Zwei Papiere,
nach denen zuerst gefragt wird.
Wenn eine Aufsichtsbehörde sich meldet, fragt sie nach zwei Dingen: dem Verzeichnis der Verarbeitungstätigkeiten und den Verträgen mit den Dienstleistern. Beides ist in einem kleinen Betrieb an einem Nachmittag erstellt — und fehlt trotzdem fast überall.
Wann ein AV-Vertrag nötig ist
Immer dann, wenn ein Dienstleister personenbezogene Daten in Deinem Auftrag verarbeitet, ohne selbst über Zweck und Mittel zu entscheiden. Das regelt Art. 28 DSGVO.
- Typische Fälle: Hoster, Cloud-Speicher, Newsletter-Dienst, Kundenverwaltung, Buchhaltungssoftware, Terminbuchung, Backup-Anbieter, Telefonservice.
- Kein Auftragsverarbeiter: Steuerberatung, Rechtsanwalt und Bank — die entscheiden selbst über Zweck und Mittel und sind eigene Verantwortliche.
- Auch nicht: Wenn ein Dienstleister Daten für eigene Zwecke nutzt. Dann liegt entweder gemeinsame Verantwortlichkeit oder eine eigene Verantwortung vor.
- Der Vertrag muss vor Beginn der Verarbeitung geschlossen sein, nicht danach.
Was hineingehört
- Gegenstand und Dauer der Verarbeitung.
- Art und Zweck, Art der Daten, Kategorien betroffener Personen.
- Weisungsbindung: Der Dienstleister verarbeitet nur nach Deinen Anweisungen.
- Vertraulichkeit der eingesetzten Personen.
- Technische und organisatorische Maßnahmen — meist als Anlage.
- Unterauftragnehmer: wer eingesetzt werden darf und wie Du davon erfährst.
- Unterstützung bei Betroffenenanfragen und Datenpannen.
- Löschung oder Rückgabe nach Ende des Auftrags.
- Nachweise und Kontrollrechte.
- Bei Verarbeitung außerhalb der EU zusätzlich die Grundlage für den Transfer.
Das Verarbeitungsverzeichnis
Nach Art. 30 DSGVO müssen Verantwortliche ein Verzeichnis führen. Die Ausnahme für Unternehmen unter 250 Beschäftigten greift praktisch nie, weil sie nur gilt, wenn die Verarbeitung gelegentlich ist und kein Risiko besteht — bei laufender Kunden- und Personalverwaltung ist beides nicht der Fall.
- Je Verarbeitungstätigkeit eine Zeile: Kundenverwaltung, Angebote und Rechnungen, Personalverwaltung, Bewerbungen, Website und Kontaktformular, Newsletter, Videoüberwachung.
- Zu jeder: Zweck, Rechtsgrundlage, Kategorien betroffener Personen, Kategorien von Daten, Empfänger, Drittlandtransfer, Löschfrist, Schutzmaßnahmen.
- Eine Tabelle genügt. Für einen Handwerksbetrieb sind das sechs bis zehn Zeilen auf zwei Seiten.
- Einmal im Jahr durchgehen und bei jedem neuen Werkzeug ergänzen. Der Punkt, an dem es meistens veraltet.
Löschfristen
Die Frage, an der die meisten Verzeichnisse hängen bleiben: Wie lange darf was bleiben? Eine allgemeine Antwort gibt es nicht, aber eine brauchbare Regel.
- Steuer- und handelsrechtliche Aufbewahrungspflichten gehen vor — was aufbewahrt werden muss, wird nicht gelöscht.
- Was keiner Pflicht unterliegt, wird gelöscht, sobald der Zweck entfällt. Anfragen, aus denen nichts wurde, brauchen keine fünf Jahre.
- Bewerbungsunterlagen von Abgelehnten werden nach einer kurzen Frist gelöscht.
- Für jede Zeile im Verzeichnis eine Frist eintragen — auch wenn sie geschätzt ist. Eine begründete Frist ist besser als keine.
Dieser Beitrag ordnet ein und ersetzt keine Rechtsberatung. Bei besonderen Datenkategorien — etwa Gesundheitsdaten in einer Praxis — gehört die Sache in fachkundige Hände.