Irgendwann kommt der Brief oder der Anruf: Die Aufsichtsbehörde möchte das Verzeichnis der Verarbeitungstätigkeiten sehen. Vier Wochen später, so die übliche Frist. Und dann sitzt jemand vor einem leeren Blatt.
Der häufigste Irrtum dazu ist eine Zahl: 250. Die Datenschutz-Grundverordnung nennt sie, viele Betriebe kennen sie, und fast alle lesen sie falsch. Sie bedeutet nicht, dass ein Betrieb mit acht Leuten befreit ist.
Das Verzeichnis ist keine Schikane. Es ist die Liste, ohne die man nicht sagen kann, welche Daten der Betrieb überhaupt verarbeitet — und ohne die jede Auskunftsanfrage und jede Datenpanne zur Suchaktion wird.
Die Ausnahme für kleine Betriebe greift fast nie
Artikel 30 Absatz 1 verpflichtet jeden Verantwortlichen, „ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen", zu führen. Absatz 5 nimmt davon Unternehmen und Einrichtungen aus, „die weniger als 250 Mitarbeiter beschäftigen".
Der Satz hört dort aber nicht auf. Die Ausnahme entfällt wieder, sobald eine von drei Fallgruppen zutrifft: wenn die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, wenn sie nicht nur gelegentlich erfolgt oder wenn sie besondere Datenkategorien nach Artikel 9 Absatz 1 beziehungsweise Daten über strafrechtliche Verurteilungen nach Artikel 10 einschließt.
Die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder liest das so: Die Pflicht besteht „bereits dann, wenn mindestens eine der genannten drei Fallgruppen erfüllt ist". Und sie sagt in ihren Hinweisen zu Artikel 30 auch, was das praktisch heißt — wegen der regelmäßig erfolgenden Lohnabrechnungen seien „kaum Unternehmen von der Pflicht eines solchen Verzeichnisses generell befreit", allenfalls solche, die diese Tätigkeit komplett über einen Steuerberater erledigen lassen, und eventuell kleinere Vereine. Ihr Fazit steht ausdrücklich da: Es sei davon auszugehen, „dass die Ausnahmen nur selten greifen werden".
„Nicht nur gelegentlich" ist der Punkt, an dem es kippt
Diese Fallgruppe erledigt die Ausnahme in den meisten Betrieben allein. Die Aufsichtsbehörden nennen als Beispiele die regelmäßige Verarbeitung von Kunden- oder Beschäftigtendaten, Lohnabrechnungen, die Kundendatenverwaltung und die Protokollierung von IT-, Internet- und E-Mail-Nutzung.
Zur Auslegung greifen sie auf die Merkmale zurück, die die frühere Artikel-29-Datenschutzgruppe für „regelmäßig" aufgestellt hat: fortlaufend oder in bestimmten Abständen während eines bestimmten Zeitraums vorkommend; immer wieder oder wiederholt zu bestimmten Zeitpunkten auftretend; ständig oder regelmäßig stattfindend. Eine Kundenkartei, die täglich benutzt wird, erfüllt das ohne Weiteres.
Risiko meint hier jedes Risiko, nicht nur das hohe
Bei der Datenschutz-Folgenabschätzung nach Artikel 35 kommt es auf ein voraussichtlich hohes Risiko an. In Artikel 30 Absatz 5 steht dieses Wort nicht — hier ist jedes Risiko für die Rechte und Freiheiten zu betrachten. Die Behörden nennen als Beispiele Videoüberwachung, Bonitätsscoring und Betrugsprävention, die Ortung von Mitarbeitern etwa per GPS sowie Verarbeitungen, bei denen Kommunikationsinhalte betroffen sind.
Die dritte Gruppe, die besonderen Datenkategorien, trifft mehr Betriebe als gedacht. Artikel 9 Absatz 1 zählt unter anderem Gesundheitsdaten, Gewerkschaftszugehörigkeit, religiöse Überzeugungen und biometrische Daten zur eindeutigen Identifizierung auf. Die Aufsichtsbehörden weisen darauf hin, dass bei Lohnabrechnungen mit der Angabe der Konfessionszugehörigkeit zumeist ohnehin schon besondere Datenkategorien vorliegen.
Was hineingehört: sieben Angaben, mehr nicht
Artikel 30 Absatz 1 nennt die Pflichtangaben abschließend:
- a) Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des gemeinsam Verantwortlichen, eines Vertreters und eines etwaigen Datenschutzbeauftragten;
- b) die Zwecke der Verarbeitung;
- c) eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten;
- d) die Kategorien von Empfängern, einschließlich Empfängern in Drittländern;
- e) gegebenenfalls Übermittlungen in ein Drittland samt Angabe des Landes und Dokumentation der Garantien;
- f) wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien;
- g) wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Artikel 32 Absatz 1.
Das ist eine Tabelle mit neun Spalten, nicht ein Handbuch. Das Bayerische Landesamt für Datenschutzaufsicht hat für einen Handwerksbetrieb ein Muster veröffentlicht, das mit vier Zeilen auskommt: Lohnabrechnung über den Steuerberater, Personalverwaltung, Betrieb der Firmenwebseite über einen Hosting-Dienstleister, Kundenverwaltung. In der Spalte für die technischen Maßnahmen steht dort schlicht „Siehe IT-Sicherheitskonzept", und das beigefügte Konzept besteht aus sechs Punkten — automatische Updates für Betriebssystem und Browser, wöchentliche Sicherung auf eine externe Festplatte, Gruppenverwaltung, aktueller Virenscanner, Aktenvernichter.
Eine Verarbeitungstätigkeit ist ein Geschäftsprozess, keine Software
Die Aufsichtsbehörden beschreiben eine Verarbeitungstätigkeit als Geschäftsprozess „auf geeignetem Abstraktionsniveau" und legen dabei einen strengen Maßstab an: Jeder neue Zweck der Verarbeitung ist eine eigene Tätigkeit. Empfohlen wird, die Tätigkeit nach dem Zweck zu benennen — „Lohn-, Gehalts- und Bezügeabrechnung", „Bewerbungsverfahren", „Arbeitszeiterfassung", „Nutzungsprotokollierung IT/Internet/E-Mail".
Das ist der Grund, warum „Wir haben eine Warenwirtschaft" keine Zeile ist. Dieselbe Software trägt oft mehrere Zwecke, und die gehören auseinander.
Wo Verzeichnisse in der Praxis dünn werden
Drei Spalten fallen bei der Prüfung als Erstes auf.
Die Löschfristen. Ein allgemeiner Verweis auf Aufbewahrungspflichten genügt nach Auffassung der Behörden nicht; verlangt sind präzise Angaben. Im Handwerker-Muster stehen deshalb konkrete Werte: zehn Jahre für die Lohnabrechnung als gesetzliche Aufbewahrungsfrist, sechs Monate für abgelehnte Bewerbungen nach Abschluss des Verfahrens, dreißig Tage für die IP-Adressen der Webseitenbesucher. Wie lange E-Mails liegen bleiben müssen, steht unter E-Mail-Archivierung und GoBD.
Die Drittländer. Dazu soll in jedem Fall eine Aussage getroffen werden, also auch dann, wenn nichts übermittelt wird und nichts geplant ist. Und die Behörden legen den Begriff weit aus: Eine Übermittlung liegt auch vor, wenn der Server dort steht, wenn der Mailversand darüber läuft oder wenn der Support von dort erbracht wird.
Die Empfänger. Gemeint sind Kategorien, nicht Namen — Banken, Sozialversicherungsträger, Finanzämter, Auftragsverarbeiter. Genau hier zeigt sich, ob die Verträge dazu vorliegen; welche Dienstleister einen brauchen, steht unter Auftragsverarbeitung: wer einen AVV braucht.
Form, Sprache und wer es sehen darf
Nach Absatz 3 ist das Verzeichnis „schriftlich zu führen, was auch in einem elektronischen Format erfolgen kann". Eine Tabellenkalkulation reicht also.
Nach Absatz 4 ist es der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen — und nur ihr. Ein öffentliches Einsichtsrecht für jedermann gibt es nach der DSGVO nicht, und die früheren Meldepflichten an die Aufsichtsbehörde aus dem alten Bundesdatenschutzgesetz sind entfallen. Die Behörden gehen davon aus, dass das Verzeichnis regelmäßig in deutscher Sprache zu führen ist und dass sie auch von einem elektronisch geführten Verzeichnis einen Ausdruck verlangen können.
Empfohlen wird außerdem eine Änderungshistorie mit einer Speicherfrist von einem Jahr, damit nachvollziehbar bleibt, wer wann verantwortlich war.
Was das Verzeichnis nicht ist
Es ist kein Ersatz für die übrige Dokumentation. Die Behörden nennen es einen Baustein der Rechenschaftspflicht aus Artikel 5 Absatz 2; daneben stehen etwa der Nachweis von Einwilligungen und das Ergebnis einer Datenschutz-Folgenabschätzung.
Es zwingt dich aber auch zu nichts, was du sonst nicht bräuchtest. Ein Datenschutzbeauftragter ist eine getrennte Frage: § 38 BDSG verlangt ihn ergänzend zu Artikel 37 erst, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Ein Betrieb mit sechs Leuten führt also ein Verzeichnis und braucht trotzdem keinen Beauftragten.
Und wenn du selbst für andere Daten verarbeitest — als Dienstleister, als Agentur, als Rechenzentrum —, kommt nach Absatz 2 ein zweites, kürzeres Verzeichnis dazu.
Was jetzt zu tun ist
- Die Abläufe auflisten, bei denen Daten von Menschen anfallen: Lohn, Personal, Bewerbungen, Kunden, Lieferanten, Webseite, Newsletter, Zeiterfassung, Videoüberwachung. Die Dienste, an die niemand denkt, sind meist die einzeln eingeführten — dazu steht mehr unter Schatten-IT im Betrieb.
- Je Ablauf eine Zeile, mit den sieben Angaben aus Absatz 1. Das Muster der bayerischen Aufsichtsbehörde ist eine brauchbare Vorlage.
- Die Löschfristen konkret eintragen, nicht als Verweis.
- Einen Termin setzen, an dem jemand hineinsieht — einmal im Jahr, und immer dann, wenn ein neues Programm dazukommt.
Bei der technischen Seite — welche Systeme laufen, wo die Daten liegen, wer Zugriff hat und was in der Beschreibung der Maßnahmen stehen kann — hilft die laufende IT-Betreuung.
Die verbindliche Einordnung gehört nicht hierher: Ob dein Betrieb im konkreten Fall unter die Ausnahme fällt, wie tief die einzelnen Angaben gehen müssen und was bei einer Prüfung vorzulegen ist, beantwortet eine Anwältin oder ein Anwalt für Datenschutzrecht.