Verarbeitungsverzeichnis erstellen (DSGVO)
Seit 25.05.2018 gibt es das Verarbeitungsverzeichnis. Was ist das, und wie erstellst du eines in einer KFZ-Werkstatt?
Was ist ein Verarbeitungsverzeichnis?
Unter „verarbeiten“ versteht die DSGVO praktisch jeglichen Kontakt mit personenbezogenen Daten: speichern, ändern, weitergeben, ordnen, anpassen, löschen oder sonst irgendwie verwenden.
Der Kern der DSGVO ist, dass sich jeder Betrieb klar wird, welche personenbezogenen Daten verarbeitet werden, ob das überhaupt nötig ist und wie man die betroffenen Personen am besten schützt. Das Verarbeitungsverzeichnis ist eine Liste aller Tätigkeiten in einem Betrieb, bei denen personenbezogene Daten verarbeitet werden.
Ein paar Beispiele für Verarbeitungstätigkeiten, die in den meisten KFZ-Betrieben vorkommen:
- Vertragserfüllung / Fahrzeugreparatur
- Bewerbungsabwicklung
- Personalverrechnung
- Marketing
Diese Liste ist keinesfalls vollständig und zeigt nur Beispiele. Damit alles ordentlich erfasst wird, hier eine generelle Anleitung mit ein paar praktischen Beispielen.
Wie erstellt man ein Verarbeitungsverzeichnis?
Das Verzeichnis kann auf Papier oder am Computer erstellt werden – mit Word, Excel oder einem anderen Textverarbeitungsprogramm. Es gibt auch spezielle DSGVO-Programme, die für kleine Werkstätten aber nicht unbedingt notwendig sind. In unseren Beispielen verwenden wir die Word-Vorlage der Datenschutzkonferenz (DSK): „Verzeichnis von Verarbeitungstätigkeiten Verantwortlicher gem. Art. 30 Abs. 1 DS-GVO“. In der Vorlage ist die Struktur schon vorgegeben und die Punkte sind gut beschrieben.
Seite 1: Vorblatt / Verantwortlicher
Im oberen Abschnitt wird der Verantwortliche inkl. Kontaktdaten aufgeführt – je nach Gesellschaftsform entweder der Einzelunternehmer oder die Gesellschaft. Gibt es zusätzliche Verantwortliche, einen Vertreter oder einen Datenschutzbeauftragten, werden diese in den folgenden Abschnitten angeführt.
Ob ein Datenschutzbeauftragter notwendig ist, muss jeder Betrieb selbst klären – Infos dazu findest du bei der Wirtschaftskammer (WKO).
Seite 2: Verarbeitungstätigkeiten (Teil 1)
Hier listest du alle Tätigkeiten auf, bei denen personenbezogene Daten verarbeitet werden. Für jede Tätigkeit kopierst du die nächsten beiden Seiten und füllst sie aus.
Die Benennung dient der Identifizierung, damit sich später die richtigen Seiten rasch finden lassen. Die laufende Nummer brauchst du eventuell, um in anderen Dokumenten darauf zu verweisen – nummeriere die Tätigkeiten einfach durch, eine spezielle Sortierung ist nicht nötig. Das Datum der Einführung und der letzten Änderung dient dazu, dass die Datenschutzbehörde bei einer Prüfung sehen kann, wann du das Verzeichnis erstellt hast und ob es aktuell gehalten wird.
Die verantwortliche Fachabteilung ist erst ab einer gewissen Betriebsgröße relevant – für kleine Werkstätten reicht es, hier den Inhaber aufzuführen. Unter „Zwecke der Verarbeitung“ trägst du alle Zwecke ein (z. B. Rechnungslegung, Lohnverrechnung, Marketing). Danach kreuzt du alle Kategorien der betroffenen Personen an – alle Gruppen von Personen, deren Daten in dieser Verarbeitung vorkommen können. Fehlen Kategorien auf der Vorlage, trägst du sie einfach nach; „Patienten“ wirst du für deine Werkstatt wahrscheinlich nicht brauchen.
Unter „Kategorien von personenbezogenen Daten“ gibst du an, welche Arten von Daten verarbeitet werden (z. B. Kunden-Kontaktdaten, Mitarbeiter-Stammdaten). Praktisch ist es, diese Kategorien gleich durchzunummerieren, damit sie sich auf der nächsten Seite leicht zuordnen lassen.
Seite 3: Verarbeitungstätigkeiten (Teil 2)
Kategorien von Empfängern sind jene Personen oder Unternehmen, denen personenbezogene Daten offengelegt werden – das betrifft auch interne Empfänger wie Mitarbeiter oder externe Systeme wie Online-Softwarelösungen. Dabei muss unterschieden werden, ob sich die Empfänger in der EU befinden; Drittländer sind alle Länder außerhalb des EWR. Zu jedem Empfänger gehören auch die Datenkategorien, die dorthin übermittelt werden.
Unter „Übermittlung an ein Drittland“ werden nochmal alle Empfänger außerhalb des EWR aufgelistet, da diese Übermittlung genauer beschrieben werden muss (weitere Infos dazu bei der WKO).
In der Spalte „Fristen für die Löschung“ trägst du für jede Datenkategorie eine Löschfrist ein: Wie lange brauchst bzw. darfst du diese Daten speichern? Die Speicherdauer sollte möglichst kurz gewählt werden – die DSGVO will, dass personenbezogene Daten nicht unnötig lange gespeichert werden (auch hierzu gibt die WKO weitere Informationen).
Technische und organisatorische Maßnahmen (TOMs) schützen die personenbezogenen Daten davor, verloren zu gehen, unbeabsichtigt verändert oder an Unbefugte weitergegeben zu werden. Typische Beispiele:
- Regelmäßige Backups erstellen
- Den Computer mit einem Passwort schützen
- Die Bürotür abschließen
- Dokumente wie Rechnungen nicht offen liegen lassen
- Einen Virenscanner verwenden
- Das Mobiltelefon mit Passwort sperren
- Den Speicher verschlüsseln
Zum Abschluss
Für jede Tätigkeit füllst du beide Seiten aus und legst sie unterschrieben ab. Plane außerdem ein, die Dokumente regelmäßig zu überprüfen und bei Bedarf zu aktualisieren.
Unterstützt bei der Erstellung dieser Anleitung hat uns der DSGVO-Experte und zertifizierte Datenschutzbeauftragte Rechtsanwalt Dr. Christian Zeilinger, LL.M.
Weiterführende Links
- Audio- und Videoarchiv von Rechtsanwalt Dr. Christian Zeilinger, LL.M. (dsgvo.teachable.com) oder ein kostenloses Erstgespräch
- Checkliste der WKO zur EU-Datenschutz-Grundverordnung
- Website der Datenschutzbehörde: www.dsb.gv.at
