"Verarbeitungsverzeichnis: Pflicht auch für kleine Betriebe?"

Viele Inhaberinnen und Inhaber kleiner Betriebe glauben, das Verzeichnis von Verarbeitungstätigkeiten sei nur etwas für große Konzerne. Das ist ein Irrtum, der bei einer Datenschutzprüfung teuer werden kann. Denn die vermeintliche Ausnahme für kleine Firmen greift in der Praxis fast nie. Wir erklären, was hinter der Pflicht steckt und wie Sie das Verzeichnis mit überschaubarem Aufwand selbst führen.

Was ist das Verzeichnis von Verarbeitungstätigkeiten?

Das Verzeichnis ist in Artikel 30 der Datenschutz-Grundverordnung (DSGVO) geregelt. Es ist eine strukturierte Übersicht darüber, welche personenbezogenen Daten Ihr Betrieb zu welchem Zweck verarbeitet. Man kann es sich als Inhaltsverzeichnis Ihrer Datenverarbeitung vorstellen.

Für jede Tätigkeit – etwa Lohnabrechnung, Kundenverwaltung oder der Newsletter – halten Sie fest, um welche Daten es geht, warum Sie sie brauchen und wie lange Sie sie speichern. Das Verzeichnis ist ein internes Dokument. Sie müssen es nicht veröffentlichen, aber der Aufsichtsbehörde auf Verlangen vorlegen.

Verantwortlicher im Sinne der DSGVO ist dabei Ihr Betrieb selbst, also die Person oder Firma, die über Zweck und Mittel der Datenverarbeitung entscheidet. Auch wenn Sie einzelne Aufgaben auslagern, etwa an einen Steuerberater oder einen Dienstleister für die Lohnabrechnung, bleibt die Pflicht zur Dokumentation bei Ihnen.

Gilt die Ausnahme für unter 250 Beschäftigte wirklich?

Artikel 30 Absatz 5 DSGVO enthält scheinbar eine Erleichterung: Betriebe mit weniger als 250 Beschäftigten seien von der Pflicht befreit. Diese Ausnahme ist jedoch an strenge Bedingungen geknüpft und entfällt, sobald einer dieser Punkte zutrifft:

• Die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen.
• Die Verarbeitung erfolgt nicht nur gelegentlich, sondern regelmäßig.
• Es werden besondere Datenkategorien verarbeitet, etwa Gesundheitsdaten.

In der Praxis verarbeitet fast jeder Betrieb regelmäßig Daten: Kundenkontakte, Rechnungen, Personalunterlagen, eine Website mit Kontaktformular. Damit greift die Ausnahme in aller Regel nicht. Wer eine Arztpraxis oder eine Physiotherapie führt, verarbeitet zusätzlich Gesundheitsdaten und ist ohnehin in der Pflicht.

Welche Angaben gehören hinein?

Ein vollständiger Eintrag je Tätigkeit umfasst im Kern:

• Name und Kontakt des Verantwortlichen (Ihr Betrieb).
• Zweck der Verarbeitung (zum Beispiel: Auftragsabwicklung).
• Kategorien betroffener Personen (Kunden, Beschäftigte, Lieferanten).
• Kategorien der Daten (Name, Anschrift, Bankverbindung).
• Empfänger, an die Daten weitergegeben werden (Steuerberater, Versand).
• Löschfristen, soweit möglich.
• Eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen zum Schutz der Daten.

Wie erstellen Sie das Verzeichnis ohne teure Software?

Sie brauchen kein kostenpflichtiges Programm. Ein sauber gepflegtes Dokument in einer Tabellenkalkulation reicht aus. Die Datenschutzaufsichtsbehörden der Länder stellen kostenlose Muster und Ausfüllhilfen bereit – etwa das Unabhängige Landeszentrum für Datenschutz oder der Landesbeauftragte für den Datenschutz in Baden-Württemberg.

Gehen Sie Ihren Betrieb Tätigkeit für Tätigkeit durch und tragen Sie jede Verarbeitung einmal ordentlich ein. Wichtig ist danach die Pflege: Kommt ein neues Werkzeug hinzu oder ändert sich ein Ablauf, aktualisieren Sie den betreffenden Eintrag. Zu den technischen Maßnahmen gehört auch ein durchdachter Umgang mit Verschlüsselung; wie das im Kleinen aussieht, lesen Sie in unserem Beitrag Festplatte verschlüsseln.

Was droht bei Verstößen?

Ein fehlendes oder lückenhaftes Verzeichnis ist ein eigenständiger Verstoß gegen die DSGVO und kann mit einem Bußgeld geahndet werden. Mindestens ebenso wichtig: Bei einer Prüfung oder nach einer Datenpanne müssen Sie das Verzeichnis kurzfristig vorlegen können. Wer es dann erst zusammensucht, wirkt schlecht vorbereitet. Ein gepflegtes Verzeichnis hilft Ihnen umgekehrt, im Ernstfall schnell und sachlich zu reagieren.

Fazit

Das Verzeichnis von Verarbeitungstätigkeiten ist keine Bürokratie für Konzerne, sondern eine Grundpflicht auch für den kleinen Betrieb. Der Aufwand ist einmalig hoch und danach überschaubar. Nehmen Sie sich einen ruhigen Nachmittag, arbeiten Sie Ihre Abläufe durch und halten Sie das Dokument aktuell.

Wenn Sie in der Region Reutlingen–Tübingen dabei einen sachlichen Blick von außen auf Ihre IT und Ihre Datenflüsse wünschen, unterstützt edvGO Sie gern bei der technischen Bestandsaufnahme.

Dieser Beitrag ist eine allgemeine Information und ersetzt keine Rechts- oder Steuerberatung.