DAT-01 | Datenschutz, KI & Informationssicherheit | Gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet
Du kannst nur schützen, was Du kennst. Das Verzeichnis der Verarbeitungstätigkeiten ist keine Bürokratie um ihrer selbst willen, sondern die Bestandsaufnahme, aus der sich jede weitere Datenschutzpflicht ableitet - von der Löschfrist bis zur Frage, welche Dienstleister einen Vertrag brauchen.
GILT DAS FÜR DICH?
Praktisch für jedes Unternehmen. Sobald Du Beschäftigte hast, verarbeitest Du personenbezogene Daten - Lohnabrechnung, Bewerbungen, Zeiterfassung.
Die viel zitierte Ausnahme für Unternehmen unter 250 Beschäftigten hilft Dir in der Praxis nicht: Sie greift nur, wenn die Verarbeitung gelegentlich erfolgt, kein Risiko birgt und keine besonderen Datenkategorien betrifft. Personalverwaltung ist nie gelegentlich. Rechne deshalb damit, dass Du das Verzeichnis führen musst.
DAS MUSST DU TUN
- Erstelle das Verzeichnis der Verarbeitungstätigkeiten. Geh dafür Deine Abteilungen durch: HR, Buchhaltung, Vertrieb, Marketing, IT, Kundenservice. Für jede Verarbeitung notierst Du: Zweck, betroffene Personengruppen, Datenkategorien, Empfänger, Drittlandtransfer, Löschfrist, technische und organisatorische Maßnahmen.
- Kennzeichne besondere Datenkategorien nach Art. 9 DSGVO - Gesundheitsdaten, Religionszugehörigkeit (Kirchensteuer!), Gewerkschaftszugehörigkeit, biometrische Daten. Diese brauchen eine eigene Rechtsgrundlage und erhöhte Schutzmaßnahmen.
- Vergib pro Verarbeitung eine Rechtsgrundlage. Vertrag, gesetzliche Pflicht, berechtigtes Interesse oder Einwilligung - eine davon muss passen, sonst darfst Du nicht verarbeiten.
- Definiere Löschfristen und setze sie technisch um. Ein Verzeichnis mit der Angabe "nach Wegfall des Zwecks" ist der häufigste Platzhalter, der nie ersetzt wird.
- Prüfe, ob eine Datenschutz-Folgenabschätzung nötig ist - bei Videoüberwachung, Bewerber-Scoring, umfangreicher Auswertung von Beschäftigtendaten oder neuen Technologien mit hohem Risiko.
- Aktualisiere das Verzeichnis bei jeder neuen Software, jedem neuen Dienstleister und mindestens einmal jährlich. Nimm es in den Prozess für neue IT-Systeme auf.
GRÜN IST ES, WENN ...
Das Verzeichnis ist vollständig, jede Verarbeitung hat Rechtsgrundlage und Löschfrist, es ist nicht älter als zwölf Monate, und es gibt keine bekannte Verarbeitung, die darin fehlt.
DIESE NACHWEISE BRAUCHST DU
Verarbeitungsverzeichnis als Tabelle oder Tool-Export mit Versionsstand, Löschkonzept, gegebenenfalls Datenschutz-Folgenabschätzungen.
DIE RECHTSGRUNDLAGE
- Art. 30 DSGVO - Verzeichnis von Verarbeitungstätigkeiten: Legt fest, welche Angaben das Verzeichnis enthalten muss. Es ist der Aufsichtsbehörde auf Anfrage vorzulegen - meist innerhalb weniger Tage.
- Art. 5 Abs. 2 DSGVO - Rechenschaftspflicht: Du musst die Einhaltung der Datenschutzgrundsätze nachweisen können. Das Verzeichnis ist dafür das zentrale Dokument.
- Art. 35 DSGVO - Datenschutz-Folgenabschätzung: Pflicht bei voraussichtlich hohem Risiko für die Rechte der Betroffenen.
- Datenschutzkonferenz (DSK): Die gemeinsamen Beschlüsse und Kurzpapiere der deutschen Aufsichtsbehörden - unter anderem eine Muster-Struktur für das Verzeichnis und die Liste der Verarbeitungen mit Folgenabschätzungspflicht.
TYPISCHE STOLPERFALLEN
- Schatten-Verarbeitungen. Das Marketing-Tool, das der Vertrieb selbst gebucht hat, steht in keinem Verzeichnis - taucht aber bei jeder Prüfung auf.
- Löschfristen als Textbaustein. Ohne technische Umsetzung sind sie wertlos.
- Einmal erstellt, nie gepflegt. Ein Verzeichnis von 2019 belegt vor allem, dass keine Datenschutzorganisation existiert.
- Kirchensteuermerkmal übersehen. In der Lohnabrechnung verarbeitest Du eine besondere Datenkategorie - das wird regelmäßig vergessen.
WIE KANN DIR COMPLIANCE.ONE DABEI HELFEN?
Das Verarbeitungsverzeichnis ist die Fleißarbeit, die den größten Hebel hat. Mit externer Unterstützung steht es in Wochen statt in Monaten.
Externe Datenschutzbeauftragte: Als externe Datenschutzbeauftragte bauen wir das Verzeichnis mit Dir auf und halten es laufend aktuell - inklusive Rechtsgrundlagen und Löschfristen.
Datenschutz-Audit: Dokumenten- und Prozessprüfung mit Gap-Analyse: Wir zeigen Dir, welche Verarbeitungen im Verzeichnis fehlen.
Mehr zum Thema: Datenschutzgrundverordnung auf compliance.one
Unsicher, was für Dich das Richtige ist? Wir schauen gemeinsam drauf:
