Sobald ein Unternehmen personenbezogene Daten verarbeitet — etwa über ein KI-Schreibtool oder einen Chatbot mit Kundenkontakt —, taucht früher oder später die Frage nach dem Verarbeitungsverzeichnis auf. Es ist eines der zentralen Dokumentationspflichten der DSGVO und oft der erste Punkt, den Datenschutzbehörden bei einer Prüfung sehen wollen.
Was bedeutet Verarbeitungsverzeichnis?
Das Verzeichnis von Verarbeitungstätigkeiten (kurz: Verarbeitungsverzeichnis, VVT) ist eine interne Dokumentation nach Art. 30 DSGVO, in der ein Unternehmen alle Prozesse festhält, bei denen personenbezogene Daten verarbeitet werden. Dazu gehören unter anderem der Zweck der Verarbeitung, die Kategorien betroffener Personen und Daten, Empfänger der Daten sowie Löschfristen und technische und organisatorische Maßnahmen (TOMs).
Verantwortliche (Art. 30 Abs. 1) und Auftragsverarbeiter (Art. 30 Abs. 2) müssen jeweils ein eigenes Verzeichnis führen — die Pflichtangaben unterscheiden sich leicht.
Warum ist das Verarbeitungsverzeichnis für mein Unternehmen wichtig?
Für KMU ist das Verzeichnis nicht nur eine Formalie, sondern die Grundlage für viele andere Datenschutz-Entscheidungen: Es zeigt, welche externen Dienstleister (etwa KI-Tool-Anbieter) im Einsatz sind, ob dafür ein Auftragsverarbeitungsvertrag (AVV) vorliegt und wo eine Datenschutz-Folgenabschätzung (DSFA) nötig sein könnte.
Eine verbreitete Fehlannahme: kleine Unternehmen seien grundsätzlich von der Pflicht befreit. Tatsächlich entfällt die Pflicht nach Art. 30 Abs. 5 DSGVO nur für Unternehmen mit weniger als 250 Mitarbeitenden und nur, wenn die Verarbeitung kein Risiko für Betroffene birgt, nicht nur gelegentlich erfolgt oder keine besonderen Datenkategorien (z. B. Gesundheitsdaten) betrifft. Der regelmäßige Einsatz eines KI-Tools mit Kundendaten erfüllt diese Ausnahme in der Praxis häufig nicht.
Verarbeitungsverzeichnis in der Praxis
Eine Handwerksfirma mit 12 Mitarbeitenden nutzt ein KI-Tool zur Angebotserstellung, das Kundennamen und Adressen verarbeitet. Im Verarbeitungsverzeichnis wird dieser Prozess als eigener Eintrag dokumentiert: Zweck (Angebotserstellung), Datenkategorien (Name, Adresse, Auftragsdetails), Empfänger (Tool-Anbieter als Auftragsverarbeiter), Löschfrist und Verweis auf den abgeschlossenen AVV.
Bei einer Anfrage der Datenschutzbehörde oder eines Kunden kann die Firma so schnell und vollständig nachweisen, welche Verarbeitungen stattfinden und auf welcher Grundlage.
Weiterführendes
- Was ist ein AVV? — wird im Verzeichnis für jeden externen Dienstleister referenziert
- Was sind personenbezogene Daten? — Grundbegriff für jeden Verzeichnis-Eintrag
- Was sind TOMs? — Pflichtangabe im Verzeichnis
Häufige Fragen
Muss jedes kleine Unternehmen ein Verarbeitungsverzeichnis führen?
Die Ausnahme für Unternehmen unter 250 Mitarbeitenden gilt nur, wenn die Verarbeitung kein Risiko birgt, nicht nur gelegentlich erfolgt und keine besonderen Datenkategorien betrifft. Beim regelmäßigen Einsatz von KI-Tools mit Kundendaten greift diese Ausnahme meist nicht.
Müssen KI-Tools einzeln im Verarbeitungsverzeichnis auftauchen?
Ja. Jeder externe Dienstleister, der personenbezogene Daten im Auftrag verarbeitet, gehört als eigener Eintrag ins Verzeichnis, inklusive Verweis auf den jeweiligen AVV.
Wer kontrolliert das Verarbeitungsverzeichnis?
Datenschutzbehörden können es bei einer Prüfung anfordern. Es muss außerdem der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden können (Art. 30 Abs. 4 DSGVO).