Das Verzeichnis von Verarbeitungstätigkeiten ist die interne Landkarte deiner Datenverarbeitung. Es beantwortet in Listenform, was viele Betriebe nur im Kopf haben: welche Daten wofür verarbeitet werden, wer sie bekommt und wann sie verschwinden.
Es ist außerdem das Dokument, das eine Aufsichtsbehörde als Erstes anfordert, wenn es eine Beschwerde oder eine Datenpanne gibt. Wer es dann nicht hat, verliert die Diskussion, bevor sie beginnt.
Wer es führen muss
Die Pflicht trifft grundsätzlich jeden Verantwortlichen. Es gibt eine Ausnahme für kleine Organisationen, aber sie greift nur, wenn die Verarbeitung nicht mehr als gelegentlich erfolgt, kein Risiko für die betroffenen Personen entsteht und keine besonderen Datenkategorien verarbeitet werden. Alle drei Bedingungen müssen zugleich erfüllt sein.
Genau daran scheitert die Ausnahme fast immer. Sobald du Personal hast, verarbeitest du regelmäßig Gesundheitsdaten, etwa Krankmeldungen, und das ist eine besondere Kategorie. Auch eine laufend gepflegte Kundendatei, ein Newsletter oder eine Videoüberwachung sind nicht gelegentlich. Für praktisch jeden Betrieb mit Beschäftigten gilt deshalb: Das Verzeichnis ist zu führen. Ob die Ausnahme in deinem Fall trotzdem greift, ist eine Frage an die Rechtsberatung, nicht an ein Bauchgefühl.
Nach Prozessen ordnen, nicht nach Software
Der häufigste Fehler ist eine Liste von Programmen. Ein Verzeichnis beschreibt Tätigkeiten, also das, was im Betrieb tatsächlich passiert. Typische Einträge in einem kleinen Betrieb:
- Kundenverwaltung und Auftragsabwicklung
- Rechnungsstellung und Buchhaltung
- Personalverwaltung und Lohnabrechnung
- Bewerbungsverfahren
- Zahlungsabwicklung an der Kasse, bar und mit Karte
- Reservierung oder Terminbuchung
- Newsletter und Werbung
- Videoüberwachung
- Betrieb der Website und Reichweitenmessung
Die Software taucht dann innerhalb des Eintrags auf, bei den Systemen und Empfängern. So bleibt das Verzeichnis stabil, auch wenn du das Programm wechselst: Du beschreibst, was der Betrieb tut, und nicht, womit er es gerade tut.
Was in jeden Eintrag gehört
Je Tätigkeit brauchst du: den Verantwortlichen mit Kontakt, den Zweck, die Kategorien betroffener Personen (Kundschaft, Beschäftigte, Bewerbende, Lieferanten), die Kategorien der Daten (Kontaktdaten, Vertragsdaten, Zahlungsdaten, Gesundheitsdaten), die Empfänger, eine mögliche Übermittlung in Drittländer mit ihrer Grundlage, die Löschfristen oder wenigstens die Kriterien dafür und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.
Bei den Maßnahmen genügt eine Beschreibung auf Betriebsebene: Zugriffsrechte, Passwörter, Verschlüsselung, abschließbare Schränke, Sicherungen, Einweisung des Personals. Du musst das nicht in jeder Zeile wiederholen, eine gemeinsame Anlage reicht.
Wie du es schlank hältst
Ein Blatt je Tätigkeit, eine gemeinsame Anlage für die Maßnahmen, eine Übersichtsseite davor. Eine Tabelle genügt, ein bestimmtes Formular ist nicht vorgeschrieben. Die Aufsichtsbehörden der Länder stellen Vorlagen bereit, teils branchenbezogen. Nimm eine davon, statt bei null anzufangen.
Verknüpfe die Pflege mit Anlässen statt mit dem Kalender: neue Software, neuer Dienstleister, neues Angebot, die erste Einstellung, eine neue Kamera. Wer wartet, bis einmal Zeit ist, schreibt das Verzeichnis nie fort. Trag in jeden Eintrag ein, wer im Betrieb dafür zuständig ist, sonst ist es niemand.
Der Nutzen liegt neben der Pflicht
Das Verzeichnis ist die Vorarbeit für drei andere Aufgaben. Die Datenschutzerklärung für die Website leitet sich daraus ab, statt aus einem fremden Muster. Die Liste der Empfänger zeigt, mit welchen Dienstleistern ein Vertrag zur Auftragsverarbeitung fehlt. Und wenn jemand Auskunft über seine Daten verlangt, weißt du sofort, in welchen Systemen du nachsehen musst, statt im Betrieb herumzufragen.
Kommt es zu einer Datenpanne, etwa einem gestohlenen Laptop oder einer falsch adressierten Kundenliste, steht die halbe Meldung bereits im Verzeichnis: betroffene Kategorien, Zweck, Systeme, Empfänger. Das ist der Punkt, an dem sich die Stunden Arbeit auszahlen.
Wo wir aufhören
Ob eine Verarbeitung zulässig ist, ob eine Datenschutz-Folgenabschätzung nötig wird und ob dein Betrieb einen Datenschutzbeauftragten bestellen muss, sind rechtliche Fragen. Sie gehören in die Rechtsberatung oder zu einem Datenschutzberater. Das Verzeichnis selbst kannst du gut selbst führen, und genau dafür ist dieser Beitrag gedacht.
