dataROPA: Deine Verarbeitungsverzeichnis-Profi-Software

Ein Verarbeitungsverzeichnis ist eine systematische Darstellung all derjenigen Tätigkeiten, bei denen personenbezogene Daten in einem Unternehmen oder in einer sonstigen Einrichtung (z.B. in einem Verein) verarbeitet werden. Deshalb spricht Artikel 30 auch vom „Verzeichnis der Verarbeitungstätigkeiten“. Das Verarbeitungsverzeichnis hat das Ziel, alle Datenflüsse so übersichtlich darzustellen, dass jederzeit erkennbar ist, welche Kategorien von Daten (z.B. Namen oder Adressen) über welche betroffenen Personen (z.B. Kunden) erfasst, weiterverarbeitet und eventuell an Dritte weitergeleitet werden. Auch die Speicherdauer muss aus dem Verarbeitungsverzeichnis ersichtlich werden.

Das Verarbeitungsverzeichnis versetzt ein Unternehmen in die Lage, Auskunftsansprüche von Betroffenen zu erfüllen. Denn ohne einen systematischen Überblick aller Datenverarbeitungsvorgänge kann ein Unternehmen gar keine Auskunft erteilen. Außerdem dient das Verarbeitungsverzeichnis der Selbstkontrolle in einem Unternehmen, ob alle Datenverarbeitungsvorgänge rechtmäßig erfolgen, denn das Verzeichnis muss für jeden Verarbeitungsvorgang die passende Rechtsgrundlage nennen.

Die Datenschutzgrundverordnung geht in ihrem Artikel 30 davon aus, dass grundsätzlich „jeder Verantwortliche“ ein Verarbeitungsverzeichnis führen muss – in der Praxis also jedes Unternehmen und jede sonstige Einrichtung, die personenbezogene Daten verarbeitet.

Zwar gibt es eine Ausnahme für Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter beschäftigten, wenn eine Datenverarbeitung „nur gelegentlich“ erfolgt. Aber diese Ausnahme greift in der Praxis so gut wie nie, denn auch kleine und mittlere Unternehmen verarbeiten in aller Regel Personendaten – sei es bei der Erfassung von Bestellungen, für die Erstellung von Lieferscheinen und Rechnungen, für Versandaufkleber, für die Buchhaltung und so weiter.

Nur soweit Personendaten in rein privatem Zusammenhang verarbeitet werden – zum Beispiel im privaten E-Mail-Verkehr – ist kein Verarbeitungsverzeichnis erforderlich.

Welche Informationen das Verarbeitungsverzeichnis enthalten muss, regelt Artikel 30 DSGVO in Absatz 1. Danach muss das Verzeichnis

• alle Kategorien von verarbeiteten Daten benennen (z.B. Name, Anschrift)
• die Kategorien der betroffenen Personen (z.B. Kunden, Lieferanten)
• die Zwecke der Verarbeitung (z.B. Lieferung, Buchhaltung)
• die konkrete Rechtsgrundlage für jeden einzelnen Verarbeitungsvorgang (z.B. Artikel 6 Absatz 1 Buchstabe b DSGVO)
• die Kategorien von Empfängern, denen Daten offengelegt werden (z.B. Webhoster, E-Mail-Provider)
• Erläuterungen zur Datenübermittlung ins Ausland
• die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien
• und eine Beschreibung der technischen und organisatorischen Maßnahmen zum Schutz der verarbeiteten Daten.

Das Verarbeitungsverzeichnis muss zu jeder Zeit einen vollständigen Überblick über alle Unternehmensvorgänge geben, bei denen personenbezogene Daten verarbeitet werden. Das betrifft auch jede Verarbeitung, die externe Dienstleister (Auftragsverarbeiter gemäß Artikel 28 DSGVO) erledigen. Wenn du beispielsweise eine Nutzungsanalyse deiner Webseite einführst, die Postablage oder die Arbeitszeiterfassung digitalisierst, eine neue Cloud-Software einführst oder einen IT-Dienstleister wechselst, musst du dein Verarbeitungsverzeichnis aktualisieren. Je nach Unternehmensgröße und Branche kann die Häufigkeit nötiger Aktualisierungen stark variieren. Erfahrungsgemäß solltest du dein Verfahrensverzeichnis mindestens einmal im Quartal auf Aktualität überprüfen.

Jede Einrichtung muss bereits ab der ersten Verarbeitung von personenbezogenen Daten über ein Verarbeitungsverzeichnis verfügen. Wenn du zum Beispiel eine Webseite betreibst, verarbeitest du – technisch zwingend – die IP-Adressen deiner Webseitenbesucher. Bereits mit dem Launch deiner Webseite benötigst du also ein Verarbeitungsverzeichnis. Auch dann, wenn du Mitarbeiter beschäftigst, brauchst du ein Verarbeitungsverzeichnis – denn darin musst du aufführen, welche Arten von Daten du über deine Mitarbeiter erfasst. Es gibt auch keine „Schonfrist“ für die Aktualisierung nach Änderungen in den Verarbeitungsvorgängen. Jede Änderung in den Unternehmensabläufen muss unverzüglich in das Verarbeitungsverzeichnis übernommen werden, wenn personenbezogene Daten berührt sind.

Wenn du kein Verarbeitungsverzeichnis führst, obwohl du dazu gemäß Artikel 30 DSGVO verpflichtet bist, kann dies zu einer empfindlichen Geldbuße führen. Die für den Datenschutz zuständigen Aufsichtsbehörden können Sanktionen verhängen, die in Artikel 83 DSGVO geregelt sind. Dabei sind die Behörden berechtigt, Geldbußen von bis zu 10 Millionen Euro oder bis zu 2% des gesamten weltweit erzielten Jahresumsatzes zu verhängen, je nachdem, welcher Betrag höher ist. Die Folgen eines fehlenden oder unvollständigen Verarbeitungsverzeichnisses können also sehr teuer werden.

Jede Datenschutzbehörde kann jederzeit die Vorlage deines Verarbeitungsverzeichnisses anfordern. Dann musst du das komplette Verzeichnis aller Datenverarbeitungsvorgänge unverzüglich liefern. Falls du dann noch kein fertiges Verarbeitungsverzeichnis hast, bleibt in der Praxis nicht genügend Zeit, um in einem solchen Fall erst mit der Erstellung zu beginnen. Um Bußgelder zu vermeiden, solltest du vorsorgen und das Verarbeitungsverzeichnis frühzeitig erstellen und immer auf dem aktuellen Stand halten.

Es kann auch vorkommen, dass ein Unternehmen, das mit dir zusammenarbeiten will, dein Verarbeitungsverzeichnis einsehen möchte. Häufig geschieht dies auf Anfrage des Datenschutzbeauftragten deines künftigen Geschäftspartners, um zu prüfen, ob du DSGVO-konform arbeitest und dein Geschäftspartner dir seine Daten anvertrauen kann. Der Nachweis, dass du datenschutzkonform arbeitest, kann so zum Entscheidungskriterium für deinen wirtschaftlichen Erfolg werden. Du zeigst professionelle Compliance, indem du deinen Geschäftspartnern auf Anfrage jederzeit dein Verarbeitungsverzeichnis zur Verfügung stellst.

Du als Unternehmen oder sonstige Einrichtung bist der Verantwortliche im Sinne der Datenschutzgrundverordnung für alle personenbezogenen Daten, die von deiner Einrichtung verarbeitet werden. Dabei muss die Datenverarbeitung nicht unbedingt nur innerhalb deiner Einrichtung stattfinden. In den meisten Fällen sind externe Dienstleister einbezogen, die einen Teil der Datenverarbeitung in deinem Auftrag übernehmen. Diese Dienstleister werden Auftragsverarbeiter genannt und sind in Artikel 28 DSGVO geregelt.

Zum Beispiel betreiben die wenigsten Unternehmen einen eigenen Web- oder E-Mail-Server in ihren Räumen, sondern greifen hierfür auf Webhoster und E-Mail-Provider zurück. Auch digitale Kalender, Cloudspeicher und Videokonferenzdienste werden typischerweise an Auftragsverarbeiter vergeben.
Da du also Daten mit deinen Auftragsverarbeitern austauschst, muss das Verarbeitungsverzeichnis diesen Datenaustausch widerspiegeln.

Du musst ein Verarbeitungsverzeichnis zwar erstellen und aktuell halten, aber nicht von dir aus an eine bestimmten Stelle melden. Nur auf Anfrage einer Datenschutz-Aufsichtsbehörde musst du das Verarbeitungsverzeichnis zur Verfügung stellen. Eventuell fragen Geschäftspartner dich nach deinem Verarbeitungsverzeichnis. In solchen Fällen kannst du frei entscheiden, ob du das Verzeichnis vorlegen möchtest.

Das Verarbeitungsverzeichnis muss zu jeder Zeit einen kompletten Überblick über sämtliche Datenverarbeitungen in deiner Einrichtung geben – unabhängig davon, wann du die Arbeitsabläufe eingeführt hast. Es müssen auch bereits beendete Verarbeitungsvorgänge abgebildet bleiben, wenn als deren Ergebnis noch Daten bestehen, die du weiter gespeichert hältst, zum Beispiel in einem Archiv oder als Backups.