zu einer empfindlichen Geldbuße führen. Die für den Datenschutz zuständigen Aufsichtsbehörden können Sanktionen verhängen, die in Artikel 83 DSGVO geregelt sind. Dabei sind die Behörden berechtigt, Geldbußen von bis zu 10 Millionen Euro oder bis zu 2% des gesamten weltweit erzielten Jahresumsatzes zu verhängen, je nachdem, welcher Betrag höher ist. Die Folgen eines fehlenden oder unvollständigen Verarbeitungsverzeichnisses können also sehr teuer werden.

Jede Datenschutzbehörde kann jederzeit die Vorlage Ihres Verarbeitungsverzeichnisses anfordern. Dann müssen Sie das komplette Verzeichnis aller Datenverarbeitungsvorgänge unverzüglich liefern. Falls Sie dann noch kein fertiges Verarbeitungsverzeichnis haben, bleibt in der Praxis nicht genügend Zeit, um in einem solchen Fall erst mit der Erstellung zu beginnen. Um Bußgelder zu vermeiden, sollten Sie vorsorgen und das Verarbeitungsverzeichnis frühzeitig erstellen und immer auf dem aktuellen Stand halten.

Es kann auch vorkommen, dass ein Unternehmen, das mit Ihnen zusammenarbeiten will, Ihr Verarbeitungsverzeichnis einsehen möchte. Häufig geschieht dies auf Anfrage des Datenschutzbeauftragten Ihres künftigen Geschäftspartners, um zu prüfen, ob Sie DSGVO-konform arbeiten und Ihr Geschäftspartner Ihnen seine Daten anvertrauen kann. Der Nachweis, dass Sie datenschutzkonform arbeiten, kann so zum Entscheidungskriterium für Ihren wirtschaftlichen Erfolg werden. Sie professionelle Compliance, indem Sie Ihren Geschäftspartnern auf Anfrage jederzeit Ihr Verarbeitungsverzeichnis zur Verfügung stellen.

Sie als Unternehmen oder sonstige Einrichtung sind der Verantwortliche im Sinne der Datenschutzgrundverordnung für alle personenbezogenen Daten, die von Ihrer Einrichtung verarbeitet werden. Dabei muss die Datenverarbeitung nicht unbedingt nur innerhalb Ihrer Einrichtung stattfinden. In den meisten Fällen sind externe Dienstleister einbezogen, die einen Teil der Datenverarbeitung in Ihrem Auftrag übernehmen. Diese Dienstleister werden Auftragsverarbeiter genannt und sind in Artikel 28 DSGVO geregelt.

Zum Beispiel betreiben die wenigsten Unternehmen einen eigenen Web- oder E-Mail-Server in ihren Räumen, sondern greifen hierfür auf Webhoster und E-Mail-Provider zurück. Auch digitale Kalender, Cloudspeicher und Videokonferenzdienste werden typischerweise an Auftragsverarbeiter vergeben.
Da Sie also Daten mit Ihren Auftragsverarbeitern austauschen, muss das Verarbeitungsverzeichnis diesen Datenaustausch widerspiegeln.

Sie müssen ein Verarbeitungsverzeichnis zwar erstellen und aktuell halten, aber nicht von sich aus an eine bestimmten Stelle melden. Nur auf Anfrage einer Datenschutz-Aufsichtsbehörde müssen Sie das Verarbeitungsverzeichnis zur Verfügung stellen. Eventuell fragen Geschäftspartner Sie nach Ihrem Verarbeitungsverzeichnis. In solchen Fällen können Sie frei entscheiden, ob Sie das Verzeichnis vorlegen möchten.

Das Verarbeitungsverzeichnis muss zu jeder Zeit einen kompletten Überblick über sämtliche Datenverarbeitungen in Ihrer Einrichtung geben – unabhängig davon, wann Sie die Arbeitsabläufe eingeführt haben. Es müssen auch bereits beendete Verarbeitungsvorgänge abgebildet bleiben, wenn als deren Ergebnis noch Daten bestehen, die Sie weiter gespeichert halten, zum Beispiel in einem Archiv oder als Backups.