01

Die Antwort in Kürze

Ein nützliches Verzeichnis enthält immer: Identität und Kontaktdaten des Verantwortlichen (und des Datenschutzbeauftragten, falls bestellt), die Zwecke jeder Verarbeitung, die Kategorien betroffener Personen und Daten, die Empfänger, denen die Daten offengelegt werden, etwaige Übermittlungen außerhalb der EU mit dokumentierten Garantien, die vorgesehenen Löschfristen und eine Beschreibung der angewandten Sicherheitsmaßnahmen.

02

Warum diese Elemente und keine anderen

Die DSGVO unterscheidet zwei Verzeichnisse: das des Verantwortlichen, das Zwecke und Empfänger erfasst, und das des Auftragsverarbeiters, das die Kategorien der im Auftrag jedes Verantwortlichen durchgeführten Verarbeitungen auflistet. Beide müssen schriftlich, auch elektronisch, geführt und der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden. Die Pflicht gilt nicht für Organisationen mit weniger als 250 Beschäftigten, außer die Verarbeitung birgt Risiken, ist nicht nur gelegentlich oder betrifft besondere Datenkategorien.

03

Das rollenbasierte Verfahren

Schritte

  1. Der Verantwortliche identifiziert jede Verarbeitungstätigkeit und erfasst Zwecke, Kategorien betroffener Personen und Datenkategorien.
  2. Der Verantwortliche dokumentiert die Empfänger der Daten, einschließlich solcher in Drittländern, mit den getroffenen Garantien.
  3. Der Verantwortliche oder der Datenschutzbeauftragte schätzt, wo möglich, die Löschfristen für jede Datenkategorie.
  4. Der Auftragsverarbeiter führt ein eigenes Verzeichnis der Kategorien von Verarbeitungen, die im Auftrag des Verantwortlichen durchgeführt werden.
  5. Der Auftragsverarbeiter beauftragt keinen weiteren Auftragsverarbeiter ohne vorherige schriftliche Genehmigung des Verantwortlichen, und jede Beauftragung wird durch einen Vertrag geregelt, der Gegenstand, Dauer, Art und Zweck der Verarbeitung festlegt.

04

Ein hypothetischer Fall

Hypothetisches Beispiel: Ein KMU mit 180 Beschäftigten nutzt einen externen Cloud-Anbieter zur Lohnabrechnung. Der Verantwortliche erfasst den Zweck (Personalverwaltung), die Datenkategorien (Gehaltsdaten) und den Empfänger (den Cloud-Anbieter). Der Anbieter führt als Auftragsverarbeiter sein eigenes Verzeichnis der für diesen Verantwortlichen durchgeführten Verarbeitungskategorien und handelt auf Basis eines schriftlichen Vertrags, der Dauer und Art festlegt.

05

Prüfungen vor Abschluss des Verzeichnisses

  • Jede Verarbeitung hat angegebene Zwecke, Kategorien betroffener Personen und Datenkategorien.
  • Empfänger, einschließlich etwaiger Organisationen in Drittländern, sind mit dokumentierten Garantien aufgeführt.
  • Löschfristen sind, wo möglich, angegeben.
  • Technische und organisatorische Sicherheitsmaßnahmen sind allgemein beschrieben.
  • Das Verzeichnis liegt schriftlich, auch elektronisch, vor und kann der Aufsichtsbehörde auf Anfrage gezeigt werden.

06

Wie Software dieses Verfahren unterstützen kann

Ein Unternehmen kann seinen Softwareanbieter bitten, einen eigenen Bereich einzurichten, in dem für jede Verarbeitung Zwecke, Datenkategorien und Empfänger erfasst werden, mit einem Feld, das nachverfolgt, wer jeden Eintrag erstellt oder geändert hat. Die Zuweisung unterschiedlicher Rollen an diejenigen, die das Verzeichnis ausfüllen (der Verantwortliche oder sein Vertreter), und an diejenigen, die es prüfen (der Datenschutzbeauftragte, falls bestellt), fördert die erforderliche Nachverfolgbarkeit und erleichtert die Vorlage des Verzeichnisses auf Anfrage.

07

Häufige Fragen zum Inhalt des Verzeichnisses

Das Verzeichnis des Verantwortlichen und das des Auftragsverarbeiters haben unterschiedliche Inhalte: Ersteres konzentriert sich auf Zwecke und Empfänger, Letzteres auf die im Auftrag des Verantwortlichen durchgeführten Verarbeitungskategorien.

Die Schwelle von 250 Beschäftigten befreit nicht automatisch von der Pflicht, wenn die Verarbeitung Risiken birgt oder besondere Datenkategorien betrifft.

08

Nächster Schritt

Schritte

  1. Listen Sie alle im Unternehmen aktiven Verarbeitungstätigkeiten einzeln auf.
  2. Weisen Sie jeder eine interne verantwortliche Person für die Aktualisierung zu.
  3. Prüfen Sie, ob jeder Eintrag alle von Artikel 30 vorgesehenen Elemente enthält.
  4. Planen Sie eine regelmäßige Überprüfung zusammen mit dem Datenschutzbeauftragten, falls bestellt.

FAQ

Häufig gestellte Fragen

Welche Informationen dürfen in einem Verarbeitungsverzeichnis nicht fehlen?

Name und Kontaktdaten des Verantwortlichen, Zweck der Verarbeitung, Kategorien betroffener Personen und Daten, Empfänger, etwaige Übermittlungen außerhalb der EU, Löschfristen und Sicherheitsmaßnahmen, soweit sie angegeben werden können.

Ist das Verzeichnis des Auftragsverarbeiters gleich dem des Verantwortlichen?

Nein: Der Auftragsverarbeiter führt ein Verzeichnis der Kategorien von Verarbeitungen im Auftrag jedes Verantwortlichen, mit eigenen und den Kontaktdaten des Verantwortlichen, nicht die gleichen detaillierten Einträge wie der Verantwortliche.

Ist ein KMU mit weniger als 250 Beschäftigten immer von der Pflicht befreit?

Nein: Die Befreiung gilt nicht, wenn die Verarbeitung Risiken für betroffene Personen birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien oder Daten über strafrechtliche Verurteilungen betrifft.

✓

Quellen und Prüfung