Bei einem kleinen Unternehmen mit einer überschaubaren Anzahl von Verarbeitungen — Personalverwaltung, Buchhaltung, eine Kundendatenbank, ein paar SaaS-Tools — ist die erste grobe Übersicht oft in wenigen Stunden zu erstellen. Die Durchlaufzeit bis zu einem Verzeichnis, das wirklich vollständig und nutzbar ist, liegt in der Praxis höher: rechnen Sie mit einigen Tagen Arbeit, verteilt über zwei bis vier Wochen. Diese Verteilung kommt nicht daher, dass das Ausfüllen selbst lange dauert, sondern daher, dass Sie zwischendurch auf Antworten von anderen warten.
Das Gesetz selbst nennt keine Frist für die Erstellung eines Verzeichnisses. Was die DSGVO verlangt, ist, dass ein Verantwortlicher ein Verzeichnis der Verarbeitungen führt, für die er verantwortlich ist, mit dem darin unter anderem der Zweck, die Kategorien von Daten und Empfänger sowie die Aufbewahrungsfristen aufgeführt sind. Wie lange es dauert, dorthin zu gelangen, hängt also nicht von einer gesetzlichen Frist ab, sondern davon, wie gut Ihre Organisation selbst weiß, was alles mit Daten geschieht.
Wofür die ersten Tage aufgewendet werden
Die erste Phase betrifft die Inventarisierung: welche Systeme verwenden Sie, wer hat Zugriff, und welche Daten befinden sich darin. Bei einem Einzelunternehmer oder einem Unternehmen mit einer Handvoll Mitarbeitern ist das oft an einem Morgen zu überblicken. Bei einer Organisation mit mehreren Abteilungen wächst dies schnell, einfach weil niemand allein das vollständige Bild hat: Die Personalabteilung weiß, welche Tools sie für Rekrutierung und Krankheit verwendet, die Verwaltung weiß, welches Buchhaltungspaket läuft, und die Geschäftsleitung weiß oft nicht, dass die Marketingabteilung ein separates CRM-Abonnement abgeschlossen hat. Diese Zersplitterung ist die erste und größte Quelle der Verzögerung, nicht die Schreibarbeit selbst.
Ein praktischer Ansatz besteht darin, mit den Rechnungen zu beginnen: Jedes monatlich abgebuchte Abonnement ist ein guter Hinweis auf eine Verarbeitung, die in das Verzeichnis gehört. Eine Bibliothek bekannter SaaS-Tools kann diesen Teil beschleunigen, da viel verwendete Software bereits mit den üblichen Zwecken und Aufbewahrungsfristen versehen ist, sodass Sie diese nicht selbst herausfinden müssen. In der Wissensdatenbank finden Sie zu jedem Thema eine kurze Antwort mit der Fundstelle im offiziellen Text, was bei der Bestimmung hilfreich ist, was in das Verzeichnis gehört und was nicht.
Wo es hängen bleibt: Verarbeitungsverträge
Die zweite Verzögerung entsteht beim Zuordnen von Verarbeitungsverträgen zu den Verarbeitungen im Verzeichnis. Für jeden SaaS-Anbieter, der in Ihrem Namen personenbezogene Daten verarbeitet, sollte ein Vertrag vorliegen. In der Praxis erweist sich dieser oft als nicht vorhanden, oder niemand ist sich der letzten Version sicher. Das bedeutet, dass Sie Anbieter kontaktieren müssen, was sich auf Tage oder Wochen Wartezeit ausdehnen kann — nicht, weil die Erstellung lange dauert, sondern weil Sie von der Reaktionsgeschwindigkeit eines anderen Unternehmens abhängig sind.
Es ist daher sinnvoller, das Verzeichnis und die Überwachung von Verarbeitungsverträgen nicht als zwei separate Projekte zu sehen, sondern als einen fortlaufenden Prozess: Sobald ein neues Tool gekauft wird, sollte der Vertrag direkt dabei sein, anstatt später rekonstruieren zu müssen, was einst vereinbart wurde.
Durchlaufzeit bei Wachstum und Veränderung
Ein Register ist niemals fertig in dem Sinne, dass es sich danach nicht mehr verändert. Neue Tools, neue Mitarbeiter, neue Kundenprozesse — jedes davon wirkt sich erneut auf das Register aus. Die Durchlaufzeit einer einmaligen Bestandsaufnahme sagt daher wenig über die danach erforderliche Verwaltung aus. Unternehmen, die das Register nur bei der Gründung ausfüllen und es dann liegen lassen, laufen Gefahr, dass es nach einem Jahr nicht mehr der Wirklichkeit entspricht. Wer das Register mit der Bibliothek der Tools mitwachsen lässt und automatisch signalisieren lässt, wenn etwas fehlt, erspart sich die wiederholte Bestandsaufnahme, die sonst bei jeder Kontrolle oder Ausschreibung erneut erforderlich ist.
Für diejenigen, die nachweisen müssen, dass die Grundlagen in Ordnung sind — beispielsweise gegenüber einem Versicherer oder bei einer Ausschreibung — zählt nicht nur, dass ein Register vorhanden ist, sondern auch, wie aktuell es ist. Ein Überblick von vor einem halben Jahr, während inzwischen drei neue Tools hinzugekommen sind, vermittelt ein anderes Bild als ein Register, das wöchentlich aktualisiert wird.
Selbst machen oder automatisch mitnehmen
Ob Sie das Register selbst in einer Tabellenkalkulation pflegen oder aus einem System heraus ausfüllen lassen, die Durchlaufzeit liegt in beiden Fällen vor allem beim Sammeln von Informationen, nicht bei deren Eingabe. Der Unterschied liegt in der Verwaltung: Eine Tabellenkalkulation erfordert, dass Sie selbst merken, wann etwas aktualisiert werden muss, während ein System, das an die Bibliothek der Tools und an Ihre Auftragsverarbeitungsverträge angebunden ist, das für Sie signalisiert. Mehr darüber, wie diese Verbindung genau funktioniert, lesen Sie auf der Seite über die Funktionsweise des Systems.
Wenn Sie wissen möchten, was ein vollständiges, aktuelles Register für Ihre Situation an Zeit und Ressourcen kosten würde, finden Sie dies in der Übersicht der Tarife ein Hinweis darauf, was zu Ihrer Unternehmensgröße passt. Und falls Sie unsicher sind, ob Ihre derzeitige Übersicht ausreicht, finden Sie in den häufig gestellten Fragen Antworten auf eine Reihe praktischer Zweifelsfälle.
Die abschließende Beurteilung, ob Ihr Verzeichnis die gesetzlichen Anforderungen erfüllt, liegt bei Ihnen selbst oder bei einem Juristen, und im Zweifelsfall bei der Autoriteit Persoonsgegevens. Möchten Sie sich zunächst selbst ein Bild davon machen, wo Sie stehen, führen Sie dann den kostenlosen Quick-Scan durch oder blättern Sie durch die Themen in der Wissensdatenbank.