Ein Verarbeitungsverzeichnis personenbezogener Daten besteht in der Regel aus einer Übersicht der Verarbeitungen, die bei Ihnen stattfinden, mit dem Zweck pro Verarbeitung, der Rechtsgrundlage, den Kategorien von Daten und Betroffenen, der Aufbewahrungsfrist, wer die Daten erhält und welche Sicherheitsmaßnahmen damit verbunden sind. Wenn Daten an einen Dritten weitergegeben werden, gehört normalerweise ein Auftragsverarbeitungsvertrag dazu. Welche Unterlagen in Ihrem Fall genau erforderlich sind und wie vollständig das Verzeichnis sein muss, liegt in der Beurteilung der Autoriteit Persoonsgegevens oder eines Juristen — dieser Artikel vermittelt nur das allgemeine Bild.
Das Detail, das bei diesem Thema am meisten zählt, ist, dass das Verzeichnis keine Momentaufnahme ist. Bei einem Produktsicherheitsdossier sammeln Sie Zertifikate und Testberichte, die, einmal eingegangen, eine Zeit lang gültig bleiben. Bei einem Verarbeitungsverzeichnis funktioniert das anders: Sobald Sie ein neues Tool nutzen, einen neuen Lieferanten einbinden oder eine neue Art von Daten erheben, ändert sich das Verzeichnis mit. Es ist weniger eine Mappe mit Nachweisen und mehr ein laufendes Logbuch darüber, was in Ihrem Unternehmen mit personenbezogenen Daten geschieht.
Was normalerweise im Verzeichnis steht
Pro Verarbeitung dokumentieren Sie in der Regel, warum Sie die Daten erheben, auf welcher Rechtsgrundlage Sie das tun, um welche Daten und Betroffenen es geht, wie lange Sie diese speichern und mit wem Sie diese teilen. Denken Sie an die Gehaltsabrechnung von Personal, einen Kundenbestand, den Sie für Marketing nutzen, oder Kamerabilder am Eingang Ihres Gebäudes. Jedes dieser Beispiele ist eine separate Zeile im Verzeichnis, mit einem eigenen Zweck und einer eigenen Aufbewahrungsfrist. Ein HR-Manager, der Personalakten verwaltet, und ein Gebäudemanager, der eine Besucherregistrierung führt, füllen also jeweils einen Teil desselben Verzeichnisses aus, auch wenn sie selten von derselben Übersicht aus arbeiten.
Auftragsverarbeitungsverträge als separate Unterlagen
Sobald ein Dritter in Ihrem Auftrag Daten verarbeitet — ein Buchhaltungsbüro, ein Cloud-Dienst, eine Marketingagentur — gehört dazu in der Regel ein separater Vertrag, der festlegt, was dieser Dritte tun darf und was nicht. Dieses Dokument gehört zum Verzeichnis, ist aber kein Ersatz dafür: Das Verzeichnis beschreibt, WAS geschieht, der Vertrag regelt, wer dafür verantwortlich ist. Unternehmen, die mit mehreren Lieferanten arbeiten, bemerken, dass diese Sammlung von Verträgen genauso schnell wächst wie das Verzeichnis selbst, und dass die Überwachung, welcher Vertrag noch aktuell ist, selbst zur Aufgabe wird.
Warum dieses Dossier nie abgeschlossen ist
Weil das Verzeichnis mit dem mitgeht, was in Ihrem Unternehmen geschieht, ist die Frage nicht nur, welche Unterlagen Sie benötigen, sondern auch, wer darauf achtet, dass diese korrekt sind, sobald sich etwas ändert. Ein neues HR-Tool, eine zusätzliche Niederlassung, ein wechselnder Lieferant: Jedes Mal stellt sich die Frage, ob das Verzeichnis noch eine zutreffende Darstellung der Praxis ist. Das ist eine andere Aufgabe als einmalig Dokumente zu sammeln, und es ist genau der Grund, warum viele Unternehmen dieses Verzeichnis getrennt von ihrem übrigen Compliance-Dossier führen, während es sachlich mit dem überlappt, was ein Produktsicherheitsdossier oder ein Verpackungsdossier bereits an Unternehmensdaten enthält.
Wo dies hingehört und wo Übersicht hilft
Die inhaltliche Frage, welche Verarbeitungen Sie registrieren müssen und wie ausführlich das sein muss, gehört zu einer spezialisierten Plattform oder zu einem Juristen; reglia macht dazu selbst keine Aussage. Was reglia dagegen tut, ist die Unternehmensdaten, die in so einem Verzeichnis vorkommen — Ihre Handelsregisternummer, Niederlassungen, Kontaktpersonen — einmal eingeben zu lassen und dem Plattform, die das Verzeichnis führt, zur Verfügung zu stellen, damit Sie das nicht noch einmal neben Ihrem Produktsicherheitsdossier oder Verpackungsdossier abtippen müssen. Auf der Seite mit angeschlossenen Plattformen sehen Sie, welche Plattform sich speziell mit personenbezogenen Daten befasst, und was diese Plattform von Ihnen erwartet und nicht erwartet.
Wenn Sie wissen möchten, was reglia dabei genau mit Ihren Daten tut und was nicht, lesen Sie das auf die Erklärung darüber, was reglia mit Ihren Daten tut und was nicht. Fragen dazu, wie diese Daten geschützt sind, finden Sie auf der Seite zu Sicherheit und Datenschutz, und häufig gestellte Fragen zum Teilen zwischen Plattformen finden Sie auf der Seite mit häufig gestellten Fragen.
Schauen Sie sich an, welche Plattformen angeschlossen sind und welche Plattform am besten zum Führen Ihres Verarbeitungsregisters passt; dieser Überblick gibt Ihnen in wenigen Minuten einen Eindruck davon, wohin Sie sich für diese Verpflichtung wenden können.