Die sechs Nachweise, nach denen zuerst gefragt wird
Verzeichnis der Verarbeitungstätigkeiten, Folgenabschätzung, Verträge mit Dienstleistern, Sicherheitsübersicht, Meldeweg und Datenschutzbeauftragter. Sechs Unterlagen — das ist der Ordner, nach dem im Ernstfall als Erstes gefragt wird.
Warum das wichtig ist
Das Verzeichnis nach Art. 30 passt zur Verwaltungs- und Betriebslogik besser, als sein Name vermuten lässt: je Tätigkeit ein Eintrag — Lohnabrechnung, Bewerbungen, Kundenverwaltung, Videoanlage, Newsletter. Der Irrtum, kleine Betriebe bräuchten keines, hält sich hartnäckig; die Ausnahme greift in der Praxis fast nie.
Bei der Folgenabschätzung trägt ein einziges Wort: vorab. Nach dem Start ist es keine Abschätzung mehr, sondern eine Rechtfertigung. Beurteilen müssen Sie das nicht selbst — die Frage stellen schon.
Beim Datenschutzbeauftragten gilt in Deutschland eine Zusatzschwelle: § 38 Abs. 1 S. 1 BDSG verlangt die Benennung ab „in der Regel mindestens 20 Personen", die ständig mit automatisierter Verarbeitung beschäftigt sind. Gezählt werden Personen, nicht Vollzeitstellen.
Was das Gesetz sagt
Art. 30 Abs. 1 S. 1 DSGVO
„Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen."
Art. 35 Abs. 1 S. 1 DSGVO
„Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch."
§ 38 Abs. 1 S. 1 BDSG
„Ergänzend zu Artikel 37 Absatz 1 Buchstabe b und c der Verordnung (EU) 2016/679 benennen der Verantwortliche und der Auftragsverarbeiter eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen."
So macht man es richtig
Das Verzeichnis mit einem Spaziergang anfangen, nicht mit einer Vorlage: jeden Arbeitsschritt durchgehen.
Eine Person benennen, die es pflegt — ein Verzeichnis ohne Zuständige ist nach einem Jahr Altpapier.
Vor jedem neuen Verfahren die Frage nach der Folgenabschätzung stellen.
Die 20-Personen-Schwelle an Personen zählen, nicht an Stellen — auch Teilzeit zählt mit.
Einmal im festen Abstand die Zugriffsrechte durchgehen: fast immer sind sie weiter als nötig.
Was bei Missachtung droht
Alle sechs Nachweise beruhen auf Vorschriften zwischen Art. 25 und Art. 39 und fallen damit nach Art. 83 Abs. 4 lit. a DSGVO in den Rahmen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.
