Artikel 30 DSGVO: Wann kleine Betriebe ein Verzeichnis führen
Der Beitrag klärt, wann auch kleine Verantwortliche ein Verzeichnis von Verarbeitungstätigkeiten benötigen. Er übersetzt die Ausnahmen des Artikels 30 DSGVO in prüfbare Entscheidungen für Mandantenakten und Betriebe.
Die Frage klingt zunächst einfach: Ein Betrieb mit weniger als 250 Beschäftigten müsse kein Verzeichnis von Verarbeitungstätigkeiten führen. Diese Lesart ist für die Beratung zu kurz. Artikel 30 Absatz 5 Datenschutz Grundverordnung enthält keine allgemeine Freistellung kleiner Unternehmen, sondern eine eng begrenzte Ausnahme mit mehreren Rückausnahmen.
Für die Mandantenakte zählt deshalb nicht eine bloße Größenangabe, sondern ein belegbarer Prüfweg: Welche Verarbeitungstätigkeiten finden tatsächlich statt, wie regelmäßig erfolgen sie, welche Datenarten sind betroffen und warum gilt die Pflicht oder die Ausnahme? Auch der Autor dieses Beitrags empfiehlt, diese Entscheidung an den realen Abläufen auszurichten, nicht an einer einmal übernommenen Word Vorlage.
Artikel 30 DSGVO richtet sich an Verantwortliche und Auftragsverarbeiter
Artikel 30 Datenschutz Grundverordnung verpflichtet sowohl Verantwortliche als auch Auftragsverarbeiter zur Führung eines Verzeichnisses. Verantwortlicher ist nach Artikel 4 Nummer 7 Datenschutz Grundverordnung, wer über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Auftragsverarbeiter verarbeitet Daten im Auftrag eines Verantwortlichen, Artikel 4 Nummer 8 Datenschutz Grundverordnung.
Eine Arztpraxis, Steuerkanzlei oder ein Handwerksbetrieb führt regelmäßig ein Verzeichnis nach Artikel 30 Absatz 1 Datenschutz Grundverordnung für die eigenen Verarbeitungstätigkeiten. Ein IT Dienstleister, der Kundendaten ausschließlich weisungsgebunden verarbeitet, benötigt zusätzlich oder stattdessen sein Verzeichnis nach Artikel 30 Absatz 2 Datenschutz Grundverordnung. Die Rollen sind für einzelne Tätigkeiten konkret zu prüfen.
Angaben im Verzeichnis des Verantwortlichen
Das Verzeichnis des Verantwortlichen muss insbesondere Namen und Kontaktdaten des Verantwortlichen, gegebenenfalls gemeinsam Verantwortlicher, des Vertreters und des Datenschutzbeauftragten enthalten. Hinzu kommen die Zwecke der Verarbeitung, Kategorien betroffener Personen und personenbezogener Daten sowie Kategorien von Empfängern.
Zu dokumentieren sind ferner Übermittlungen in Drittländer oder an internationale Organisationen, gegebenenfalls die geeigneten Garantien, soweit möglich vorgesehene Fristen für die Löschung der Datenkategorien sowie eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Artikel 32 Absatz 1 Datenschutz Grundverordnung. Ein Verzeichnis ist damit kein bloßes Verfahrensregister. Es verknüpft Rechtsgrundlage, Datenfluss, Empfänger, Löschung und Sicherheit zumindest auf der erforderlichen Überblicksebene.
Abweichende Angaben beim Auftragsverarbeiter
Der Auftragsverarbeiter dokumentiert nach Artikel 30 Absatz 2 Datenschutz Grundverordnung statt eigener Zwecke die Kategorien der im Auftrag jedes Verantwortlichen durchgeführten Verarbeitung. Er nennt außerdem seine Kontaktdaten, die Kontaktdaten jedes Verantwortlichen, gegebenenfalls deren Vertreter und Datenschutzbeauftragte, Drittlandübermittlungen samt Garantien sowie eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen.
Das Verzeichnis ist nach Artikel 30 Absatz 3 Datenschutz Grundverordnung schriftlich zu führen, was auch ein elektronisches Format einschließt. Entscheidend ist nicht, ob die Datei Word, Excel oder eine Anwendung ist. Sie muss vollständig, nachvollziehbar und bei Änderungen fortschreibbar sein. Die Folgen eines veralteten Bestands zeigt der Beitrag Acht VVT Fehler, ihre Folgen und passende Gegenmaßnahmen anhand typischer Dokumentationslücken.
Die Grenze von 250 Beschäftigten ist keine pauschale Befreiung
Artikel 30 Absatz 5 Datenschutz Grundverordnung enthält die oft zitierte Schwelle: Unternehmen oder Einrichtungen mit weniger als 250 Beschäftigten können sich auf die Ausnahme berufen. Das gilt aber nur, soweit die von ihnen vorgenommene Verarbeitung voraussichtlich kein Risiko für die Rechte und Freiheiten betroffener Personen birgt, nur gelegentlich erfolgt und keine besonderen Datenkategorien nach Artikel 9 Absatz 1 oder Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 10 betroffen sind.
Die Vorschrift beschreibt damit keine Befreiung für den Betrieb als Ganzes. Sie knüpft an die jeweilige Verarbeitung an. Wer lediglich die Beschäftigtenzahl festhält und daraus das Fehlen einer Verzeichnispflicht ableitet, lässt die gesetzlichen Voraussetzungen ungeprüft.
Beschäftigtenzahl sauber einordnen
Die Datenschutz Grundverordnung definiert in Artikel 30 Absatz 5 nicht näher, wie Beschäftigte für diese Schwelle zu zählen sind. Bei atypischen Beschäftigungsformen oder verbundenen Unternehmen sollte die Mandantenakte daher nicht mit einer scheinbar sicheren Rechenmethode arbeiten, wenn diese im Einzelfall zweifelhaft ist. Häufig entscheidet die Frage ohnehin nicht, weil mindestens eine Rückausnahme klar erfüllt ist.
Für die Praxis ist eine zweistufige Prüfung belastbar: Zuerst wird die Beschäftigtenzahl als möglicher Ausgangspunkt dokumentiert. Danach wird für jede reale Tätigkeit geprüft, ob sie regelmäßig stattfindet, ob sie besondere Kategorien oder Daten nach Artikel 10 Datenschutz Grundverordnung umfasst oder ob ein Risiko für Betroffene wahrscheinlich ist. Bereits ein positiver Befund verhindert für diese Verarbeitung die Berufung auf die Ausnahme.
Schon ein Risiko kann die Ausnahme ausschließen
Die Ausnahme nach Artikel 30 Absatz 5 Datenschutz Grundverordnung scheitert nicht erst bei einem hohen Risiko. Der Wortlaut verlangt, dass die Verarbeitung voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Eine Datenschutz Folgenabschätzung nach Artikel 35 Datenschutz Grundverordnung ist hierfür nicht Voraussetzung. Die Maßstäbe dürfen nicht verwechselt werden.
Das Risiko ist anhand der konkreten Daten, des Zwecks, des Umfangs, der Empfänger, der Zugriffsmöglichkeiten und möglicher Folgen eines Verlusts oder einer unbefugten Offenlegung zu bewerten. Eine pauschale Aussage, gewöhnliche Kundendaten seien stets risikolos, ist nicht belegbar. Ebenso genügt eine abstrakte Risikobehauptung ohne Bezug zur Tätigkeit nicht.
Nicht nur gelegentlich ist im Betriebsalltag häufig erfüllt
Nicht nur gelegentlich verarbeitet ein Betrieb Daten, wenn die Tätigkeit Teil eines wiederkehrenden, organisierten oder dauerhaften Ablaufs ist. Terminverwaltung, Patientenverwaltung, Lohnabrechnung, laufende Kundenkommunikation, Angebotsbearbeitung und Buchhaltung sind typische wiederkehrende Vorgänge. Dass pro Vorgang nur wenige Daten verarbeitet werden, macht die Verarbeitung nicht gelegentlich.
Die dritte Rückausnahme betrifft besondere Kategorien personenbezogener Daten nach Artikel 9 Absatz 1 Datenschutz Grundverordnung sowie Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 10 Datenschutz Grundverordnung. Zu den besonderen Kategorien zählen unter anderem Gesundheitsdaten, Daten zur religiösen oder weltanschaulichen Überzeugung, biometrische Daten zur eindeutigen Identifizierung und genetische Daten. Sobald solche Daten im Rahmen einer Tätigkeit verarbeitet werden, trägt die Ausnahme nicht.
- Erfassen Sie jede Tätigkeit mit Zweck, betroffenen Personengruppen, Datenkategorien und eingesetzten Systemen.
- Bewerten Sie für jede Tätigkeit gesondert Regelmäßigkeit, Risiko und besondere Datenkategorien.
- Halten Sie die Tatsachen fest, auf denen die Bewertung beruht, etwa Patientenverwaltung, Lohnsystem oder Fernwartungszugriff.
- Aktualisieren Sie die Entscheidung, wenn neue Software, Dienstleister, Schnittstellen oder Datenarten hinzukommen.
Arztpraxen und Kanzleien verarbeiten regelmäßig besonders schutzwürdige Daten
Arztpraxen und Zahnarztpraxen verarbeiten Gesundheitsdaten. Artikel 4 Nummer 15 Datenschutz Grundverordnung definiert Gesundheitsdaten als personenbezogene Daten, die sich auf die körperliche oder geistige Gesundheit einer natürlichen Person beziehen und aus denen Informationen über deren Gesundheitszustand hervorgehen. Sie gehören zu den besonderen Kategorien nach Artikel 9 Absatz 1 Datenschutz Grundverordnung.
Patientenakte, Terminverwaltung, Behandlungsdokumentation, Abrechnung, Laborkommunikation und Erinnerungsfunktionen sind zudem regelmäßig angelegte Abläufe. Für Praxen mit weniger als 250 Beschäftigten ist die Ausnahme aus Artikel 30 Absatz 5 Datenschutz Grundverordnung daher im Regelfall keine tragfähige Grundlage, um auf ein Verzeichnis zu verzichten. Welche Einträge im Einzelnen erforderlich sind, hängt von der konkreten Praxisorganisation ab.
Steuerkanzleien und Handwerksbetriebe nicht vorschnell ausnehmen
Steuerkanzleien verarbeiten fortlaufend Mandanten, Beschäftigten und Finanzdaten. Je nach Mandat können Unterlagen außerdem Angaben enthalten, die besondere Kategorien personenbezogener Daten erkennen lassen, etwa Informationen zu Gesundheit oder religiöser Zugehörigkeit. Unabhängig davon ist die regelmäßige Bearbeitung von Mandantenakten ein wesentlicher Prüfpunkt gegen die Ausnahme.
Handwerksbetriebe verarbeiten oft Namen, Anschriften, Kontaktdaten, Objektangaben, Termin und Auftragsdaten sowie Beschäftigtendaten. Die laufende Angebots, Auftrags und Rechnungsbearbeitung ist regelmäßig und damit nicht nur gelegentlich. Kommen beispielsweise Zugangsdaten, Fotos aus Wohnbereichen, Daten zu Pflege oder Behinderung oder eine digitale Zeiterfassung hinzu, muss die Risikobewertung besonders konkret erfolgen.
Auch die Liste der eingesetzten Auftragsverarbeiter muss zum Verzeichnis passen. Wechselt etwa ein Cloud Dienst, ein Lohnbüro oder ein Terminbuchungssystem, betrifft dies Empfänger, Datenflüsse und technische Maßnahmen. Der Leitfaden Neuen Auftragsverarbeiter im Verzeichnis richtig nachziehen beschreibt, welche Angaben dabei abgestimmt werden sollten.
Das Verzeichnis ist ein Nachweis der Rechenschaftspflicht
Artikel 5 Absatz 2 Datenschutz Grundverordnung verpflichtet den Verantwortlichen, die Einhaltung der Grundsätze aus Artikel 5 Absatz 1 nachweisen zu können. Diese Rechenschaftspflicht macht das Verzeichnis zu einem Beweismittel der Datenschutzorganisation. Es zeigt nicht automatisch, dass jede Verarbeitung rechtmäßig ist, aber ohne aktuelle Bestandsaufnahme ist ein belastbarer Nachweis regelmäßig kaum möglich.
Artikel 30 Absatz 4 Datenschutz Grundverordnung verpflichtet Verantwortliche oder Auftragsverarbeiter sowie gegebenenfalls ihre Vertreter, das Verzeichnis der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen. Gefragt ist dann der aktuelle Stand. Eine alte Word Datei, die frühere Software, nicht mehr bestehende Dienstleister oder überholte Löschfristen enthält, dokumentiert vor allem eine fehlende Pflege.
Abgleich statt isolierter Dokumente
Das Verzeichnis sollte mit Verträgen zur Auftragsverarbeitung, der Empfängerliste, dem Löschkonzept, den technischen und organisatorischen Maßnahmen und gegebenenfalls Datenschutz Folgenabschätzungen abgeglichen werden. Widersprüche sind ein konkretes Prüfsignal: Ein Dienstleister im Vertrag, aber nicht im Verzeichnis, oder eine Löschfrist ohne Auslöser, machen die Dokumentation angreifbar.
Für die Löschung genügt es nicht, in jeder Tätigkeit pauschal „nach Zweckfortfall“ einzutragen. Artikel 30 Absatz 1 Buchstabe f Datenschutz Grundverordnung verlangt, soweit möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien. Wie Fristen, Auslöser und Nachweise zusammenspielen, erläutert Löschkonzept verstehen: Fristen, Auslöser und Nachweise.
Eine dokumentierte Pflichtentscheidung gehört zur Mandantenakte
Externe Datenschutzbeauftragte sollten nicht nur ein Verzeichnis ablegen, sondern auch die Entscheidung über dessen Pflicht nachvollziehbar dokumentieren. In die Mandantenakte gehören der Prüfzeitpunkt, die zugrunde gelegte Beschäftigtenangabe, die festgestellten Verarbeitungstätigkeiten und die Begründung zu Regelmäßigkeit, Risiko sowie Daten nach Artikel 9 oder Artikel 10 Datenschutz Grundverordnung.
Hilfreich ist eine kurze Prüfnotiz je Mandant: Wer ist Verantwortlicher oder Auftragsverarbeiter, welche Tätigkeiten wurden erhoben, welche Ausnahmevoraussetzungen wurden geprüft und welches Ergebnis folgt daraus? Werden Tätigkeiten später ergänzt oder verändert, ist auch die Pflichtentscheidung erneut zu prüfen. So bleibt erkennbar, dass die Einschätzung auf dem damaligen Sachstand beruhte und nicht nur aus einer Vorlage übernommen wurde.
Die Pflege braucht einen festen Anlass, etwa die Einführung einer neuen Fachanwendung, den Wechsel eines Cloud Dienstes, eine neue Schnittstelle, eine Erweiterung des Leistungsangebots oder veränderte Aufbewahrungsfristen. Das Verzeichnis, die Auftragsverarbeiterübersicht und das Löschkonzept sollten dann gemeinsam geprüft werden. Eine Zuständigkeit und ein dokumentierter Prüfvermerk machen diesen Ablauf gegenüber Mandant und Aufsichtsbehörde belegbar.
Für die praktische Umsetzung können Sie Verarbeitungsbuch für ein gepflegtes Verzeichnis mit technischen Maßnahmen und Löschfristen nutzen. Es führt Verzeichnis von Verarbeitungstätigkeiten, technische und organisatorische Maßnahmen sowie Löschfristen in einem gepflegten Dokument zusammen, das bei einer Anfrage der Aufsichtsbehörde vorgelegt werden kann. Wenn Sie eine Vorführung oder frühen Zugang wünschen, wenden Sie sich über das Kontaktformular an das Team.
