Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO): Was es ist und welche rechtlichen Dokumente Ihre Website braucht

Wenn Ihre Kanzlei oder Ihr Unternehmen personenbezogene Daten von Mandanten, Beschäftigten, Lieferanten oder Website-Nutzern verarbeitet, verlangt die Verordnung (EU) 2016/679 (DSGVO) mehr als eine Datenschutzerklärung: Sie müssen nachweisen können, was Sie mit diesen Daten tun. Ein zentrales Instrument dafür ist das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30.

Was das Verzeichnis von Verarbeitungstätigkeiten ist

Es ist ein Dokument – in Papierform oder elektronisch –, das alle Verarbeitungen personenbezogener Daten einer Organisation geordnet beschreibt. Es wird bei keiner Behörde eingereicht: Es ist ein internes Dokument, das verfügbar und aktuell sein muss, wenn eine Aufsichtsbehörde es anfordert, etwa die spanische Datenschutzbehörde AEPD oder in Deutschland die jeweilige Landesbehörde.

Führen müssen es die Verantwortlichen und – mit eigenem Inhalt – auch die Auftragsverarbeiter (Art. 30 Abs. 2). In Spanien ergänzt das Organgesetz 3/2018 (LOPDGDD) den Rahmen.

Und wenn ich weniger als 250 Beschäftigte habe?

Die DSGVO sieht eine Ausnahme für Organisationen mit weniger als 250 Beschäftigten vor, doch ihre Voraussetzungen machen sie praktisch weitgehend wirkungslos: Sie gilt nicht, wenn die Verarbeitung ein Risiko für die Rechte der Betroffenen birgt, wenn sie nicht nur gelegentlich erfolgt oder wenn besondere Datenkategorien oder Daten über strafrechtliche Verurteilungen und Straftaten verarbeitet werden. Jede Kanzlei, die regelmäßig Gehaltsabrechnungen, Mandantenakten oder eine Kontaktdatenbank führt, fällt unter die Pflicht.

Was es nach Artikel 30 Absatz 1 enthalten muss

• Name und Kontaktdaten des Verantwortlichen (gegebenenfalls des gemeinsam Verantwortlichen, des Vertreters und des Datenschutzbeauftragten).
• Die Zwecke der Verarbeitung.
• Eine Beschreibung der Kategorien betroffener Personen und der personenbezogenen Daten.
• Die Kategorien von Empfängern, einschließlich Empfängern in Drittländern oder internationalen Organisationen.
• Übermittlungen in Drittländer und die angewandten Garantien, soweit einschlägig.
• Wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien.
• Eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen (Art. 32 Abs. 1).

So erstellen Sie es Schritt für Schritt

1. Verarbeitungen erfassen. Gehen Sie jeden Bereich durch (Mandanten, Personal, Rechnungswesen, Marketing, Website) und notieren Sie, welche Daten wozu erhoben werden.
2. Rechtsgrundlage bestimmen (Vertrag, rechtliche Verpflichtung, berechtigtes Interesse, Einwilligung …). Sie ist kein Pflichtfeld des Art. 30, wird aber für Ihre Datenschutzerklärung benötigt.
3. Dritte auflisten: Steuerberater, Hosting-Anbieter, E-Mail- oder Analyse-Tools. Für Auftragsverarbeiter benötigen Sie den Vertrag nach Artikel 28.
4. Aufbewahrungsfristen festlegen, die zu den für Ihre Tätigkeit geltenden gesetzlichen Pflichten passen.
5. Sicherheitsmaßnahmen allgemein beschreiben: Zugriffskontrolle, Backups, Verschlüsselung, Schulung der Beschäftigten.
6. Verantwortlichkeit für die Pflege festlegen und eine regelmäßige Überprüfung vorsehen – sowie eine bei jeder Änderung einer Verarbeitung.

Die rechtlichen Dokumente, die Ihre Website anzeigen sollte

Das Verzeichnis ist intern, aber die öffentlichen Texte Ihrer Website speisen sich daraus. Prüfen Sie mindestens diese:

• Impressum: die Anbieterkennzeichnung, die für Dienste der Informationsgesellschaft vorgeschrieben ist (in Spanien das Gesetz 34/2002, LSSI-CE; in Deutschland das Digitale-Dienste-Gesetz).
• Datenschutzerklärung: die Informationen nach Art. 13 und 14 DSGVO (Identität, Zwecke, Rechtsgrundlage, Empfänger, Übermittlungen, Speicherdauer, Rechte und Beschwerderecht bei der Aufsichtsbehörde).
• Cookie-Richtlinie: erforderlich, wenn Sie nicht ausgenommene Cookies oder ähnliche Technologien einsetzen, einschließlich der erforderlichen Einwilligung.
• Allgemeine Geschäftsbedingungen, wenn Sie online Produkte oder Dienstleistungen verkaufen.

Häufige Fehler

• Das Verzeichnis eines anderen Unternehmens kopieren, ohne es an die eigenen Verarbeitungen anzupassen.
• Es einmal erstellen und nie aktualisieren: Ein Verzeichnis, das die Realität nicht abbildet, taugt nicht als Nachweis.
• Eine Datenschutzerklärung, die etwas anderes sagt als das Verzeichnis.
• „Unsichtbare“ Verarbeitungen vergessen: Videoüberwachung, Hinweisgebersystem, Kontaktformulare oder Analyse-Tools.

Alles konsistent halten

Das größte Risiko ist nicht, kein Verzeichnis zu haben, sondern dass jeder Text eine andere Geschichte erzählt. Rechtsdokumente zentral zu verwalten, zu versionieren und von einer Stelle auszuliefern – wie es eine Plattform wie LegalCloud tut – hilft, dass Website, Datenschutzerklärung und Verzeichnis dasselbe aussagen, und bewahrt den Änderungsverlauf.

Den vollständigen Verordnungstext finden Sie bei EUR-Lex, Leitfäden und Muster der AEPD unter aepd.es. Dieser Artikel dient nur der Information und ersetzt keine Rechtsberatung für Ihren konkreten Fall.