Diese DSGVO-Dokumente gehören in eine vollständige Mandantenakte

Eine vollständige DSGVO Mandantenakte ist keine Sammlung möglichst vieler Vorlagen. Sie ist eine nachvollziehbare Beweiskette: Jede Verarbeitungstätigkeit im Verzeichnis muss zu den eingesetzten Dienstleistern, den Schutzmaßnahmen, den Löschregeln und den tatsächlichen Abläufen passen. Für kleine Verantwortliche genügt es nicht, eine Word-Datei einmal zu erstellen und danach nur bei einer Anfrage hervorzuholen.

Prüffähig wird die Akte, wenn sie je Verarbeitungstätigkeit erkennen lässt, wer entschieden hat, welche Fassung gilt, wo der Nachweis liegt und wann er geprüft wurde. Das erleichtert externen Datenschutzbeauftragten die Betreuung mehrerer Mandanten ebenso wie Praxen, Kanzleien und Betrieben die Auskunft gegenüber der Aufsicht. Fachliche Hinweise dieses Beitrags verantwortet der Autor des Verarbeitungsbuch Magazins.

Das Verzeichnis enthält die Pflichtangaben aus Artikel 30 DSGVO

Das Verzeichnis von Verarbeitungstätigkeiten, kurz VVT, ist der Ausgangspunkt der Akte. Artikel 30 Absatz 1 Datenschutz Grundverordnung, DSGVO, verlangt für Verantwortliche insbesondere Name und Kontaktdaten des Verantwortlichen sowie gegebenenfalls gemeinsamer Verantwortlicher, der Vertretung und des Datenschutzbeauftragten. Hinzu kommen die Zwecke der Verarbeitung.

Für jede Tätigkeit sind außerdem die Kategorien betroffener Personen und personenbezogener Daten, Empfängerkategorien, Übermittlungen in Drittländer einschließlich der Dokumentation geeigneter Garantien nach Artikel 49 Absatz 1 Unterabsatz 2 DSGVO, vorgesehene Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen aufzunehmen. Die Angaben müssen die reale Verarbeitung beschreiben, nicht eine allgemeine Datenschutzabsicht.

Eine Tätigkeit braucht belastbare Bezüge

Eine VVT Vorlage sollte deshalb eine eindeutige Kennung der Tätigkeit enthalten, etwa Patientenverwaltung, Lohnabrechnung oder Bewerberverwaltung. An dieser Kennung hängen die einschlägigen AV Verträge, die Dienstleisterliste, die TOM Dokumentation, die Löschregel und gegebenenfalls Vorfälle. Ändert sich eine Software, ein Empfänger oder ein Zweck, ist nicht nur die Dienstleisterliste zu prüfen, sondern auch der betroffene VVT Eintrag.

Bei kleinen Betrieben ist besonders wichtig, die Ausnahme des Artikel 30 Absatz 5 DSGVO nicht vorschnell anzunehmen. Sie greift nur unter ihren Voraussetzungen und entfällt unter anderem bei nicht nur gelegentlicher Verarbeitung oder bei bestimmten Risikokonstellationen. Die Voraussetzungen erläutert der Beitrag Artikel 30 DSGVO: Wann kleine Betriebe ein Verzeichnis führen.

Die TOM-Beschreibung belegt die Maßnahmen nach Artikel 32 DSGVO

Die allgemeine TOM Beschreibung im VVT ersetzt keine belastbare TOM Dokumentation. Artikel 32 Absatz 1 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, unter Berücksichtigung von Stand der Technik, Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos geeignete technische und organisatorische Maßnahmen zu treffen.

Dokumentiert werden muss nicht jede technische Einstellung in voller Detailtiefe. Die Akte soll jedoch zeigen, welche Maßnahmen tatsächlich bestehen, wer sie umsetzt und auf welchen Verarbeitungskontext sie sich beziehen. Reine Schlagworte wie „Passwortschutz vorhanden“ liefern keinen tragfähigen Nachweis.

Die Schutzziele konkret zuordnen

• Vertraulichkeit: Berechtigungen, Rollen, Authentisierung, Verschlüsselung, Zutrittskontrolle und Regeln für mobile Arbeitsplätze.
• Integrität: nachvollziehbare Eingaben, Rechte zur Änderung, Freigaben, Protokollierung und Schutz vor unbefugter Veränderung.
• Verfügbarkeit und Belastbarkeit: Sicherungen, Redundanzen soweit erforderlich, Notfallabläufe und der Umgang mit Systemausfällen.
• Wiederherstellung: Verfahren und Verantwortlichkeiten, um Verfügbarkeit und Zugang zu Daten nach einem physischen oder technischen Zwischenfall zeitnah wiederherzustellen.
• Regelmäßige Überprüfung: ein Verfahren zur Bewertung und Evaluierung der Wirksamkeit der Maßnahmen nach Artikel 32 Absatz 1 Buchstabe d DSGVO.

Zur TOM Akte gehören daher beispielsweise Berechtigungskonzepte, Backup Regelungen, Nachweise über Wiederherstellungstests, Regelungen zur Entsorgung und dokumentierte Prüfungen. Sensible Details, etwa konkrete Zugangsdaten oder sicherheitskritische Netzpläne, gehören nicht in ein allgemein zugängliches VVT. Der Ablageort kann im TOM Dokument benannt werden.

Auftragsverarbeitungsverträge und Dienstleisterliste erfüllen verschiedene Aufgaben

Ein Auftragsverarbeitungsvertrag, AV Vertrag, ist erforderlich, wenn ein Dienstleister personenbezogene Daten im Auftrag verarbeitet und die Voraussetzungen des Artikel 28 DSGVO erfüllt sind. Artikel 28 Absatz 3 DSGVO fordert einen Vertrag oder ein anderes Rechtsinstrument, das den Auftragsverarbeiter bindet. Er regelt insbesondere Gegenstand und Dauer, Art und Zweck, Datenarten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen.

Der Vertrag muss unter anderem Weisungsbindung, Vertraulichkeit, geeignete Maßnahmen nach Artikel 32 DSGVO, Regeln für weitere Auftragsverarbeiter, Unterstützung bei Betroffenenrechten und Datenschutzverletzungen, Rückgabe oder Löschung nach Abschluss der Leistungen sowie Kontroll und Informationspflichten abdecken. Ob ein konkreter Vertrag ausreichend ist, ergibt sich aus seinem Wortlaut und dem tatsächlichen Leistungsmodell.

Die Liste ist das Steuerungsinstrument

Die Dienstleisterliste ergänzt den Vertrag. Sie sollte pro Auftragsverarbeiter den Namen, die Leistung, die zugeordnete Verarbeitungstätigkeit, Vertragsstatus, Vertragsdatum, gegebenenfalls genehmigte Unterauftragsverarbeiter, Datenstandort und Prüfbedarf aufführen. So wird sichtbar, wenn eine neue Cloud Anwendung bereits genutzt wird, aber noch kein Vertrag vorliegt oder der VVT Eintrag fehlt.

Nicht jeder Empfänger ist Auftragsverarbeiter. Eigenständig Verantwortliche, etwa bestimmte Berufsgeheimnisträger, Sozialversicherungsträger oder Banken, sind nach der konkreten Verarbeitung einzuordnen. Die Arbeitsschritte beim Ergänzen eines Dienstleisters beschreibt Neuen Auftragsverarbeiter im Verzeichnis richtig nachziehen.

Ein Löschkonzept verbindet Speicherzweck und Löschregel

Ein Löschkonzept übersetzt den Grundsatz der Speicherbegrenzung aus Artikel 5 Absatz 1 Buchstabe e DSGVO in ausführbare Regeln. Es beantwortet nicht nur, nach welcher Frist Daten verschwinden sollen. Es zeigt auch, welche Daten gemeint sind, weshalb sie gespeichert werden und welches Ereignis die Löschung oder Prüfung auslöst.

Bestandteile einer Löschregel

Für jede Regel sollten mindestens Zweck, Datenkategorie, zugehörige Verarbeitungstätigkeit, Auslöser, Frist oder Prüflogik, zuständige Rolle und dokumentierte Umsetzung festgehalten werden. Ein Auslöser kann beispielsweise die Beendigung eines Behandlungsverhältnisses, der Abschluss eines Vorgangs, das Ende einer gesetzlichen Bindung oder der Ablauf einer Einwilligung sein. Die Formulierung „bei Bedarf löschen“ ist weder steuerbar noch nachweisbar.

Rechtsgrundlagen außerhalb der DSGVO können längere Aufbewahrung verlangen, etwa berufsrechtliche, steuerrechtliche oder handelsrechtliche Vorschriften. Für Arzt und Zahnarztpraxen können berufsrechtliche Vorgaben je nach Bundesland unterschiedlich sein. Die DSGVO Löschregel muss solche Pflichten berücksichtigen und zugleich markieren, welche Daten nach Ende der Pflicht zu löschen oder zu prüfen sind.

Zur Umsetzung gehören Zuständigkeiten, Terminierung, Protokolle oder andere Nachweise, dass Regeln angewendet wurden. Eine Einordnung von Löschkonzept, Fristen, Auslösern und Nachweisen hilft, die Regel nicht mit einer bloßen Fristenliste zu verwechseln.

Datenschutzverletzungen werden nach Artikel 33 Absatz 5 DSGVO dokumentiert

Artikel 33 Absatz 5 DSGVO verpflichtet den Verantwortlichen, Verletzungen des Schutzes personenbezogener Daten zu dokumentieren. Die Pflicht besteht unabhängig davon, ob eine Meldung an die Aufsichtsbehörde erforderlich war. Die Dokumentation muss der Aufsichtsbehörde ermöglichen, die Einhaltung von Artikel 33 DSGVO zu überprüfen.

In die Vorfallsakte gehören die Umstände der Verletzung, einschließlich soweit möglich der Kategorien und ungefähren Zahl betroffener Personen sowie Datensätze, die wahrscheinlichen Auswirkungen und die ergriffenen Abhilfemaßnahmen. Soweit Informationen zunächst fehlen, ist der Ermittlungstand nachvollziehbar festzuhalten und später zu ergänzen.

Praktisch bewährt sich ein Vorfallsregister mit einer Verknüpfung zur betroffenen Verarbeitungstätigkeit, zum Dienstleister und zu den einschlägigen TOM. So lässt sich erkennen, ob ein Vorfall eine Änderung der Risikobewertung, der Maßnahmen oder der Weisungen an einen Auftragsverarbeiter auslöst. Die rechtliche Bewertung einer möglichen Meldung und Benachrichtigung bleibt als Entscheidung mit Begründung in der Akte.

Die DSGVO nennt keine einheitliche Aufbewahrungsfrist für alle Nachweise

Für VVT, TOM Dokumentation, AV Verträge, Löschprotokolle und Vorfallsdokumentationen enthält die DSGVO keine einheitliche pauschale Aufbewahrungsfrist. Wer eine einzige Frist für die gesamte DSGVO Mandantenakte vorgibt, vermischt unterschiedliche Zwecke und Rechtsgrundlagen. Maßgeblich ist zunächst, dass Verzeichnis und Nachweise während der laufenden Verarbeitung aktuell und verfügbar bleiben.

Aufbewahrung als begründete Entscheidung

Für einzelne Unterlagen können besondere gesetzliche Aufbewahrungspflichten gelten. Das betrifft etwa Geschäftsunterlagen nach Handels und Steuerrecht, berufsrechtliche Dokumentationen oder vertragliche Nachweise. Welche Vorgabe greift, hängt vom Dokument, der Rolle des Verantwortlichen, dem Inhalt und teilweise vom Bundesland ab.

Besteht keine spezielle Frist, sollte der Verantwortliche den Zweck der weiteren Aufbewahrung, die Interessenabwägung oder Rechtsgrundlage, den Zugriff und den vorgesehenen Prüfzeitpunkt dokumentieren. Alte Fassungen müssen nicht unkontrolliert neben der aktuellen Fassung liegen. Eine Versionshistorie mit Freigabedatum und einer nachvollziehbaren Archivierungsentscheidung trennt gültige Regeln von historischen Nachweisen.

Eine Dokumentenliste verhindert blinde Flecken

Die Dokumentenliste ist das Inhaltsverzeichnis und zugleich der Wartungsplan der Mandantenakte. Sie sollte nicht nur Dateien aufzählen, sondern die Beweisbeziehung abbilden. Ein externer Datenschutzbeauftragter kann damit offene Punkte erkennen, ohne jede Unterlage vollständig neu zu lesen.

Die Liste sollte bei jeder Änderung eines Systems, eines Dienstleisters, eines Zwecks oder einer Löschregel aktualisiert werden. Sie ersetzt keine Prüfung des Inhalts, verhindert aber, dass eine neue Anwendung nur in der IT Liste erscheint und nicht im Datenschutzbestand. Besonders bei Word geführten Verzeichnissen schafft eine eindeutige Kennung die nötige Verbindung zwischen getrennten Dateien.

Die Mandantenakte als vorführbarer Nachweis

Eine vollständige Akte besteht nicht aus voneinander losgelösten Mustern. Das VVT benennt die Verarbeitung, die TOM Dokumentation belegt Schutzmaßnahmen, AV Verträge und Dienstleisterliste erklären externe Verarbeitung, das Löschkonzept steuert das Ende der Speicherung, und das Vorfallsregister hält Ereignisse sowie Reaktionen fest. Die Dokumentenliste macht Zustand, Verantwortlichkeit und Prüfbedarf sichtbar.

Für eine Vorführung oder frühen Zugang können Sie das Kontaktformular nutzen. Das Verarbeitungsbuch für ein gepflegtes Verzeichnis, TOM und Löschfristen in einem vorzeigbaren Dokument verbindet diese Nachweise mit den jeweiligen Verarbeitungstätigkeiten, damit sie bei einer Anfrage der Aufsichtsbehörde ohne Dateisuche bereitstehen.