Brauchen wir im Unternehmen einen Datenschutzbeauftragten?Diese Frage wird uns seit Inkrafttreten der DSGVO (Datenschutzgrundverordnung immer wieder gestellt wird, so dass wir das Thema anhand dieses …Sie verarbeiten personenbezogene Daten – also Mitarbeiter-, Kunden- oder Bewerberdaten? Dann führt am Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO praktisch kein Weg vorbei.
Viele Unternehmen unterschätzen diese Pflicht – und riskieren damit nicht nur Bußgelder, sondern auch erhebliche Probleme bei Prüfungen durch die Aufsichtsbehörden.
Was ist das Verzeichnis von Verarbeitungstätigkeiten?
Das Verzeichnis von Verarbeitungstätigkeiten (oft noch „Verfahrensverzeichnis“ genannt) ist eine schriftliche Dokumentation aller Prozesse, in denen personenbezogene Daten verarbeitet werden. Es zeigt strukturiert: Welche Daten werden von wem, zu welchem Zweck, wie lange und mit welchen Empfängern verarbeitet?
Wer muss ein Verarbeitungsverzeichnis führen?
Die DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter gleichermaßen, ein Verzeichnis zu führen. Verantwortlich ist, wer über Zweck und Mittel der Verarbeitung entscheidet – typischerweise das Unternehmen selbst. Auftragsverarbeiter (z. B. Cloud-Anbieter, Lohnbüros) benötigen ein eigenes Verzeichnis für die Daten, die sie im Auftrag verarbeiten.
Die Ausnahme für kleine Unternehmen – theoretisch groß, praktisch klein
Art. 30 Abs. 5 DSGVO sieht eine Ausnahme für Unternehmen mit weniger als 250 Beschäftigten vor. Sie gilt aber nur, wenn
- die Verarbeitung kein Risiko für Rechte und Freiheiten der Betroffenen birgt,
- die Verarbeitung nur gelegentlich erfolgt und
- weder besondere Kategorien personenbezogener Daten (z. B. Gesundheitsdaten) noch Strafdaten verarbeitet werden.
In der Praxis ist diese Ausnahme „zahnlos“!
Schon die regelmäßige Verarbeitung von Mitarbeiter- oder Kundendaten (Lohnabrechnung, CRM, Website-Nutzung) ist weder „gelegentlich“ noch risikolos. Fachbeiträge und Aufsichtsbehörden gehen deshalb davon aus, dass fast jedes Unternehmen ein Verzeichnis führen muss – unabhängig von der Größe.
Was muss im Verarbeitungsverzeichnis stehen?
Art. 30 DSGVO definiert den Mindestinhalt klar. Für jede Verarbeitungstätigkeit müssen unter anderem festgehalten werden:
- Name und Kontaktdaten des Verantwortlichen, ggf. Datenschutzbeauftragter,
- Zwecke der Verarbeitung,
- Kategorien betroffener Personen (z. B. Mitarbeiter, Kunden, Bewerber),
- Kategorien personenbezogener Daten,
- Empfänger (interne Stellen, Dienstleister, Behörden),
- Drittlandübermittlungen einschließlich Sicherungsmaßnahmen,
- Löschfristen für die Daten,
- eine Beschreibung technischer und organisatorischer Maßnahmen (TOM) bzw. Verweis auf das Sicherheitskonzept.
Das Verzeichnis muss schriftlich oder elektronisch vorliegen und ist der Aufsichtsbehörde auf Anfrage vorzulegen!
Risiko ohne Verzeichnis: Bußgelder und fehlende Compliance
Fehlt das Verzeichnis oder ist es unvollständig, drohen Bußgelder nach Art. 83 Abs. 4 lit. a DSGVO von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Zugleich kann die Aufsichtsbehörde einen Verstoß gegen die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO annehmen, was nochmal höhere Sanktionen nach sich ziehen kann.
Warum sich das Verzeichnis lohnt – mehr als nur Pflicht
Auch abseits der Sanktionsdrohung ist das Verarbeitungsverzeichnis ein zentrales Steuerungsinstrument im Datenschutz:
- Es schafft Transparenz über alle Datenflüsse im Unternehmen.
- Es bildet die Grundlage für Löschkonzepte, DSFA, Betroffenenrechte und den Umgang mit Datenschutzvorfällen.
- Unternehmen mit einem aktuellen, vollständigen Verzeichnis sind bei Prüfungen nachweislich souveräner und schneller handlungsfähig.
Fazit: Jedes Unternehmen sollte handeln – jetzt
Formal mag die DSGVO kleine Unternehmen unter bestimmten Bedingungen von der Pflicht ausnehmen. Faktisch aber verarbeitet nahezu jede Organisation regelmäßig personenbezogene Daten – und fällt damit in die Pflicht zum Verzeichnis von Verarbeitungstätigkeiten.
Die Investition ist überschaubar, das Risiko ohne Verzeichnis erheblich. Wer das Verarbeitungsverzeichnis systematisch aufbaut und pflegt, erfüllt nicht nur die gesetzlichen Anforderungen, sondern stärkt auch seine Datenschutz-Compliance und reduziert Risiken im Ernstfall deutlich.
Gerne unterstützen wir Sie beim Aufbau und der Pflege Ihres Verarbeitungsverzeichnisses. Rufen Sie uns an unter 0421 566 38 780 oder schreiben Sie an kanzlei@dr-schenk.net.
Ähnliche Beiträge
Brauchen wir im Unternehmen einen Datenschutzbeauftragten?Diese Frage wird uns seit Inkrafttreten der DSGVO (Datenschutzgrundverordnung immer wieder gestellt wird, so dass wir das Thema anhand dieses …
Microsoft 365 datenschutzkonform einsetzen – So erfüllen Unternehmen die Anforderungen der DSGVOMicrosoft 365 datenschutzkonform einsetzen – kaum ein Thema beschäftigt Unternehmen derzeit stärker. Microsoft 365 gehört zu den am häufigsten …
DSGVO-Prüfung von 50 Unternehmen in NiedersachsenLaut Pressemitteilung ( …
Abmahnung wegen Verstößen gegen die DSGVOSind Verstöße gegen die Datenschutz -Grundverordnung wettbewerbswidrig?
Brandaktuell: DSGVO – EuGH bejaht Pflicht für Einwilligung bei CookiesNach eine aktuellen Pressemitteilung des EuGH wird bestätigt, dass das Setzen von Cookies eine aktive Einwilligung erfordert. Voreingestellte …