Erstellung eines Verzeichnisses der Verarbeitungstätigkeiten: ein praktischer Leitfaden für KMU

Wussten Sie, dass die Ausnahmeregelung für Kleinunternehmen bei der Erstellung des Verarbeitungsregisters in der Praxis fast nie Anwendung findet? Obwohl das Gesetz eine Grenze von 250 Beschäftigten nennt, macht die Regelung zur nicht-zufälligen Datenverarbeitung die Führung eines solchen Registers für praktisch jeden KMU-Unternehmer verpflichtend. Ob Sie die Lohnabrechnung verwalten oder einen einfachen Newsletter versenden – das Gesetz schreibt vor, dass Sie genau wissen müssen, wie Daten in Ihrem Unternehmen fließen.

Es ist absolut verständlich, dass Sie die DSGVO als zeitaufwendiges Rätsel betrachten, begleitet von der Angst vor hohen Bußgeldern der Datenschutzbehörde. Sie möchten sich auf Ihr Geschäft konzentrieren und nicht in komplexen Rechtsdokumenten ertrinken. In diesem Leitfaden erfahren Sie, wie Sie ein DSGVO-konformes Register einrichten, das nicht nur den gesetzlichen Bestimmungen entspricht, sondern Ihnen auch die Kontrolle über Ihre Datenschutzverwaltung zurückgibt. Wir erläutern Ihnen die konkreten Schritte, mit denen Sie Ihre Angelegenheiten effizient regeln können, damit Sie sich unbesorgt auf das Wachstum Ihres Unternehmens konzentrieren können.

Was ist ein Verarbeitungsregister und warum ist es obligatorisch?

Ein Verarbeitungsverzeichnis ist im Grunde das interne Datenschutzprotokoll Ihres Unternehmens. Es ist ein zentrales Dokument, in dem Sie genau festhalten, welche personenbezogenen Daten Sie verarbeiten, zu welchem ​​Zweck und an wen Sie diese Informationen weitergeben. Seit Einführung der Datenschutz-Grundverordnung (DSGVO) ist dieses Dokument für nahezu jedes Unternehmen eine zwingende Pflicht. Es bietet Ihnen den notwendigen Überblick, um die Datenflüsse in Ihrem Unternehmen zu kontrollieren. Betrachten Sie es als Bauplan Ihres gesamten Informationsmanagementsystems.

Wenn die niederländische Datenschutzbehörde (AP) zu einer Prüfung oder einem Korrekturgespräch ansteht, ist dieses Register oft das erste Dokument, das sie anfordert. Der Jahresbericht der AP aus dem Jahr 2025 zeigt, dass die Behörde zunehmend auf Beratung und Korrekturgespräche setzt, anstatt sofort Bußgelder zu verhängen. Ein gut geführtes Register der Verarbeitungstätigkeiten beweist sofort, dass Sie den Datenschutz ernst nehmen und Ihre Arbeitsmethoden transparent darlegen. Ohne dieses Dokument stehen Sie bei einer solchen Prüfung rechtlich auf der Strecke. Kurz gesagt: Sie zeigen damit, dass Sie die Kontrolle behalten.

Rechenschaftspflicht gemäß der DSGVO

Im Zentrum der aktuellen Datenschutzgesetzgebung steht die Rechenschaftspflicht. Das bedeutet, dass Sie nicht nur das Gesetz einhalten, sondern dies auch jederzeit nachweisen können müssen. Das Verarbeitungsverzeichnis dient der Aufsichtsbehörde als wichtigster Nachweis. Es belegt, dass Sie die Notwendigkeit jeder Datenverarbeitung und die damit verbundenen Sicherheitsmaßnahmen sorgfältig geprüft haben. Transparenz in Ihren Geschäftsprozessen ist daher unerlässlich. Durch die klare Darstellung Ihrer Prozesse schaffen Sie Sicherheit für sich selbst und Vertrauen bei Ihren Kunden und Mitarbeitern. Es bildet die Grundlage Ihrer gesamten Datenschutzrichtlinie und stellt sicher, dass rechtliche Herausforderungen für jedes KMU beherrschbar bleiben.

Der Unterschied zwischen einem Register und einer Datenschutzerklärung

Viele Unternehmer verwechseln das Verarbeitungsverzeichnis mit der Datenschutzerklärung, doch zwischen den beiden Dokumenten besteht ein wesentlicher Unterschied. Die Datenschutzerklärung ist Ihre Visitenkarte nach außen. Sie informiert Ihre Website-Besucher und Kunden in verständlicher Sprache darüber, wie Sie mit ihren Daten umgehen. Das Verarbeitungsverzeichnis hingegen ist ein internes Dokument, das wesentlich detailliertere Informationen enthält, darunter technische Angaben zu Aufbewahrungsfristen, Empfängern und spezifischen Sicherheitsmaßnahmen. Für die vollständige Einhaltung der Vorschriften benötigen Sie beide Dokumente. Eine Datenschutzerklärung ist für Ihre externe Kommunikation unerlässlich, intern ist die Führung eines Verarbeitungsverzeichnisses jedoch die einzige Möglichkeit, Ihrer gesetzlichen Nachweispflicht nachzukommen. Beide Dokumente sind untrennbar miteinander verbunden, wenn Sie Ihre Datenschutzverwaltung ordnungsgemäß gestalten und Bußgelder vermeiden möchten.

Wer muss ein Verzeichnis der Verarbeitungstätigkeiten erstellen?

Es herrscht der weitverbreitete Irrglaube, dass sich nur große multinationale Konzerne mit Datenschutzbestimmungen auseinandersetzen müssen. Viele Unternehmer verweisen auf die DSGVO-Klausel, die Unternehmen mit weniger als 250 Mitarbeitern von der Datenschutzpflicht befreit. In der Praxis ist diese Ausnahme jedoch so eng gefasst, dass sie kaum ein Unternehmen für sich beanspruchen kann. Entscheidend ist nicht nur die Größe des Teams, sondern vor allem der Umgang mit Daten im Arbeitsalltag.

Das Gesetz besagt, dass die Ausnahmeregelung erlischt, sobald die Verarbeitung „nicht nebensächlich“ ist. Denken Sie beispielsweise an Ihre monatliche Lohnbuchhaltung, die Pflege einer Kundendatenbank oder den regelmäßigen Versand von Newslettern. Da diese Tätigkeiten ein fester Bestandteil Ihrer Geschäftstätigkeit sind, die Erstellung eines Verzeichnisses der Verarbeitungstätigkeiten für praktisch jeden KMU-Unternehmer gesetzlich vorgeschrieben. Die unberechtigte Inanspruchnahme einer Ausnahmeregelung kann zu unangenehmen Gesprächen mit der Aufsichtsbehörde führen, insbesondere jetzt, da die niederländische Datenschutzbehörde (AP) ab 2026 Transparenz und Eigenverantwortung verstärkt fördert.

Der Mythos der 250 Mitarbeiter

Auch als Einzelunternehmer kommen Sie in der Regel nicht drum herum. Laut Gesetz definiert der Gesetzgeber die strukturelle Datenverarbeitung als jede regelmäßig wiederkehrende Handlung zur Erreichung Ihrer Geschäftsziele. Nutzen Sie ein CRM-System? Verarbeiten Sie Kundenzahlungen? Dann ist die Datenverarbeitung nicht zufällig. Es geht darum, Ihre Prozesse im Griff zu haben, bevor sie ein Risiko darstellen. Die Empfehlungen der niederländischen Datenschutzbehörde verdeutlichen, dass der Fokus auf dem Risiko für die betroffenen Personen liegt, nicht auf der Größe des Bürogebäudes. Daher ist es ratsam, umgehend mit der entsprechenden DSGVO-konformen Dokumentation.

Wenn Sie als KMU-Unternehmer wirklich nicht darauf verzichten können

Es gibt Situationen, in denen die Registrierungspflicht unumstößlich ist. Verarbeitet Ihr Unternehmen besondere Kategorien personenbezogener Daten? Dazu gehören Informationen über die Gesundheit, die religiösen Überzeugungen oder biometrische Daten einer Person. In Branchen wie dem Gesundheitswesen oder dem Finanzdienstleistungssektor ist die Registrierung daher immer verpflichtend, unabhängig davon, ob Sie allein oder im Team arbeiten. Auch wenn Ihre Verarbeitungstätigkeiten ein potenziell hohes Risiko für die Rechte von Personen darstellen, die Einrichtung eines Verarbeitungsregisters für Ihren Rechtsschutz unerlässlich.

Es bietet Ihnen die nötige Sicherheit für ein sicheres Wachstum, ohne bei jedem Neukunden rechtliche Fallstricke befürchten zu müssen. Die Einhaltung der Datenschutzbestimmungen bremst Ihr Geschäft nicht aus, sondern beweist Professionalität gegenüber Ihren Geschäftspartnern. Sie zeigt, dass Sie die Daten anderer respektvoll und regelkonform behandeln – ein entscheidender Wettbewerbsvorteil im heutigen Markt. Einen vollständigen Überblick über alle für Ihr Unternehmen geltenden Pflichten erhalten Sie in unserem praktischen Leitfaden zur DSGVO-Konformität für KMU im Jahr 2026.

Der Inhalt des Verarbeitungsregisters: Was muss protokolliert werden?

Eine leere Excel-Datei kann beim Einrichten Ihrer Datenschutzverwaltung zunächst etwas einschüchternd wirken. Was genau muss hineingeschrieben werden, um den gesetzlichen Vorgaben zu entsprechen? Artikel 30 der DSGVO ist diesbezüglich eindeutig. Er verpflichtet Sie, alle Prozesse, die personenbezogene Daten betreffen, detailliert zu dokumentieren. Dies beginnt mit den grundlegenden Angaben: Ihren eigenen Kontaktdaten und gegebenenfalls denen Ihres Datenschutzbeauftragten.

Ein entscheidender Aspekt ist die Beschreibung der Ziele. Viele Unternehmer machen hier den Fehler, zu vage zu bleiben. „Marketing“ ist beispielsweise zu allgemein. Seien Sie konkreter und beschreiben Sie beispielsweise „wöchentliche Angebote an aktive Kunden“. Gleichzeitig sollten Sie darauf achten, die Beschreibung nicht so eng zu fassen, dass jede noch so kleine Änderung Ihrer Arbeitsweise sofort eine Aktualisierung des Registers erfordert. Ein gutes Gleichgewicht sorgt dafür, dass die Erstellung eines Tätigkeitsregisters ein praktikabler Prozess bleibt und keine tägliche administrative Belastung darstellt.

Darüber hinaus erfassen Sie, wer die betroffenen Personen sind, beispielsweise Mitarbeiter, Website-Besucher oder Lieferanten, und welche Datenkategorien Sie über sie speichern. Dazu gehören Name und Adresse, aber auch sensiblere Informationen wie Sozialversicherungsnummern oder Bankkontonummern. Vergessen Sie auch nicht die Aufbewahrungsfristen und die technischen Sicherheitsmaßnahmen. Die Aufsichtsbehörde möchte sehen, dass Sie nicht nur wissen, welche Daten Sie speichern, sondern auch, wie Sie diese schützen und wann Sie sie löschen.

Pflichtfelder gemäß Datenschutzgesetz

Sie müssen für jede Verarbeitungstätigkeit angeben, ob Daten außerhalb der Europäischen Union weitergegeben werden. Nutzen Sie beispielsweise einen amerikanischen Cloud-Dienst? Dann muss dies in Ihrem Register vermerkt werden. Gruppieren Sie Ihre Daten logisch; fassen Sie alle personenbezogenen Daten zusammen und verfahren Sie ebenso mit Ihren Kundendaten. Dies sorgt für eine klare Struktur – sowohl für Sie selbst als auch für potenzielle Prüfer. Vergessen Sie nicht, auch die Rechtsgrundlage für die Verarbeitung anzugeben, beispielsweise die Erfüllung eines Vertrags oder einer gesetzlichen Verpflichtung.

Die Unterscheidung zwischen Controller und Prozessor

Wer ist letztendlich für die im Verzeichnis erfassten Daten verantwortlich? Das sind Sie als Datenverantwortlicher. Sie müssen auch Ihre Auftragsverarbeiter, wie beispielsweise Ihren Lohnbuchhalter oder Softwareanbieter, in die Übersicht aufnehmen. Es besteht ein direkter Zusammenhang zwischen Ihrem Verzeichnis und den Verträgen, die Sie mit diesen Parteien abschließen. Möchten Sie wissen, wie Sie die Rechtssicherheit gewährleisten können? Dann lesen Sie unseren Leitfaden zur Erstellung einer Auftragsverarbeitungsvereinbarung. Denn die Erstellung eines vollständigen Verzeichnisses der Verarbeitungstätigkeiten bedeutet auch, Ihre externen Beziehungen transparent darzustellen.

Schritt-für-Schritt-Anleitung zum Erstellen Ihres Verarbeitungsregisters

eines Verzeichnisses der Verarbeitungstätigkeiten muss nicht monatelang dauern, wenn Sie methodisch vorgehen. Es beginnt mit der Schaffung einer Übersicht über die täglichen Abläufe. Befolgen Sie diese fünf Schritte, um Ihre Datenschutzverwaltung zu strukturieren:

• Schritt 1: Erstellen Sie eine Bestandsaufnahme Ihrer Abteilungen. Beschränken Sie sich dabei nicht nur auf die IT-Abteilung. Personenbezogene Daten werden überall verwendet; von der Personalbeschaffung bis zur Rechnungsstellung durch die Verwaltung.
• Schritt 2: Ziele festlegen. Fragen Sie sich bei jedem Prozess: Warum speichern wir diese Daten? Liegt es an einer rechtlichen Verpflichtung, beispielsweise gegenüber den Steuerbehörden, oder an einem wirtschaftlichen Interesse?
• Schritt 3: Externe Empfänger identifizieren. Erstellen Sie eine Liste aller Parteien, die Zugriff auf Ihre Daten haben. Denken Sie an Ihren Cloud-Anbieter, den externen Buchhalter oder eine Marketingagentur.
• Schritt 4: Sicherheit gewährleisten. Beschreiben Sie, wie Sie die Daten schützen. Dies betrifft Passwortrichtlinien und Verschlüsselung, aber auch die physische Sicherheit Ihres Bürogebäudes.
• Schritt 5: Planen Sie die Überprüfung ein. Die DSGVO schreibt vor, dass Ihr Register aktuell sein muss. Planen Sie mindestens einmal jährlich eine Überprüfung ein, um festzustellen, ob sich Ihre Prozesse geändert haben.

Bestandsaufnahme der Datenflüsse innerhalb Ihres Unternehmens

Die Erstellung einer sogenannten „Datenlandkarte“ ist der effektivste Einstieg. Beginnen Sie mit kurzen Interviews mit Schlüsselpersonen in jeder Abteilung. Fragen Sie einfach, welche Informationen sie erhalten, wo sie diese speichern und mit wem sie sie teilen. Dadurch werden oft versteckte Verarbeitungsprozesse sichtbar, die Ihnen sonst entgehen würden. Denken Sie beispielsweise an Videoüberwachung am Eingang oder die Kennzeichenerfassung auf dem Parkplatz. Dieser praxisorientierte Ansatz stellt sicher, dass Ihre Datenerfassung die Realität widerspiegelt und nicht wirkungslos bleibt. So erhalten Sie sofortigen Einblick in die Risiken, denen Ihr Unternehmen ausgesetzt ist.

Software versus Excel: Wie behält man den Überblick?

Für viele KMU-Unternehmer ist ein manuelles Register in Excel ein guter Ausgangspunkt. Es ist leicht zugänglich und verursacht keine zusätzlichen Kosten. Allerdings gibt es auch Nachteile: Die Versionskontrolle wird mit dem Wachstum Ihres Unternehmens immer schwieriger. Spezielle DSGVO-Software kann hier Abhilfe schaffen, indem sie automatische Erinnerungen für die jährliche Überprüfung versendet. Unabhängig von Ihrer Wahl ist es am wichtigsten, dass das Dokument regelmäßig aktualisiert wird. Bei einer Prüfung durch die niederländische Datenschutzbehörde ist ein veraltetes Register fast genauso schädlich wie gar kein Register. Möchten Sie sofort mit einer professionellen Grundlage starten? Informieren Sie sich über unsere Dienstleistungen für DSGVO-/Datenschutzdokumentation, um Ihr Register von Anfang an rechtskonform einzurichten.

Rechtssicherheit für Ihre DSGVO-Dokumentation

Das Internet bietet unzählige kostenlose Vorlagen für Datenschutzregister. Auch wenn dies wie eine verlockende Schnelllösung erscheint, birgt es ein erhebliches Risiko für KMU-Unternehmer. Ein Standardformat berücksichtigt nicht die spezifischen Datenflüsse Ihres Unternehmens. Die Erstellung eines Verzeichnisses der Verarbeitungstätigkeiten ist keine einfache Pflichtübung, sondern ein Prozess zur Minimierung Ihrer tatsächlichen rechtlichen Risiken. Durch die individuelle Anpassung stellen Sie sicher, dass Ihre Dokumentation einer Prüfung standhält und Sie nicht von Lücken in Ihren Aufzeichnungen überrascht werden.

Darüber hinaus besteht ein direkter, untrennbarer Zusammenhang zwischen Ihrem Register und Ihren übrigen DSGVO-Dokumenten. Wenn Sie in Ihrem Register angeben, Daten an Dritte weiterzugeben, ist eine umfassende Auftragsverarbeitungsvereinbarung erforderlich. Stimmen diese Dokumente nicht überein, entsteht eine rechtliche Grauzone. Dies macht Sie im Falle von Datenschutzverletzungen oder Streitigkeiten mit Kunden angreifbar. Mit einem integrierten Ansatz schaffen Sie ein lückenloses System, in dem sich alle Verträge und Register gegenseitig ergänzen, anstatt sich zu widersprechen.

Die Risiken eines unvollständigen Registers

Die Folgen unzureichender Datenschutzverwaltung sind gravierend. Die niederländische Datenschutzbehörde kann Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängen. Obwohl die Behörde ab 2026 verstärkt auf einen klärenden Dialog setzen wird, bleibt die Möglichkeit, Bußgelder zu verhängen, bei grober Fahrlässigkeit ein wirksames Druckmittel. Neben dem finanziellen Risiko droht auch ein Reputationsschaden. Kunden und Geschäftspartner fordern heutzutage volle Transparenz. Ein unvollständiges Register schwächt Ihre Position in Rechtsstreitigkeiten und kann das Vertrauen Ihrer wichtigsten Stakeholder schwer beschädigen. Wissen Sie, was zu tun ist, wenn trotz Ihrer Vorkehrungen etwas schiefgeht? Lesen Sie weiter, um zu erfahren, wie Sie bei Datenschutzverletzungen rechtlich beraten , um den Schaden im Falle eines Sicherheitsvorfalls effektiv zu begrenzen.

Wie MKB Juristen Sie bei der Einhaltung der DSGVO unterstützt

Wir setzen auf einen pragmatischen Ansatz, bei dem rechtliche Komplexität in praktikable Lösungen umgesetzt wird. Unsere Berater unterstützen Sie nicht nur bei der Erstellung eines Verzeichnisses Ihrer Verarbeitungstätigkeiten, sondern betrachten auch Ihre gesamten Geschäftsprozesse. So stellen wir sicher, dass Ihre internen Prozesse nahtlos mit Ihren externen Verträgen harmonieren. Haben Sie bereits Verträge, sind sich aber bezüglich deren Inhalts unsicher? Mit unserem ContractCheck™ prüft ein erfahrener Rechtsexperte Ihre Dokumente auf Datenschutzrisiken.

Unser Ziel ist es, Sie zu entlasten, damit Sie sich auf Ihr Kerngeschäft konzentrieren können. Wir bieten Ihnen die nötige Sicherheit und Planbarkeit in einem komplexen Regelwerk. Möchten Sie Ihre Datenschutzangelegenheiten umgehend regeln, ohne sich von juristischem Fachjargon überfordern zu lassen? Dann kontaktieren Sie uns über mkbjuristen.nl für eine klare, maßgeschneiderte Beratung, die optimal auf Ihre Bedürfnisse abgestimmt ist.

Beginnen Sie noch heute mit der Verwaltung Ihrer Privatsphäre

Datenschutzgesetze sind mehr als nur eine rechtliche Verpflichtung; sie bieten die Chance, Ihre Geschäftsprozesse transparenter und sicherer zu gestalten. Sie wissen, dass die Grenze von 250 Mitarbeitern fast nie eine Ausnahme vorsieht und dass ein aktueller Überblick unerlässlich ist, um hohe Bußgelder zu vermeiden. Die Einrichtung eines Verzeichnisses der Verarbeitungstätigkeiten bildet die unverzichtbare Grundlage für Ihren Rechtsschutz und stärkt das Vertrauen Ihrer Geschäftspartner.

Möchten Sie sichergehen, dass Ihre gesamte Verwaltung DSGVO-konform ist, ohne sich selbst mit komplexen juristischen Details auseinandersetzen zu müssen? Als Spezialist für KMU seit 2009 bietet Ihnen MKB Juristen praxisorientierte Beratung ohne unnötigen Fachjargon. In den letzten Jahren haben wir über 5.000 Unternehmern geholfen, ihre rechtlichen Angelegenheiten effizient zu regeln. Lassen Sie Ihre DSGVO-Dokumentation professionell von MKB Juristen erstellen und gewinnen Sie sofort Sicherheit für Ihre Geschäftsabläufe. So können Sie sich unbesorgt auf das Wachstum Ihres Unternehmens konzentrieren.

Häufig gestellte Fragen zum Verarbeitungsregister

Ist ein Verarbeitungsregister für einen selbstständigen Freiberufler verpflichtend?

Ja, in fast allen Fällen müssen Selbstständige ein Register führen. Zwar gibt es eine Ausnahme für Organisationen mit weniger als 250 Mitarbeitern, diese entfällt jedoch, sobald die Datenverarbeitung nicht mehr nur gelegentlich erfolgt. Da Vorgänge wie Rechnungsstellung, Kundenverwaltung oder Newsletter-Versand regelmäßig anfallen, sind Sie als Selbstständiger gesetzlich verpflichtet, Ihre Datenflüsse zu dokumentieren. Schließlich kommt es auf die Art Ihrer Tätigkeit an, nicht auf die Größe Ihres Büros.

Was passiert, wenn ich während einer Inspektion kein Verarbeitungsregister habe?

Ohne ein Register können Sie Ihrer Rechenschaftspflicht nicht nachkommen, was bei einer Prüfung durch die niederländische Datenschutzbehörde sofort zu Problemen führt. Die Aufsichtsbehörde kann eine offizielle Verwarnung aussprechen oder ein Gespräch zur Behebung der Mängel ansetzen, um Sie zum Handeln zu verpflichten. In schwerwiegenden Fällen oder bei wiederholter Nachlässigkeit riskieren Sie ein Bußgeld von bis zu 2 % Ihres Jahresumsatzes. Das Dokument ist Ihr einziger Nachweis dafür, dass Sie den Datenschutz ernst nehmen.

Muss ich mein Verarbeitungsregister irgendwo einreichen oder einsenden?

Nein, Sie müssen das Dokument nirgendwo hinterlegen oder es proaktiv an eine Behörde senden. Sie bewahren das Register intern in Ihrem Unternehmen auf, beispielsweise auf einem sicheren Laufwerk oder in einer geschützten Cloud-Umgebung. Die einzige Situation, in der Sie es herausgeben müssen, ist, wenn die Aufsichtsbehörde es im Rahmen einer Prüfung oder nach Meldung einer Datenschutzverletzung ausdrücklich anfordert. Es handelt sich daher ausschließlich um ein internes Kontrollinstrument.

Wie oft muss ich das Register der Verarbeitungstätigkeiten aktualisieren?

Sie müssen das Verzeichnis der Verarbeitungstätigkeiten aktualisieren, sobald sich Ihre Geschäftsprozesse strukturell ändern. Beispiele hierfür sind der Wechsel zu einem neuen CRM-System oder die Zusammenarbeit mit einem anderen Marketingpartner. Darüber hinaus empfehlen wir, mindestens einmal jährlich eine vollständige Überprüfung durchzuführen. So stellen Sie sicher, dass die von Ihnen dokumentierten Aufbewahrungsfristen und Sicherheitsmaßnahmen weiterhin den täglichen Abläufen in Ihrem Unternehmen entsprechen.

Worin besteht der Unterschied zwischen einem Prozessor und einem Controller?

Der Datenverantwortliche entscheidet über Zweck und Art der Datenverarbeitung; dies ist in der Regel Ihr eigenes Unternehmen. Ein Auftragsverarbeiter ist ein externer Dienstleister, der Daten in Ihrem Auftrag verarbeitet, ohne Kontrolle darüber zu haben. Beispiele für Auftragsverarbeiter sind Ihr Hosting-Anbieter, Cloud-Dienste oder eine externe Verwaltungsstelle. In Ihrem Verzeichnis müssen Sie klar angeben, welche Auftragsverarbeiter Sie für welche Prozesse einsetzen, um Ihre rechtliche Verantwortung zu definieren.

Muss ich auch Papierakten in das Register einbeziehen?

Ja, Papierakten müssen im Register aufgeführt werden, wenn sie Teil eines strukturierten Archivs sind. Die DSGVO unterscheidet nicht zwischen digitalen und physischen Daten. Wenn Sie beispielsweise Personalakten in physischen Ordnern nach einem bestimmten System aufbewahren, handelt es sich um eine Verarbeitungstätigkeit, die Sie dokumentieren müssen. Sie müssen dann auch die physischen Sicherheitsvorkehrungen beschreiben, z. B. die Aufbewahrung dieser Ordner in einem verschlossenen Schrank in einem gesicherten Raum.

Kann ich eine Standardvorlage für mein Verarbeitungsregister verwenden?

Sie können eine Vorlage als Ausgangspunkt verwenden, doch die Erstellung eines Verzeichnisses der Verarbeitungstätigkeiten erfordert stets eine Anpassung an Ihre spezifische Situation. Jedes Unternehmen nutzt unterschiedliche Softwarekombinationen und hat seine eigenen Arbeitsprozesse. Eine Standardvorlage, die nicht an Ihre individuellen Gegebenheiten angepasst ist, vermittelt ein trügerisches Sicherheitsgefühl. Die Aufsichtsbehörde wird dies bei einer Prüfung sofort erkennen. Eine individuelle Anpassung ist unerlässlich, um nachzuweisen, dass Sie Ihre Datenflüsse tatsächlich kontrollieren.

Sind die Namen meiner Kunden im Verarbeitungsregister enthalten?

Nein, Sie müssen die Namen einzelner Kunden nicht in das Register aufnehmen. Das Register dient der Prozessübersicht und ist keine Kopie Ihrer Datenbank. Sie listen lediglich die Kategorien der Beteiligten auf, z. B. „Kunden“ oder „Interessenten“. Dabei geben Sie an, welche Daten Sie von ihnen verarbeiten, beispielsweise Namen, Adressen oder Zahlungsinformationen. Ziel ist es, Einblick in die bestehenden Abläufe zu geben, nicht eine Liste von Einzelpersonen zu führen.