Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO zählt zu den zentralen Dokumentationspflichten, denen nahezu jedes Unternehmen unterliegt, das personenbezogene Daten verarbeitet. Anders als vielfach angenommen, betrifft die Pflicht nicht nur Großunternehmen oder Konzerne, sondern greift bereits bei kleineren Betrieben, sobald die Datenverarbeitung nicht nur gelegentlich erfolgt oder ein Risiko für die Rechte betroffener Personen mit sich bringt. In der Praxis führt fast jede unternehmerische Tätigkeit, von der Lohnbuchhaltung über das Kundenmanagement bis zur Website mit Kontaktformular, zu einer solchen nicht gelegentlichen Verarbeitung. Dieser Beitrag erläutert, welche Inhalte ein rechtskonformes Verzeichnis enthalten muss, wie sich die Pflege im Alltag organisieren lässt und welche Fehler bei Kontrollen durch Aufsichtsbehörden am häufigsten auffallen. Er richtet sich an Geschäftsführer, Datenschutzbeauftragte und Fachabteilungsleiter, die ihre Dokumentationspflichten strukturiert und mit vertretbarem Pflegeaufwand erfüllen möchten, ohne bei jeder organisatorischen Änderung ein neues Dokument von Grund auf erstellen zu müssen.
Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von rechtimunternehmen.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.
Titelbild: Foto von Viktor Talashuk auf Unsplash.
Wer zur Führung eines Verarbeitungsverzeichnisses verpflichtet ist
Art. 30 Abs. 5 DSGVO sieht zwar eine Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern vor, diese Ausnahme greift jedoch nur, wenn die Verarbeitung kein Risiko für die Rechte und Freiheiten betroffener Personen birgt, nicht nur gelegentlich erfolgt oder keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO umfasst. In der Praxis ist diese Ausnahme faktisch bedeutungslos, da bereits die routinemäßige Verarbeitung von Mitarbeiter- oder Kundendaten als nicht gelegentlich gilt. Die für Datenschutz zuständigen Aufsichtsbehörden der Länder gehen in ihrer Verwaltungspraxis daher davon aus, dass praktisch jedes Unternehmen ein Verzeichnis führen muss, unabhängig von der Mitarbeiterzahl.
Verantwortliche und Auftragsverarbeiter im Vergleich
Sowohl der datenschutzrechtlich Verantwortliche als auch der Auftragsverarbeiter sind zur Führung eines eigenen, wenn auch inhaltlich unterschiedlichen Verzeichnisses verpflichtet. Während das Verzeichnis des Verantwortlichen sämtliche Zwecke, Kategorien betroffener Personen und Empfänger dokumentiert, beschränkt sich das Verzeichnis des Auftragsverarbeiters nach Art. 30 Abs. 2 DSGVO auf die im Auftrag durchgeführten Verarbeitungskategorien. Unternehmen, die sowohl eigene Daten verarbeiten als auch als Dienstleister für Dritte tätig sind, etwa im Bereich IT-Hosting oder Lohnbuchhaltung, benötigen daher unter Umständen beide Verzeichnisarten parallel.
Pflichtinhalte eines rechtskonformen Verzeichnisses
Der Gesetzestext in Art. 30 Abs. 1 DSGVO benennt die erforderlichen Angaben abschließend. Fehlt auch nur eine dieser Angaben, gilt das Verzeichnis als unvollständig und damit als Verstoß gegen die Dokumentationspflicht. Der vollständige Wortlaut der Vorschrift lässt sich im Gesetzestext der Datenschutz-Grundverordnung nachlesen.
| Pflichtangabe | Beispiel aus der Praxis |
|---|---|
| Name und Kontaktdaten des Verantwortlichen | Geschäftsführung, ggf. Vertreter, Datenschutzbeauftragter |
| Zwecke der Verarbeitung | Gehaltsabrechnung, Bewerbermanagement, Kundenbetreuung |
| Kategorien betroffener Personen und Daten | Beschäftigte, Kunden, Bewerber; Stammdaten, Vertragsdaten, Gesundheitsdaten |
| Kategorien von Empfängern | Steuerberater, IT-Dienstleister, Behörden |
| Übermittlung in Drittländer | Cloud-Anbieter außerhalb der EU inkl. Garantien |
| Löschfristen | Aufbewahrungsfristen nach Handels- und Steuerrecht |
| Technische und organisatorische Maßnahmen | Verschlüsselung, Zugriffsbeschränkungen, Protokollierung |
Schritt-für-Schritt-Aufbau eines Verarbeitungsverzeichnisses
- Bestandsaufnahme aller Abteilungen und der dort stattfindenden Datenverarbeitungen durch strukturierte Interviews
- Zuordnung jeder Verarbeitung zu einem klar formulierten Zweck und einer Rechtsgrundlage nach Art. 6 DSGVO
- Erfassung der beteiligten Empfänger, Dienstleister und etwaiger Drittlandübermittlungen
- Dokumentation der Löschfristen unter Berücksichtigung handels- und steuerrechtlicher Aufbewahrungspflichten
- Beschreibung der technischen und organisatorischen Maßnahmen je Verarbeitungstätigkeit
- Freigabe durch die Geschäftsführung und Festlegung eines Turnus zur regelmäßigen Aktualisierung
Praxisbeispiel: Verarbeitungstätigkeit „Bewerbermanagement“
Ein typischer Eintrag im Verzeichnis eines mittelständischen Unternehmens könnte die Verarbeitungstätigkeit „Bewerbermanagement“ betreffen. Als Zweck wird die Auswahl geeigneter Kandidaten für offene Stellen benannt, als Rechtsgrundlage dient Art. 88 DSGVO in Verbindung mit § 26 BDSG für das Beschäftigtenverhältnis. Betroffene Personen sind Bewerberinnen und Bewerber, verarbeitete Daten umfassen Kontaktdaten, Lebenslauf, Zeugnisse und gegebenenfalls Gesprächsnotizen. Empfänger sind die Personalabteilung sowie die jeweilige Fachabteilung, eine Übermittlung in Drittländer findet nur statt, wenn ein Bewerbermanagement-System außerhalb der EU gehostet wird. Die Löschfrist orientiert sich an der sechsmonatigen Frist zur Geltendmachung von Ansprüchen nach dem Allgemeinen Gleichbehandlungsgesetz, sofern keine Einwilligung zur längeren Speicherung in einem Talentpool vorliegt.
Häufige Fehler bei der praktischen Umsetzung
In der Beratungspraxis wiederholen sich bestimmte Fehler unabhängig von Branche und Unternehmensgröße. Besonders häufig werden Verarbeitungstätigkeiten zu grob zusammengefasst, etwa indem sämtliche Personalprozesse unter einem einzigen Eintrag „Personalverwaltung“ subsumiert werden, obwohl Bewerbermanagement, Gehaltsabrechnung und betriebliches Gesundheitsmanagement unterschiedliche Zwecke, Rechtsgrundlagen und Löschfristen aufweisen und daher separat dokumentiert werden sollten. Eine zu grobe Zusammenfassung erschwert es im Ernstfall, einer betroffenen Person oder einer Aufsichtsbehörde präzise Auskunft über eine einzelne Verarbeitung zu geben.
Ein zweiter wiederkehrender Fehler betrifft die Rechtsgrundlagen. Viele Verzeichnisse verweisen pauschal auf eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, obwohl die betreffende Verarbeitung tatsächlich auf einer Vertragserfüllung nach lit. b oder einem berechtigten Interesse nach lit. f beruht. Diese Ungenauigkeit wirkt sich unmittelbar auf die Informationspflichten gegenüber betroffenen Personen aus, da die genannte Rechtsgrundlage in der Datenschutzerklärung mit der im Verzeichnis dokumentierten übereinstimmen sollte. Ein dritter Fehler liegt darin, Cloud-Dienstleister und deren Serverstandorte nicht vollständig zu erfassen, wodurch Drittlandübermittlungen im Verzeichnis unentdeckt bleiben, obwohl sie nach Art. 30 Abs. 1 lit. e DSGVO ausdrücklich dokumentationspflichtig sind.
Zusammenspiel mit anderen Dokumentationspflichten
Das Verarbeitungsverzeichnis steht nicht isoliert, sondern bildet häufig die Grundlage für weitere datenschutzrechtliche Nachweise. Ergibt die Bewertung einer im Verzeichnis dokumentierten Verarbeitung ein voraussichtlich hohes Risiko für die Rechte betroffener Personen, etwa bei einer umfassenden Videoüberwachung oder dem großflächigen Scoring von Kunden, ist zusätzlich eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen. Ebenso liefert das Verzeichnis die Grundlage für die Beantwortung von Auskunftsersuchen nach Art. 15 DSGVO, da sich aus den dokumentierten Zwecken und Empfängern unmittelbar ableiten lässt, welche Angaben einer anfragenden Person mitzuteilen sind. Unternehmen, die ihr Verzeichnis konsequent pflegen, sparen bei der Bearbeitung solcher Anfragen erheblichen Aufwand, da die relevanten Informationen bereits strukturiert vorliegen.
Organisatorische Verankerung und Pflege im Alltag
Ein Verarbeitungsverzeichnis verliert seinen Wert, wenn es einmalig erstellt, aber nie wieder aktualisiert wird. Bewährt hat sich, die Pflege des Verzeichnisses fest in bestehende Prozesse zu integrieren, etwa indem jede neue Software-Einführung oder jeder neue Dienstleistervertrag automatisch eine Prüfung auslöst, ob eine neue Verarbeitungstätigkeit aufgenommen oder eine bestehende angepasst werden muss. In vielen Unternehmen übernimmt diese Koordination der interne oder externe Datenschutzbeauftragte, wobei die inhaltliche Verantwortung für die Richtigkeit der Angaben stets bei den jeweiligen Fachabteilungen verbleibt, da nur diese die tatsächlichen Abläufe im Detail kennen.
Ein Verarbeitungsverzeichnis ist kein einmaliges Compliance-Dokument, sondern ein lebendiges Abbild der tatsächlichen Datenverarbeitung im Unternehmen. Es ist immer nur so aktuell wie der letzte Prozess, der Änderungen tatsächlich zurückmeldet.
Software-gestützte versus tabellarische Führung
Kleinere Unternehmen führen ihr Verzeichnis häufig zunächst in einer strukturierten Tabelle, was bei überschaubarer Anzahl an Verarbeitungstätigkeiten grundsätzlich zulässig ist, sofern alle Pflichtangaben vollständig und nachvollziehbar dokumentiert sind. Mit wachsender Zahl an Verarbeitungstätigkeiten, Dienstleistern und Fachabteilungen stößt eine tabellarische Lösung jedoch schnell an ihre Grenzen, insbesondere wenn Änderungen von mehreren Personen parallel gepflegt werden sollen. Spezialisierte Datenschutz-Management-Software bietet hier den Vorteil strukturierter Eingabemasken, automatischer Erinnerungen zur Aktualisierung und einer revisionssicheren Historie aller Änderungen, was insbesondere bei Prüfungen durch Aufsichtsbehörden von Vorteil ist.
Verzeichnis als Ausgangspunkt für Verhandlungen mit Dienstleistern
Ein sorgfältig geführtes Verarbeitungsverzeichnis erleichtert zudem den Abschluss und die Kontrolle von Auftragsverarbeitungsverträgen nach Art. 28 DSGVO. Da im Verzeichnis alle externen Empfänger und Dienstleister bereits erfasst sind, lässt sich systematisch prüfen, für welche dieser Beziehungen ein Auftragsverarbeitungsvertrag erforderlich ist und ob die dort vereinbarten technischen und organisatorischen Maßnahmen mit den im Verzeichnis dokumentierten Angaben übereinstimmen. Bei der Auswahl neuer IT-Dienstleister empfiehlt es sich, die Aufnahme in das Verzeichnis bereits während der Vertragsverhandlung vorzubereiten, statt sie erst nach Vertragsschluss nachträglich zu ergänzen. Auf diese Weise werden Lücken vermieden, die andernfalls erst bei der nächsten internen Überprüfung oder im schlechtesten Fall erst bei einer externen Prüfung auffallen.
Für Unternehmen mit einer Vielzahl an Software-as-a-Service-Anwendungen empfiehlt sich zudem eine zentrale Übersicht aller eingesetzten Tools, die regelmäßig, mindestens einmal jährlich, mit dem Verarbeitungsverzeichnis abgeglichen wird, um neu eingeführte oder mittlerweile nicht mehr genutzte Anwendungen zuverlässig zu erfassen. Nicht mehr genutzte Anwendungen sollten dabei nicht ersatzlos aus dem Verzeichnis gestrichen, sondern mit dem Datum der Außerbetriebnahme sowie einem Hinweis auf die ordnungsgemäße Löschung der dort gespeicherten Daten dokumentiert werden, da diese Historie im Falle späterer Rückfragen betroffener Personen zu bereits beendeten Verarbeitungen als Nachweis dient. Fachabteilungen führen in der Praxis häufig eigenständig neue Cloud-Anwendungen ein, ohne die IT-Abteilung oder den Datenschutzbeauftragten einzubeziehen, wodurch sogenannte Schatten-IT entsteht, die im Verzeichnis nicht erfasst ist. Eine feste Regel, wonach neue Software-Einführungen erst nach Rücksprache mit dem Datenschutzbeauftragten produktiv genutzt werden dürfen, reduziert dieses Risiko deutlich. Ergänzend hat sich eine jährliche, unternehmensweite Abfrage bei allen Fachabteilungen bewährt, in der aktiv nach neu eingeführten digitalen Werkzeugen gefragt wird, statt sich allein auf eine freiwillige Meldung durch die Mitarbeitenden zu verlassen.
Folgen eines fehlenden oder unvollständigen Verzeichnisses
Ein fehlendes oder unvollständiges Verarbeitungsverzeichnis stellt einen eigenständigen Verstoß gegen die DSGVO dar und kann nach Art. 83 Abs. 4 DSGVO mit Bußgeldern von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes geahndet werden, wobei die tatsächliche Bußgeldhöhe stets von der Schwere des Einzelfalls abhängt. In der Praxis fordern Aufsichtsbehörden das Verzeichnis regelmäßig als erstes Dokument bei Prüfungen oder nach Beschwerden betroffener Personen an. Ein sauber geführtes, vollständiges Verzeichnis kann in solchen Situationen zusätzlich als Nachweis dienen, dass ein Unternehmen seiner Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO strukturiert nachkommt, was sich regelmäßig positiv auf den weiteren Verlauf einer aufsichtsbehördlichen Prüfung auswirkt.
Zweites Praxisbeispiel: Verarbeitungstätigkeit „Kundenbeziehungsmanagement“
Ein weiteres, häufig unvollständig dokumentiertes Beispiel ist die Verarbeitungstätigkeit „Kundenbeziehungsmanagement“ innerhalb eines CRM-Systems. Der Zweck liegt in der Pflege von Kundenkontakten, der Angebotserstellung und der Nachverfolgung von Vertriebschancen. Als Rechtsgrundlage kommt regelmäßig die Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO für Bestandskunden und das berechtigte Interesse nach lit. f für die Ansprache potenzieller Neukunden in Betracht, wobei beide Rechtsgrundlagen im Verzeichnis getrennt auszuweisen sind, wenn unterschiedliche Personengruppen betroffen sind. Betroffene Personen sind Ansprechpartner bei Bestands- und Interessentenunternehmen, verarbeitete Daten umfassen Kontaktdaten, Kommunikationsverlauf und gegebenenfalls Vertragshistorie. Wird das CRM-System bei einem Anbieter mit Serverstandort außerhalb der Europäischen Union betrieben, ist zusätzlich zu dokumentieren, auf welcher Grundlage nach Kapitel V der DSGVO die Übermittlung erfolgt, etwa auf Basis von Standardvertragsklauseln.
Checkliste für die Praxis
- Sind alle Fachabteilungen einmal jährlich zu ihren Verarbeitungstätigkeiten befragt worden?
- Enthält jeder Eintrag sämtliche Pflichtangaben nach Art. 30 Abs. 1 DSGVO?
- Sind Löschfristen unter Berücksichtigung handels- und steuerrechtlicher Vorgaben dokumentiert?
- Wird bei jeder neuen Software-Einführung geprüft, ob das Verzeichnis angepasst werden muss?
- Ist die inhaltliche Verantwortung für jeden Eintrag einer konkreten Fachabteilung zugeordnet?
Fazit: Dokumentationspflicht als Teil der Unternehmensorganisation
Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist weit mehr als eine bürokratische Formalie, es bildet die Grundlage für nahezu alle weiteren datenschutzrechtlichen Nachweispflichten, von der Beantwortung von Betroffenenanfragen bis zur Durchführung einer Datenschutz-Folgenabschätzung. Unternehmen, die die Pflege des Verzeichnisses fest in ihre organisatorischen Abläufe integrieren und die Verantwortung klar auf die jeweiligen Fachabteilungen verteilen, reduzieren nicht nur das Risiko von Bußgeldern, sondern schaffen zugleich Transparenz über die eigene Datenverarbeitung, die auch für interne Steuerungsentscheidungen von Nutzen ist.
FAQ
Ab welcher Unternehmensgröße besteht die Pflicht zur Führung eines Verarbeitungsverzeichnisses?
Die Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern nach Art. 30 Abs. 5 DSGVO greift praktisch kaum, da bereits die routinemäßige Verarbeitung von Mitarbeiter- oder Kundendaten als nicht gelegentlich gilt.
Muss das Verzeichnis den Aufsichtsbehörden aktiv vorgelegt werden?
Nein, es besteht keine aktive Vorlagepflicht, das Verzeichnis muss der Aufsichtsbehörde jedoch auf Anfrage jederzeit zur Verfügung gestellt werden können.
Reicht eine einfache Excel-Tabelle zur Führung des Verzeichnisses aus?
Ja, sofern alle Pflichtangaben vollständig dokumentiert sind, ist die Form gesetzlich nicht vorgeschrieben, mit wachsender Komplexität empfiehlt sich jedoch spezialisierte Software.
Wer trägt innerhalb des Unternehmens die Verantwortung für die Richtigkeit der Einträge?
Die inhaltliche Verantwortung verbleibt bei den jeweiligen Fachabteilungen, die Koordination und formale Vollständigkeit übernimmt meist der Datenschutzbeauftragte.
Was passiert bei einer Kontrolle, wenn das Verzeichnis unvollständig ist?
Ein unvollständiges Verzeichnis stellt einen eigenständigen Verstoß dar und kann nach Art. 83 Abs. 4 DSGVO gesondert mit einem Bußgeld belegt werden, unabhängig von weiteren möglichen Verstößen.
Wie oft sollte das Verzeichnis aktualisiert werden?
Neben einer jährlichen Gesamtüberprüfung sollte jede wesentliche Änderung, etwa eine neue Software oder ein neuer Dienstleister, unmittelbar zu einer Anpassung der betroffenen Einträge führen.
