MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Das Verarbeitungsverzeichnis (Art. 30 DSGVO) bietet einen Überblick über alle Verarbeitungstätigkeiten personenbezogener Daten in Ihrem Unternehmen – welche Daten, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange gespeichert und an wen weitergegeben werden. Es ist für Unternehmen mit mehr als 250 Mitarbeitern oder bei Verarbeitungen mit hohem Risiko gesetzlich vorgeschrieben. Auch für kleinere KMU ist es oft ratsam – ohne ein solches Verzeichnis ist die Einhaltung der DSGVO schwierig. Im Folgenden finden Sie Details zu Inhalt, Ausnahmen und wie Tessa ihr Verzeichnis erstellt.
Die kurze Antwort
- Obligatorisch: für mehr als 250 Mitarbeiter, bei Verarbeitungsvorgängen mit hohem Risiko oder bei regelmäßiger Verarbeitung sensibler Daten.
- Kleinere KMU: oft ausgenommen, aber ratsam.
- Inhalt: pro Verarbeitung – Daten, Zweck, Rechtsgrundlage, Aufbewahrungsfrist, Empfänger.
- Format: Tabellenkalkulation oder HR-Tool, intern verfügbar.
- Sanktionen: AP-Strafe wegen fehlender Registrierung bis zu 2 % des weltweiten Umsatzes.
Was ist ein Verarbeitungsregister?
Interne Übersicht aller Tätigkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten. Für jede Verarbeitungstätigkeit:
- Verarbeitungsname (z. B. „Gehaltsabrechnung“).
- Verantwortliche Person innerhalb der Organisation.
- Kategorien personenbezogener Daten (Name, Adresse, Finanzdaten, Gesundheitsdaten).
- Kategorien von Interessengruppen (Kunden, Mitarbeiter, Lieferanten).
- Zweck der Verarbeitung.
- Rechtsgrundlage.
- Empfänger (intern und extern).
- Aufbewahrungsfrist.
- Sicherheitsmaßnahmen.
- Internationaler Transfer (innerhalb/außerhalb der EU).
Wann ist es verpflichtend?
Art. 30 DSGVO: Registrierungspflicht, sofern keine Ausnahme gilt. Ausnahme nur in folgenden Fällen:
- Unternehmen mit weniger als 250 Mitarbeitern, UND
- Die Verarbeitung ist nicht strukturell (zufällig), UND
- Keine sensiblen Daten (keine Angaben zu Rasse, Religion, Gesundheit, Sexualleben usw.), UND
- Keine Verarbeitung mit hohem Risiko für die betroffenen Personen.
In der Praxis gilt: praktisch jedes KMU, das Kunden- oder Mitarbeiterdaten besitzt, unterliegt dieser Verpflichtung.
Was muss berücksichtigt werden? — pro Verarbeitung
| Feld | Beispiel |
|---|---|
| Verarbeitungsname | Kundenverwaltung |
| Verantwortlich | Verkaufsleiter |
| Datenkategorien | Name, Adresse, Kontaktdaten, Kaufhistorie |
| Kategorien von Interessengruppen | Privatkunden |
| Ziel | Kundenmanagement, Marketing |
| Basis | Vertrag + berechtigtes Interesse |
| Empfänger | Vertriebsteam, E-Mail-Anbieter |
| Aufbewahrungsfrist | 7 Jahre nach dem letzten Kontakt |
| Sicherheit | Zugriff gesperrt, Verschlüsselung |
| Außerhalb der EU | Nein (oder: ja, mit SCC) |
Standardverarbeitung für KMU
- Kundenverwaltung.
- Lieferantenverwaltung.
- Lohn- und Gehaltsabrechnung sowie Personalverwaltung.
- Marketingdatenbank (Newsletter).
- Kundensupport / Helpdesk.
- Website-Cookies und Analysetools.
- Bewerbungsverfahren.
- Videoüberwachung.
- Buchhaltung.
- Kunden- oder Lieferantenportal.
Für jede Kategorie eine separate Zeile im Kassenbuch.
Praktische Einrichtung
- Einfach: Tabellenkalkulation: Excel-Vorlage mit Spalten pro Feld.
- Besser: Datenschutztool: OneTrust, Trust-Hub oder ein HR-Tool mit Datenschutzmodulen.
- Für KMU: Eine eigene Tabellenkalkulation ist in der Regel ausreichend.
Aktualisierung bei neuen Verarbeitungsvorgängen oder Änderungen – das Register muss auf dem neuesten Stand sein.
Folgenabschätzung der DSGVO (DSFA)
Bei Verarbeitungsprozessen mit hohem Risiko: Eine zusätzliche Folgenabschätzung (DSFA) ist obligatorisch. Zum Beispiel:
- Groß angelegte Profilerstellung.
- Videoüberwachung im öffentlichen Raum.
- Automatisierte Entscheidungsfindung.
- Kombination sensibler Daten.
Die Datenschutz-Folgenabschätzung geht über die reine Datenerfassung hinaus – sie umfasst Risikoanalyse und Risikominderungsmaßnahmen.
Tessas Register
Tessa erstellt Register:
- Tabellenkalkulation mit 12 Operationen.
- Vierteljährlicher Bericht.
- Bei einem neuen Partner (z. B. E-Mail-Anbieter): neue Regel.
- Bei Fragen zur DSGVO seitens eines Mitarbeiters oder Kunden: Die Antwort finden Sie im Register.
Aufwand: 4 Stunden Einrichtung, 2 Stunden vierteljährliche Aktualisierung. Nach der Kreditorenprüfung: sofort verfügbar.
Ehrliche Empfehlung
Für jedes KMU mit Kunden und Mitarbeitern ist ein Verarbeitungsverzeichnis fast immer ratsam und oft sogar vorgeschrieben. Beginnen Sie einfach mit einer Tabellenkalkulation. Aktualisieren Sie diese bei jeder neuen Verarbeitungstätigkeit. Zur Einhaltung der gesetzlichen Bestimmungen kombinieren Sie das Verzeichnis mit einer Datenschutzerklärung, Auftragsverarbeitungsvereinbarungen und einem Verfahren bei Datenschutzverletzungen. Investieren Sie einmalig 4–8 Stunden in die Einrichtung – dies beugt Bußgeldern der Datenschutzbehörde vor und bietet eine Grundlage für Anfragen von Betroffenen gemäß DSGVO.
Weitere Themen: Auftragsverarbeitungsvertrag,, Datenschutzerklärung und en Datenschutzverletzung ..
Häufig gestellte Fragen
Interne Übersicht (Art. 30 DSGVO) aller Verarbeitungsvorgänge personenbezogener Daten – welche Daten, Zweck, Rechtsgrundlage, Empfänger, Speicherdauer. Obligatorisch oder dringend empfohlen für KMU, die Kunden- oder Mitarbeiterdaten verarbeiten.
Für Unternehmen mit mehr als 250 Mitarbeitern, bei struktureller Datenverarbeitung, Verarbeitung sensibler Daten oder Verarbeitung mit hohem Risiko. Eine Ausnahme gilt nur für kleine Unternehmen mit gelegentlicher Datenverarbeitung ohne sensible Daten. In der Praxis: Nahezu jedes KMU mit Kunden ist betroffen.
Pro Verarbeitung: Name, Verantwortlicher, Kategorien personenbezogener Daten, Kategorien betroffener Personen, Zweck, Rechtsgrundlage, Empfänger (intern/extern), Aufbewahrungsfrist, Sicherheitsmaßnahmen, internationale Übermittlung.
Kunden- und Lieferantenverwaltung, Lohn- und Gehaltsabrechnung/Personalwesen, Marketing, Kundensupport, Website-Analyse, Stellenbewerbungen, Videoüberwachung, Buchhaltung, Kundenportal. Für KMU sind 8–15 Bearbeitungsschritte üblich.
Einfach: Eine Excel-Tabelle mit Spalten pro Feld. Fortgeschrittener: Ein Datenschutztool (z. B. OneTrust, Trust-Hub) oder ein HR-Tool mit Datenschutzmodul. Für KMU: Eine Tabellenkalkulation ist meist ausreichend. Aktualisieren Sie die Tabelle bei Änderungen.
Datenschutz-Folgenabschätzung – ergänzend zum Register für risikoreiche Datenverarbeitungen: großflächiges Profiling, Videoüberwachung im öffentlichen Raum, automatisierte Entscheidungsfindung, sensible Daten. Risikoanalyse und Risikominderungsmaßnahmen.
Bei fehlendem Register droht der AP eine Geldbuße von bis zu 2 % des weltweiten Umsatzes oder 10 Millionen Euro. Im Falle einer Anfrage einer betroffenen Person gemäß DSGVO oder eines Vorfalls ist eine angemessene Reaktion ohne Register schwierig. Die Investition in die Einrichtung (4–8 Stunden) amortisiert sich sofort.
