Kurzdefinition: Das Verzeichnis von Verarbeitungstätigkeiten — kurz VVT — ist die dokumentierte Übersicht aller Verarbeitungen, die ein Verantwortlicher durchführt. Art. 30 DSGVO schreibt feste Pflichtangaben vor. Es ist die Grundlage jeder Datenschutz-Organisation. [N-DSGVO-30]
Der Normwortlaut
Art. 30 Abs. 1 DSGVO lautet: „Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen.“ Das Verzeichnis enthält unter anderem Name und Kontaktdaten, die Zwecke der Verarbeitung, die Kategorien betroffener Personen und Daten sowie die Kategorien von Empfängern. [N-DSGVO-30]
Wer muss ein Verarbeitungsverzeichnis führen?
Grundsätzlich jeder Verantwortliche. Nach Art. 30 Abs. 2 DSGVO führt auch der Auftragsverarbeiter ein eigenes Verzeichnis der Verarbeitungen, die er im Auftrag durchführt. Die verbreitete Vorstellung, kleine Unternehmen seien generell befreit, trifft nicht zu. [N-DSGVO-30]
Gilt die Ausnahme für Unternehmen unter 250 Beschäftigten?
Nur eingeschränkt. Art. 30 Abs. 5 DSGVO nimmt Unternehmen mit weniger als 250 Beschäftigten von der Pflicht aus — es sei denn, die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, die Verarbeitung erfolgt nicht nur gelegentlich, oder es werden besondere Kategorien personenbezogener Daten oder personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten verarbeitet. Weil die laufende Verarbeitung von Beschäftigten- und Kundendaten regelmäßig „nicht nur gelegentlich“ erfolgt, greift die Ausnahme in der Praxis selten. [N-DSGVO-30]
Muss das Verzeichnis veröffentlicht werden?
Nein. Das Verzeichnis ist nicht öffentlich zu machen. Es ist der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen. Es dient der internen Übersicht und dem Nachweis gegenüber der Aufsicht, nicht der Veröffentlichung. [N-DSGVO-30]
Welche Angaben enthält das Verzeichnis?
Mehrere Pflichtangaben. Nach Art. 30 Abs. 1 DSGVO enthält das Verzeichnis unter anderem Name und Kontaktdaten des Verantwortlichen, die Zwecke der Verarbeitung, die Kategorien betroffener Personen und personenbezogener Daten sowie die Kategorien von Empfängern. Die bloße Nennung der Zwecke genügt nicht. [N-DSGVO-30]
Muss auch der Auftragsverarbeiter ein Verzeichnis führen?
Ja. Nach Art. 30 Abs. 2 DSGVO führt auch jeder Auftragsverarbeiter ein eigenes Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die er im Auftrag eines Verantwortlichen durchführt. Die Pflicht trifft also beide Seiten. [N-DSGVO-30]
Häufige Fehlannahmen
- „Kleine Unternehmen müssen kein Verzeichnis führen.“ Nein. Die Ausnahme des Art. 30 Abs. 5 DSGVO greift nur unter engen Voraussetzungen; Risiko, nicht nur gelegentliche Verarbeitung und besondere Kategorien schließen sie jedenfalls aus. [N-DSGVO-30]
- „Nur der Verantwortliche führt ein Verzeichnis.“ Nein. Nach Art. 30 Abs. 2 DSGVO führt auch der Auftragsverarbeiter ein eigenes Verzeichnis. [N-DSGVO-30]
- „Das Verzeichnis muss veröffentlicht werden.“ Nein. Es ist der Aufsichtsbehörde auf Anfrage vorzulegen, nicht öffentlich. [N-DSGVO-30]
- „Das Verzeichnis muss nur die Zwecke der Verarbeitung nennen.“ Nein. Art. 30 Abs. 1 DSGVO verlangt u. a. auch Kontaktdaten, Kategorien betroffener Personen und Daten sowie Kategorien von Empfängern. [N-DSGVO-30]
- „Erst ab 250 Beschäftigten besteht überhaupt eine Verzeichnispflicht.“ Nein. Die Erleichterung nach Art. 30 Abs. 5 DSGVO knüpft an 250 Beschäftigte an, entfällt aber bei Risiko, nicht nur gelegentlicher Verarbeitung oder besonderen Datenkategorien. [N-DSGVO-30]
Was die Geschäftsleitung tun sollte
- Vollständig erfassen. Alle Verarbeitungen mit den Pflichtangaben des Art. 30 Abs. 1 DSGVO.
- Ausnahme nicht überschätzen. Die 250-Beschäftigten-Grenze greift in der Praxis selten.
- Auftragsverarbeiter-Verzeichnis nicht vergessen. Wer im Auftrag verarbeitet, führt ein eigenes.
- Aktuell halten. Das Verzeichnis ist der Aufsicht auf Anfrage vorzulegen.
Für die Geschäftsleitung
Das Verarbeitungsverzeichnis ist das Fundament der Datenschutz-Dokumentation — und die Größenausnahme ist kleiner, als sie klingt. Wer laufend Personal- oder Kundendaten verarbeitet, sollte die Ausnahme nicht ungeprüft in Anspruch nehmen. Es ist keine Bürokratie um ihrer selbst willen, sondern der Nachweis gegenüber der Aufsicht.
Quellen
- [N-DSGVO-30] Art. 30 DSGVO (Verzeichnis von Verarbeitungstätigkeiten), Abs. 1, 2 und 5. Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
