Ein mittelständischer Betrieb verwendet ein zentrales CRM-System. Darin werden Kontaktdaten von Interessenten gespeichert, Angebote erstellt, Bestellungen dokumentiert, Kundenanfragen bearbeitet und Reklamationen verwaltet. Außerdem nutzt der Vertrieb die gespeicherten E-Mail-Adressen für Newsletter, und bei einzelnen Neukunden wird vor Vertragsschluss eine Bonitätsauskunft eingeholt. Im Verzeichnis von Verarbeitungstätigkeiten findet sich dazu ein einziger Eintrag: „Kundenverwaltung im CRM-System“. Auf den ersten Blick wirkt das plausibel, schließlich läuft alles im selben Programm. Datenschutzrechtlich wirft diese Zusammenfassung jedoch sofort Fragen auf: Verfolgen Angebotserstellung und Newsletterversand wirklich denselben Zweck? Gelten für eine Bestellung dieselben Aufbewahrungsfristen wie für eine unverbindliche Anfrage? Werden bei der Bonitätsprüfung andere Empfänger einbezogen?
Dieses Beispiel zeigt ein Grundproblem, das in vielen Unternehmen auftritt: Es ist meist leicht festzustellen, dass personenbezogene Daten verarbeitet werden. Deutlich schwieriger ist die Frage, welche Verarbeitungstätigkeiten daraus gebildet werden müssen. Und genau davon hängt ab, ob das Verzeichnis von Verarbeitungstätigkeiten verständlich ist, ob Löschfristen zuverlässig festgelegt werden können und ob Informationspflichten, Betroffenenrechte und Sicherheitsmaßnahmen richtig zugeordnet werden.
Verarbeitung, Verarbeitungstätigkeit und Verfahren sind nicht dasselbe
Der Begriff der Verarbeitung ist in Art. 4 Nr. 2 DSGVO sehr weit gefasst: Er umfasst praktisch jeden Umgang mit personenbezogenen Daten, vom Erheben und Speichern über das Verändern und Übermitteln bis zum Löschen. Schon das bloße Entgegennehmen einer Bewerbung per E-Mail ist eine Verarbeitung, ebenso ihre Speicherung, die Weiterleitung an die Fachabteilung und später die Löschung.
Die DSGVO definiert dagegen nicht, was eine „Verarbeitungstätigkeit“ ist – Art. 30 DSGVO verlangt lediglich, dass ein Verzeichnis aller Verarbeitungstätigkeiten geführt wird, ohne festzulegen, wie eng oder weit ein einzelner Eintrag zugeschnitten sein muss. In der Praxis hat sich eine brauchbare Beschreibung durchgesetzt: Eine Verarbeitungstätigkeit ist ein sachlich zusammenhängender betrieblicher Prozess, in dessen Verlauf personenbezogene Daten für einen bestimmten Zweck oder für eng miteinander verbundene Zwecke verarbeitet werden. Sie ist damit größer als ein einzelner technischer Vorgang, aber kleiner als ein ganzer Unternehmensbereich. Das Bewerbermanagement etwa umfasst Eingang, Erfassung, Weiterleitung, Prüfung, Gesprächstermin, Entscheidung und Löschung – acht einzelne Vorgänge, die dennoch nur eine Verarbeitungstätigkeit bilden, weil sie demselben Zweck dienen: der Besetzung einer Stelle. Werden abgelehnte Bewerber dagegen mit ihrer Einwilligung in einen langfristigen Bewerberpool aufgenommen, verfolgt dieser Teilprozess einen weitergehenden Zweck, beruht auf einer anderen Rechtsgrundlage und hat eine andere Speicherdauer – hier ist eine eigenständige Dokumentation sinnvoll.
Von beidem zu unterscheiden ist das eingesetzte Verfahren oder System – etwa ein CRM, eine Personalsoftware oder ein Papierarchiv. Ein System ist nicht automatisch eine Verarbeitungstätigkeit: Dasselbe CRM kann für Interessentenverwaltung, Angebotserstellung, Kundenservice und Direktwerbung gleichzeitig genutzt werden, während umgekehrt eine einzige Tätigkeit wie die Lohnabrechnung über mehrere Systeme läuft – Personalsoftware, Zeiterfassung, Onlinebanking, ELSTER, digitale Personalakte. Entscheidend ist nicht die Anzahl der Programme, sondern der Zweck der Verarbeitung und der sachliche Zusammenhang. Ein Verzeichnis, das einfach die vorhandene Software auflistet, ist deshalb kein Verzeichnis von Verarbeitungstätigkeiten, sondern bestenfalls eine IT-Dokumentation.
Der Zweck als wichtigstes Abgrenzungskriterium
Bei der Frage, wo eine Verarbeitungstätigkeit beginnt und endet, ist der Verarbeitungszweck das entscheidende Kriterium – und der Zweck beschreibt, warum Daten verarbeitet werden, nicht womit. Formulierungen wie „Nutzung des CRM-Systems“, „Speicherung in der Cloud“ oder „E-Mail-Kommunikation“ beschreiben lediglich das technische Mittel und sind als Zweckangabe untauglich. Aussagekräftiger sind Formulierungen wie „Bearbeitung von Kundenanfragen“, „Prüfung der Kreditwürdigkeit vor Vertragsschluss“ oder „Versand werblicher Produktinformationen“.
Unterschiedliche Zwecke sprechen dabei für getrennte Verarbeitungstätigkeiten, selbst wenn dieselbe Person und dieselbe E-Mail-Adresse betroffen ist: Bei einer Bestellung geht es um die Durchführung eines Vertrags, beim Newsletter um Werbung und Kundenbindung. Rechtsgrundlagen, Widerspruchsmöglichkeiten, Speicherdauern und Empfänger können deutlich abweichen, weshalb sich eine getrennte Dokumentation anbietet. Eng zusammenhängende Zwecke können dagegen gemeinsam dokumentiert werden: Angebotserstellung, Bestellannahme, Lieferung und Rechnungsstellung lassen sich unter „Auftragsabwicklung“ zusammenfassen, solange der gesamte Prozess noch transparent bleibt.
Weder zu grob noch zu kleinteilig
Die DSGVO schreibt keinen festen Detaillierungsgrad vor, weshalb Unternehmen ein sachgerechtes Abstraktionsniveau finden müssen. Ein Eintrag wie „Verarbeitung sämtlicher Kunden-, Mitarbeiter- und Lieferantendaten zur Durchführung der Geschäftstätigkeit“ ist praktisch wertlos, weil er weder Zwecke noch Rechtsgrundlagen noch Löschfristen erkennen lässt. Auch Bezeichnungen wie „Personalwesen“, „Vertrieb“ oder „IT“ sind meist zu weit, da sie Organisationseinheiten statt Verarbeitungstätigkeiten bezeichnen. Genauso wenig sinnvoll wäre allerdings das andere Extrem – jeden Mausklick als eigene Tätigkeit zu erfassen. Eine solche Dokumentation wäre kaum pflegbar und würde den Blick auf den eigentlichen Prozess eher verstellen als schärfen.
Als Faustformel gilt: Eine Verarbeitungstätigkeit sollte so weit gefasst sein, dass zusammengehörende Vorgänge gemeinsam beschrieben werden können, und so eng, dass Unterschiede bei Zweck, Rechtsgrundlage, Datenarten, Empfängern, Löschung und Risiken noch deutlich erkennbar bleiben. Kurz: so weit wie sinnvoll, so konkret wie erforderlich.
Eine Trennung liegt besonders dann nahe, wenn sich mehrere der folgenden Punkte zwischen zwei Prozessen unterscheiden: der Zweck, die Rechtsgrundlage, die betroffenen Personengruppen, die Datenkategorien (insbesondere bei besonderen Kategorien nach Art. 9 oder 10 DSGVO), die Empfänger, die Lösch- und Aufbewahrungsfristen, das Risikoniveau oder die datenschutzrechtliche Rolle des Unternehmens – ob es also als alleiniger Verantwortlicher, gemeinsam Verantwortlicher oder als Auftragsverarbeiter handelt. Treffen mehrere dieser Kriterien gleichzeitig zu, spricht viel dafür, den Prozess in mehrere Einträge aufzuteilen.
Auch Papierakten gehören dazu
Ein verbreiteter Irrtum ist die Annahme, nur digitale Systeme müssten erfasst werden. Die DSGVO gilt jedoch auch für nichtautomatisierte Verarbeitungen, sobald die Daten in einem Dateisystem gespeichert sind oder werden sollen – also strukturiert und nach bestimmten Kriterien auffindbar abgelegt werden. Der Europäische Gerichtshof hat im Zusammenhang mit handschriftlichen Notizen einer Religionsgemeinschaft deutlich gemacht, dass ein Dateisystem keine technisch ausgefeilte Datenbank sein muss. Alphabetisch sortierte Personalakten, Karteikarten mit Kundendaten oder nach Mitarbeitern geordnete Schulungsnachweise fallen deshalb ebenso unter die Dokumentationspflicht wie das CRM-System.
Was Art. 30 DSGVO konkret verlangt
Das Verzeichnis des Verantwortlichen muss nach Art. 30 Abs. 1 DSGVO unter anderem Name und Kontaktdaten des Verantwortlichen, die Zwecke der Verarbeitung, die Kategorien betroffener Personen und der verarbeiteten Daten, die Kategorien von Empfängern, etwaige Drittlandübermittlungen, die vorgesehenen Löschfristen sowie eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen enthalten. Auftragsverarbeiter führen nach Art. 30 Abs. 2 DSGVO ein eigenes, anders aufgebautes Verzeichnis zu den Kategorien der im Auftrag ihrer Kunden durchgeführten Verarbeitungen.
Für die praktische Arbeit reichen diese Mindestangaben allerdings oft nicht aus. Sinnvoll ergänzt werden sollten insbesondere die genaue Rechtsgrundlage, der zuständige Prozessverantwortliche, die eingesetzten Systeme, die Datenquellen sowie Angaben zu Auftragsverarbeitern und zugehörigen Verträgen. Die Rechtsgrundlage gehört zwar formal nicht zu den Pflichtangaben, ohne sie lässt sich aber kaum beurteilen, ob eine Verarbeitung überhaupt zulässig ist und welche Betroffenenrechte greifen.
Warum sich die Mühe lohnt
Ein gut aufgebautes Verzeichnis ist mehr als eine lästige Pflichtübung. Es bildet die Grundlage dafür, Informationspflichten nach Art. 13 und 14 DSGVO zu erfüllen, Auskunfts- und Löschanträge zuverlässig zu bearbeiten, geeignete Sicherheitsmaßnahmen auszuwählen und rechtzeitig zu erkennen, ob eine Datenschutz-Folgenabschätzung erforderlich ist. Bei einem Auskunftsantrag zeigt ein prozessorientiertes Verzeichnis sofort, in welchen Tätigkeiten Daten der betroffenen Person vorkommen, welche Systeme durchsucht werden müssen und welche Empfänger informiert werden sollten – ein Verzeichnis, das nur Softwareprodukte auflistet, hilft dabei kaum.
Dass Lücken hier teuer werden können, zeigen reale Bußgeldfälle: Die polnische Aufsichtsbehörde verhängte gegen Toyota Bank Polska ein Bußgeld, weil eine Profiling-Verarbeitung zur Bonitätsbewertung nicht im Verzeichnis erfasst und keine ausreichende Folgenabschätzung dazu vorgenommen worden war. Die französische CNIL sanktionierte das Unternehmen Tagadamedia unter anderem deshalb, weil das Verzeichnis nicht erkennen ließ, welches Unternehmen für welche Verarbeitung – etwa Personalwesen oder Kundenakquise – jeweils verantwortlich war. Verstöße gegen Art. 30 DSGVO fallen unter Art. 83 Abs. 4 DSGVO und können mit Bußgeldern bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes geahndet werden. Problematisch wird es in der Praxis vor allem dann, wenn wesentliche Tätigkeiten vollständig fehlen, Risiken dadurch unerkannt bleiben oder ein Unternehmen auch auf Nachfrage kein brauchbares Verzeichnis vorlegen kann.
Wer muss überhaupt ein Verzeichnis führen?
Art. 30 Abs. 5 DSGVO enthält zwar eine Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern, diese Ausnahme ist jedoch eng begrenzt. Sie gilt nicht, sobald die Verarbeitung ein Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien betrifft – und schon regelmäßig wiederkehrende Prozesse wie Personalverwaltung, Lohnabrechnung oder Kundenverwaltung gelten nicht als „nur gelegentlich“. In der Praxis greift die Ausnahme deshalb bei den meisten Unternehmen kaum, weshalb ein vollständiges Verzeichnis oft einfacher ist als eine aufwendige Begründung, weshalb einzelne Tätigkeiten nicht aufgenommen wurden.
Auf europäischer Ebene wird derzeit über eine deutliche Ausweitung dieser Ausnahme verhandelt: Nach einem Vorschlag der EU-Kommission sollen Unternehmen mit weniger als 750 Mitarbeitern künftig nur noch solche Verarbeitungstätigkeiten dokumentieren müssen, die voraussichtlich ein hohes Risiko mit sich bringen. Dieser Vorschlag ist Teil des sogenannten „Digital Omnibus“ und befindet sich noch im Trilog-Verfahren zwischen Rat, Parlament und Kommission; eine politische Einigung steht bislang aus. Er ist nicht zu verwechseln mit dem separat verhandelten „Digital Omnibus on AI“, der ausschließlich die KI-Verordnung betrifft und bereits abgeschlossen wurde. Solange die Änderung von Art. 30 DSGVO nicht in Kraft getreten ist, bleibt die derzeitige Rechtslage maßgeblich – eine mögliche künftige Erleichterung ist also kein Grund, die heute erforderliche Dokumentation zurückzufahren.
Zusammenfassung
Die Verarbeitungstätigkeit ist der sachlich zusammenhängende betriebliche Prozess, in dem personenbezogene Daten für einen bestimmten oder eng verbundenen Zweck verarbeitet werden – nicht mehr ein einzelner Klick, aber auch nicht gleich ein ganzer Unternehmensbereich. Wer sein Verzeichnis vom tatsächlichen Geschäftsprozess her aufbaut und dabei konsequent nach Zweck, Rechtsgrundlage, betroffenen Personen, Datenkategorien, Empfängern, Löschfristen und Risiken fragt, erhält am Ende kein theoretisches Dokument für den Aktenschrank, sondern ein Arbeitsinstrument, das im Datenschutzalltag tatsächlich weiterhilft.
Autorin
Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
