Verarbeitungsverzeichnis
Das Verarbeitungsverzeichnis ist eine Liste aller Stellen in Ihrem Betrieb, an denen Daten von Personen anfallen: Kontaktformular, Bewerbungen, Kundendatei, Newsletter, Terminbuch. Zu jedem Eintrag notieren Sie, wozu Sie die Daten brauchen, auf welcher Grundlage, wer sie noch sieht und wann sie gelöscht werden. Es ist kein Gutachten, sondern eine Bestandsaufnahme.
Das hier ist keine Rechtsberatung. Wir erklären den Zweck und den Aufbau. Ob Ihre Einträge vollständig sind und ob die eingetragene Rechtsgrundlage im Einzelfall trägt, gehört in die Hand einer Kanzlei für IT-Recht oder einer Datenschutzberatung. Wir liefern die technischen Angaben, wir füllen kein Verzeichnis aus.
Was das genau bedeutet
Der Name klingt nach Aktenordner, gemeint ist aber etwas Einfaches: eine Inventarliste für Daten. So wie Sie wissen, welche Maschinen in Ihrer Werkstatt stehen, sollen Sie wissen, welche Datensammlungen es in Ihrem Betrieb gibt. Nicht jede einzelne Adresse, sondern die Vorgänge: Wo entstehen Daten, wozu, und wie lange bleiben sie.
Ein Beispiel aus einem Malerbetrieb mit vier Mitarbeitenden. Die Einträge lauten: Anfragen über das Kontaktformular, Angebote und Rechnungen, Personalakten, Bewerbungen, Fahrzeugortung, Fotos abgeschlossener Arbeiten für die Webseite. Sechs Zeilen. Zu jeder gehören vier Angaben: wofür, auf welcher Grundlage, wer sieht es noch, wann fliegt es raus. Das passt auf zwei Seiten.
Die Frage nach der Grundlage klingt juristischer, als sie ist. Meist trifft eine von drei Antworten zu: Es ist für einen Vertrag nötig, etwa bei einer Rechnung. Es ist gesetzlich vorgeschrieben, etwa bei der Aufbewahrung von Buchhaltungsunterlagen. Oder jemand hat ausdrücklich zugestimmt, etwa beim Newsletter. Passt keine davon, ist das ein Hinweis, dass Sie über diesen Vorgang genauer nachdenken sollten.
Warum das für Ihr Unternehmen zählt
Das Verzeichnis ist das Dokument, nach dem eine Aufsichtsbehörde zuerst fragt. Nicht weil es besonders wichtig wäre, sondern weil es zeigt, ob sich jemand überhaupt einmal hingesetzt hat. Wer es vorlegen kann, führt ein sachliches Gespräch. Wer es nicht hat, beginnt mit einem Rückstand, den man selten wieder aufholt.
Der zweite Nutzen liegt näher am Alltag. Meldet sich jemand und will wissen, welche Daten Sie über ihn gespeichert haben, müssen Sie das innerhalb eines Monats beantworten. Ohne Verzeichnis heißt das: alle Ordner, alle Postfächer, alle Programme durchsuchen und hoffen, nichts zu übersehen. Mit Verzeichnis wissen Sie, wo Sie nachsehen müssen.
Und drittens findet man beim Aufschreiben regelmäßig Dinge, die längst weg gehört hätten: eine Adressliste aus einer Aktion von vor drei Jahren, ein Ordner mit alten Bewerbungen, ein Programm, das niemand mehr nutzt, in dem aber noch alles drinsteht. Das Verzeichnis ist deshalb oft der Anlass für den ersten großen Aufräumtag.
So gehen Sie vor
- Führen Sie eine Woche lang einen Zettel mit. Immer wenn Sie den Namen oder die Nummer eines Menschen notieren, speichern oder weitergeben, kommt eine Zeile auf den Zettel. Telefonnotiz, Formular, Terminbuch, WhatsApp-Nachricht einer Kundin, Lieferschein. Nach einer Woche haben Sie den Rohstoff beisammen.
- Fassen Sie zu Vorgängen zusammen. Aus zwanzig Zeilen werden meist sechs bis zehn Einträge. Alle Anfragen über die Webseite sind ein Vorgang, nicht dreißig. Alle Bewerbungen sind ein Vorgang. Zusammenfassen ist erlaubt und macht das Verzeichnis erst brauchbar.
- Ergänzen Sie zu jedem Vorgang vier Angaben. Wofür brauchen Sie die Daten, auf welcher Grundlage, wer bekommt sie noch zu sehen, und wann werden sie gelöscht. Bei der letzten Frage darf am Anfang auch stehen: noch festzulegen. Ehrlich offen ist besser als falsch ausgefüllt.
- Tragen Sie die Empfänger aus Ihren Verträgen nach. Jeder Dienstleister mit einem AV-Vertrag gehört als Empfänger in die passende Zeile. Damit passen die beiden Dokumente zusammen, und genau das wird bei einer Prüfung abgeglichen.
- Legen Sie einen festen Termin im Jahr fest. Einmal jährlich durchgehen: Ist etwas Neues dazugekommen, ist etwas weggefallen, stimmen die Fristen noch. Ein Verzeichnis von vor vier Jahren wirkt schlechter als eines, das erkennbar gepflegt wird.
Typische Fehler
Vier Punkte, an denen die meisten kleinen Betriebe hängen bleiben.
Wir haben weniger als 250 Beschäftigte, also gilt die Pflicht nicht.
Diese Ausnahme wird fast immer falsch verstanden. Sie greift nur, wenn die Verarbeitung nicht regelmäßig stattfindet und keine sensiblen Daten betroffen sind. Eine Kundendatei und eine Lohnabrechnung sind regelmäßig. Damit gilt die Pflicht praktisch für jeden Betrieb mit Angestellten oder Stammkundschaft.
Das muss doch bestimmt in einem bestimmten Programm geführt werden.
Nein. Eine Tabelle genügt, eine gut geführte Textdatei ebenfalls. Vorgeschrieben ist der Inhalt, nicht das Werkzeug. Wer mit einem gekauften Programm anfängt, verliert oft mehr Zeit mit dem Programm als mit dem Inhalt.
Wir schicken das jedes Jahr an die Behörde.
Das Verzeichnis wird nicht eingereicht. Sie führen es und legen es nur auf Verlangen vor. Es gibt keine Meldung, keine Frist und keine Gebühr. Genau deshalb erfährt niemand davon, bis es einmal gebraucht wird.
Die Datenschutzerklärung auf der Webseite ist doch dasselbe.
Beide beschreiben Verarbeitungen, aber für unterschiedliche Leser. Die Datenschutzerklärung richtet sich an Besucher Ihrer Webseite und deckt nur ab, was dort passiert. Das Verzeichnis ist intern und umfasst den ganzen Betrieb, auch Personalakten und Telefonnotizen. Das eine ersetzt das andere nicht.
Verwandte Begriffe
Wie wir damit umgehen
Für den Teil, der Ihre Webseite betrifft, liefern wir die Angaben zu. Wir sagen Ihnen, welche Formulare Daten aufnehmen, wohin diese Daten gehen, welche fremden Dienste eingebunden sind und wie lange etwas auf dem Server liegen bleibt. Damit sind die Zeilen zur Webseite ausgefüllt. Die übrigen Vorgänge Ihres Betriebs kennen nur Sie selbst, und dabei hilft Ihnen eine Datenschutzberatung weiter als wir.
Der Teil, der Ihre Webseite betrifft
Die DSGVO-Checkliste zeigt, welche Angaben Sie zu Ihrer Seite zusammentragen müssen und wo Sie sie finden. Eine rechtliche Prüfung ersetzt sie nicht.