Brauchen kleine Unternehmen ein Verzeichnis von Verarbeitungstätigkeiten nach DSGVO?

Artikel 30 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, ein Verzeichnis ihrer Verarbeitungstätigkeiten zu führen. Artikel 30 Abs. 5 nimmt Organisationen mit weniger als 250 Beschäftigten davon aus, weshalb viele kleine Unternehmen annehmen, sie müssten nichts tun. Die Ausnahme hat jedoch drei Rückausnahmen, die sie für die meisten Unternehmen aufheben.

Wann die Ausnahme nicht gilt

Eine Organisation mit weniger als 250 Beschäftigten muss dennoch ein Verzeichnis führen, wenn ihre Verarbeitung:

• voraussichtlich ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt;
• nicht nur gelegentlich erfolgt; oder
• besondere Kategorien von Daten (etwa Gesundheitsdaten) oder Daten über strafrechtliche Verurteilungen und Straftaten umfasst.

Was das in der Praxis bedeutet

Die Lohnabrechnung läuft jeden Monat; ein CRM wird täglich genutzt. Fast jedes Unternehmen verarbeitet regelmäßig personenbezogene Daten, die Verarbeitung erfolgt also nicht nur gelegentlich, und die Ausnahme gilt für diese Tätigkeiten nicht. Die Aufsichtsbehörden legen sie in der Regel so aus.

Was das Verzeichnis enthält

Für Verantwortliche legt Artikel 30 Abs. 1 den Inhalt fest:

• Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des Datenschutzbeauftragten;
• die Zwecke der Verarbeitung;
• die Kategorien betroffener Personen und personenbezogener Daten;
• die Kategorien von Empfängern, einschließlich Empfängern in Drittländern;
• Übermittlungen an Drittländer und die dabei verwendeten Garantien;
• wenn möglich, die vorgesehenen Fristen für die Löschung;
• wenn möglich, eine allgemeine Beschreibung der Sicherheitsmaßnahmen.

Warum es sich trotzdem lohnt, eines zu haben

Das Verzeichnis ist die Grundlage für alles andere: Ihren Datenschutzhinweis, Ihre Antworten auf Auskunftsersuchen, Ihre Bewertung von Datenschutzverletzungen und Ihre Antworten auf Due-Diligence-Fragebögen von Kunden. Unsere DSGVO-Bewertung erstellt aus Ihren Antworten ein vorausgefülltes Verzeichnis, einschließlich eines Abschnitts für Auftragsverarbeiter, wenn Sie Daten im Auftrag von Kunden verarbeiten.