Verarbeitungsverzeichnis

Das Verarbeitungsverzeichnis ist das erste Dokument, nach dem eine Aufsichtsbehörde fragt – und dasjenige, aus dem sich alle weiteren Pflichten ableiten. Löschkonzept, Folgenabschätzung, Auskunft, Meldung eines Vorfalls: Jede dieser Aufgaben beginnt mit der Frage, welche Verarbeitungen es überhaupt gibt.

Warum die Tabelle irgendwann nicht mehr trägt

Nicht am Umfang – hundert Einträge lassen sich auch in einer Tabelle führen. Es scheitert an vier anderen Dingen:

Es fehlt die Historie. Bei einer Prüfung ist nicht nur der heutige Stand interessant, sondern auch, seit wann er gilt und wer ihn geändert hat.

Nichts hängt zusammen. Der Dienstleister steht im Verzeichnis, sein Vertrag liegt im Laufwerk, die Löschfrist in einem dritten Dokument. Ändert sich eines, ändern sich die anderen nicht mit.

Niemand ist zuständig. Eine Tabelle kennt keine Verantwortlichen je Eintrag – und damit auch niemanden, den man an die jährliche Durchsicht erinnern könnte.

Der Nachweis entsteht nachträglich. Vor dem Termin wird zusammengesucht, was laufend hätte entstehen sollen.

Was ein geführtes Verzeichnis leistet

Die Pflichtangaben aus Art. 30 DSGVO sind vorgegeben: Zwecke, Kategorien betroffener Personen und Daten, Empfänger, Drittlandübermittlungen, Löschfristen, technische und organisatorische Maßnahmen. Sie werden als Struktur geführt, nicht als Freitext – dadurch lässt sich danach filtern und auswerten.

Daraus ergibt sich der eigentliche Nutzen: Die Einträge sind mit dem verknüpft, was an ihnen hängt. Der Dienstleister mit seinem Auftragsverarbeitungsvertrag, die Verarbeitung mit ihrer Risikobewertung, das System mit der Systemlandschaft. Wird ein Dienstleister ausgetauscht, ist sichtbar, welche Verarbeitungen betroffen sind.

Jede Änderung wird mitgeschrieben. Für die Vorlage bei einer Behörde entsteht daraus ein PDF-Export auf Knopfdruck; die Zusammenhänge macht das Datenflussdiagramm sichtbar.

Wer die Einträge liefert

Der häufigste Grund für ein unvollständiges Verzeichnis ist nicht Nachlässigkeit, sondern Zuständigkeit: Die Fachbereiche wissen, was sie tun, und der Datenschutz weiß, was gefragt werden muss – aber beide sprechen selten miteinander.

Deshalb werden Einträge je Fachbereich zugewiesen und mit Wiedervorlage versehen. Wer die Personalabteilung führt, pflegt die Verarbeitungen der Personalabteilung. Die Erinnerung übernimmt das Aufgabensystem, nicht der Beauftragte.

Grenzen

Ein Verzeichnis wird nicht vollständig, weil es im System liegt. Verarbeitungen, die niemand einträgt, fehlen weiterhin. Die Bestandsaufnahme bleibt Arbeit; das System hält das Ergebnis, es erhebt es nicht.

Die Pflicht trifft den Verantwortlichen. Ein Datenschutzbeauftragter berät und überwacht – erstellen und aktualisieren muss es das Unternehmen.

Was inhaltlich in einen Eintrag gehört, steht unter Verzeichnis von Verarbeitungstätigkeiten.

Kontakt