Es ist eine Übersicht darüber, welche personenbezogenen Daten Sie zu welchem Zweck verarbeiten, auf welcher Rechtsgrundlage, wie lange und wer sie bekommt. Art. 30 DSGVO verlangt es. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten (Art. 30 Abs. 5) hilft in der Praxis fast niemandem: Sie entfällt, sobald die Verarbeitung nicht bloß gelegentlich erfolgt — und Personalverwaltung, Buchhaltung und Kundenpflege erfolgen in jedem Betrieb laufend.
Das Verzeichnis ist das wichtigste Dokument, das Sie haben, und zwar nicht wegen der Pflicht, sondern wegen der Wirkung: Es ist die einzige Stelle, an der steht, wo im Haus welche Daten liegen. Ohne es können Sie kein Auskunftsersuchen beantworten, kein Löschverlangen umsetzen und bei einer Datenpanne nicht beurteilen, was betroffen war. Alle anderen Pflichten hängen daran.
Für einen typischen Mittelständler sind das zehn bis zwanzig Einträge, nicht hundert: Bewerbungen, Personalverwaltung, Lohnabrechnung, Zeiterfassung, Kundenverwaltung, Angebote und Aufträge, Rechnungswesen, Lieferanten, Website und Kontaktformular, Newsletter, Telefonanlage, Videoüberwachung, Besucherbuch. Jeder Eintrag passt auf eine halbe Seite.
Der häufigste Mangel ist das Alter. Ein Verzeichnis von 2018, in dem die Systeme der letzten sieben Jahre fehlen, ist in einer Prüfung schlechter als ein knappes aktuelles — es belegt, dass es einmal angelegt und dann vergessen wurde. Nehmen Sie es einmal im Jahr zur Hand, zusammen mit der Auffrischungsschulung.
Fundstelle: Art. 30 Abs. 1, Art. 30 Abs. 5 DSGVO