Datenschutzprozesse dokumentieren nach DSGVO

Das Verarbeitungsverzeichnis nach Art. 30 DSGVO muss folgende Pflichtangaben enthalten: Name und Kontaktdaten des Verantwortlichen, Zweck der jeweiligen Datenverarbeitung, Kategorien betroffener Personen und personenbezogener Daten, Empfänger der Daten, Übermittlungen in Drittländer, vorgesehene Löschfristen sowie eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOM). Das Verzeichnis muss schriftlich geführt werden, wobei ein elektronisches Format zulässig ist. Es ist der Aufsichtsbehörde auf Anfrage vollständig zur Verfügung zu stellen.

Grundsätzlich ist jedes Unternehmen und jede öffentliche Stelle zur Führung eines Verarbeitungsverzeichnisses verpflichtet. Die Ausnahme nach Art. 30 Abs. 5 DSGVO für Unternehmen mit weniger als 250 Mitarbeitern greift in der Praxis fast nie, da sie nur gilt, wenn die Verarbeitung kein Risiko für Betroffene birgt, nur gelegentlich erfolgt und keine besonderen Datenkategorien betrifft. Da nahezu jedes Unternehmen regelmäßig Mitarbeiterdaten verarbeitet, besteht die Dokumentationspflicht faktisch immer.

Neben dem Verarbeitungsverzeichnis nach Art. 30 DSGVO bestehen weitere Dokumentationspflichten: Datenschutz-Folgenabschätzungen (DSFA) nach Art. 35 DSGVO für risikoreiche Verarbeitungen, Dokumentation technischer und organisatorischer Maßnahmen (TOM) nach Art. 32 DSGVO, Auftragsverarbeitungsverträge nach Art. 28 DSGVO, Dokumentation von Datenpannen nach Art. 33 DSGVO, Nachweis der Einwilligungen nach Art. 7 DSGVO sowie Dokumentation der Betroffenenrechte-Prozesse. Alle Nachweise dienen der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

Die Erstellung eines Verarbeitungsverzeichnisses erfolgt in diesen Schritten: Zunächst alle Abteilungen und Geschäftsprozesse erfassen, in denen personenbezogene Daten verarbeitet werden. Dann für jeden Prozess die Pflichtangaben nach Art. 30 DSGVO zusammenstellen: Verarbeitungszweck, Datenkategorien, Betroffenenkategorien, Empfänger, Löschfristen und TOM. Die Informationen strukturiert in einem Template dokumentieren. Abschließend das Verzeichnis von den Fachabteilungen prüfen lassen und einen regelmäßigen Aktualisierungsprozess etablieren.

Die DSGVO schreibt keine feste Aktualisierungsfrist vor, verlangt aber, dass das Verarbeitungsverzeichnis den aktuellen Stand der Datenverarbeitungen widerspiegelt. In der Praxis empfehlen Aufsichtsbehörden eine Überprüfung mindestens einmal jährlich sowie anlassbezogen bei neuen Verarbeitungstätigkeiten, Änderungen an bestehenden Prozessen, Einführung neuer Software oder Dienstleister und organisatorischen Umstrukturierungen. Ein fester Reviewprozess mit Verantwortlichkeiten stellt die Aktualität sicher.

Fehlende oder unvollständige Dokumentation kann nach Art. 83 Abs. 4 DSGVO mit Bußgeldern bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. Dies betrifft insbesondere das fehlende Verarbeitungsverzeichnis, unzureichende TOM-Dokumentation und mangelnde Nachweise der Rechenschaftspflicht. Aufsichtsbehörden prüfen die Dokumentation regelmäßig bei Beschwerden, Datenpannen-Meldungen und anlasslosen Kontrollen. Neben Bußgeldern drohen Anordnungen zur Einschränkung der Datenverarbeitung.

Die ADVISORI-Schulung zur Datenschutzprozesse-Dokumentation umfasst: Analyse bestehender Dokumentationsstrukturen und Identifikation von Lücken, Erstellung DSGVO-konformer Verarbeitungsverzeichnisse nach Art. 30, Dokumentation technischer und organisatorischer Maßnahmen, Aufbau von Vorlagen und Checklisten für die tägliche Arbeit, praktische Übungen anhand realer Szenarien sowie die Integration der Dokumentation in bestehende Compliance-Workflows. Teilnehmer erhalten fertige Templates, die sie direkt im Unternehmen einsetzen können.