Die Antwort in Kürze
Der häufigste Fehler bei einem Verzeichnis von Verarbeitungstätigkeiten ist nicht, dass es fehlt, sondern dass es einmal ausgefüllt und danach nicht mehr aktualisiert wird. Ein Verzeichnis sollte eine aktuelle Übersicht darüber sein, was in Ihrem Unternehmen mit personenbezogenen Daten geschieht. Sobald Sie ein neues Tool erwerben, den Gehaltsabrechner wechseln oder eine Kamera am Eingang installieren, sollte sich diese Übersicht entsprechend ändern – aber in der Praxis passiert das oft nicht.
Darüber hinaus sehen wir drei weitere Fehler immer wieder: nur die offensichtlichen Systeme werden aufgenommen, Zweck und Aufbewahrungsdauer werden zu vage formuliert, und das Verzeichnis wird mit einer Auftragsverarbeitungsvereinbarung verwechselt, obwohl es etwas anderes ist. Im Folgenden erläutern wir jeden Fehler und zeigen, wie Sie ihn in der Praxis vermeiden.
Fehler 1: Das Verzeichnis wird eine Momentaufnahme statt eines lebenden Dokuments
Viele Unternehmen füllen das Verzeichnis zu dem Zeitpunkt aus, an dem sie damit beginnen – oft aufgrund einer Anfrage eines Kunden oder Buchhalters – und betrachten es danach als abgeschlossen. Aber eine Verarbeitung von heute sieht in einem Jahr oft anders aus: Es kommt ein neues Buchhaltungspaket hinzu, das HR-Tool wird ersetzt oder es wird ein Newsletter über eine andere Plattform gestartet. Wenn das Verzeichnis nicht mitgeht, entsteht eine Lücke zwischen dem, was auf dem Papier steht, und dem, was wirklich passiert. Diese Lücke fällt normalerweise erst auf, wenn jemand das Verzeichnis braucht: bei einer Anfrage einer betroffenen Person, bei einer Ausschreibung oder nach einer Datenschutzverletzung.
Der Kern dieses Fehlers ist, dass ein Verzeichnis oft als Projekt behandelt wird, während es ein Prozess ist. Es gibt keinen festen Termin, um es zu überprüfen, und niemand ist dafür strukturell verantwortlich. Lesen Sie, wie ein solches Verzeichnis automatisch aktuell bleibt wenn es an die Tools angebunden ist, die Sie bereits nutzen, anstatt separat in einem Word-Dokument gepflegt zu werden.
Fehler 2: Nur die auffälligen Systeme landen im Verzeichnis
Ein zweiter wiederkehrender Fehler ist, dass nur die "großen" Verarbeitungsvorgänge aufgenommen werden: das CRM-System, die Gehaltsabrechnung, vielleicht der Webshop. Kleinere oder weniger sichtbare Verarbeitungsvorgänge werden übersehen, obwohl sie genauso unter die DSGVO fallen. Denken Sie an eine Excel-Liste mit Kundendaten, die neben dem CRM gepflegt wird, eine WhatsApp-Gruppe, in der auch Telefonnummern von Kunden stehen, oder ein separates Buchungssystem für einen Showroom. Auch häufig verwendete SaaS-Tools wie eine Planungs-App, ein E-Signature-Service oder ein Tool für Zeiterfassung gehören ins Verzeichnis, auch wenn sie "nur schnell" eingeführt wurden.
Dieser Fehler entsteht normalerweise nicht aus Unachtsamkeit, sondern aus Unkenntnis: Viele Unternehmer wissen nicht genau, welche Tools in ihrer Organisation personenbezogene Daten verarbeiten. Eine Übersicht über bekannte SaaS-Tools hilft, diese Wissenslücke zu schließen; in der Wissensdatenbank finden Sie pro Thema erklärt, wann ein Tool unter die DSGVO fällt.
Fehler 3: Zweck und Aufbewahrungsdauer werden zu vage formuliert
Der dritte häufig gemachte Fehler liegt in dem Inhalt des Verzeichnisses selbst. Für jede Verarbeitung sollte ein konkreter Zweck angegeben sein, eine Rechtsgrundlage und eine Angabe darüber, wie lange die Daten aufbewahrt werden. In der Praxis wird dies oft mit Formulierungen wie "Geschäftstätigkeit" oder "solange erforderlich" ausgefüllt. Das ist nicht falsch in dem Sinne, dass das Verzeichnis dadurch ungültig wird, aber es macht das Verzeichnis weniger nützlich: Es gibt keine Antwort auf die Frage, warum Daten aufbewahrt werden und wann sie gelöscht werden sollten.
Die DSGVO selbst arbeitet mit dem Prinzip der Zweckbindung und Speicherbegrenzung, ohne feste Aufbewahrungsfristen vorzuschreiben — diese Fristen unterscheiden sich je nach Art der Daten und Branche. Ein Verzeichnis, das dies konkret pro Verarbeitung umsetzt, ist daher wertvoller als ein Verzeichnis, das überall die gleiche allgemeine Formulierung verwendet.
Wie Sie dies in der Praxis vermeiden
Der rote Faden hinter diesen Fehlern ist, dass ein Verzeichnis als einmalige Aufgabe betrachtet wird, anstatt als Teil des Geschäftsbetriebs. Eine gute Gewohnheit ist es, das Verzeichnis mit Momenten zu verknüpfen, die ohnehin stattfinden: ein neues Tool anschaffen, einen Lieferanten wechseln oder das jährliche Gespräch mit dem Steuerberater. In diesen Momenten ist es sinnvoll, auch zu überprüfen, ob das Verzeichnis noch stimmt.
Es hilft auch, im Voraus festzulegen, wer innerhalb Ihrer Organisation für die Pflege verantwortlich ist, auch wenn das eine Person neben anderen Aufgaben ist. Ohne Verantwortliche bleibt die Aktualisierung dem Zufall überlassen. Wenn Sie bei einer bestimmten Situation steckenbleiben, beispielsweise ob ein bestimmtes Tool überhaupt in das Verzeichnis gehört, finden Sie in der häufig gestellte Fragen oft eine kurze und konkrete Antwort, mit dem Verweis auf die offizielle Textstelle.
Möchten Sie sehen, wie Ihr eigenes Verzeichnis auf Grundlage der Tools aussähe, die Sie bereits nutzen, ohne dass Sie vorher alles manuell recherchieren müssen? Machen Sie den kostenlosen Quick-Scan oder erstellen Sie ein geschäftliches Konto um zu sehen, was für Ihre Situation ins Verzeichnis gehören würde.