Verzeichnis von Verarbeitungstätigkeiten: die DSGVO-Pflicht, die auch kleine Betriebe trifft

Die kurze Antwort: Das Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO ist die interne Übersicht aller Abläufe, in denen Ihr Unternehmen personenbezogene Daten verarbeitet, von der Lohnabrechnung bis zur Kundendatei. Die oft zitierte Ausnahme für Betriebe mit weniger als 250 Mitarbeitern hilft in der Praxis kaum: Laut dem Kurzpapier Nr. 1 der Datenschutzkonferenz (DSK), dem Gremium der deutschen Aufsichtsbehörden, entfällt die Pflicht nur, wenn keine von drei Rückausnahmen erfüllt ist, und bereits die regelmäßige Verarbeitung von Kunden- oder Beschäftigtendaten erfüllt eine davon. Die gute Nachricht: Mit den Mustern der Aufsichtsbehörden und einer gepflegten Tabelle lässt sich das Verzeichnis ohne Spezialsoftware führen.

Was das Verzeichnis ist und wozu es dient

Art. 30 DSGVO verpflichtet Verantwortliche, ihre Verarbeitungstätigkeiten zu dokumentieren. Die DSK beschreibt das Verzeichnis in ihrem Kurzpapier Nr. 1 als Summe einzelner Verfahrensbeschreibungen: je ein Eintrag pro Tätigkeit, etwa Lohnabrechnung, Bewerbungsverfahren, Kundenverwaltung oder Newsletterversand. Veröffentlichen oder bei einer Behörde melden müssen Sie das Verzeichnis laut DSK nicht. Es ist aber der Aufsichtsbehörde auf Anfrage jederzeit zur Verfügung zu stellen (Art. 30 Abs. 4 DSGVO) und laut DSK ein Baustein, um der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO zu genügen: Nur wer die eigenen Verarbeitungsprozesse kennt, kann sie geordnet absichern. Damit gehört das VVT in dieselbe Ablage wie Ihre übrigen Nachweise, mehr dazu auf unserer Seite zur IT-Compliance.

Warum die 250-Mitarbeiter-Ausnahme selten greift

Art. 30 Abs. 5 DSGVO nimmt Unternehmen mit weniger als 250 Mitarbeitern von der Pflicht aus, allerdings nur, solange keine der drei Rückausnahmen vorliegt. Ein Verzeichnis ist demnach trotzdem zu führen, wenn die Verarbeitung ein Risiko für die Rechte und Freiheiten der Betroffenen birgt, wenn sie nicht nur gelegentlich erfolgt oder wenn besondere Datenkategorien nach Art. 9 Abs. 1 DSGVO (etwa Gesundheitsdaten) beziehungsweise Daten nach Art. 10 DSGVO betroffen sind. Entscheidend ist die mittlere Fallgruppe: Als Beispiel für eine nicht nur gelegentliche Verarbeitung nennt die DSK ausdrücklich die regelmäßige Verarbeitung von Kunden- oder Beschäftigtendaten. Die Pflicht besteht laut Kurzpapier bereits, wenn mindestens eine Fallgruppe erfüllt ist. Ein Betrieb, der laufend Rechnungen schreibt, Personal beschäftigt oder ein CRM pflegt, liegt also regelmäßig im Anwendungsbereich. Die DSK formuliert entsprechend, dass das Erstellen eines Verzeichnisses vielfach geboten sein wird. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) formuliert es knapp: Behörden und Unternehmen müssen grundsätzlich ein solches Verzeichnis führen.

Was in das Verzeichnis gehört

Die Pflichtangaben listet Art. 30 Abs. 1 DSGVO auf: Name und Kontaktdaten des Verantwortlichen (gegebenenfalls des Datenschutzbeauftragten), die Zwecke der Verarbeitung, die Kategorien betroffener Personen und personenbezogener Daten, die Kategorien von Empfängern, etwaige Übermittlungen in Drittländer sowie, wenn möglich, die vorgesehenen Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Schutzmaßnahmen. Die DSK weist darauf hin, dass diese Beschreibung so konkret sein sollte, dass die Aufsichtsbehörde eine erste Rechtmäßigkeitsprüfung vornehmen kann.

Zu jedem externen Dienst, der personenbezogene Daten für Sie verarbeitet, gehört außerdem ein Vertrag. Welche Cloud-Dienste einen Auftragsverarbeitungsvertrag brauchen und welche nicht, klärt ein eigener Beitrag.

Aufbau und Pflege mit Bordmitteln

Formal genügt laut DSK ein schriftliches oder elektronisches Verzeichnis, eine gepflegte Word- oder Excel-Datei erfüllt die Anforderung. Der Landesbeauftragte für den Datenschutz Baden-Württemberg (LfDI) stellt Musterverzeichnisse für Verantwortliche und Auftragsverarbeiter bereit, der BfDI verlinkt die einheitlichen Musterformulare der DSK. Praktikabel ist ein Vorgehen in drei Schritten: zuerst alle Tätigkeiten mit Personenbezug sammeln (Personal, Buchhaltung, Vertrieb, Website, Videoüberwachung), dann je Tätigkeit die Pflichtangaben ausfüllen, zuletzt einen festen Pflegeanlass definieren, etwa einen Jahres-Check plus die Regel, dass jedes neu eingeführte Tool sofort einen Eintrag bekommt. Wer seine Systemlandschaft zentral verwaltet, etwa in einer DSGVO-konform eingerichteten Microsoft-365-Umgebung, hat die Liste der Systeme und Empfänger schnell beisammen.

Häufige Fragen

Gilt die Pflicht auch für Einzelunternehmer und Kleinstbetriebe?

Die Unternehmensgröße allein befreit nicht. Laut DSK-Kurzpapier Nr. 1 ist grundsätzlich jeder Verantwortliche zur Führung verpflichtet, genannt werden ausdrücklich auch Freiberufler und Vereine. Sobald Kunden- oder Beschäftigtendaten regelmäßig verarbeitet werden, greift die Ausnahme für kleine Stellen nach Auffassung der DSK nicht mehr.

Was passiert, wenn kein Verzeichnis vorliegt?

Die Aufsichtsbehörde kann das Verzeichnis jederzeit anfordern (Art. 30 Abs. 4 DSGVO). Laut DSK können eine fehlende oder unvollständige Führung sowie das Nichtvorlegen nach Aufforderung gemäß Art. 83 Abs. 4 lit. a DSGVO mit einer Geldbuße geahndet werden.

Reicht eine Excel-Tabelle?

Ja. Die DSGVO verlangt ein schriftlich oder elektronisch geführtes Verzeichnis, ein bestimmtes Werkzeug schreibt sie nicht vor. Entscheidend sind Vollständigkeit und Aktualität. Die Muster der Aufsichtsbehörden liefern eine erprobte Spaltenstruktur, die Sie direkt übernehmen können.

So unterstützt Sie die High5Manufaktur GmbH

Der aufwendigste Teil des VVT ist nicht das Formular, sondern das Wissen, welche Systeme welche Daten verarbeiten und wohin sie fließen. Genau diese technische Bestandsaufnahme übernimmt die High5Manufaktur GmbH für kleine und mittlere Unternehmen: Inventar der Systeme und Cloud-Dienste, Dokumentation der Datenflüsse und Schutzmaßnahmen sowie eine aufgeräumte, laufend überwachte und gepflegte IT-Umgebung, in der das Verzeichnis pflegbar bleibt. Die rechtliche Bewertung im Einzelfall bleibt Aufgabe Ihrer Rechtsberatung, die technische Grundlage dafür liefern wir. Mit direktem Ansprechpartner statt anonymer Hotline. Für Praxen mit Patientendaten haben wir die Anforderungen auf der Seite IT für Arzt- und Zahnarztpraxen zusammengefasst.

*Hinweis: Dieser Beitrag liefert allgemeine Informationen und ersetzt keine Rechtsberatung im Einzelfall.*

Quellen

• Datenschutzkonferenz: Kurzpapier Nr. 1, Verzeichnis von Verarbeitungstätigkeiten, Art. 30 DS-GVO (PDF)
• LfDI Baden-Württemberg: Praxishilfen mit Mustern zum Verarbeitungsverzeichnis
• BfDI: Hinweise und Muster zum Verzeichnis über Verarbeitungstätigkeiten