Das Verzeichnis aus vorhandenen Quellen füllen
Die Angaben liegen bereits im Haus, nur verteilt auf vier Abteilungen. Der Aufwand steckt nicht im Ausfüllen, sondern im Zuschnitt der Einträge.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Leere Vorlagen gibt es reichlich, die Angaben dafür nirgends gesammelt
Wer nach einem Verarbeitungsverzeichnis sucht, findet innerhalb von Minuten eine Tabelle mit den Spalten aus Artikel 30. Das Problem beginnt in der ersten Zeile. Niemand weiß auf Anhieb, ob der Newsletterversand eine eigene Verarbeitungstätigkeit ist oder zum Marketing gehört, ob das Bewerbungsportal einen eigenen Eintrag bekommt oder Teil der Personalgewinnung ist, und wer die Speicherfrist für die Zeiterfassung eigentlich festgelegt hat.
Daraus entstehen zwei Fehlerbilder. Im ersten Fall wird je Programm ein Eintrag angelegt, und das Verzeichnis wächst auf achtzig Zeilen, von denen die Hälfte dieselbe Verarbeitung aus verschiedenen Blickwinkeln beschreibt. Im zweiten Fall bleibt es bei zwölf sehr allgemeinen Einträgen, die für jede Rückfrage zu grob sind. Beide Varianten sind formal vollständig und im Ernstfall unbrauchbar.
Der Ernstfall kommt selten als Prüfung. Häufiger kommt er als Auskunftsersuchen, bei dem innerhalb eines Monats feststehen muss, wo überall Daten zu einer Person liegen, oder als Datenpanne, bei der binnen 72 Stunden die Kategorien und die ungefähre Zahl betroffener Personen benannt werden müssen. In beiden Fällen ist das Verzeichnis die Karte, mit der gesucht wird. Ist sie zu grob, sucht das Team im Zeitfenster der Frist von Hand.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Sechs Schritte vom vorhandenen Material zum Verzeichnis
Die Reihenfolge ist wichtiger als die Vorlage. Wer mit dem Zuschnitt beginnt, spart sich später das Zusammenlegen von Einträgen, das bei einer laufenden Liste jedes Mal Verweise zerstört.
- 1
Den Zuschnitt festlegen
Entscheide vorab, dass ein Eintrag einen Prozess beschreibt und kein Programm. Sammle dazu die Prozesse, die in deinem Haus mit Personendaten arbeiten: Bewerberauswahl, Personalverwaltung, Zeiterfassung, Lohnabrechnung, Kundenbetreuung, Angebot und Auftrag, Rechnungsstellung, Newsletter, Videoüberwachung, Zutritt.
Geschafft, wenn: Eine Liste von Prozessnamen steht fest, bevor eine einzige Spalte ausgefüllt ist.
- 2
Die vier Quellen im Haus abklopfen
Hol dir von der IT die Anwendungsübersicht mit den betriebenen und den zugekauften Systemen, von der Personalabteilung die Übersicht der Personalprozesse und bestehender Betriebsvereinbarungen, vom Marketing die eingesetzten Werkzeuge und von der Buchhaltung die Kreditorenliste. Die letzte ist die wertvollste, weil dort jeder Dienstleister auftaucht, der eine Rechnung stellt.
Geschafft, wenn: Zu jedem Prozessnamen lassen sich Systeme und Dienstleister zuordnen.
- 3
Die Pflichtangaben je Eintrag füllen
Trag die sieben Angaben aus Artikel 30 Absatz 1 ein. Bei Buchstabe c reichen Kategorien, also etwa Beschäftigte, Bewerbende, Kundinnen und Kunden auf der einen Seite und Stammdaten, Vertragsdaten, Abrechnungsdaten auf der anderen. Bei Buchstabe d gehören auch die Auftragsverarbeiter hinein, nicht nur Behörden und Vertragspartner.
Geschafft, wenn: Jeder Eintrag beantwortet, wer welche Daten wozu und mit wem verarbeitet.
- 4
Rechtsgrundlage und Löschfrist ergänzen
Die Rechtsgrundlage steht nicht im Pflichtkatalog, gehört aber in jedes Muster der Aufsichtsbehörden, weil sie sonst nirgends dokumentiert ist. Bei der Löschfrist verlangt Buchstabe f die Angabe nur, wenn möglich. Wo noch keine Frist feststeht, trag ein, dass sie offen ist, statt die Spalte leer zu lassen.
Geschafft, wenn: Offene Punkte sind als offen erkennbar und nicht von Lücken zu unterscheiden.
- 5
Zuständigkeit und Auslöser vergeben
Benenne je Eintrag eine Person im Fachbereich, die inhaltlich zuständig ist. Leg fest, welche Ereignisse eine Aktualisierung auslösen: die Einführung einer Software, ein neuer Dienstleister, eine Änderung am Prozess. Verankere den Anlass dort, wo er entsteht, also im Beschaffungsablauf.
Geschafft, wenn: Jeder Eintrag trägt einen Namen, und Änderungen erreichen das Verzeichnis von allein.
- 6
Gegenprobe machen
Prüf das Ergebnis von der anderen Seite. Steht zu jedem Dienstleister aus der Kreditorenliste ein Eintrag, und gibt es zu jedem dieser Dienstleister einen Vertrag oder eine geklärte Rolle? Findet sich zu jeder Einwilligung, die ihr einholt, eine Verarbeitung im Verzeichnis? Beide Gegenproben decken zuverlässig auf, was beim ersten Durchgang gefehlt hat.
Geschafft, wenn: Kein Dienstleister und keine Einwilligung bleibt ohne zugehörigen Eintrag.
Sieben Angaben je Verarbeitungstätigkeit
- 01 Buchstabe a nennt Verantwortliche, gemeinsam Verantwortliche, Vertretung und Datenschutzbeauftragte.
- 02 Buchstabe b nennt die Zwecke, für die diese Verarbeitung überhaupt läuft.
- 03 Buchstabe c beschreibt betroffene Personengruppen und Datenkategorien.
- 04 Buchstabe d listet die Empfänger, denen die Daten offengelegt werden.
- 05 Buchstabe e erfasst Drittlandsübermittlungen samt der Garantien dafür.
- 06 Buchstabe f und g nennen Löschfristen und die Schutzmaßnahmen im Überblick.
Was du danach hast und was es dir bei der nächsten Anfrage spart
Das Ziel ist keine vollständige Sammlung aller Systeme, sondern eine Übersicht, aus der sich innerhalb weniger Minuten ableiten lässt, wo Daten zu einer Person liegen, wer dafür zuständig ist und wie lange sie bleiben. Wenn das Verzeichnis diese drei Fragen beantwortet, hat es seinen Zweck erfüllt.
Eine Verarbeitungstätigkeit zuschneiden
Du gehst von Prozessen aus, nicht von Programmen. Die Bewerberauswahl ist ein Eintrag, auch wenn drei Systeme daran beteiligt sind. Die Systeme stehen im Eintrag, sie begründen keinen eigenen.
Die Angaben dort holen, wo sie schon liegen
Die Anwendungsübersicht der IT liefert die Systeme, die Personalabteilung die Prozesse rund um Beschäftigte, das Marketing die Werkzeuge zur Kundenansprache und die Buchhaltung über die Kreditorenliste die vollständige Dienstleisterliste.
Die sieben Pflichtangaben von dem trennen, was Behörden zusätzlich erwarten
Artikel 30 Absatz 1 nennt sieben Punkte, die Rechtsgrundlage gehört nicht dazu. Die Aufsichtsbehörden sehen sie in ihren Mustern trotzdem vor, weil sich die Rechenschaftspflicht aus Artikel 5 Absatz 2 sonst nirgends abbildet.
Die 250er-Ausnahme richtig lesen
Artikel 30 Absatz 5 nimmt kleinere Unternehmen nur aus, wenn keine der drei Rückausnahmen greift. Weil die Verarbeitung von Beschäftigtendaten nie nur gelegentlich erfolgt, bleibt für die Ausnahme im Betrieb kaum ein Anwendungsfall.
Je Eintrag eine Person benennen
Ohne eine namentlich zuständige Stelle im Fachbereich veraltet jeder Eintrag innerhalb eines Jahres. Die Zuständigkeit gehört in den Eintrag selbst, nicht in eine getrennte Liste.
Auslöser statt Termine festlegen
Eine jährliche Durchsicht findet zu spät statt. Wirksamer sind Auslöser: eine neue Software, ein neuer Dienstleister, ein geänderter Prozess. Wer diese drei Ereignisse an das Verzeichnis koppelt, hält es ohne Sonderaktion aktuell.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der Zuschnitt entscheidet über den Aufwand für Jahre
Der Unterschied zwischen einem brauchbaren und einem lästigen Verzeichnis liegt in einer einzigen Entscheidung: Beschreibt ein Eintrag einen Prozess oder ein Programm? Beim Programmzuschnitt bekommt jedes System eine Zeile, und dieselbe Verarbeitung taucht mehrfach auf, weil an der Bewerberauswahl das Bewerbungsportal, das Postfach der Personalabteilung und ein Ablageordner beteiligt sind. Ändert sich der Prozess, musst du drei Zeilen anfassen und wirst die dritte vergessen.
Beim Prozesszuschnitt heißt der Eintrag Bewerberauswahl, und die drei Systeme stehen darin als Angabe. Der Vorteil zeigt sich beim ersten Auskunftsersuchen: Du liest einen Eintrag und weißt, an welchen drei Orten gesucht werden muss. Beim Programmzuschnitt musst du erst herausfinden, welche der achtzig Zeilen zur Bewerberauswahl gehören.
Eine brauchbare Faustregel für die Trennung zweier Einträge ist der Zweck. Newsletterversand und Kundenbetreuung nutzen vielleicht dasselbe System, verfolgen aber verschiedene Zwecke, haben verschiedene Rechtsgrundlagen und verschiedene Löschfristen. Das sind zwei Einträge. Zwei Systeme, die demselben Zweck mit derselben Frist dienen, sind dagegen ein Eintrag. Für die Größe des Verzeichnisses gibt es keine Vorgabe und keinen Richtwert, an dem sich etwas ablesen ließe. Aussagekräftig ist nur die Gegenprobe: Wenn dieselbe Verarbeitung in mehreren Zeilen auftaucht, wurde nach Programmen zugeschnitten, und wenn eine Zeile mehrere Zwecke mit verschiedenen Rechtsgrundlagen zusammenfasst, ist sie zu grob.
Woher die Angaben kommen, wenn niemand sie je gesammelt hat
Die Anwendungsübersicht der IT ist die naheliegendste Quelle und zugleich die unvollständigste, weil sie Software erfasst, die über die IT beschafft wurde. Was eine Fachabteilung mit der Firmenkreditkarte gebucht hat, steht dort nicht. Deshalb ist die Kreditorenliste der Buchhaltung die wertvollere Quelle: Jeder Dienstleister, der eine Rechnung stellt, ist dort zu finden, unabhängig davon, wer ihn beauftragt hat. Zwei Stunden mit dieser Liste bringen erfahrungsgemäß mehr zutage als eine Umfrage in den Fachbereichen.
Die Personalabteilung liefert die Prozesse, die die meisten Betroffenenrechte auslösen, und sie liefert sie meist gut dokumentiert. Bestehende Betriebsvereinbarungen zu Zeiterfassung, Telefonanlage oder Zugangskontrolle beschreiben Zweck, Datenumfang und häufig auch Aufbewahrungsfristen genau in der Form, die das Verzeichnis braucht. Wo eine solche Vereinbarung existiert, ist die halbe Zeile schon geschrieben.
Im Marketing lohnt der Blick nicht in die Werkzeugliste, sondern in die Einwilligungen. Jede Einwilligung, die eingeholt wird, benennt eine Verarbeitung, und jede dieser Verarbeitungen gehört ins Verzeichnis. Umgekehrt ist eine Einwilligung ohne zugehörigen Eintrag ein sicheres Zeichen für eine Lücke. Dasselbe gilt für die Datenschutzerklärung auf der Website: Was dort beschrieben ist, muss sich im Verzeichnis wiederfinden, und was im Verzeichnis fehlt, wurde entweder vergessen oder wird auf der Website falsch dargestellt.
Die Ausnahme für Betriebe unter 250 Beschäftigten, die fast nie greift
Artikel 30 Absatz 5 wird regelmäßig so gelesen, als seien kleinere Unternehmen von der Pflicht befreit. Der Wortlaut sagt etwas anderes. Die Befreiung gilt nur, sofern die Verarbeitung kein Risiko für die Rechte und Freiheiten betroffener Personen birgt, sofern sie nur gelegentlich erfolgt und sofern keine besonderen Kategorien nach Artikel 9 Absatz 1 und keine Daten zu strafrechtlichen Verurteilungen nach Artikel 10 betroffen sind. Es genügt also, dass eine dieser Bedingungen nicht erfüllt ist, damit die Pflicht wieder greift.
Genau daran scheitert die Ausnahme im Betrieb. Wer Beschäftigte hat, führt eine Lohnabrechnung, und die erfolgt monatlich, also nicht nur gelegentlich. Kommen Krankmeldungen dazu, sind Gesundheitsdaten im Spiel und damit eine besondere Kategorie nach Artikel 9. Beides zusammen bedeutet, dass praktisch jeder Betrieb mit Beschäftigten ein Verzeichnis führen muss, wenn auch nur für den Teil der Verarbeitungen, für den die Rückausnahme greift.
Was die Größe tatsächlich beeinflusst, ist der Umfang, nicht die Pflicht. Ein Betrieb mit zwölf Beschäftigten kommt mit etwa zehn Einträgen aus, die auf zwei Seiten passen. Artikel 30 Absatz 3 verlangt lediglich, das Verzeichnis schriftlich zu führen, und lässt dafür ausdrücklich auch ein elektronisches Format zu. Eine Tabellendatei erfüllt die Anforderung ebenso wie eine Fachanwendung.
Was mit dem Verzeichnis tatsächlich passiert
Artikel 30 Absatz 4 formuliert die einzige Pflicht, die nach außen wirkt: Das Verzeichnis wird der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt. Eine Veröffentlichung ist nicht vorgesehen, und betroffene Personen haben keinen Anspruch darauf. Angefragt wird es in der Praxis vor allem nach einer Beschwerde oder nach einer gemeldeten Datenpanne, und zwar häufig als erste Unterlage überhaupt, weil sich daran ablesen lässt, wie strukturiert ein Haus arbeitet.
Der größere Nutzen ist intern. Beim Auskunftsersuchen nach Artikel 15 ist das Verzeichnis die Liste der Orte, an denen gesucht werden muss, und diese Liste entscheidet darüber, ob die Monatsfrist reicht. Bei einer Datenpanne liefert es die Kategorien und die Größenordnung der betroffenen Personen, also genau die Angaben, die Artikel 33 Absatz 3 in der Meldung verlangt. Und bei einem neuen Vorhaben zeigt es, ob es sich um eine bekannte Verarbeitung handelt oder um eine, für die noch niemand eine Rechtsgrundlage bestimmt hat.
Auftragsverarbeiter führen nach Artikel 30 Absatz 2 ein eigenes, kürzeres Verzeichnis. Es enthält die Verantwortlichen, in deren Auftrag sie tätig sind, die Kategorien der jeweils durchgeführten Verarbeitungen, Drittlandsübermittlungen und eine allgemeine Beschreibung der Schutzmaßnahmen. Wer beides ist, führt beide Verzeichnisse, und die Trennung lohnt sich, weil sonst im eigenen Haus verschwimmt, welche Daten in eigener Verantwortung liegen.
Der Eintrag, den niemand mehr anfasst
Verzeichnisse veralten nicht gleichmäßig, sondern an bestimmten Stellen. Am schnellsten veralten die Empfänger, weil Dienstleister gewechselt werden, ohne dass jemand an die Dokumentation denkt. Danach die Löschfristen, weil sie beim Anlegen geschätzt und später nie überprüft werden. Am langsamsten veralten Zweck und Datenkategorien, denn sie ändern sich nur, wenn sich der Prozess selbst ändert.
Eine jährliche Durchsicht behebt das nur scheinbar. Sie findet einmal statt, dauert zwei Tage und bildet den Stand des Prüftags ab. Wirksamer ist die Kopplung an Ereignisse, die ohnehin passieren. Wenn im Beschaffungsablauf für neue Software ohnehin eine Freigabe eingeholt wird, kostet die Frage nach dem betroffenen Eintrag im Verzeichnis eine Minute. Wenn ein neuer Dienstleister angelegt wird, ist die Kreditorenanlage der richtige Ort für dieselbe Frage.
Die zweite wirksame Maßnahme ist die namentliche Zuständigkeit im Eintrag. Steht dort nur Fachbereich Vertrieb, fühlt sich niemand angesprochen. Steht dort eine Person, kommt die Rückfrage bei ihr an, und sie merkt selbst, wenn ihr Eintrag nicht mehr stimmt. Das ist der Unterschied zwischen einer Unterlage, die gepflegt wird, und einer, die jedes Jahr neu erstellt werden muss.
Dazu passende Kurse
Wer den ersten Durchgang nicht allein machen will, kann das Verarbeitungsverzeichnis unter Anleitung aufbauen und dabei die eigenen Prozesse mitbringen.
Weil ein Verzeichnis am Ende eine gepflegte Datensammlung über die eigene Datensammlung ist, hilft daneben das Angebot rund um den Umgang mit Datenbeständen .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Häufige Fragen
Wie viele Einträge sollte ein Verzeichnis haben?
Gehört die Rechtsgrundlage ins Verzeichnis?
Muss das Verzeichnis veröffentlicht werden?
Wir haben weniger als 250 Beschäftigte. Reicht das für die Ausnahme?
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Datenschutz-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Ein Verzeichnis, das bei der nächsten Anfrage trägt
Wie du Einträge zuschneidest und die Angaben aus den Quellen im eigenen Haus zusammenträgst, gehst du bei cmt an mitgebrachten Prozessen durch.
Passt dazu
- Löschkonzept: Wie du Löschfristen festlegst, die im Betrieb auch eingehalten werden
- Technische und organisatorische Maßnahmen: Was Artikel 32 verlangt und was eine kopierte Liste nicht leistet
- Auftragsverarbeitung oder gemeinsame Verantwortlichkeit: So bestimmst du die Rolle richtig