Die kurze Antwort
Die DSGVO gilt für nahezu jede Organisation, die personenbezogene Daten verarbeitet, unabhängig von der Größe. Das bedeutet, dass auch ein Installationsbetrieb mit vier Mitarbeitern, ein Einzelunternehmer mit Kunden oder eine Stiftung mit Freiwilligen grundsätzlich unter die Verordnung fallen, sobald Namen, E-Mail-Adressen, Gehaltsdaten oder andere personenbezogene Daten erfasst werden. Für die Führung eines Verzeichnisses von Verarbeitungstätigkeiten sieht die DSGVO eine Ausnahme für Organisationen mit weniger als 250 Beschäftigten vor, aber diese Ausnahme gilt nur, wenn gleichzeitig mehrere Voraussetzungen erfüllt sind.
In der Praxis erfüllen nur wenige KMU alle diese Voraussetzungen, einfach weil eine Personalverwaltung, ein Kundenstamm oder eine Kameraaufzeichnung schnell als regelmäßige Verarbeitung angesehen werden. Ob die Ausnahme für Ihre Organisation genau zutrifft, können Sie am besten anhand des Gesetzeswortlauts selbst oder mit einem Juristen prüfen; dieser Artikel beschreibt, wann die Frage relevant wird und worauf Sie achten können.
Was die Ausnahme genau bedeutet
Die DSGVO bestimmt in Artikel 30 Absatz 5, dass die Verpflichtung zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten nicht für Organisationen mit weniger als 250 Beschäftigten gilt, es sei denn, die von ihnen durchgeführte Verarbeitung birgt ein Risiko für die Rechte und Freiheiten betroffener Personen, ist nicht gelegentlich oder betrifft besondere Kategorien personenbezogener Daten wie Gesundheitsdaten. All diese Ausnahmen von der Ausnahme sind mit Absicht vorgesehen: Der Gesetzgeber wollte kleine Organisationen nicht von der Übersicht befreien, sondern nur von der formalen Dokumentationspflicht in spezifischen, begrenzten Fällen.
Das Wort "gelegentlich" ist dabei das bestimmendste. Eine Gehaltsverwaltung, die jeden Monat läuft, ein Kundenstamm, den Sie täglich aktualisieren, oder Kameras, die kontinuierlich Aufnahmen machen, sind keine gelegentlichen Verarbeitungen. Sobald eine Verarbeitung regelmäßig Teil des Geschäftsbetriebs ist, liegt die Ausnahme schnell außer Reichweite.
Wann die Frage für Sie relevant ist
Die Frage "gilt das für mich" ist vor allem für Freelancer ohne Personal und ohne regelmäßige Kundenverwaltung relevant, die ab und zu eine Rechnung versenden und ansonsten kaum personenbezogene Daten erfassen. Für sie kann die Ausnahme theoretisch gelten. Sobald Personal hinzukommt, ein CRM-System genutzt wird, Bewerbungen archiviert werden oder eine Website Besucherdaten über Cookies oder ein Kontaktformular erfasst, liegt in der Regel regelmäßige Verarbeitung vor und die Ausnahme ist nicht mehr relevant.
Ein Installationsbetrieb mit Personalverwaltung, einem Planungssystem mit Kundendaten und möglicherweise einer Kamera in der Werkstatt fällt damit unter die Ausnahme nicht mehr. Ein HR-Manager, der Bewerbungsdaten, Fehlzeitendossiers und Gehaltsdaten verwaltet, verarbeitet ohnehin regelmäßig. Für diese Unternehmen ist ein Verzeichnis von Verarbeitungstätigkeiten nicht nur eine gesetzliche Frage, sondern auch praktisch sinnvoll: Es gibt auf einen Blick einen Überblick darüber, welche Systeme welche Daten enthalten, wer daran beteiligt ist und wie lange Daten aufbewahrt werden.
Warum das Register auch ohne Verpflichtung sinnvoll ist
Unabhängig davon, ob die Ausnahme genau zutrifft, fordern Kunden, Versicherer und Auftraggeber zunehmend Nachweise dafür, dass eine Organisation die Kontrolle über ihre personenbezogenen Daten hat. Ein Verzeichnis von Verarbeitungstätigkeiten ist dabei das erste Dokument, das verlangt wird. Wer erklären muss, welche SaaS-Tools genutzt werden, welche Datenverarbeitungsverträge dazugehören und wer wofür verantwortlich ist, profitiert davon, ein bereits geführtes Register zu haben, anstatt es in letzter Minute zu erstellen.
Diese Übersicht muss nicht kompliziert sein. Es geht darum, pro Verarbeitung festzuhalten, welche Daten es betrifft, zu welchem Zweck sie verarbeitet werden, wer darauf Zugriff hat, ob ein Dritter beteiligt ist, und wie lange die Daten aufbewahrt werden. In der Wissensdatenbank mit DSGVO-Themen pro Situation ist ausgearbeitet, was es pro Verarbeitungstyp konkret enthalten sollte, mit dem Fundort im offiziellen Text beigefügt.
Wie Sie dies für Ihre eigene Situation bewerten
Ob Ihr Unternehmen unter die Ausnahme fällt, hängt von der genauen Art und Häufigkeit der Verarbeitungen ab, die Sie durchführen, und dies ist eine Bewertung, die pro Organisation unterschiedlich ausfällt. Die Autoriteit Persoonsgegevens veröffentlicht Leitlinien zum Umfang der Registrierungspflicht, und für eine Stellungnahme zu Ihrer konkreten Situation ist es ratsam, diese zu konsultieren oder einen Jurist einzubeziehen. Was wir auf gdpria.eu tun, ist Struktur schaffen: erklären, was die Regel bedeutet, mit Quelle, damit Sie selbst beurteilen können, wo Sie stehen. Auf der Seite darüber, woher unsere Informationen stammen lesen Sie, wie diese Verknüpfung mit dem Gesetzeswortlaut und den Leitlinien genau funktioniert.
Häufig auftretende Zweifelsfälle, wie ein Einzelunternehmer mit einem festen Auftraggeber oder eine Stiftung mit nur Freiwilligen, kommen vor in den häufig gestellten Fragen zur DSGVO in der Praxis. Oft stellt sich heraus, dass die Debatte über die Ausnahme weniger wichtig ist als gedacht, weil ein übersichtliches Register ohnehin hilft, Fragen von Kunden zu beantworten oder einen Antrag einer betroffenen Person zu bearbeiten.
Kurz zusammengefasst
Die DSGVO gilt für nahezu jede Organisation, die personenbezogene Daten verarbeitet. Die Ausnahme von der Registrierungspflicht ist eng begrenzt und gilt nur, wenn die Verarbeitung gelegentlich ist, kein Risiko mit sich bringt und keine besonderen Daten betrifft. Für die meisten KMU mit Personal, Kunden oder einer Website liegt diese Ausnahme außer Reichweite, und ein Überblick über die eigenen Verarbeitungen ist vor allem praktisch nutzbringend.
Möchten Sie schnell sehen, wo Ihre eigene Situation steht? Führen Sie den kostenlosen Quick-Scan durch oder blättern Sie durch die Themen auf ein geschäftliches Konto erstellen und selbst anfangen.