Verarbeitungsverzeichnis

Ein Verarbeitungsverzeichnis (Verzeichnis von Verarbeitungstätigkeiten) ist nach Art. 30 DSGVO eine strukturierte interne Übersicht aller Datenverarbeitungen eines Unternehmens oder einer Organisation. Es dokumentiert intern, was ohnehin in der Datenschutzerklärung nach außen erklärt wird, meist jedoch ausführlicher und mit zusätzlichen internen Details wie technischen Sicherheitsmaßnahmen.

Was gehört ins Verzeichnis?

Wer muss ein Verarbeitungsverzeichnis führen?

Grundsätzlich jeder Verantwortliche, der regelmäßig personenbezogene Daten verarbeitet. Eine Ausnahme nach Art. 30 Abs. 5 DSGVO gilt für Unternehmen mit weniger als 250 Mitarbeitenden, sofern die Verarbeitung nur gelegentlich erfolgt, kein Risiko für die Rechte betroffener Personen birgt und keine besonderen Kategorien von Daten umfasst. In der Praxis greift diese Ausnahme selten: Schon ein einfaches Kontaktformular oder ein Kundenkonto macht die Verarbeitung “nicht nur gelegentlich”.

Warum es mehr als nur Pflichterfüllung ist

Ein gepflegtes Verarbeitungsverzeichnis hilft dir, den Überblick über alle eingesetzten Tools und Datenflüsse zu behalten. Es ist die Grundlage, um bei einer Datenpanne schnell einzuschätzen, welche Daten betroffen sein könnten, und erleichtert die jährliche Aktualisierung der Datenschutzerklärung, weil beide Dokumente auf denselben Informationen beruhen.

Praxisbeispiel

Ein SaaS-Unternehmen mit fünfzehn Mitarbeitenden führte zunächst kein Verarbeitungsverzeichnis, weil es sich fälschlich für zu klein hielt. Nach einer Beratung stellte sich heraus, dass die dauerhafte Verarbeitung von Nutzerkonten und Nutzungsdaten die Ausnahme nach Art. 30 Abs. 5 DSGVO ausschließt. Das Unternehmen erstellte eine Tabelle mit allen zehn wichtigsten Verarbeitungen, inklusive Zweck, Rechtsgrundlage und eingesetzten Auftragsverarbeitern, und aktualisiert diese seither vierteljährlich.

Digitale Tools statt Excel-Tabelle

Für die Pflege eines Verarbeitungsverzeichnisses reicht anfangs eine einfache Tabelle völlig aus. Wächst die Zahl der Verarbeitungen, etwa durch neue Tools oder zusätzliche Geschäftsbereiche, lohnt sich der Wechsel zu einer spezialisierten Software, die Änderungen automatisch protokolliert und Verantwortliche im Team daran erinnert, das Verzeichnis regelmäßig zu aktualisieren.