Die Landkarte, ohne die nichts prüfbar ist
Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO gilt als lästige Formalie. Tatsächlich ist es die einzige Stelle, an der eine Organisation vollständig aufschreibt, was sie mit Daten tut – und damit die Grundlage fast jeder anderen Pflicht.
Kaum eine Pflicht der Verordnung wird so verlässlich aufgeschoben. Das Verzeichnis erzeugt keinen sichtbaren Nutzen, es erscheint auf keiner Website, und niemand fragt danach – bis eine Aufsichtsbehörde schreibt. Dann ist es das Erste, was verlangt wird, und zwar nicht aus Formalismus: Ohne diese Übersicht lässt sich keine andere Frage beantworten.
Das erklärt auch, warum die Behörden in Prüfungen fast immer damit beginnen. Wer nicht aufschreiben kann, welche Verarbeitungen es gibt, kann weder eine Löschfrist begründen noch eine Auskunft vollständig erteilen noch beurteilen, ob eine Datenpanne meldepflichtig ist.
Die Ausnahme, die kaum jemanden befreit
Art. 30 Abs. 5 befreit Organisationen mit weniger als 250 Beschäftigten – und nimmt die Befreiung im selben Satz weitgehend zurück. Sie entfällt, sobald die Verarbeitung ein Risiko für Rechte und Freiheiten birgt, sobald sie nicht nur gelegentlich erfolgt, oder sobald besondere Datenkategorien nach Art. 9 betroffen sind.
Das zweite Merkmal erledigt die Ausnahme in der Praxis. Eine Kundendatenbank, eine Lohnbuchhaltung, ein Newsletter-Verteiler: alles regelmäßige Verarbeitungen und damit nicht gelegentlich. Übrig bleibt ein sehr schmaler Bereich – etwa ein Verein, der einmal im Jahr eine Teilnehmerliste führt und sie danach vernichtet.
Besteht die Pflicht zum Verzeichnis?
Was hineingehört
Art. 30 Abs. 1 zählt die Pflichtangaben abschließend auf. Bemerkenswert ist, was fehlt: die Rechtsgrundlage. Sie steht nicht in der Liste, gehört aber in jedes brauchbare Verzeichnis – ohne sie lässt sich die Zulässigkeit einer Verarbeitung nicht beurteilen, und genau danach wird gefragt. Die meisten Aufsichtsbehörden erwarten sie in ihren Mustern deshalb ausdrücklich.
Ein Eintrag von oben nach unten
- Zweck der VerarbeitungSo bestimmt, dass die Reichweite erkennbar ist – nicht „Kundenverwaltung“, sondern was konkret geschieht.
- Kategorien betroffener Personen und DatenGruppen, keine Einzelfälle. Besondere Kategorien nach Art. 9 werden gesondert gekennzeichnet.
- EmpfängerAuch Auftragsverarbeiter, auch solche in Drittländern – dort mit dem Übermittlungsinstrument.
- LöschfristenWenn möglich in Zeiträumen, sonst als Kriterium: „drei Jahre nach Vertragsende“ statt „nach Bedarf“.
- Technische und organisatorische MaßnahmenIn allgemeiner Beschreibung ausreichend; der Verweis auf ein gesondertes Sicherheitskonzept genügt.
Der praktische Rat, der sich aus vielen Prüfungen ableiten lässt, ist unspektakulär: Ein knappes, gepflegtes Verzeichnis schlägt ein ausführliches, veraltetes. Die Verordnung verlangt Schriftform und Aktualität, keinen Umfang. Ein Dokument, das dreißig Verarbeitungen auf je fünf Zeilen beschreibt und vierteljährlich durchgesehen wird, erfüllt Art. 30 vollständig – eine hundertseitige Sammlung, deren letzte Änderung drei Jahre zurückliegt, erfüllt Art. 30 nicht.