Sie können Ihr Verzeichnis der Verarbeitungstätigkeiten grundsätzlich vollständig selbst führen. Die DSGVO schreibt kein bestimmtes Programm oder Format vor: Ein gut gepflegtes Dokument oder eine Tabellenkalkulation genügt, solange sie vollständig, korrekt und aktuell ist. Es kommt nicht auf das Werkzeug an, sondern auf den Inhalt: Welche Personendaten Sie verarbeiten, zu welchem Zweck, wer Zugriff hat, wie lange Sie diese speichern und welche anderen Parteien davon erfahren.
Die praktische Frage ist also nicht, ob es erlaubt ist, sondern ob es in Ihrem Unternehmen zu handhaben bleibt. Bei einer Handvoll fester Verarbeitungstätigkeiten — ein Buchhaltungspaket, eine Lohnverwaltung, ein CRM — ist ein selbst erstellter Überblick oft leicht zu pflegen. Sobald die Zahl der Tools wächst, Auftragsverarbeiter wechseln oder Mitarbeitende selbst Software beschaffen, wird die Pflege zu einer wiederkehrenden Aufgabe, die leicht aufgeschoben wird.
Was auf jeden Fall hineingehört
Ein Verzeichnis beschreibt pro Verarbeitungstätigkeit den Zweck, die Kategorien der Daten und der betroffenen Personen, die Aufbewahrungsfrist oder einen Anhaltspunkt dafür und die Parteien, mit denen Daten geteilt werden. Bei Verarbeitungstätigkeiten, die über einen externen Anbieter laufen, muss auch hervorgehen, ob ein Auftragsverarbeitungsvertrag vorliegt. Die genauen Anforderungen und die Ausnahmen davon sind in der DSGVO selbst festgehalten und werden in Leitlinien der Autoriteit Persoonsgegevens und der EDPB näher erläutert. Wenn Sie dies für jede Situation nachvollziehen möchten, finden Sie es in der Wissensdatenbank, wo dies je Situation geklärt ist.
Warum es auf dem Papier schwierig wird
Das Problem liegt meist nicht in der Erstellung, sondern in der Pflege. Ein KMU-Unternehmen schließt im Laufe eines Jahres neue SaaS-Abos ab, beendet andere, und der dazugehörige Auftragsverarbeitungsvertrag ändert sich manchmal, ohne dass jemand es bemerkt. Eine Tabellenkalkulation, die zu Beginn stimmte, ist nach ein paar Monaten oft nur noch eine Momentaufnahme. Das wird erst sichtbar, wenn es darauf ankommt: bei einer Anfrage einer betroffenen Person, bei einer Ausschreibung oder wenn eine Behörde danach fragt.
Dort liegt der echte Unterschied zwischen Eigenregie und Unterstützung durch ein System. Ein Verzeichnis selbst zu führen ist kein Problem, solange es jemanden gibt, der regelmäßig Zeit aufwendet, um es zu überprüfen und zu ergänzen. Bei vielen kleinen Unternehmen ist diese Zeit zu Beginn vorhanden und verschwindet, sobald das Tagesgeschäft übernimmt.
Selbst machen, ein Tool nutzen oder auslagern
Zwischen vollständiger Eigenarbeit und vollständiger Auslagerung liegt ein Mittelweg: ein System, das das Verzeichnis aus einer Bibliothek bekannter Tools füllt und Sie warnt, wenn etwas fehlt oder sich ändert. Das erspart nicht die Überlegung, was hineingehört — das bleibt Ihre Aufgabe — aber es mindert das Risiko, dass eine Änderung unbemerkt bleibt. Ob das für Ihr Unternehmen lohnend ist, hängt von der Zahl der Verarbeitungstätigkeiten und deren Häufigkeit ab. Ein Überblick über die Details und die Kosten finden Sie auf der Seite mit den Preisen des Systems.
Wer es lieber zuerst selbst versuchen möchte, kann das gerne tun. Die DSGVO verpflichtet nicht zur Nutzung eines kostenpflichtigen Systems. Was das Gesetz verlangt, ist, dass das Verzeichnis jederzeit ein korrektes Abbild der Wirklichkeit darstellt — nicht nur am Tag seiner Erstellung.
Was Sie niemals auslagern können
Ob Sie das Verzeichnis nun in einer Tabellenkalkulation führen oder von einem System füllen lassen: Die Verantwortung für dessen Richtigkeit bleibt bei Ihrer Organisation, nicht beim Werkzeug. Ein Tool kann anzeigen, dass ein Auftragsverarbeitungsvertrag abgelaufen ist oder dass ein neues SaaS-Tool noch nicht erfasst wurde, aber die Entscheidung, was Sie damit anfangen und ob eine Verarbeitungstätigkeit überhaupt notwendig ist, bleibt bei Ihnen. Zur Ausgestaltung Ihrer konkreten Situation würde ich das mit einem Rechtsanwalt oder im Zweifelsfall über die Frage der Gesetzesvorgabe hinaus mit der Autoriteit Persoonsgegevens besprechen.
Wenn Sie zunächst sehen möchten, wie dies in der Praxis funktioniert, bevor Sie sich zwischen Selbstmachen und Unterstützung entscheiden, können Sie die häufig gestellten Fragen zur Verarbeitungstätigkeit lesen oder über die Registrierungsseite ein Geschäftskonto erstellen und den Unterschied selbst sehen.
Wenn Sie wissen möchten, wo sich Ihr Unternehmen derzeit befindet, ist der kostenlose Quick-Scan ein guter Ausgangspunkt: keine Verpflichtung, nur eine Angabe dessen, was für Ihre Situation relevant ist.