Verzeichnis von Verarbeitungstätigkeiten (Verarbeitungsverzeichnis): So erstellen Sie ein konformes Verzeichnis , auch über Dutzende von Gesellschaften hinweg
Wenn Sie für die DSGVO-Compliance verantwortlich sind, wissen Sie bereits, dass Artikel 30 die Führung eines Verzeichnisses von Verarbeitungstätigkeiten verlangt. Was Ihnen niemand sagt: Wie mühsam es wird, wenn Sie Verarbeitungsverzeichnisse über 10, 50 oder mehr als 200 Konzerngesellschaften hinweg verwalten , jede mit anderen Prozessen, Rechtsgrundlagen und lokalen Anforderungen.
Dieser Leitfaden bietet Ihnen ein klares, Schritt-für-Schritt-Vorgehen zur Erstellung und Pflege Ihres Verarbeitungsverzeichnisses , ganz gleich, ob Sie bei null beginnen oder ein Excel-Chaos in den Griff bekommen wollen.
Warum es den meisten Organisationen schwerfällt, ihr Verarbeitungsverzeichnis zu erstellen (und zu pflegen)
Diese fünf Fehlerquellen verwandeln eine eigentlich klare Compliance-Pflicht in eine fortlaufende operative Belastung , besonders für Konzerne mit mehreren Gesellschaften.
01
Excel-Chaos
Die meisten Teams starten mit Excel. Innerhalb von sechs Monaten haben Sie 37 Versionen über 12 Tochtergesellschaften verteilt, und niemand weiss, welche aktuell ist. Das Ergebnis: unvollständige Verzeichnisse, doppelte Arbeit und null Sicherheit, wenn die Aufsichtsbehörde anklopft.
60%
der Datenschutz-Teams verlassen sich nach wie vor auf Tabellenkalkulationen , und die Mehrheit gibt zu, dass ihre Verzeichnisse unvollständig oder veraltet sind.
IAPP Privacy Governance Survey, 2023
02
Keine zentrale Datenquelle
Wenn Ihr Verarbeitungsverzeichnis auf gemeinsamen Laufwerken und in E-Mail-Verläufen verstreut ist, wird eine Rezertifizierung unmöglich. Sie jagen lokalen Datenschutzbeauftragten hinterher, um Aktualisierungen zu erhalten, die nie kommen , und verbringen mehr Zeit mit Koordination als mit der eigentlichen Compliance-Arbeit.
60%
der administrativen Compliance-Zeit beim Flugzeughersteller wurden von manuellen Aktualisierungen des Verarbeitungsverzeichnisses verbraucht, bevor das Verzeichnis zentralisiert wurde.
Flugzeughersteller, erste 6 Monate mit Priverion
03
Komplexität über mehrere Rechtsräume
DSGVO Artikel 30 ist die Grundlage, doch das revDSG, die UK GDPR und branchenspezifische Vorschriften bringen jeweils eigene Anforderungen mit sich. Ein Verarbeitungsverzeichnis, das für Ihre deutsche Gesellschaft funktioniert, kann für Ihre Schweizer oder brasilianischen Aktivitäten nach LGPD nicht konform sein.
Jede juristische Person, die als Verantwortlicher oder Auftragsverarbeiter handelt, benötigt eigene Einträge im Verarbeitungsverzeichnis , was den Aufwand in jedem Rechtsraum, in dem Sie tätig sind, vervielfacht.
04
Rezertifizierung als Nachgedanke
Das Verarbeitungsverzeichnis einmal zu erstellen ist schwierig. Es über die Zeit aktuell zu halten , während sich Prozesse ändern, Dienstleister wechseln und neue Gesellschaften hinzukommen , ist der Punkt, an dem die meisten Programme still und leise scheitern. Ohne automatisierte Rezertifizierung verfällt Ihr Verzeichnis ab dem ersten Tag.
100%
Rezertifizierungsquote des Verarbeitungsverzeichnisses, die AXA nach dem Wechsel von manueller Nachverfolgung zu automatisierten Workflows erreichte.
AXA, vollständig automatisierte Rezertifizierung mit Priverion
05
Sorge um die Prüfbereitschaft
Wenn eine Aufsichtsbehörde Ihr Verarbeitungsverzeichnis anfordert, sollten Sie es in Minuten vorlegen können, nicht in Wochen. Wenn das Erstellen eines prüfbereiten Nachweispakets das Zusammensuchen von Daten aus fünf Systemen und drei Abteilungen erfordert, sind Sie exponiert , und das wissen Sie.
Die Compliance-Teams, die ruhig schlafen, sind jene, die ein vollständiges, aktuelles Verzeichnis mit einem Klick exportieren können.
Wenn Ihnen davon etwas bekannt vorkommt, sind Sie nicht allein , und Sie sind hier genau richtig. Gehen wir gemeinsam Schritt für Schritt durch, wie Sie ein Verarbeitungsverzeichnis aufbauen, das wirklich funktioniert.
So erstellen Sie ein Verarbeitungsverzeichnis, das tatsächlich aktuell bleibt
Folgen Sie diesen sieben Schritten, um ein Verzeichnis von Verarbeitungstätigkeiten aufzubauen, das Artikel 30 heute erfüllt , und nicht im nächsten Quartal auseinanderfällt, wenn sich Prozesse ändern.
Schritt 1
Legen Sie Ihren organisatorischen Anwendungsbereich fest
Bevor Sie eine einzige Verarbeitungstätigkeit dokumentieren, ermitteln Sie, welche juristischen Personen innerhalb Ihres Konzerns als Verantwortliche und welche als Auftragsverarbeiter handeln. Dies bestimmt, wer welche Einträge im Verarbeitungsverzeichnis nach Artikel 30(1) gegenüber 30(2) führt.
Für Organisationen mit mehreren Gesellschaften ist es bereits dieser Schritt, an dem die meisten Projekte ins Stocken geraten. Sie benötigen Klarheit darüber, welche Tochtergesellschaften in den Anwendungsbereich fallen, welche Rechtsräume gelten und wer für das Verzeichnis jeder Gesellschaft verantwortlich ist.
Schritt 2
Erfassen Sie alle Verarbeitungstätigkeiten
Führen Sie eine strukturierte Datenbestandsaufnahme über jede Abteilung und Gesellschaft hinweg durch. Verarbeitungstätigkeiten umfassen alles von der Lohnabrechnung der Mitarbeitenden und dem Kundenbeziehungsmanagement bis hin zu Besucherprotokollen und Videoüberwachung.
Arbeiten Sie Abteilung für Abteilung: HR, Finanzen, Marketing, IT, Betrieb, Recht. Das Ziel ist es, jede Tätigkeit zu erfassen, bei der Personendaten erhoben, gespeichert, genutzt, weitergegeben oder gelöscht werden.
Streben Sie im ersten Durchgang nicht nach Perfektion. Erfassen Sie die Tätigkeit, die Abteilung und die Datenkategorien , die Rechtsgrundlagen und Aufbewahrungsfristen verfeinern Sie in späteren Schritten.
Schritt 3
Dokumentieren Sie die Pflichtangaben nach Artikel 30
DSGVO Artikel 30(1) verlangt für jede Verarbeitungstätigkeit bestimmte Informationen. Ihr Verarbeitungsverzeichnis muss mindestens Folgendes enthalten:
- Angaben zum Verantwortlichen: Name und Kontaktdaten des Verantwortlichen, des gemeinsam Verantwortlichen oder des Vertreters
- Zwecke der Verarbeitung: Spezifischer, dokumentierter Zweck für jede Tätigkeit
- Kategorien betroffener Personen: Mitarbeitende, Kundinnen und Kunden, Websitebesucher, Bewerbende usw.
- Kategorien personenbezogener Daten: Kontaktdaten, Finanzdaten, Gesundheitsdaten, Standortdaten usw.
- Kategorien von Empfängern: Interne Abteilungen, Auftragsverarbeiter, Übermittlungen in Drittländer
- Internationale Übermittlungen: Übermittlungen in Drittländer und die getroffenen Garantien (SCC, Angemessenheitsbeschlüsse)
- Aufbewahrungsfristen: Vorgesehene Fristen für die Löschung oder die zu ihrer Bestimmung herangezogenen Kriterien
- Technische und organisatorische Massnahmen: Eine allgemeine Beschreibung der Sicherheitsmassnahmen nach Artikel 32
Schritt 4
Weisen Sie jeder Tätigkeit eine Rechtsgrundlage zu
Jede Verarbeitungstätigkeit benötigt eine gültige Rechtsgrundlage nach Artikel 6 DSGVO. Die sechs Optionen , Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigtes Interesse , sind nicht austauschbar, und die Wahl der falschen schafft ein Durchsetzungsrisiko.
Für Tätigkeiten, die besondere Kategorien personenbezogener Daten betreffen (Artikel 9), benötigen Sie eine zusätzliche Bedingung. Für die Überwachung von Mitarbeitenden oder für Marketingaktivitäten dokumentieren Sie Ihre Abwägung des berechtigten Interesses.
Hier kann KI-gestütztes Vorausfüllen Ihre Arbeit beschleunigen. Die KI von Priverion schlägt auf Basis der Beschreibung der Verarbeitungstätigkeit und der Datenkategorien wahrscheinliche Rechtsgrundlagen vor , die endgültige Entscheidung trifft jedoch stets der Datenschutzbeauftragte.
Schritt 5
Bilden Sie Datenflüsse und die Weitergabe an Dritte ab
Verfolgen Sie für jede Verarbeitungstätigkeit, wohin die Personendaten fliessen: vom Erhebungspunkt über interne Systeme bis zu sämtlichen externen Auftragsverarbeitern oder Empfängern. Dazu gehören Cloud-Anbieter, Lohnabrechnungsdienste, CRM-Plattformen, Analysetools und alle von ihnen beauftragten Unterauftragsverarbeiter.
Achten Sie besonders auf internationale Übermittlungen. Nach Schrems II müssen Sie nicht nur dokumentieren, dass eine Übermittlung stattfindet, sondern auch den konkreten Garantiemechanismus (SCC, Angemessenheitsbeschluss, Ausnahmeregelung) und , bei Übermittlungen in Länder ohne angemessenes Schutzniveau , ob zusätzliche Massnahmen erforderlich sind.
Schritt 6
Legen Sie Verantwortlichkeiten und Rezertifizierungszyklen fest
Ein Verarbeitungsverzeichnis ohne klare Verantwortlichkeiten ist ein Verzeichnis, das verfällt. Weisen Sie für jede Verarbeitungstätigkeit einen fachlichen Verantwortlichen zu, der für die Bestätigung der Richtigkeit zuständig ist. Legen Sie anschliessend Rezertifizierungszyklen fest , in der Regel jährlich, bei risikoreichen Tätigkeiten jedoch vierteljährlich.
Dies ist der Schritt, der Compliance-Theater von echter Compliance trennt. Der Flugzeughersteller ging innerhalb der ersten sechs Monate mit Priverion von 60% der administrativen Compliance-Zeit für manuelle Aktualisierungen des Verarbeitungsverzeichnisses zu vollständig automatisierten Rezertifizierungs-Workflows über , weil die Plattform die Nachverfolgung übernimmt, die Menschen vergessen.
Schritt 7
Erstellen Sie Ihr prüfbereites Nachweispaket
Ihr Verarbeitungsverzeichnis ist nicht nur ein internes Dokument . es ist ein Nachweis, den Sie vorlegen, wenn Aufsichtsbehörden ihn anfordern. Strukturieren Sie Ihr Verzeichnis so, dass Sie jederzeit einen vollständigen, formatierten Export erzeugen können, einschliesslich Versionsverlauf, Rezertifizierungs-Zeitstempeln und verknüpften Datenschutz-Folgenabschätzungen (DSFA).
Medtec sparte bei der ISO-27001-Vorbereitung über 200 Stunden, weil das mit Priverion verwaltete Verarbeitungsverzeichnis bereits die von den Prüfern benötigte Dokumentation enthielt , das Unternehmen musste die Nachweispakete nicht von Grund auf neu erstellen.
Testen Sie Ihre Exportfähigkeit jetzt, bevor Sie sie brauchen. Wenn die Erstellung eines konformen Auszugs aus dem Verarbeitungsverzeichnis länger als ein paar Minuten dauert, muss Ihre Verzeichnisstruktur überarbeitet werden.
Was DSGVO Artikel 30 tatsächlich verlangt: Referenz Feld für Feld
Jede der untenstehenden Angaben im Verarbeitungsverzeichnis ist für Verantwortliche nach Artikel 30(1) verpflichtend. Nutzen Sie dies als Checkliste beim Aufbau oder bei der Prüfung Ihres Verzeichnisses.
Artikel 30(1)(a)
Identität und Kontaktdaten des Verantwortlichen
Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des gemeinsam Verantwortlichen, des Vertreters des Verantwortlichen sowie des Datenschutzbeauftragten. Für Konzernstrukturen bedeutet dies: jede juristische Person, die als Verantwortlicher handelt.
Artikel 30(1)(b)
Zwecke der Verarbeitung
Die Zwecke müssen für jede Verarbeitungstätigkeit spezifisch und dokumentiert sein , keine pauschalen Kategorien wie «Geschäftsbetrieb». Ein einzelnes System kann mehreren Zwecken dienen, von denen jeder einen eigenen Eintrag erfordert.
Artikel 30(1)(c)
Kategorien betroffener Personen und personenbezogener Daten
Beschreiben Sie, auf wen sich die Daten beziehen (Mitarbeitende, Kundinnen und Kunden, Lieferanten, Websitebesucher) und welche Datenarten verarbeitet werden (Kontaktdaten, Finanzunterlagen, Gesundheitsdaten, Verhaltensdaten).
Artikel 30(1)(d)
Kategorien von Empfängern
Alle Empfänger, gegenüber denen die Daten offengelegt werden oder offengelegt werden sollen, einschliesslich Auftragsverarbeiter, anderer Konzerngesellschaften und Empfänger in Drittländern. Seien Sie konkret , «Cloud-Dienstleister» genügt nicht, ohne anzugeben, welche.
Artikel 30(1)(e)
Internationale Übermittlungen und Garantien
Übermittlungen in Drittländer oder an internationale Organisationen sowie die Dokumentation geeigneter Garantien (SCC, verbindliche interne Datenschutzvorschriften, Angemessenheitsbeschlüsse). Nach Schrems II müssen unter Umständen auch zusätzliche Massnahmen dokumentiert werden.
Artikel 30(1)(f)
Aufbewahrungsfristen
Die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien oder die zur Bestimmung der Aufbewahrung herangezogenen Kriterien. «So lange wie nötig» ist nicht konform , geben Sie konkrete Zeiträume oder klare Kriterien an.
Artikel 30(1)(g)
Technische und organisatorische Massnahmen
Eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmassnahmen gemäss Artikel 32(1). Dazu gehören Verschlüsselung, Zugangskontrollen, Pseudonymisierung und Wiederherstellungsfähigkeiten im Notfall.
revDSG / nDSG
Zusätzliche Schweizer Anforderungen
Das revidierte Datenschutzgesetz (revDSG) (nDSG) verlangt zusätzliche Angaben, darunter das Land der Datenspeicherung, die spezifische Benennung der Mechanismen für Drittlandübermittlungen sowie die Identität des Datenschutzberaters. Priverion deckt die Anforderungen der DSGVO und des revDSG in einem einzigen Verzeichnis ab.
Warum Mid-Market-Teams von OneTrust zu Priverion wechseln
OneTrust wurde für die Fortune 500 entwickelt. Wenn Sie den Datenschutz über 5, 15 oder 50 Gesellschaften hinweg steuern , brauchen Sie Enterprise-Funktionalität ohne die Enterprise-Komplexität und -Kosten.
Was Sie mit OneTrust erhalten
Gebaut für die Fortune 500
Preisgestaltung pro Nutzer und pro Modul
Die Kosten steigen unvorhersehbar, sobald Sie Nutzer, Module oder Tochtergesellschaften hinzufügen. Die Budgetplanung wird zum Ratespiel.
US-Hauptsitz, Hosting in mehreren Regionen
Daten können über verschiedene Rechtsräume hinweg verarbeitet werden. In einem Umfeld nach Schrems II schafft dies für europäische Organisationen zusätzliche rechtliche Komplexität.
Über 200 Integrationen, geringe Tiefe
Eine beeindruckende Zahl an Konnektoren, die oft Wartungsaufwand und oberflächlichen Datenaustausch bedeutet statt echter Workflow-Automatisierung.
Monatelange Implementierung
Enterprise-Einführungen dauern routinemässig 6 bis 12 Monate mit dedizierten Implementierungsteams und Beratungshonoraren.
Funktionsüberladung quer durch ESG, Ethik, Cookies
Sie zahlen für Cookie-Einwilligungsverwaltung, ESG-Module und Ethik-Hotlines, die Sie nicht benötigen , alles gebündelt in einer Plattform, die dadurch schwerer zu bedienen ist.
Komplexität erfordert dedizierte Administratoren
Die Oberfläche ist leistungsstark, verlangt aber spezialisierte Schulung. Mid-Market-Teams ohne dedizierten Plattform-Administrator nutzen das Erworbene oft nicht aus.
Was Sie mit Priverion erhalten
Gebaut für konzernweites Datenschutzmanagement
Planbare, gesellschaftsbasierte Preisgestaltung
Bepreist nach Anzahl der Gesellschaften und Organisationsgrösse , nicht pro Nutzer oder pro Modul. Ihr CFO kann die Kosten ein Jahr im Voraus ohne Überraschungen planen.
Schweizer Entwicklung, Schweizer Hosting, europäische Datenhaltung
Die gesamte Datenverarbeitung bleibt innerhalb der Schweizer Infrastruktur. In einer Welt nach Schrems II ist das kein Marketing-Häkchen . es ist ein rechtlicher Vorteil bei grenzüberschreitenden Übermittlungen.
Tiefe Integrationen dort, wo sie zählen
Fokussierte Integrationen mit HR-, Beschaffungs- und IT-Asset-Management-Systemen , den Workflows, die die Datenschutz-Compliance wirklich vorantreiben , statt 200 oberflächlicher Konnektoren, die Wartungsschulden erzeugen.
Einsatzbereit in Wochen, nicht in Monaten
Der Flugzeughersteller erreichte innerhalb der ersten 6 Monate eine Reduktion der administrativen Compliance-Zeit um 60% , inklusive Onboarding, Konfiguration und Roll-out über die Tochtergesellschaften.
Fallstudie Flugzeughersteller , erste 6 Monate nach der Einführung
All-in-one-Datenschutzplattform , nicht mehr
Verarbeitungsverzeichnis, DSFA/TIA, Lieferantenrisiko, Vorfallmanagement, Bearbeitung von Betroffenenanfragen, Data Mapping und AI-Act-Bereitschaft , alles, was ein Datenschutzbeauftragter braucht. Wir decken weder ESG, Ethik-Hotlines noch Cookie-Einwilligung ab, denn das ist nicht unsere Aufgabe.
Konzipiert für Datenschutzbeauftragte, nicht für Plattform-Administratoren
Eine klare Benutzerführung, die Compliance-Fachleute tatsächlich gerne nutzen. AXA erreichte eine Rezertifizierungsquote von 100% des Verarbeitungsverzeichnisses über alle Gesellschaften hinweg , weil das Werkzeug die Menschen nicht behindert, die damit arbeiten.
AXA , vollständig automatisierte Rezertifizierung des Verarbeitungsverzeichnisses nach der Einführung
Laden Sie die kostenlose Verarbeitungsverzeichnis-Vorlage und Compliance-Checkliste herunter
Entwickelt von demselben Team, das Unternehmen wie den Flugzeughersteller und AXA dabei unterstützt, den Datenschutz über Dutzende von Gesellschaften hinweg zu verwalten. Diese Vorlage deckt sowohl die Anforderungen von DSGVO Artikel 30 als auch des revDSG ab , damit Sie nicht zwei getrennte Verzeichnisse benötigen.
Keine generische Tabelle. Eine strukturierte Vorlage Feld für Feld, basierend auf realen regulatorischen Erwartungen und Rückmeldungen von Aufsichtsbehörden.
Was enthalten ist
- Vorlage für das Verarbeitungsverzeichnis . Vorstrukturiert mit allen Pflichtangaben nach Artikel 30(1) und 30(2) für Verantwortliche und Auftragsverarbeiter
- revDSG-Ergänzung . Zusätzliche Angaben, die nach dem revidierten Datenschutzgesetz (revDSG) (nDSG) erforderlich sind, integriert in dasselbe Verzeichnis
- Compliance-Checkliste , Eine Prüfcheckliste Feld für Feld, um die Vollständigkeit vor der Vorlage bei der Aufsichtsbehörde zu überprüfen
- Rezertifizierungs-Tracker , Ein einfaches Framework zur Planung und Nachverfolgung der jährlichen Rezertifizierung über alle Gesellschaften hinweg
- Hinweise für mehrere Gesellschaften . Praktische Tipps zur Verwaltung des Verarbeitungsverzeichnisses über Tochtergesellschaften hinweg, ohne den Überblick zu verlieren
