Verzeichnis von Verarbeitungstätigkeiten

Das Verzeichnis von Verarbeitungstätigkeiten ist die nach Art. 30 DSGVO geführte Übersicht darüber, welche personenbezogenen Daten ein Betrieb verarbeitet. Zu jeder Tätigkeit werden Zweck, betroffene Personengruppen, Datenkategorien, Empfänger, Übermittlungen in Drittländer, geplante Löschfristen und die technischen sowie organisatorischen Maßnahmen festgehalten. Die Ausnahme für kleinere Unternehmen greift in der Praxis kaum, weil sie an Bedingungen geknüpft ist, die bei regelmäßiger Verarbeitung von Kunden- und Beschäftigtendaten in der Regel nicht erfüllt sind.

In einem Handwerks- oder Baubetrieb sind die Tätigkeiten schnell benannt: Kundenverwaltung und Auftragsabwicklung, Angebots- und Rechnungswesen, Zeiterfassung und Lohnabrechnung, Personalverwaltung und Bewerbungsverfahren, Baustellendokumentation mit Fotos, Kundenkommunikation über Telefon, E-Mail und Messenger sowie Marketing und Websitebetrieb. Jede dieser Tätigkeiten hat einen Zweck und mindestens ein System, in dem sie stattfindet.

Was das im Betrieb bedeutet

Mit dem Einsatz von KI kommen keine grundsätzlich neuen Pflichten hinzu, wohl aber neue Verarbeitungsorte. Ein Sprachmodell, in das Kundenkorrespondenz eingegeben wird, ein Transkriptionsdienst für Bautagebücher, eine Belegerkennung für Lieferscheine oder ein Telefonassistent, der Anrufe aufnimmt: Das sind Verarbeitungen, die in das Verzeichnis gehören, meist als Ergänzung bestehender Tätigkeiten und nicht als eigene Einträge.

Praktisch bewährt sich die Verbindung mit der Systemliste. Die Systemliste beantwortet die Frage, welche Werkzeuge im Einsatz sind, das Verzeichnis ordnet sie den Zwecken zu. Wer beide Übersichten nebeneinander pflegt, merkt sofort, wenn ein Werkzeug genutzt wird, für das keine Verarbeitungstätigkeit beschrieben ist. Genau diese Lücken fallen sonst erst bei einer Anfrage auf.

Zwei Angaben verdienen besondere Sorgfalt. Erstens die Empfänger und Auftragsverarbeiter, denn hier gehören die Anbieter der KI-Dienste hinein, verbunden mit dem Vertrag nach Art. 28 DSGVO. Zweitens die Übermittlung in Drittländer, die bei vielen Anbietern außerhalb der EU vorliegt und über Standardvertragsklauseln abgesichert wird.

Hilfreich ist außerdem der Blick auf Verarbeitungen mit höherem Risiko. Wo Beschäftigte umfangreich überwacht werden könnten oder wo automatisierte Auswertungen über Personen entstehen, kann eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich werden. Das Verzeichnis ist der Ort, an dem solche Fälle auffallen, weil dort Zweck, Datenkategorien und Systeme nebeneinander stehen.

Der Aufwand ist geringer, als der Name vermuten lässt. Für einen Elektriker mit dreißig Beschäftigten umfasst ein sauberes Verzeichnis meist acht bis zwölf Tätigkeiten und passt auf wenige Seiten. Entscheidend ist, es bei jeder Softwareeinführung anzupassen, statt es alle paar Jahre neu zu erstellen.