Datenschutz beginnt nicht mit der Datenschutzerklärung, sondern mit dem Wissen darüber, was im Unternehmen mit Personendaten geschieht. Das Verzeichnis der Bearbeitungstätigkeiten hält genau das fest. In der EU heisst es Verzeichnis von Verarbeitungstätigkeiten, im Schweizer revDSG Verzeichnis der Bearbeitungstätigkeiten.
Was hineingehört
Nach Art. 12 revDSG enthält das Verzeichnis des Verantwortlichen mindestens: die Identität des Verantwortlichen, den Bearbeitungszweck, eine Beschreibung der Kategorien betroffener Personen und bearbeiteter Personendaten, die Kategorien der Empfängerinnen und Empfänger, wenn möglich die Aufbewahrungsdauer oder die Kriterien zu ihrer Festlegung, wenn möglich eine allgemeine Beschreibung der Massnahmen zur Datensicherheit und bei Bekanntgabe ins Ausland die Angabe des Staates und der Garantien. Auftragsbearbeiter führen ein eigenes, schlankeres Verzeichnis. Die DSGVO verlangt in Art. 30 inhaltlich Vergleichbares.
Wer befreit ist
In der Schweiz sind Unternehmen, die am 1. Januar eines Jahres weniger als 250 Mitarbeitende beschäftigen, von der Pflicht befreit, es sei denn, sie bearbeiten umfangreich besonders schützenswerte Personendaten oder führen ein Profiling mit hohem Risiko durch (Art. 24 DSV). Die DSGVO kennt eine ähnliche Ausnahme für Unternehmen unter 250 Beschäftigten, die aber eng ist: Sie entfällt, sobald die Verarbeitung nicht nur gelegentlich erfolgt, was bei Kunden- und Personaldaten praktisch immer der Fall ist.
Warum es sich auch ohne Pflicht lohnt
Ohne Übersicht lassen sich die übrigen Pflichten kaum erfüllen. Eine korrekte Datenschutzerklärung setzt voraus, dass man Zwecke und Empfänger kennt. Ein Auskunftsbegehren nach den Betroffenenrechten lässt sich nur beantworten, wenn man weiss, wo Daten liegen. Eine Datenschutzverletzung lässt sich nur beurteilen, wenn bekannt ist, welche Daten in einem System stecken. Das Verzeichnis ist deshalb das Rückgrat, auch wenn es formell nicht verlangt ist.
Wie man es pragmatisch führt
Nicht als juristisches Dokument, sondern als Arbeitsliste pro Bearbeitung: Website-Kontaktformular, Kundenverwaltung, Buchhaltung, Personaladministration, Newsletter, Bewerbungen, Support. Pro Zeile Zweck, Datenkategorien, Systeme und Auftragsbearbeiter, Empfänger, Auslandbezug, Löschregel und Sicherheitsmassnahmen. Eine Tabelle genügt für den Anfang; wichtiger als das Werkzeug ist, dass jemand sie aktuell hält, wenn ein neues Tool eingeführt wird.
Typische Lücken
Vergessene Werkzeuge, die einzelne Teams eingeführt haben. Auslandbezüge über Unterauftragsbearbeiter von Cloud-Diensten. Fehlende Löschregeln. Und ein Verzeichnis, das zum Projektabschluss erstellt und nie wieder geöffnet wurde. Unsere revDSG-Checkliste für KMU beginnt deshalb mit der Erfassung der Datenflüsse.