Ein Verarbeitungsverzeichnis ist kein Einmalprojekt. Hier zeigen wir dir, wann du prüfen solltest, wie du Änderungen dokumentierst und wie ein einfacher Pflege-Prozess in der Praxis aussieht.
Die meisten Verarbeitungsverzeichnisse werden einmal erstellt und dann vergessen. Irgendwann vor ein paar Jahren, als das Thema DSGVO akut war, hat jemand alle Verarbeitungen zusammengetragen, dokumentiert und abgeheftet. Seitdem: Stille.
Das Problem: Dein Unternehmen hat sich seitdem weiterentwickelt. Ihr nutzt neue Tools, habt Prozesse geändert, Dienstleister gewechselt. Das Verarbeitungsverzeichnis (kurz: VVZ) nicht.
Ein VVZ ist kein statisches Dokument. Es muss mit dem Unternehmen wachsen. Die gute Nachricht: Wer einen einfachen Pflege-Rhythmus etabliert, spart sich Stress bei Audits, Betroffenenanfragen und der nächsten Zertifizierung. In diesem Artikel zeige ich dir, welche Anlässe eine Aktualisierung erfordern, wie du das organisatorisch verankerst und wie das konkret in DigimojoCOMPLY aussieht.
Das Verarbeitungsverzeichnis nach Art. 30 DSGVO dokumentiert, welche personenbezogenen Daten du verarbeitest, zu welchem Zweck, wie lange und an wen du sie weitergibst. Das klingt nach einer einmaligen Bestandsaufnahme. Ist es aber nicht.
Unternehmen sind dynamisch. Jeden Monat passiert etwas, das Auswirkungen auf die Datenverarbeitung haben kann:
Ihr führt ein neues CRM ein. Die IT stellt auf einen anderen Cloud-Anbieter um. Eine Abteilung nutzt plötzlich ein KI-Tool für Textgenerierung. Ein Dienstleister wird gekündigt und durch einen anderen ersetzt. Der Datenschutz-Koordinator wechselt in eine andere Rolle.
Jede dieser Änderungen kann bedeuten, dass das, was im VVZ steht, nicht mehr der Realität entspricht. Und ein VVZ, das nicht zur Realität passt, ist im Ernstfall wertlos.
Statt das VVZ einmal im Jahr komplett durchzuarbeiten, ist es sinnvoller, auf konkrete Anlässe zu reagieren. Diese fünf Trigger-Events sollten eine Prüfung auslösen:
Ein veraltetes VVZ führt nicht automatisch zu einem Bußgeld. Aber es wird zum Problem, sobald es gebraucht wird.
Die beste Strategie: Mach die VVZ-Pflege zur Routine, nicht zum Projekt. Ein einfacher Zyklus mit vier Schritten reicht aus.
Binde die IT ein. Die IT weiß, wenn neue Tools eingeführt werden. Ein kurzer Rückkanal genügt: „Neues System? Kurze Info an den DSB.“ Das muss kein formaler Prozess sein, eine kurze Mail oder Slack-Nachricht reicht.
Sensibilisiere die Abteilungen. Die Fachabteilungen kennen ihre Prozesse am besten. Ein jährlicher Check-in pro Abteilung („Hat sich bei euch was geändert?“) liefert oft mehr als jede interne Recherche.
Block dir einen festen Termin. Quartalsweise 30 Minuten im Kalender. Wenn es drinsteht, passiert es auch.
Wie sieht das in der Praxis aus? Lass mich dir anhand von Screenshots zeigen, wie du einen VVZ-Eintrag in DigimojoCOMPLY prüfst und aktualisierst.
Verarbeitung öffnen und Felder verstehen
[SCREENSHOT 1: Grundangaben einer Verarbeitung]
Jede Verarbeitung hat Pflichtfelder (mit ¹ markiert) und optionale Felder (mit ²). Die Pflichtfelder entsprechen den Anforderungen nach Art. 30 DSGVO: Bezeichnung, Zweck, Betroffene, Datenkategorien, Rechtsgrundlage, Löschfristen. Die optionalen Felder helfen dir, zusätzliche Informationen zu dokumentieren, die bei Audits oder internen Fragen nützlich sind.
Links siehst du die Navigation durch die verschiedenen Bereiche: Grundangaben, Empfänger intern, Systeme & Applikationen, Empfänger extern, Rechtsgrundlage & Löschung, Informationspflicht und Risikobewertung/DSFA. Der Fortschrittsbalken zeigt dir, wie vollständig die Pflichtangaben ausgefüllt sind.
Verknüpfungen nutzen: Applikationen, Dienstleister, Systeme
[SCREENSHOT 2: Systeme & Applikationen mit automatischer Verknüpfung]
Das Besondere in COMPLY: Wenn du eine Applikation wie „Google Workspace" hinzufügst, werden verknüpfte Dienstleister und Systeme automatisch angezeigt. Im Screenshot siehst du, wie die Applikation mit dem Dienstleister (Google Ireland Limited) und den genutzten Systemen verknüpft ist. Du musst nicht alles manuell pflegen. Die Verknüpfungen sorgen dafür, dass Änderungen an einer Stelle automatisch an anderen Stellen sichtbar werden.
Bei externen Empfängern siehst du sofort, ob eine Auftragsverarbeitung nach Art. 28 DSGVO vorliegt und ob Daten in ein Drittland übermittelt werden. Das ist wichtig für die Bewertung, ob zusätzliche Schutzmaßnahmen nötig sind.
Rollen und Verantwortlichkeiten
Bearbeiter, Eigentümer, fachlicher Ansprechpartner, Verantwortlicher: Jede Verarbeitung hat klare Zuständigkeiten. Bei Personalwechsel kannst du die Rollen mit wenigen Klicks anpassen, ohne die gesamte Dokumentation neu aufzusetzen.
DSFA-Erforderlichkeit prüfen
Bei Verarbeitungen mit potenziell hohem Risiko kannst du direkt eine Erforderlichkeitsprüfung für die Datenschutz-Folgenabschätzung starten. COMPLY führt dich durch die relevanten Fragen und dokumentiert das Ergebnis. So hast du einen Nachweis, dass du die Prüfung durchgeführt hast – auch wenn keine DSFA erforderlich ist.
VVZ-Pflege ist keine Raketenwissenschaft. Es geht nicht darum, perfekte Dokumentation zu haben. Es geht darum, einen einfachen Prozess zu etablieren, der sicherstellt, dass die Dokumentation mit der Realität Schritt hält.
Der Schlüssel liegt in zwei Dingen: klare Trigger, die eine Prüfung auslösen, und ein fester Rhythmus, der verhindert, dass das Thema einschläft. Quartalsweise 30 Minuten reichen aus. Das ist weniger Aufwand als die Panik-Aktion vor dem nächsten Audit.
Wenn du Fragen zur VVZ-Pflege hast oder Unterstützung bei der Einbindung in eure Prozesse brauchst, melde dich gerne bei uns.
